Questão de Segurança da Informação — Conceitos de Firewall, Proxy e DMZ — FCC 2025

Firewall: política Default Deny e portas de saída

Gabarito: letra A. No modelo Default Deny (negação por padrão), o firewall bloqueia todo o tráfego e só libera, por regra explícita, os serviços essenciais — no caso, DNS (porta 53), HTTP (80), HTTPS (443) e SMTP com autenticação segura (porta 587). A alternativa A é a única que aplica corretamente esse princípio, liberando exatamente essas portas e bloqueando todo o resto.

O Default Deny é o oposto do Default Allow (permitir por padrão). Enquanto o segundo libera tudo e exige que se criem regras para bloquear o que não se quer, o primeiro parte da premissa de que nada é permitido até que seja explicitamente autorizado. Essa é a base do princípio do menor privilégio: cada serviço, porta ou protocolo só é liberado se houver uma necessidade real de negócio. No cenário da questão, a organização detectou tentativas de conexão a serviços inseguros (Telnet e FTP) e decidiu restringir o tráfego de saída — a resposta correta é justamente bloquear tudo e liberar apenas o que a operação exige.

Na prática, a configuração de um firewall com política Default Deny para saída envolve criar regras explícitas de permissão para os serviços autorizados e uma regra final (geralmente implícita) que nega todo o restante. As portas mencionadas no enunciado têm significados específicos:

• Porta 53 (DNS): resolução de nomes, essencial para qualquer comunicação na internet.

• Porta 80 (HTTP): acesso a sites não criptografados.

• Porta 443 (HTTPS): acesso a sites criptografados.

• Porta 587 (SMTP com autenticação): envio de e-mail pelo servidor corporativo, com autenticação segura (submission).

A pegadinha da questão está em dois pontos: primeiro, confundir Default Deny com Default Allow (as alternativas B e C fazem exatamente isso); segundo, trocar as portas dos serviços — a alternativa E, por exemplo, libera as portas 445 (SMB) e 25 (SMTP tradicional), que não são as mencionadas no enunciado, e ainda deixa de bloquear explicitamente as portas 23 e 21, o que contraria a política de negação por padrão.

Guarde a distinção central: Default Deny = bloquear tudo, liberar o necessário; Default Allow = liberar tudo, bloquear o indesejado. É exatamente nessa fronteira que as alternativas se dividem.

Alternativa A — ✅ Correta ⟵ GABARITO

Aplica corretamente o Default Deny: libera apenas as portas 53 (DNS), 80 (HTTP), 443 (HTTPS) e 587 (SMTP com autenticação), que correspondem exatamente aos serviços essenciais citados no enunciado, e bloqueia todas as outras conexões. É a única que segue o princípio de bloquear tudo por padrão e liberar apenas o necessário.

Alternativa B — ❌ Incorreta

Adota a política Default Allow (liberar todo o tráfego de saída) e apenas bloqueia Telnet e FTP. Isso contraria diretamente o modelo Default Deny descrito no enunciado, que exige bloquear tudo e liberar apenas os serviços essenciais. Além disso, liberar todo o tráfego de saída mantém a rede exposta a outras portas não autorizadas.

Alternativa C — ❌ Incorreta

Também adota Default Allow, permitindo qualquer tráfego de saída desde que a origem seja a rede interna. O modelo Default Deny não se baseia na origem do tráfego, mas na necessidade de cada serviço — mesmo tráfego originado da rede interna deve ser bloqueado se não for essencial. A origem não é critério para liberar tudo.

Alternativa D — ❌ Incorreta

Permite todas as portas abaixo de 1024 (portas bem conhecidas), o que inclui serviços inseguros como Telnet (23) e FTP (21), justamente os que a organização quer bloquear. Além disso, não segue o Default Deny, pois libera uma faixa ampla de portas sem critério de necessidade. O bloqueio de "tráfego anônimo" não é suficiente para garantir a política.

Alternativa E — ❌ Incorreta

Libera as portas 53, 80, 445 e 25, mas o enunciado pede 53, 80, 443 e 587. A porta 445 (SMB) é um vetor clássico de propagação de worms e ransomware e não deve ser liberada sem necessidade; a porta 25 (SMTP tradicional) não é a usada para envio com autenticação segura (que é a 587). Além disso, a alternativa não bloqueia explicitamente as portas 23 e 21, o que, no modelo Default Deny, seria desnecessário (pois tudo é bloqueado por padrão), mas a redação sugere que elas ficariam liberadas, contrariando a política.

Gabarito: letra A