Questão de Segurança da Informação — Conceitos de Firewall, Proxy e DMZ — FGV 2023

Firewall de filtragem de pacotes: o ponto único de controle

Gabarito: letra E. O firewall de filtragem de pacotes, ao atuar como ponto único de controle (choke point), permite limitar o tráfego de entrada e saída da rede, o que ajuda a mitigar ataques de negação de serviço (DoS/DDoS) oriundos da Internet, pois pode descartar pacotes que excedam determinados limites ou que apresentem características suspeitas. As demais alternativas atribuem ao firewall de filtragem de pacotes capacidades que ele não possui, como bloquear ataques internos, impedir tethering, filtrar por conteúdo de arquivos ou controlar estado de conexão — estas são funções de outros dispositivos ou de tipos mais avançados de firewall.

O firewall de filtragem de pacotes é a forma mais básica de firewall, atuando nas camadas 3 (Rede) e parcialmente 4 (Transporte) do modelo OSI. Ele analisa cada pacote individualmente, com base em informações dos cabeçalhos dos protocolos, como endereço IP de origem e destino, portas TCP/UDP e protocolo. A decisão de permitir ou bloquear é tomada a partir de um conjunto de regras pré-configuradas, que definem a política de segurança da organização. Por ser um ponto por onde todo o tráfego entre a rede interna e a Internet deve passar, ele concentra o controle em um único lugar — o chamado "choke point" —, o que facilita a aplicação de regras e o monitoramento.

A principal limitação desse tipo de firewall é que ele não analisa o conteúdo dos pacotes nem o estado das conexões. Ele trata cada pacote de forma isolada, sem saber se ele faz parte de uma conexão legítima ou se é um pacote forjado. Por isso, ele é vulnerável a ataques que utilizam endereços IP falsificados (spoofing) e não consegue bloquear tráfego com base no conteúdo ou extensão de arquivos — isso é função de firewalls de aplicação ou de sistemas de inspeção profunda de pacotes (DPI).

Na prática, o firewall de filtragem de pacotes é frequentemente utilizado como primeira linha de defesa, posicionado na borda da rede, entre a Internet e a rede interna. Ele pode ser configurado para bloquear portas específicas, limitar o tráfego de determinados protocolos e até mesmo descartar pacotes que apresentem padrões suspeitos, como aqueles com endereços de origem que não deveriam vir da Internet (por exemplo, endereços IP privados). Essa capacidade de limitar o tráfego é justamente o que permite mitigar ataques de negação de serviço, pois o firewall pode ser configurado para descartar pacotes em excesso, protegendo os servidores internos de serem sobrecarregados.

A distinção crucial que a banca explora nesta questão é entre as capacidades do firewall de filtragem de pacotes (estático) e as de outros dispositivos ou tipos de firewall. O firewall de filtragem de pacotes não mantém tabela de estado (isso é do stateful firewall), não analisa conteúdo (isso é do firewall de aplicação ou DPI), não bloqueia ataques internos (isso é função de outras soluções, como antivírus e controle de acesso) e não impede tethering (isso seria uma política de controle de uso da rede, não uma função de firewall). A alternativa E é a única que descreve uma capacidade real desse tipo de firewall: limitar o tráfego como forma de proteção contra ataques de negação de serviço.

Alternativa A — ❌ Incorreta

O firewall de filtragem de pacotes não impede ataques provenientes da rede local. Ele é um ponto de controle entre a rede interna e a Internet, atuando na borda da rede. Ataques originados dentro da rede local (por exemplo, de uma máquina comprometida) não passam pelo firewall, pois o tráfego interno não atravessa o dispositivo. A proteção contra ameaças internas é feita por outras soluções, como antivírus, controle de acesso e segmentação de rede.

Alternativa B — ❌ Incorreta

O firewall de filtragem de pacotes não tem a função de impedir que máquinas da rede local façam tethering para conectar à Internet. Tethering é o compartilhamento da conexão de internet de um dispositivo (como um smartphone) com outros dispositivos. Isso é uma questão de política de uso da rede, que pode ser controlada por outras ferramentas, como sistemas de controle de acesso à rede (NAC) ou políticas de DHCP, mas não é uma função típica de firewall de filtragem de pacotes.

Alternativa C — ❌ Incorreta

O firewall de filtragem de pacotes (estático) não realiza controle de estado do pacote. Ele analisa cada pacote de forma isolada, sem manter uma tabela de conexões. O controle de estado é característica do firewall stateful, que acompanha o estado das conexões e só permite pacotes que fazem parte de uma conexão legítima. O firewall estático é vulnerável a ataques de spoofing (falsificação de endereço IP), pois não consegue verificar se o pacote realmente pertence a uma conexão estabelecida.

Alternativa D — ❌ Incorreta

O firewall de filtragem de pacotes não permite o bloqueio de tráfego com base no conteúdo e extensões dos arquivos. Ele atua apenas nas camadas 3 e 4 do modelo OSI, analisando cabeçalhos de pacotes (endereços IP, portas, protocolos). Para analisar o conteúdo dos pacotes e identificar arquivos por extensão, seria necessário um firewall de aplicação (proxy) ou um sistema de inspeção profunda de pacotes (DPI), que atuam na camada 7.

Alternativa E — ✅ Correta ⟵ GABARITO

O firewall de filtragem de pacotes permite limitar o tráfego, o que é uma forma de proteção contra ataques de negação de serviço (DoS/DDoS) oriundos da Internet. Ele pode ser configurado para descartar pacotes que excedam determinados limites de taxa ou que apresentem características suspeitas, como um grande volume de pacotes de um mesmo endereço de origem. Ao limitar o tráfego, o firewall impede que os servidores internos sejam sobrecarregados por um ataque, mantendo a disponibilidade dos serviços. Essa é uma capacidade real e importante do firewall de filtragem de pacotes.

Gabarito: letra E