Questão de Segurança da Informação — Demais Ferramentas de Segurança de Perímetro (WAF, UTM etc.) — FGV 2025

WAF (Web Application Firewall) e a Defesa em Camadas

Gabarito: letra B. O WAF é um firewall especializado que opera na camada 7 (aplicação) do modelo OSI, protegendo aplicações web contra ataques como SQL Injection, XSS e CSRF, mas não substitui as práticas de desenvolvimento seguro — ele é uma camada complementar de defesa, não a solução definitiva. A alternativa B captura exatamente essa dualidade: proteção na camada de aplicação + limitação (não substitui o código seguro).

O WAF (Web Application Firewall) é um controle de segurança de perímetro voltado especificamente para aplicações web. Diferente dos firewalls tradicionais, que filtram tráfego com base em endereços IP, portas e protocolos (camadas 3 e 4), o WAF inspeciona o conteúdo das requisições HTTP/HTTPS, entendendo a semântica da aplicação. Ele funciona como um proxy reverso ou é implantado em linha (inline), analisando o tráfego antes que ele chegue ao servidor de aplicação.

A principal função do WAF é detectar e bloquear ataques que exploram vulnerabilidades de aplicação, como:

• SQL Injection — injeção de comandos SQL maliciosos em campos de entrada;

• XSS (Cross-Site Scripting) — injeção de scripts no navegador da vítima;

• CSRF (Cross-Site Request Forgery) — forjar requisições em nome de um usuário autenticado.

Esses ataques não são visíveis para firewalls de rede, pois viajam dentro de requisições HTTP aparentemente legítimas. O WAF preenche essa lacuna, analisando o payload da aplicação.

No entanto, o WAF tem limitações importantes. Ele não elimina a necessidade de validação de entrada no código (alternativa A errada). A segurança de uma aplicação web é uma responsabilidade compartilhada: o WAF é uma camada de proteção, mas a aplicação deve ser desenvolvida com práticas seguras (validação de entrada, parametrização de consultas SQL, escape de saída, etc.). O WAF pode mitigar ataques conhecidos, mas não conhece a lógica de negócio da aplicação nem protege contra vulnerabilidades específicas que não seguem padrões conhecidos.

Outra limitação é que o WAF não é uma solução mágica para DDoS volumétrico (alternativa D errada). Ele pode ajudar a mitigar alguns tipos de ataques de aplicação (como DDoS de camada 7, ex.: flood de requisições HTTP), mas ataques volumétricos de camadas 3 e 4 (como UDP flood, SYN flood) são melhor tratados por firewalls de rede, sistemas anti-DDoS especializados ou serviços de mitigação na nuvem.

A implementação de um WAF também não deve ser feita em modo de bloqueio imediatamente (alternativa C errada). O correto é iniciar em modo de aprendizado (learning mode) ou detecção, observando o tráfego legítimo e ajustando as regras para evitar falsos positivos (bloqueio de tráfego legítimo). Só depois de um período de ajuste é que se coloca em modo de bloqueio ativo.

Por fim, o WAF consegue distinguir tráfego legítimo de malicioso (alternativa E errada) — essa é a sua função principal. Ele usa assinaturas de ataques conhecidos, regras de comportamento e, em soluções mais avançadas, análise heurística e aprendizado de máquina para identificar e bloquear tráfego malicioso, permitindo a passagem do tráfego legítimo.

A pegadinha central desta questão é a tentação de superestimar o WAF. O candidato pode ser levado a pensar que, por ser uma ferramenta poderosa, ele resolve todos os problemas de segurança da aplicação. A alternativa B é a única que reconhece tanto a capacidade (camada 7) quanto a limitação (não substitui desenvolvimento seguro) — e é exatamente esse equilíbrio que a banca cobra.

Alternativa A — ❌ Incorreta

Afirma que o WAF elimina a necessidade de validação de entrada no código. Isso é falso. O WAF é uma camada de proteção externa, mas a validação de entrada é uma prática de desenvolvimento seguro que deve ser implementada no código da aplicação. O WAF pode bloquear ataques conhecidos, mas não conhece a lógica de negócio e não pode proteger contra todas as variações de ataques. A segurança em profundidade (defense in depth) exige múltiplas camadas: o WAF é uma delas, mas a validação no código é outra, igualmente essencial.

Alternativa B — ✅ Correta ⟵ GABARITO

Afirma que o WAF opera na camada 7, protegendo contra ataques de aplicação, mas não substitui práticas de desenvolvimento seguro. Esta é a definição correta. O WAF atua na camada de aplicação do modelo OSI, inspecionando o tráfego HTTP/HTTPS e bloqueando ataques como SQL Injection, XSS e CSRF. No entanto, ele é uma ferramenta complementar: não substitui a necessidade de código seguro, validação de entrada, parametrização de consultas e outras boas práticas de desenvolvimento. A segurança da aplicação é uma responsabilidade compartilhada entre a equipe de desenvolvimento e a equipe de segurança.

Alternativa C — ❌ Incorreta

Afirma que o WAF deve operar em modo de bloqueio imediatamente sem período de aprendizado. Isso é incorreto e perigoso. A implementação correta de um WAF envolve um período de aprendizado, no qual o WAF observa o tráfego legítimo, aprende os padrões normais da aplicação e ajusta suas regras. Colocar o WAF em modo de bloqueio imediatamente pode causar falsos positivos, bloqueando tráfego legítimo e prejudicando a disponibilidade da aplicação. O modo de aprendizado permite calibrar as regras antes de ativar o bloqueio.

Alternativa D — ❌ Incorreta

Afirma que o WAF protege somente contra ataques DDoS volumétricos de camadas 3 e 4. Isso é duplamente errado. Primeiro, o WAF não é especializado em DDoS volumétrico — essa é a função de firewalls de rede, sistemas anti-DDoS e serviços de mitigação. Segundo, o WAF protege contra ataques de camada 7 (aplicação), como SQL Injection, XSS e CSRF, não contra ataques de camadas 3 e 4. A alternativa inverte completamente o papel do WAF.

Alternativa E — ❌ Incorreta

Afirma que o WAF não consegue distinguir tráfego legítimo de malicioso. Isso é falso — distinguir tráfego legítimo de malicioso é exatamente a função principal do WAF. Ele usa assinaturas de ataques, regras de comportamento, análise heurística e, em soluções avançadas, aprendizado de máquina para identificar e bloquear tráfego malicioso, permitindo a passagem do tráfego legítimo. Se o WAF não conseguisse fazer essa distinção, ele seria inútil.

Gabarito: letra B