Questão de Segurança da Informação — Ferramentas de Firewall (IPtables, Pfsense, etc.) — FCC 2026

Firewall: IPtables e Windows Firewall

Gabarito: letra C. A alternativa correta descreve corretamente o uso do IPtables para liberar acesso a um serviço web na porta 8080 e a configuração equivalente no Windows Firewall, garantindo a interoperabilidade entre os sistemas. As demais alternativas contêm erros conceituais sobre o funcionamento das regras de firewall, portas padrão e políticas de segurança.

O IPtables é a ferramenta padrão de firewall no Linux, atuando como interface para o NetFilter, o sistema de filtragem de pacotes do kernel. Ele permite criar regras para controlar o tráfego de rede com base em endereços, portas e protocolos. A estrutura básica envolve cadeias (chains) como INPUT, OUTPUT e FORWARD, e tabelas como filter, nat e mangle. A regra iptables -A INPUT -p tcp --dport 8080 -j ACCEPT adiciona uma regra na cadeia INPUT que aceita pacotes TCP destinados à porta 8080, liberando o acesso a um serviço web que esteja escutando nessa porta.

O Windows Firewall, por sua vez, é o firewall nativo do Windows Server 2019, com interface gráfica e também configurável via PowerShell. Ele permite criar regras de entrada e saída para liberar ou bloquear tráfego em portas específicas. Para liberar a mesma porta 8080, seria necessário criar uma regra de entrada permitindo conexões TCP na porta 8080. A interoperabilidade entre os sistemas ocorre quando ambos os firewalls permitem o tráfego na mesma porta, permitindo que os serviços se comuniquem.

A questão explora o conhecimento prático de configuração de firewalls em diferentes sistemas operacionais. A banca testa se o candidato entende o significado de cada regra e se consegue identificar configurações que fazem sentido para o cenário proposto. É fundamental conhecer as portas padrão dos serviços (22 para SSH, 80 para HTTP, 443 para HTTPS, 3389 para RDP, 1433 para SQL Server, 53 para DNS) e saber que liberar uma porta específica não bloqueia outras, a menos que haja uma política padrão de bloqueio.

A pegadinha central está em alternativas que parecem plausíveis, mas contêm erros sutis: confundir o efeito de uma regra (ACCEPT vs DROP), usar portas incorretas para serviços específicos, ou propor políticas de segurança inadequadas (como liberar acesso irrestrito). O candidato deve analisar cada regra individualmente e verificar se ela atende ao objetivo declarado.

Alternativa A — ❌ Incorreta

O erro está em "permitir acesso irrestrito a todos os serviços" no Windows Server 2019. Isso viola o princípio de segurança de menor privilégio e a prática recomendada de default deny (negar por padrão). Liberar acesso irrestrito a todos os serviços expõe o servidor a ataques desnecessários. A configuração correta seria liberar apenas as portas necessárias para o funcionamento dos serviços de transporte e bilhetagem.

Alternativa B — ❌ Incorreta

A regra iptables -A INPUT -p tcp --dport 22 -j ACCEPT permite (ACCEPT) o tráfego na porta 22, que é a porta padrão do SSH. A alternativa afirma que isso "garante que o tráfego de bilhetagem seja bloqueado", o que é incorreto. A regra libera o acesso SSH, não bloqueia o tráfego de bilhetagem. Para bloquear, seria necessário usar -j DROP ou -j REJECT. Além disso, a porta 22 não é usada para bilhetagem eletrônica.

Alternativa C — ✅ Correta ⟵ GABARITO

A regra iptables -A INPUT -p tcp --dport 8080 -j ACCEPT adiciona uma regra na cadeia INPUT que aceita pacotes TCP destinados à porta 8080, liberando o acesso ao serviço web de monitoramento de trens que esteja escutando nessa porta. Configurar uma regra equivalente no Windows Firewall para a mesma porta permite que o serviço seja acessado de ambos os sistemas, garantindo a interoperabilidade. A porta 8080 é comumente usada como porta alternativa para servidores web.

Alternativa D — ❌ Incorreta

A regra iptables -A OUTPUT -p udp --dport 53 -j DROP bloqueia (DROP) pacotes UDP de saída destinados à porta 53, que é a porta padrão do DNS. Isso impediria o servidor de monitoramento de trens de resolver nomes de domínio, pois as consultas DNS seriam descartadas. A alternativa afirma que isso "assegura que o servidor continue resolvendo nomes de domínio sem restrições", o que é exatamente o oposto do efeito da regra.

Alternativa E — ❌ Incorreta

A porta 3389 é a porta padrão do RDP (Remote Desktop Protocol), usado para acesso remoto à área de trabalho do Windows. Não é a porta do SQL Server, que utiliza a porta 1433 por padrão. Criar uma regra de firewall permitindo tráfego na porta 3389 liberaria o acesso RDP, não o acesso ao banco de dados SQL Server. A alternativa confunde as portas padrão dos serviços.

Gabarito: letra C