Firewalls (L3, L4, L7, NGFW)

No contexto da segurança de redes, os Firewalls são os principais elementos ativos utilizados no chamado Controle de Perímetro, atuando como barreiras que separam os ativos internos protegidos (servidores e bases de dados) de redes externas não confiáveis, geralmente a Internet. A evolução tecnológica transformou os firewalls de simples filtros de pacotes em plataformas integradas (NGFW) capazes de inspeção profunda L7, IPS, antimalware e sandboxing.

1. Linha do Tempo das Gerações de Firewall

2. Firewalls de Camada 3 — Filtro de Pacotes (Packet Filter)

Estes dispositivos baseiam suas decisões de segurança nos cabeçalhos da camada de Rede (L3). O firewall analisa informações como o endereço IP de origem/destino (Camada 3) e o número da porta (socket TCP ou UDP, Camada 4). Decide se permite ou bloqueia o tráfego com base em regras pré-definidas, processando cada pacote isoladamente.

Características

• Pró: velocidade altíssima (processamento em hardware ASIC), baixa latência, baixo consumo de memória.
• Contra: não rastreia estado de conexão (qualquer pacote que case a regra passa, mesmo resposta não solicitada); vulnerável a fragmentação IP, spoofing e ataques que escondem códigos maliciosos dentro de pacotes aparentemente legítimos.

Implementações Clássicas

iptables / nftables (Linux):

# Bloquear SSH vindo de 203.0.113.0/24
iptables -A INPUT -p tcp --dport 22 -s 203.0.113.0/24 -j DROP
# Permitir HTTP/HTTPS e respostas de conexões estabelecidas
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j ACCEPT
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -P INPUT DROP   # Default deny

ACL Cisco IOS: access-list 101 permit tcp any host 192.0.2.10 eq 80 seguida de deny ip any any log aplicada na interface.

3. Firewalls de Camada 4 — Stateful (Stateful Inspection)

Uma evolução dos filtros tradicionais que monitora a conexão do início ao fim, mantendo uma tabela de estado (state table) para garantir que as respostas vindas da rede externa correspondam a solicitações legítimas internas. Para cada conexão, a tabela armazena:

• IPs e portas de origem/destino.
• Seq numbers TCP (para validação).
• Estado: SYN_SENT, ESTABLISHED, FIN_WAIT, CLOSE_WAIT.
• Timeout por protocolo (TCP 1h, UDP 30s, ICMP 5s).

Vantagens

• Bloqueia automaticamente pacotes não solicitados (scan SYN, ACK scan).
• Suporte a FTP ativo/passivo (inspeção de aplicação L4 para abertura dinâmica de portas).
• Mais eficiente que proxy L7.

Limitações

• Não enxerga conteúdo do payload (não detecta SQLi em HTTPS).
• Vulnerável a fragmentação maliciosa se defragmentation não estiver habilitado.
• Tabela de estado pode ser esgotada por SYN flood.

4. Firewalls de Camada 7 — Application Layer / Proxy

Atuam diretamente na Camada de Aplicação (L7). Em vez de apenas inspecionar cabeçalhos, o firewall termina a conexão TCP do cliente e abre nova conexão para o servidor (modelo proxy). Isso permite:

• Inspecionar e reescrever o payload HTTP, SMTP, FTP.
• Autenticar usuários antes de permitir acesso.
• Bloquear comandos específicos (ex: PUT em servidor que só aceita GET).

Tipos

• Proxy Forward: cliente configura para usar proxy (Squid, Microsoft TMG).
• Proxy Reverso: protege servidores web publicamente expostos (Nginx, HAProxy, F5).
• WAF (Web Application Firewall): proxy reverso especializado em proteção OWASP Top 10.

5. NGFW — Next-Generation Firewall

O NGFW representa a evolução tecnológica que atua diretamente na Camada de Aplicação (L7) com visibilidade profunda do tráfego e integração de múltiplas funções de segurança em uma única plataforma.

Recursos-Chave

Visibilidade Profunda

Enquanto firewalls tradicionais veem apenas portas (porta 443 para HTTPS), o firewall de camada 7 consegue identificar qual software está usando a porta, permitindo diferenciar o tráfego do Netflix, Dropbox ou Spotify, por exemplo. Isso é feito através de assinaturas de protocolo mantidas em Threat Cloud do fabricante.

Exemplos Comerciais de NGFW

Configuração Prática — Palo Alto

# Definir Zone e Interface
set zone trust zone-type layer3
set zone untrust zone-type layer3

# Interface
set network interface ethernet ethernet1/1 layer3 ip 200.1.1.1/24
set network interface ethernet ethernet1/1 zone untrust

# Security Policy baseada em App-ID
set rulebase security rules allow-web
   from untrust to trust
   source any destination 192.168.10.10
   application [ web-browsing ssl ]
   service application-default
   action allow

# Decryption Policy (Forward Proxy)
set rulebase decryption rules decrypt-outbound
   from trust to untrust
   source any destination any
   category [ web-based-email online-storage ]
   action decrypt-pkcs7

6. WAF — Web Application Firewall

Embora tecnicamente um firewall L7, o WAF é focado em proteger aplicações web contra ataques definidos no OWASP Top 10:

Soluções

• ModSecurity: WAF open-source, módulo Apache/Nginx, com OWASP Core Rule Set (CRS).
• Cloudflare WAF: SaaS em cloud, com ML + assinaturas.
• AWS WAF + Shield: integrado a CloudFront, ALB.
• F5 ASM / Advanced WAF: appliance para datacenter.
• Imperva: liderança histórica em Gartner Magic Quadrant.

7. Arquitetura de Zonas de Perímetro

O perímetro é uma linha imaginária (ou zona de bloqueio) onde o firewall atua como a "primeira linha de frente". Ele permite a criação de pelo menos três zonas fundamentais para a proteção organizacional:

1. Intranet: A rede local (LAN) interna onde residem os usuários e dados sensíveis.
2. Extranet: A Internet ou backbones de outras administrações.
3. DMZ (Zona Desmilitarizada): Um segmento isolado onde são colocados recursos que precisam ser acessados externamente (servidores Web), evitando que o acesso externo toque diretamente a rede interna.

Em organizações mais complexas, há subzonas: management (OOB), guest Wi-Fi, PCI (segmento de cartão isolado por compliance), OT/ICS (redes industriais com Purdue Model L0-L5).

8. Considerações Operacionais e Limites

Importante: firewalls de camada 7 exigem atualizações constantes, pois novas aplicações surgem a todo momento. Se o firewall não reconhecer o padrão da aplicação, não conseguirá realizar a inspeção pretendida.

Boas Práticas

• Default deny: todas as regras devem terminar em deny any any log.
• Documentação: cada regra deve ter campo de descrição com solicitante, ticket, justificativa, data de criação e revisão.
• Revisão periódica: auditoria trimestral de regras não utilizadas (unused rules, shadowed rules).
• Mudanças via change management: nenhuma regra alterada sem processo formal de aprovação.
• Alta disponibilidade: Active/Active ou Active/Passive com sessões sincronizadas.
• Hardening: desativar telnet, HTTP, SMB; permitir apenas SSH/HTTPS.
• Logging centralizado: enviar traffic logs e threat logs para SIEM em tempo real.

Limites Inerentes

• Tráfego cifrado: sem TLS decryption, firewall é cego ao conteúdo. Em 2024, ~80% do tráfego é HTTPS.
• Zero-day: assinaturas IPS só protegem contra vulnerabilidades conhecidas.
• Ataques lateral: tráfego leste-oeste não passa pelo perímetro.
• Cloud/SaaS: tráfego direto para Microsoft 365, Salesforce, etc. não passa pelo firewall corporativo.

9. Resumo Técnico

10. Conclusão

A evolução dos firewalls reflete a própria evolução das ameaças: do simples filtro de pacotes ao NGFW com App-ID, sandboxing e SSL decryption. Hoje, um firewall moderno (Palo Alto, Fortinet, Cisco Firepower) é muito mais que um dispositivo de perímetro — é o centro de uma plataforma de segurança que se integra a EDR, SIEM e SOAR. Contudo, com a dissolução do perímetro (cloud, SaaS, trabalho remoto), o firewall corporativo deixou de ser a única barreira; deve ser complementado por SASE, CASB, ZTNA e microsegmentação Zero Trust. O firewall tradicional não morre, mas sua função muda: de barreira de perímetro para policy enforcement point dentro de uma arquitetura distribuída e baseada em identidade.