Questão de Segurança da Informação — Conceitos de Firewall, Proxy e DMZ — FCC 2026

Arquitetura de segurança: DMZ, firewall e princípio do menor privilégio

Gabarito: letra D. A configuração mais segura segue o modelo default deny (negação por padrão): bloqueia todo o tráfego da internet, liberando apenas as portas estritamente necessárias para os serviços públicos na DMZ (443, 25, 993), bloqueia todo o acesso da DMZ para a rede interna (isolamento total) e permite acesso administrativo apenas via SSH (porta 22) a partir de redes específicas — exatamente o que a alternativa D descreve. Essa é a aplicação prática do princípio do menor privilégio e da segmentação de rede, conceitos centrais em segurança da informação.

A DMZ (Zona Desmilitarizada) é uma sub-rede que funciona como uma "terra de ninguém" entre a internet e a rede interna. Ela existe para hospedar serviços que precisam ser acessados pelo público externo (como o servidor web e o e-mail), de forma que, se um desses serviços for comprometido, o atacante não tenha acesso direto aos sistemas internos críticos. A lógica é de defesa em profundidade: mesmo que o invasor consiga invadir o servidor web na DMZ, ele ainda encontra uma barreira (o firewall) entre a DMZ e a rede interna.

O princípio do menor privilégio determina que cada usuário, processo ou sistema deve ter apenas as permissões estritamente necessárias para realizar suas funções. Aplicado ao firewall, isso significa liberar apenas as portas e protocolos indispensáveis, e bloquear todo o resto por padrão. É o oposto da abordagem permissiva, que libera tudo e depois tenta bloquear o que é perigoso — uma prática arriscada e que as bancas adoram usar como distrator.

Na prática, uma arquitetura segura de DMZ segue três regras de ouro: (1) a internet só pode acessar a DMZ nas portas dos serviços públicos (HTTPS, SMTP, IMAPS, etc.); (2) a DMZ não pode iniciar conexões para a rede interna — se um servidor da DMZ for invadido, o atacante fica preso ali; e (3) o acesso administrativo (SSH, RDP) deve ser restrito a origens específicas (whitelist de IPs) e, idealmente, realizado por uma rede de gerenciamento separada (out-of-band).

A pegadinha clássica desta questão é usar a "facilidade de integração" ou a "necessidade de manutenção" como justificativa para liberar portas perigosas entre zonas de segurança. Portas como 445 (SMB) e 3389 (RDP) são vetores conhecidos de ataques — ransomware e força bruta — e nunca devem cruzar a fronteira entre a DMZ e a rede interna. A banca coloca essas portas em alternativas aparentemente razoáveis para testar se o candidato conhece os riscos reais, não apenas a teoria.

Guarde este critério decisivo para analisar as alternativas: uma configuração segura de firewall para DMZ deve ter (1) default deny na entrada da internet, liberando apenas as portas dos serviços públicos; (2) bloqueio total do tráfego da DMZ para a rede interna; e (3) acesso administrativo restrito a origens específicas. Qualquer alternativa que libere tráfego irrestrito, permita SMB/RDP entre zonas ou abra o SSH para o mundo inteiro está incorreta.

Alternativa A — ❌ Incorreta

Permitir "tráfego irrestrito entre a DMZ e a rede interna" destrói completamente o propósito da DMZ. Se um servidor web na DMZ for comprometido, o atacante teria acesso livre a toda a rede interna, incluindo o servidor de arquivos e os sistemas críticos do Ministério Público. A justificativa de "facilitar a integração de sistemas" é o distrator clássico: a banca usa a conveniência para mascarar uma falha grave de arquitetura. O correto é o isolamento estrito, não a integração irrestrita.

Alternativa B — ❌ Incorreta

A alternativa B acerta ao bloquear o tráfego da internet exceto para as portas 443, 25 e 993, mas erra gravemente ao permitir o acesso da DMZ para a rede interna na porta 445 (SMB). O SMB é o protocolo de compartilhamento de arquivos do Windows, altamente vulnerável e explorado por ransomwares como o WannaCry. Permitir que um servidor da DMZ (potencialmente comprometido) acesse o servidor de arquivos interno via SMB é um convite ao desastre. A regra é: SMB nunca cruza zonas de segurança.

Alternativa C — ❌ Incorreta

A alternativa C também acerta ao liberar as portas 443, 25, 993 e 1194 da internet para a DMZ, mas erra ao permitir o acesso da DMZ para a rede interna na porta 3389 (RDP). O RDP é uma das portas mais atacadas do mundo, alvo constante de ataques de força bruta. Um servidor na DMZ jamais deveria ter permissão para iniciar uma conexão de área de trabalho remota para um servidor interno. Se o servidor da DMZ for invadido, o atacante teria uma ferramenta poderosa para tentar acessar a rede interna.

Alternativa D — ✅ Correta ⟵ GABARITO

A alternativa D é a única que aplica corretamente os três pilares da segurança em DMZ: (1) bloqueia todo o tráfego da internet, exceto para as portas 443 (HTTPS), 25 (SMTP) e 993 (IMAPS) — exatamente os serviços públicos hospedados na DMZ; (2) bloqueia todo o acesso da DMZ para a rede interna, garantindo o isolamento total; e (3) permite acesso administrativo apenas via SSH (porta 22) a partir de redes específicas, aplicando o princípio do menor privilégio e mitigando ataques de força bruta. É a configuração mais segura e alinhada às boas práticas de segmentação.

Alternativa E — ❌ Incorreta

A alternativa E sugere permitir "tráfego total entre DMZ e a rede interna" em uma mistura confusa de portas, incluindo portas administrativas (22, 3389) e portas web (80, 443). Isso quebra completamente a segmentação e o princípio do menor privilégio. Além disso, restringe a internet apenas para as portas 443 e 1194, esquecendo-se dos serviços de e-mail (25 e 993) que também precisam ser acessíveis publicamente. É uma configuração desordenada e insegura.

Gabarito: letra D