Questão de Segurança da Informação — Conceitos de Firewall, Proxy e DMZ — Quadrix 2026

Firewalls com inspeção profunda de pacotes (DPI) e tráfego criptografado

❌ ERRADO. A afirmação está incorreta: firewalls baseados em inspeção profunda de pacotes (DPI) não realizam descriptografia obrigatória de todo o tráfego criptografado de forma automática e independente de configuração. A descriptografia é uma capacidade condicional, que depende de políticas específicas, da posse das chaves e de configurações explícitas — e, na prática, é uma decisão de segurança que envolve riscos e requisitos legais.

O enunciado descreve um comportamento que não corresponde à realidade dos firewalls modernos. A inspeção profunda de pacotes (Deep Packet Inspection — DPI) é uma evolução dos firewalls stateful, capaz de analisar o conteúdo dos pacotes em todas as camadas do modelo OSI, incluindo a camada de aplicação. No entanto, quando o tráfego está criptografado (como em HTTPS, SSH ou VPNs), o firewall não consegue "enxergar" o conteúdo sem antes decifrá-lo — e essa decifração não é automática. Ela exige que o firewall tenha acesso às chaves de criptografia (por exemplo, instalando um certificado próprio na organização, em uma técnica conhecida como inspeção TLS/SSL), que haja uma política definindo quais fluxos serão inspecionados e que a organização aceite os riscos e implicações legais dessa prática.

A descriptografia obrigatória de todo o tráfego seria inviável e indesejável por vários motivos. Primeiro, porque quebraria a confidencialidade das comunicações, um dos pilares da segurança da informação. Segundo, porque muitos serviços legítimos dependem da criptografia ponta a ponta (como em aplicações bancárias), e a interceptação violaria a integridade e a confiança do usuário. Terceiro, porque a descriptografia em massa exigiria um poder computacional enorme, degradando o desempenho da rede. Por fim, porque existem restrições legais e regulatórias (como a LGPD no Brasil) que limitam a interceptação de comunicações.

Na prática, o que ocorre é o oposto do que afirma o enunciado: a inspeção profunda de pacotes em tráfego criptografado é uma funcionalidade opcional e seletiva, configurada pelo administrador. O firewall pode ser configurado para descriptografar apenas determinados fluxos (por exemplo, tráfego para domínios específicos), para ignorar outros (como tráfego bancário) e para aplicar políticas de inspeção baseadas em regras. A descriptografia não é "obrigatória" nem "independente de configuração" — ela é uma decisão de política de segurança.

A pegadinha da banca está em transformar uma capacidade condicional em uma obrigação absoluta. O candidato que conhece o conceito de DPI sabe que ela analisa o conteúdo dos pacotes, mas pode cair na armadilha de acreditar que essa análise é sempre possível, mesmo com criptografia. A questão explora exatamente essa confusão entre a capacidade técnica e a aplicação prática, que depende de configuração e políticas.

Guarde a distinção central: DPI analisa o conteúdo dos pacotes quando eles estão legíveis; para tráfego criptografado, a análise só ocorre se houver descriptografia, que é condicional e configurável. É esse critério que separa a afirmação correta da incorreta.

Item — ❌ Errado

A afirmação está errada porque impõe uma obrigatoriedade que não existe. A descriptografia de tráfego criptografado por firewalls com DPI é uma capacidade condicional, que depende de:

• Configuração explícita: o administrador deve habilitar a inspeção TLS/SSL e definir quais fluxos serão inspecionados.

• Posse das chaves: o firewall precisa ter acesso às chaves de criptografia (por exemplo, via certificado raiz da organização) para decifrar o tráfego.

• Políticas específicas: a organização define quais tipos de tráfego serão descriptografados e quais serão ignorados (como tráfego bancário ou de saúde, por questões legais).

A descriptografia obrigatória de todo o tráfego violaria a confidencialidade, degradaria o desempenho e esbarraria em restrições legais. O correto é que a inspeção profunda de pacotes analisa o conteúdo quando o tráfego está legível; para tráfego criptografado, a análise depende de descriptografia seletiva e configurada.

Gabarito: ❌ ERRADO.