Questão de Redes de Computadores — Segurança de Redes — FCC 2026

Segurança de Aplicações Web e Mitigação de DDoS em Perímetro

Gabarito: letra C. O cenário descreve ataques típicos de camada de aplicação (SQL Injection e XSS) e ataques de DDoS (SYN flood). A solução mais adequada combina um WAF (Web Application Firewall) para filtrar tráfego malicioso nas requisições HTTP, protegendo contra injeção SQL e XSS, e uma solução UTM (Unified Threat Management) com capacidade anti-DDoS para mitigar ataques volumétricos como SYN flood e outras ameaças de perímetro. As demais alternativas confundem o posicionamento ou a função dos equipamentos.

Alternativa A — ❌ Incorreta

Afirma que um IPS deve ser posicionado na rede interna, justificando que os ataques originam-se de computadores internos comprometidos. No entanto, os ataques descritos (SQL Injection, XSS e SYN flood) vêm majoritariamente de redes externas. Além disso, um IPS na rede interna não protegeria o portal na DMZ adequadamente contra ataques externos. A alternativa também sugere que um WAF lidaria com DDoS, mas WAFs são especializados em tráfego de aplicação (camada 7), não em ataques volumétricos de rede como SYN flood (camadas 3/4), que exigem soluções anti-DDoS específicas.

Alternativa B — ❌ Inconreta

Propõe uma VPN site-to-site entre a DMZ e cada usuário externo para criptografar o tráfego do portal. Isso é impraticável (exige configuração individual para milhares de cidadãos) e não protege contra ataques web como SQL Injection ou XSS, que exploram vulnerabilidades na aplicação, independentemente de criptografia. A solução UTM é citada para ataques de camada de aplicação, mas a descrição é vaga e não especifica a proteção contra DDoS. Além disso, a VPN não mitiga DDoS; pelo contrário, pode consumir recursos adicionais.

Alternativa C — ✅ Correta ⟵ GABARITO

Combina corretamente duas camadas de proteção: WAF (focado em ameaças de aplicação, como SQL Injection e XSS) e UTM com anti-DDoS (para proteção contra ataques de DDoS e outras ameaças de perímetro). O WAF analisa o conteúdo das requisições HTTP, bloqueando padrões maliciosos. A UTM integra funcionalidades como firewall stateful, IPS, anti-malware e anti-DDoS, oferecendo defesa em profundidade na borda da rede. Essa é a abordagem recomendada pelas boas práticas de segurança.

Alternativa D — ❌ Incorreta

Sugere um IPS em modo passivo (apenas monitora, não bloqueia) conectado à porta SPAN do switch da DMZ. Um sistema passivo é inadequado para proteger um portal em tempo real, pois não impede o ataque. O IDS com capacidade reativa também não é eficaz contra DDoS, pois ataques como SYN flood demandam mitigação proativa (rate limiting, blackholing, etc.), e um IDS reativo atua após a detecção, muitas vezes tarde demais. Além disso, a descrição mistura conceitos de IPS e IDS de forma confusa.

Alternativa E — ❌ Incorreta

Propõe um proxy reverso com balanceamento de carga para suportar ataques DDoS. Embora um proxy reverso possa ajudar a distribuir carga e absorver parte do tráfego, ele sozinho não substitui um WAF para proteção contra SQL Injection e XSS, nem possui mecanismos anti-DDoS especializados. A inspeção NAC (Network Access Control) é uma solução de controle de acesso à rede, focada em autenticação e conformidade de dispositivos, não em proteção de aplicações web. Portanto, a alternativa não aborda os ataques específicos do enunciado.