Questão de Segurança da Informação — Conceitos de Firewall, Proxy e DMZ — FCC 2025

Firewall de próxima geração (NGFW) e segurança de redes

Gabarito: letra A. O NGFW combina a filtragem tradicional de pacotes com deep packet inspection (DPI) e consciência de aplicação (application-aware), permitindo visibilidade granular do tráfego e proteção em tempo real contra ameaças persistentes avançadas (APTs). As demais alternativas distorcem conceitos de SIEM, filtragem de pacotes, sniffers e IDS/IPS.

O firewall é um componente de segurança que atua como um ponto de controle entre redes, filtrando o tráfego com base em regras predefinidas. Ele pode ser implementado em software ou hardware e é essencial para proteger redes contra acessos não autorizados. A evolução dos firewalls levou ao desenvolvimento do NGFW (Next-Generation Firewall), que integra funcionalidades avançadas como DPI, inspeção de protocolos e reconhecimento de aplicações, indo além da simples filtragem de portas e endereços IP.

A deep packet inspection (DPI) é uma técnica que analisa o conteúdo dos pacotes de dados, não apenas seus cabeçalhos, permitindo identificar e bloquear ameaças que passariam despercebidas por firewalls tradicionais. Essa análise profunda é crucial para detectar APTs (Advanced Persistent Threats), que são ataques sofisticados e persistentes, muitas vezes realizados por grupos organizados. A capacidade de ser application-aware permite que o NGFW identifique e controle aplicações específicas, como redes sociais, streaming ou serviços de mensagens, independentemente da porta utilizada, oferecendo uma visibilidade granular do tráfego.

É importante distinguir o NGFW de outras tecnologias de segurança, como o SIEM, que é uma ferramenta de gerenciamento de eventos e informações de segurança, e o IDS/IPS, que são sistemas de detecção e prevenção de intrusão. Cada uma dessas ferramentas tem um papel específico na defesa em profundidade, e a banca explora justamente as confusões entre elas.

A pegadinha central desta questão é a inversão de conceitos e a atribuição de funcionalidades incorretas a cada ferramenta. O candidato que não domina as diferenças entre firewall, SIEM, sniffer, IDS e IPS pode facilmente cair em armadilhas como as apresentadas nas alternativas B, C, D e E.

Alternativa A — ✅ Correta ⟵ GABARITO

A alternativa descreve corretamente o NGFW (Next-Generation Firewall), que utiliza deep packet inspection (DPI) para analisar o conteúdo dos pacotes em tempo real, oferecendo proteção contra APTs (Advanced Persistent Threats). Além disso, destaca a característica de ser application-aware, ou seja, capaz de identificar e controlar aplicações específicas, proporcionando visibilidade granular do tráfego. Essa é a definição precisa e completa do NGFW, tornando a alternativa correta.

Alternativa B — ❌ Incorreta

A alternativa erra ao afirmar que as soluções SIEM aumentam o tempo médio de detecção (MTTD) e o tempo médio de resposta (MTTR). Na verdade, o SIEM (Security Information and Event Management) é uma ferramenta que reduz esses tempos, pois centraliza e correlaciona eventos de segurança, permitindo uma detecção e resposta mais rápidas a incidentes. O erro está na inversão do efeito: o SIEM agiliza, não atrasa, a detecção e a resposta.

Alternativa C — ❌ Incorreta

A alternativa afirma que firewalls baseados em filtragem de pacotes operam na camada 7 (aplicação) do modelo OSI. Isso está incorreto. A filtragem de pacotes tradicional opera nas camadas 3 (rede) e 4 (transporte), analisando cabeçalhos de IP e portas TCP/UDP. A análise profunda do conteúdo dos pacotes, na camada de aplicação, é uma característica de firewalls de próxima geração (NGFW) ou de firewalls de aplicação (proxy), não da filtragem de pacotes simples.

Alternativa D — ❌ Incorreta

A alternativa contém dois erros. Primeiro, afirma que o modo promíscuo do sniffer impede a coleta de pacotes não destinados ao dispositivo. Na verdade, o modo promíscuo permite que o dispositivo capture todos os pacotes da rede, incluindo aqueles não destinados a ele. Segundo, o Wireshark é um analisador de protocolos (sniffer), mas não é o modo promíscuo em si; ele é uma ferramenta que utiliza esse modo para capturar e analisar o tráfego. A afirmação inverte o funcionamento do modo promíscuo e confunde a ferramenta com o modo de operação.

Alternativa E — ❌ Incorreta

A alternativa afirma que IDS e IPS não exigem análise de pacotes em tempo real, pois funcionam com logs previamente armazenados. Isso é incorreto. O IDS (Intrusion Detection System) e o IPS (Intrusion Prevention System) analisam o tráfego de rede em tempo real para detectar e, no caso do IPS, prevenir intrusões. O IDS é um sistema passivo que monitora e alerta sobre atividades suspeitas, enquanto o IPS é um sistema ativo que pode bloquear o tráfego malicioso. Ambos dependem da análise em tempo real, não de logs armazenados.

Gabarito: letra A