Questão de Segurança da Informação — Conceitos de Firewall, Proxy e DMZ — FCC 2025

Proteção de APIs: WAF e TLS/SSL

Gabarito: letra D. A solução mais adequada combina um WAF (Web Application Firewall) — que atua na camada de aplicação (camada 7 do modelo OSI) e é especializado em bloquear ataques como injeção de comandos em cabeçalhos HTTP e manipulação de cookies — com TLS/SSL, que garante a confidencialidade dos dados em trânsito e autentica a identidade do servidor. As demais alternativas ou usam ferramentas inadequadas (firewall de host, IDS) ou não cobrem todos os requisitos do enunciado.

O enunciado descreve uma API pública que sofre ataques sofisticados em três frentes: injeção de comandos em cabeçalhos HTTP, bypass de autenticação via manipulação de cookies e roubo de dados sensíveis em trânsito. Para cada uma dessas ameaças, existe uma defesa específica, e a alternativa correta precisa atender a todas elas simultaneamente.

O WAF é um firewall especializado em proteger aplicações web, atuando na camada de aplicação (camada 7 do OSI). Ele monitora e filtra o tráfego de entrada e saída das aplicações, inspecionando o conteúdo dos pacotes após a decriptação, e é capaz de prevenir ataques como SQL Injection, XSS (Cross-Site Scripting) e CSRF (Cross-Site Request Forgery). No caso, a injeção de comandos em cabeçalhos HTTP e a manipulação de cookies são exatamente o tipo de ataque que o WAF consegue bloquear com regras personalizadas.

O TLS/SSL (Transport Layer Security / Secure Sockets Layer) é o protocolo que garante a confidencialidade dos dados em trânsito por meio de criptografia, e também permite a autenticação da identidade do servidor por meio de certificados digitais. Quando um cliente acessa uma API via HTTPS, ele verifica o certificado do servidor, garantindo que está falando com o servidor legítimo, e a comunicação é criptografada, impedindo que dados sensíveis sejam lidos por terceiros.

A combinação WAF + TLS/SSL é a abordagem padrão para proteger APIs públicas: o WAF protege a aplicação contra ataques na camada 7, enquanto o TLS/SSL protege o transporte dos dados. Essa é a solução mais completa e adequada ao cenário descrito.

Alternativa A — ❌ Incorreta

O firewall de host com filtragem de pacotes atua nas camadas 3 e 4 do modelo OSI, analisando apenas cabeçalhos de rede e transporte, sem capacidade de inspecionar o conteúdo da aplicação (camada 7). Portanto, não é capaz de bloquear injeção de comandos em cabeçalhos HTTP nem manipulação de cookies. O IDS, por sua vez, é um sistema passivo de detecção — ele apenas detecta e alerta sobre ataques, não os bloqueia. Além disso, nenhum dos dois criptografa dados em trânsito; a criptografia é função do TLS/SSL, não do firewall ou do IDS.

Alternativa B — ❌ Incorreta

Restringir o tráfego apenas à porta 80 (HTTP) e habilitar logging de requisições não protege contra nenhum dos ataques mencionados. A porta 80 é HTTP sem criptografia, o que deixaria os dados sensíveis vulneráveis a roubo em trânsito. O logging apenas registra as requisições, não bloqueia ataques. Além disso, uma API pública normalmente precisa aceitar tráfego HTTPS (porta 443), não apenas HTTP.

Alternativa C — ❌ Incorreta

O IDS (Intrusion Detection System) é um sistema passivo de detecção: ele monitora e analisa o tráfego, mas não bloqueia ataques. A alternativa afirma que o IDS "bloqueia" manipulações de cabeçalhos, cookies e injeção de código, o que é incorreto — essa função é do IPS (Intrusion Prevention System) ou do WAF. Além disso, o IDS não garante a confidencialidade dos dados em trânsito; a criptografia é função do TLS/SSL.

Alternativa D — ✅ Correta ⟵ GABARITO

O WAF (Web Application Firewall) é a ferramenta adequada para proteger aplicações web contra ataques na camada de aplicação, como injeção de comandos em cabeçalhos HTTP e manipulação de cookies. Com regras personalizadas, ele pode bloquear esses ataques especificamente. O TLS/SSL, por sua vez, garante a confidencialidade dos dados em trânsito por meio de criptografia e permite a autenticação da identidade do servidor por meio de certificados digitais. A combinação WAF + TLS/SSL atende a todos os requisitos do enunciado.

Alternativa E — ❌ Incorreta

O TLS/SSH com autenticação mútua garante a confidencialidade e autenticação, mas o SSH é um protocolo para acesso remoto seguro, não para proteger APIs HTTP. Além disso, a alternativa menciona "configurar um VPS" para impedir ataques de injeção de comandos e falhas de autenticação "diretamente na aplicação", o que é vago e não especifica uma ferramenta adequada como o WAF. A proteção contra injeção de comandos e manipulação de cookies exige um WAF ou filtros específicos na aplicação, não apenas a configuração de um VPS.

Gabarito: letra D