Questão de Segurança da Informação — Conceitos de Firewall, Proxy e DMZ — CESPE / CEBRASPE 2026

Firewalls de aplicação e filtragem de pacotes

✅ CERTO. A afirmação está correta: firewalls de aplicação (também chamados de proxies ou gateways de aplicação) operam na camada de aplicação (camada 7 do modelo OSI) e são capazes de inspecionar o conteúdo das requisições, permitindo um controle mais granular do que os firewalls de filtragem de pacotes, que analisam apenas cabeçalhos dos pacotes (camadas 3 e 4). Essa é uma distinção fundamental entre as gerações de firewalls.

Para entender por que a afirmação está correta, é preciso compreender a evolução dos firewalls. A primeira geração, o filtro de pacotes (ou firewall estático), analisa apenas os cabeçalhos dos pacotes IP/TCP/UDP, tomando decisões com base em endereços de origem e destino, portas e protocolos. Ele não "enxerga" o conteúdo do payload — ou seja, não sabe se uma requisição HTTP contém um ataque de SQL Injection ou um comando malicioso. Já os firewalls de aplicação (também chamados de gateway de aplicação ou firewall proxy) atuam como intermediários entre cliente e servidor, estabelecendo duas conexões separadas: uma do cliente com o proxy e outra do proxy com o servidor. Isso permite que o firewall decodifique o protocolo da aplicação (como HTTP, FTP, SMTP) e inspecione o conteúdo das mensagens, aplicando regras específicas — por exemplo, bloquear acesso a determinadas URLs, filtrar comandos de um protocolo ou até mesmo analisar o tráfego HTTPS após a decriptação.

Essa capacidade de inspeção profunda é o que confere o controle mais granular mencionado na questão. Enquanto um filtro de pacotes só pode decidir "liberar" ou "bloquear" com base em endereços e portas, um firewall de aplicação pode decidir com base no conteúdo da requisição — como o método HTTP (GET, POST), o caminho da URL, o corpo da mensagem, ou até mesmo padrões de ataque conhecidos. É por isso que os firewalls de aplicação modernos, como os WAFs (Web Application Firewalls), são capazes de proteger contra ataques como SQL Injection, XSS e CSRF, que exploram vulnerabilidades específicas das aplicações web.

A pegadinha que a banca explora neste tema é a confusão entre as diferentes gerações de firewalls. Muitos candidatos podem pensar que todos os firewalls são iguais, ou que a filtragem de pacotes é suficiente para proteger uma rede. No entanto, a evolução dos firewalls mostra exatamente o contrário: à medida que os ataques se concentraram nas vulnerabilidades das aplicações, tornou-se necessário um nível de inspeção mais profundo, que só os firewalls de aplicação conseguem oferecer. A distinção crucial é: filtro de pacotes = análise de cabeçalhos; firewall de aplicação = análise de conteúdo.

Guarde essa fronteira: é exatamente nela que a questão se decide. Se a afirmação falasse em "inspecionar o conteúdo das requisições" para um firewall de filtragem de pacotes, estaria errada; mas como fala de "firewalls de aplicação", está correta.

Item — ✅ Correto ⟵ GABARITO

A afirmação está correta porque descreve com precisão a capacidade dos firewalls de aplicação. Eles operam na camada de aplicação (camada 7 do modelo OSI) e são capazes de inspecionar o conteúdo das requisições — ou seja, o payload dos pacotes, não apenas os cabeçalhos. Isso permite um controle mais granular, pois as regras podem ser baseadas em elementos específicos da aplicação, como URLs, métodos HTTP, comandos de protocolo ou até mesmo padrões de ataque. Em contraste, os firewalls de filtragem de pacotes analisam apenas os cabeçalhos dos pacotes (camadas 3 e 4), tomando decisões com base em endereços IP, portas e protocolos, sem inspecionar o conteúdo. Portanto, a afirmação está em conformidade com a definição e as capacidades dessas tecnologias.

Gabarito: C (Certo).