Questão de Segurança da Informação — Conceitos de Firewall, Proxy e DMZ — INSTITUTO AOCP 2024

NFV (Network Functions Virtualization) e a virtualização de firewalls

Gabarito: letra A. A empresa ABC enfrenta dificuldades de gerenciamento e atualização de múltiplos firewalls físicos distribuídos; a NFV (Network Functions Virtualization) resolve exatamente esse problema ao desacoplar as funções de rede (como o firewall) do hardware dedicado, permitindo executá-las como software em servidores padrão. Essa é a essência da virtualização de funções de rede: substituir appliances físicos por instâncias virtuais gerenciáveis de forma centralizada e escalável.

A NFV é uma arquitetura que transforma a forma como os serviços de rede são entregues. Em vez de depender de equipamentos físicos especializados (como um firewall appliance), as funções de rede — firewall, balanceador de carga, roteador, etc. — são implementadas como software, rodando sobre infraestrutura de virtualização (hypervisors) em servidores comerciais padrão (servidores x86 comuns). O conceito central é o desacoplamento: a função de rede (software) separa-se do hardware que a executa. Isso traz benefícios diretos: provisionamento mais rápido (uma nova instância de firewall pode ser criada em minutos, não em semanas de aquisição e instalação de hardware), escalabilidade elástica (aumentar ou diminuir capacidade conforme a demanda), gerenciamento centralizado (todas as instâncias podem ser configuradas, monitoradas e atualizadas a partir de um único ponto de orquestração) e redução de custos (menos hardware dedicado, menor consumo de energia e espaço).

No cenário da empresa ABC, o problema é precisamente a dificuldade de gerenciar e atualizar dezenas de firewalls físicos espalhados por várias filiais. Cada atualização de firmware, cada ajuste de regra, cada correção de segurança exige acesso individual a cada dispositivo. A NFV ataca a raiz do problema: ao virtualizar a função de firewall, todas as instâncias passam a ser software gerenciável centralmente. Uma atualização de imagem ou de regras pode ser aplicada a todas as filiais de uma só vez, a partir de um console central. É a solução que mais diretamente resolve a dor descrita no enunciado.

É importante distinguir a NFV de tecnologias vizinhas que também aparecem nas alternativas. A SDN (Software-Defined Networking) separa o plano de controle do plano de dados, centralizando a inteligência da rede em um controlador, mas não virtualiza, por si só, as funções de segurança — ela gerencia o encaminhamento de pacotes, não substitui o firewall. O gerenciamento centralizado de firewalls físicos (alternativa D) é uma melhoria, mas mantém a dependência de hardware dedicado e não resolve a questão da atualização de firmware e da escalabilidade. A terceirização para um MSSP (alternativa C) transfere o problema, mas não o elimina — e pode não ser a melhor abordagem se a empresa quer manter o controle interno. A substituição por hardware mais moderno (alternativa B) apenas repete o modelo atual, com os mesmos desafios de gerenciamento distribuído.

A pegadinha desta questão está em confundir NFV com SDN ou com simples gerenciamento centralizado. A banca quer que o candidato identifique que a virtualização de funções de rede (NFV) é a abordagem que ataca diretamente o problema de gerenciamento e atualização de múltiplos dispositivos físicos. Guarde a distinção: NFV virtualiza as FUNÇÕES (o que o firewall faz), SDN virtualiza o CONTROLE da rede (como o tráfego é encaminhado). É nessa fronteira que as alternativas se dividem.

Alternativa A — ✅ Correta ⟵ GABARITO

A alternativa descreve exatamente o que é NFV: virtualizar a função de firewall em servidores padrão. Isso resolve o problema da empresa ABC porque elimina a dependência de hardware físico dedicado em cada filial, permitindo que todas as instâncias de firewall sejam gerenciadas, atualizadas e escaladas centralmente como software. É a aplicação direta do conceito de Network Functions Virtualization.

Alternativa B — ❌ Incorreta

Substituir os firewalls físicos por novos dispositivos de hardware mais modernos apenas repete o modelo atual. A empresa continuaria com múltiplos appliances físicos distribuídos, enfrentando as mesmas dificuldades de gerenciamento e atualização individual. A alternativa não ataca a causa do problema — a distribuição e a heterogeneidade do hardware — apenas o atualiza.

Alternativa C — ❌ Incorreta

Contratar um provedor de serviços de segurança gerenciada (MSSP) transfere a responsabilidade de gerenciamento para terceiros, mas mantém a infraestrutura de firewalls físicos distribuídos. O problema de gerenciamento e atualização não é eliminado, apenas terceirizado. Além disso, a questão pergunta qual seria a "melhor abordagem" considerando a adoção de NFV — a terceirização não é uma solução de virtualização e não se alinha com a intenção declarada do gerente de TI.

Alternativa D — ❌ Incorreta

Manter os firewalls físicos e adquirir um software de gerenciamento centralizado é uma melhoria parcial. O software centralizado facilitaria a configuração e o monitoramento, mas as atualizações de firmware e a manutenção ainda dependeriam do hardware físico de cada filial. A alternativa não resolve o problema de forma tão completa quanto a NFV, que elimina a dependência do hardware dedicado. É uma solução paliativa, não transformadora.

Alternativa E — ❌ Incorreta

SDN (Software-Defined Networking) é uma tecnologia que separa o plano de controle do plano de dados, centralizando o gerenciamento do encaminhamento de pacotes em um controlador. No entanto, SDN não virtualiza as funções de segurança (como o firewall) — ela gerencia o tráfego, mas não substitui a necessidade de firewalls. A alternativa confunde SDN com NFV: enquanto a SDN gerencia o "como" o tráfego flui, a NFV virtualiza o "o quê" (as funções de rede). Para o problema de gerenciar e atualizar firewalls, a NFV é a abordagem correta.

Gabarito: letra A