Questão de Segurança da Informação — Tópicos Mesclados de Recursos de Segurança da Informação — INSTITUTO AOCP 2024

Firewall em ambiente de hospedagem na nuvem

Gabarito: letra C. A melhor abordagem para garantir segurança e isolamento em um ambiente de hospedagem na nuvem é a combinação de firewalls de aplicação virtualizados e firewalls de inspeção de estado dedicados para cada cliente, pois atende aos requisitos específicos de segurança e isolamento de cada um, oferecendo defesa em profundidade. Essa é a abordagem mais completa e alinhada às boas práticas de segurança em nuvem, que recomendam a segmentação e a aplicação de controles específicos por locatário.

O cenário descrito é o de uma empresa de hospedagem na nuvem que precisa garantir o isolamento entre os recursos de diferentes clientes. Nesse contexto, um único firewall centralizado, por mais robusto que seja, não é suficiente para atender às necessidades de isolamento e segurança individualizada. A abordagem mais adequada é a de defesa em profundidade, que combina diferentes tipos de firewalls em camadas, cada um com uma função específica.

O firewall de filtragem de pacotes é o tipo mais básico, que analisa apenas os cabeçalhos dos pacotes (origem, destino, porta) e toma decisões com base em regras estáticas. Ele é rápido, mas não inspeciona o conteúdo do tráfego, sendo vulnerável a ataques que exploram protocolos ou aplicações específicas. Já o firewall de inspeção de estado (stateful) mantém uma tabela de conexões ativas e toma decisões com base no estado da conexão, permitindo, por exemplo, que o tráfego de resposta a uma solicitação interna seja permitido, enquanto bloqueia conexões não solicitadas de fora. Por fim, o firewall de aplicação (proxy ou WAF) atua na camada de aplicação, inspecionando o conteúdo do tráfego (como requisições HTTP) e bloqueando ataques específicos, como injeção de SQL e cross-site scripting (XSS).

Em um ambiente de hospedagem na nuvem, onde cada cliente pode ter necessidades diferentes, a combinação desses firewalls é a estratégia mais eficaz. O firewall de aplicação virtualizado pode ser configurado para proteger as aplicações web de cada cliente, enquanto o firewall de inspeção de estado dedicado garante o isolamento do tráfego de rede entre os clientes. Essa abordagem permite que a empresa de hospedagem ofereça um nível de segurança personalizado, de acordo com os requisitos de cada cliente, e isola os recursos de forma eficaz, evitando que um ataque a um cliente comprometa os demais.

A alternativa C é a única que contempla essa visão abrangente e personalizada, reconhecendo que não existe uma solução única para todos os cenários. As demais alternativas apresentam abordagens parciais ou inadequadas, que não atendem plenamente aos requisitos de segurança e isolamento em um ambiente de hospedagem na nuvem.

Alternativa A — ❌ Incorreta

Embora um firewall de filtragem de pacotes centralizado possa proteger todos os recursos, ele não oferece o isolamento adequado entre os clientes. A filtragem de pacotes é uma abordagem básica que não inspeciona o conteúdo do tráfego, sendo insuficiente para proteger contra ataques na camada de aplicação. Além disso, um firewall centralizado cria um ponto único de falha e não permite a personalização das políticas de segurança para cada cliente, o que é essencial em um ambiente de hospedagem compartilhada.

Alternativa B — ❌ Incorreta

Configurar um firewall de inspeção de estado dedicado para cada cliente é uma boa prática para o isolamento, mas não é suficiente. A inspeção de estado é eficaz para controlar conexões, mas não analisa o conteúdo do tráfego, deixando as aplicações web vulneráveis a ataques como injeção de SQL e XSS. A alternativa C é mais completa, pois combina a inspeção de estado com a proteção na camada de aplicação, oferecendo uma defesa mais robusta.

Alternativa C — ✅ Correta ⟵ GABARITO

Esta é a abordagem mais completa e adequada. A combinação de firewalls de aplicação virtualizados e firewalls de inspeção de estado dedicados para cada cliente atende aos requisitos de segurança e isolamento de forma personalizada. O firewall de aplicação protege as aplicações web contra ataques específicos, enquanto o firewall de inspeção de estado garante o isolamento do tráfego de rede entre os clientes. Essa abordagem implementa o princípio da defesa em profundidade, que é fundamental em ambientes de nuvem, e permite que a empresa de hospedagem ofereça um nível de segurança adequado às necessidades de cada cliente.

Alternativa D — ❌ Incorreta

Embora essa alternativa proponha uma segmentação entre os tipos de recursos (sites/aplicativos web e servidores virtuais), ela não oferece o isolamento adequado entre os clientes. Um firewall de filtragem de pacotes para sites e aplicativos web é insuficiente para proteger contra ataques na camada de aplicação, e a abordagem não considera a necessidade de personalização das políticas de segurança para cada cliente. A alternativa C é mais completa, pois combina diferentes tipos de firewalls e os dedica a cada cliente, garantindo um isolamento mais eficaz.

Alternativa E — ❌ Incorreta

Esta alternativa é claramente incorreta, pois propõe a implementação de firewalls de aplicação que ignoram completamente o conteúdo do tráfego e permitem todos os aplicativos e protocolos. Isso anula completamente a função de um firewall de aplicação, que é justamente inspecionar o conteúdo e bloquear tráfego malicioso. Essa abordagem deixaria os recursos dos clientes totalmente vulneráveis a ataques, comprometendo a segurança e o isolamento do ambiente.

Gabarito: letra C