Firewall

No contexto da segurança de redes, os Firewalls são os principais elementos ativos utilizados no chamado Controle de Perímetro, atuando como barreiras que separam os ativos internos protegidos (como servidores e bases de dados) de redes externas não confiáveis, geralmente a Internet. Sua função primária é inspecionar o tráfego que atravessa o perímetro e decidir, com base em regras explícitas, quais pacotes devem ser permitidos ou bloqueados.

Abaixo, detalho como os firewalls operam nas diferentes camadas do modelo OSI, sua evolução histórica, posicionamento na rede, modelos de políticas e exemplos de configuração.

1. Evolução Histórica dos Firewalls

A evolução dos firewalls acompanhou o crescimento da conectividade internet corporativa e pode ser dividida em quatro gerações principais, cada uma agregando maior profundidade de inspeção:

2. Firewalls de Camada 3 e 4 (Convencionais)

Estes dispositivos baseiam suas decisões de segurança nos cabeçalhos das camadas de Rede (L3) e Transporte (L4).

• Filtragem de Pacotes: O firewall analisa informações como o endereço IP de origem/destino (Camada 3) e o número da porta (socket TCP ou UDP, Camada 4). Ele decide se permite ou bloqueia o tráfego com base em regras pré-definidas.
• Prós e Contras: São processos rápidos porque não "desmontam" o conteúdo do pacote para examiná-lo. No entanto, são vulneráveis a ataques que escondem códigos maliciosos dentro de pacotes aparentemente legítimos.
• Inspeção de Estado (Stateful): Uma evolução dos filtros tradicionais que monitora a conexão do início ao fim, mantendo uma tabela de estado para garantir que as respostas vindas da rede externa correspondam a solicitações legítimas internas.

Exemplo de Regras Stateless (iptables Linux)

# Política default: negar tudo
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

# Permitir conexões já estabelecidas
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# Permitir SSH apenas da rede de administração
iptables -A INPUT -s 10.0.0.0/24 -p tcp --dport 22 -j ACCEPT

# Permitir HTTP/HTTPS para o servidor web na DMZ
iptables -A FORWARD -d 192.168.10.10 -p tcp -m multiport --dports 80,443 -j ACCEPT

3. Firewalls de Camada 7 (NGFW ou de Aplicação)

O NGFW (Next-Generation Firewall) representa uma evolução tecnológica que atua diretamente na Camada de Aplicação (L7).

• Visibilidade Profunda: Enquanto firewalls tradicionais veem apenas portas (ex: porta 443 para HTTPS), o firewall de camada 7 consegue identificar qual software está usando a porta, permitindo diferenciar o tráfego do Netflix, Dropbox ou Spotify, por exemplo.
• Detecção de Ataques Refinados: Possuem a capacidade de detectar e bloquear ataques complexos que exploram vulnerabilidades específicas de softwares e aplicativos.
• Recursos Integrados: Um NGFW geralmente consolida em uma única plataforma a capacidade de firewall corporativo, sistemas de prevenção de intrusão (IPS), controle de aplicação (Application Control), filtragem de URL, antivírus de fluxo (AV) e sandboxing (Cloud Threat Analysis).

Componentes Típicos de um NGFW

• App-ID: identifica aplicações independentemente da porta (DPI).
• User-ID: correlaciona tráfego a identidades do Active Directory / LDAP.
• Content-ID: inspeciona payloads em busca de malware, vírus e assinaturas IPS.
• SSL/TLS Decryption: intercepta conexões cifradas (forward proxy) para inspeção.

4. O Contexto do Controle de Perímetro

O perímetro é uma linha imaginária (ou zona de bloqueio) onde o firewall atua como a "primeira linha de frente". Ele permite a criação de pelo menos três zonas fundamentais para a proteção organizacional:

1. Intranet: A rede local (LAN) interna onde residem os usuários e dados sensíveis.
2. Extranet: A Internet ou backbones de outras administrações.
3. DMZ (Zona Desmilitarizada): Um segmento isolado onde são colocados recursos que precisam ser acessados externamente (como servidores Web), evitando que o acesso externo toque diretamente a rede interna.

Topologia Típica de Perímetro

            Internet
               |
        +------+------+
        |  FW Externo |  <- NAT, anti-DDoS, filtragem L3/L4
        +------+------+
               |
        +------+------+
        |   DMZ       |  <- Servidores Web, Email, DNS
        +------+------+
               |
        +------+------+
        |  FW Interno |  <- Segmentação L7, microsegmentação
        +------+------+
               |
            Intranet

5. Políticas: Default Deny x Default Allow

A política default deny (ou whitelisting) é o princípio de segurança mais importante em firewalls: tudo é negado por padrão, e apenas o tráfego explicitamente permitido é aceito. A política inversa (default allow / blacklisting) é considerada insegura em ambientes corporativos, pois qualquer nova ameaça desconhecida teria passagem livre.

Estrutura Típica de uma Regra

Ordem de Avaliação

As regras são avaliadas top-down — a primeira regra que casa com o pacote é aplicada. Por isso, a regra de deny all deve ficar sempre por último, e as regras mais específicas no topo:

1. permit  src=10.0.0.0/24    dst=192.168.10.10  proto=tcp  dport=443  log
2. permit  src=10.0.0.5/32     dst=192.168.10.20  proto=tcp  dport=22   log
3. deny    any                any                                   log

6. Posicionamento na Rede

7. Modelos de Implantação

• Modo Roteado (L3): O firewall atua como roteador entre zonas, com interfaces em subnets diferentes; é o modelo mais comum.
• Modo Transparente (L2): O firewall atua como bridge, inspecionando tráfego L2/L3 sem modificar o endereçamento IP; útil para inserção sem reprojetar a rede.
• Modo One-Arm / Sniffer: O firewall recebe cópia do tráfego via SPAN/mirror e apenas detecta (IPS passivo) ou atua via injeção TCP RST.
• Modo Cluster / HA: Par ativo-passivo (failover) ou ativo-ativo (load balance) com sincronização de tabela de estados.

8. RFCs e Padrões de Referência

9. Boas Práticas de Hardening

• Aplicar política default deny em todas as zonas.
• Documentar cada regra com campos: solicitante, ticket, data de criação, validade.
• Revisar regras semestralmente e remover regras órfãs (rule lifecycle).
• Habilitar logging de negação e enviar para SIEM (Syslog, CEF, LEA).
• Manter firmware atualizado; vulnerabilidades em firewalls são comuns (CVEs anuais).
• Usar MFA para acesso administrativo (SSH/HTTPS) e restringir por IP de gerência.
• Sincronizar com servidor NTP confiável — sem timestamps corretos, logs são inúteis.

10. Conclusão

Importante: As fontes reforçam que firewalls de camada 7 exigem atualizações constantes, pois novas aplicações e atualizações de softwares surgem a todo momento. Se o firewall não reconhecer o padrão da aplicação, ele não conseguirá realizar a inspeção e o bloqueio pretendidos. O firewall moderno deixou de ser um simples filtro de pacotes e passou a ser uma plataforma de segurança integrada (NGFW), mas seu princípio fundamental permanece o mesmo: ser a barreira inteligente entre zonas de confiança distinta, aplicando política explícita baseada em default deny e mantendo rastreabilidade completa de todo tráfego que cruza o perímetro.