Questão de Segurança da Informação — Conceitos de Firewall, Proxy e DMZ — FGV 2025

Firewall: Filtragem de Pacotes e Controle de Tráfego

Gabarito: letra E. O firewall autoriza apenas os pacotes que correspondem a requisições legítimas aos serviços disponibilizados (HTTPS na rede Verde; FTP, DNS e SSH na rede Amarela), observando o comportamento padrão das comunicações. Os pacotes II, III e IV são os únicos que representam corretamente requisições e respostas válidas para esses serviços, respeitando as portas padrão e a direção do tráfego.

O firewall é um dispositivo de segurança que controla o tráfego entre redes, aplicando uma política de segurança baseada em regras. Nesta questão, o firewall opera como um filtro de pacotes que permite apenas o trânsito de dados para acessar os serviços disponibilizados, bloqueando todo o tráfego restante. A análise deve considerar três aspectos fundamentais: (1) a direção do tráfego (origem e destino), (2) o protocolo utilizado (TCP ou UDP) e (3) as portas de origem e destino, que identificam o serviço sendo acessado.

Os serviços disponibilizados são: na rede Verde, um servidor web via HTTPS (porta 443); na rede Amarela, um servidor com FTP (porta 21), DNS (porta 53) e SSH (porta 22). Os computadores da rede Azul devem acessar esses serviços. O firewall não permite tráfego direto entre as redes Verde e Amarela, e não é capaz de observar o estabelecimento de conexão entre os dispositivos, o que significa que ele não mantém estado de conexão. Isso é crucial: como o firewall não observa o handshake TCP, ele não pode distinguir entre uma requisição legítima e uma resposta esperada baseada em estado de conexão. Portanto, a análise deve se basear apenas nas portas e direção do tráfego, assumindo que o comportamento padrão das comunicações é conhecido.

Vamos analisar cada pacote:

• Pacote I: Origem Comp. Rede Azul, Destino Srv Rede Amarela, UDP, porta origem 28521, porta destino 21. A porta 21 é usada para FTP, mas o FTP normalmente usa TCP, não UDP. Além disso, a porta de origem é alta (28521), o que é comum em conexões cliente, mas o protocolo errado torna o pacote inválido.

• Pacote II: Origem Srv Rede Amarela, Destino Comp. Rede Azul, UDP, porta origem 53, porta destino 21632. A porta 53 é usada para DNS, que opera sobre UDP. A direção é do servidor para o cliente, o que é uma resposta a uma consulta DNS. Isso é válido.

• Pacote III: Origem Comp. Rede Azul, Destino Srv Rede Verde, TCP, porta origem 30521, porta destino 443. A porta 443 é usada para HTTPS, que opera sobre TCP. A direção é do cliente para o servidor, o que é uma requisição válida.

• Pacote IV: Origem Srv Rede Verde, Destino Comp. Rede Azul, TCP, porta origem 443, porta destino 36476. A porta 443 é usada para HTTPS, e a direção é do servidor para o cliente, o que é uma resposta válida.

• Pacote V: Origem Comp. Rede Azul, Destino Srv Rede Verde, TCP, porta origem 21345, porta destino 80. A porta 80 é usada para HTTP, mas o servidor na rede Verde opera apenas via HTTPS (porta 443). Portanto, o pacote V não é permitido, pois tenta acessar um serviço não disponibilizado.

Portanto, os pacotes autorizados são II, III e IV, o que corresponde à alternativa E.

Alternativa A — ❌ Incorreta

A alternativa A afirma que apenas os pacotes I e II são autorizados. O pacote I é inválido porque usa UDP na porta 21 (FTP), que é um serviço TCP. Além disso, o pacote II é válido, mas o pacote I não, então a combinação está incorreta.

Alternativa B — ❌ Incorreta

A alternativa B afirma que apenas os pacotes II e III são autorizados. Embora os pacotes II e III sejam válidos, o pacote IV também é válido, pois é a resposta do servidor HTTPS para o cliente. Portanto, a alternativa B está incompleta.

Alternativa C — ❌ Incorreta

A alternativa C afirma que apenas os pacotes I e IV são autorizados. O pacote I é inválido (UDP na porta 21), e o pacote IV é válido, mas a combinação está incorreta porque o pacote I não deveria ser autorizado.

Alternativa D — ❌ Incorreta

A alternativa D afirma que apenas os pacotes I, II e V são autorizados. O pacote I é inválido (UDP na porta 21), e o pacote V é inválido (porta 80 para um servidor que só oferece HTTPS). Portanto, a alternativa D está incorreta.

Alternativa E — ✅ Correta ⟵ GABARITO

A alternativa E afirma que apenas os pacotes II, III e IV são autorizados. Isso está correto: o pacote II é uma resposta DNS válida (UDP porta 53), o pacote III é uma requisição HTTPS válida (TCP porta 443), e o pacote IV é a resposta HTTPS correspondente. Os pacotes I e V são inválidos por usarem protocolos ou portas incorretos.

Gabarito: letra E