Questão de Segurança da Informação — Conceitos de Firewall, Proxy e DMZ — INSTITUTO AOCP 2024

Firewall de Aplicação Web (WAF) e Otimização de Segurança

Gabarito: letra C. A ação correta é configurar a funcionalidade de aprendizado automático do WAF para identificar e bloquear automaticamente padrões de tráfego anômalos, pois isso permite que o WAF se adapte ao tráfego legítimo da aplicação e detecte ameaças específicas da camada de aplicação (Camada 7 do modelo OSI), como SQL Injection, XSS e CSRF, sem bloquear o tráfego autorizado. As demais alternativas propõem medidas que comprometem a segurança ou a disponibilidade dos sistemas.

O Web Application Firewall (WAF) é um firewall especializado na proteção de aplicações web, atuando na camada de aplicação (Camada 7 do modelo OSI). Diferente dos firewalls de rede tradicionais, que filtram pacotes com base em endereços e portas, o WAF inspeciona o conteúdo das requisições HTTP/HTTPS, entendendo a lógica da aplicação. Ele funciona como um proxy reverso, recebendo as requisições externas e repassando-as aos servidores de aplicação, o que permite analisar e filtrar o tráfego de entrada e saída. Sua principal vantagem é a capacidade de inspecionar pacotes após a decriptação, prevenindo ataques que exploram vulnerabilidades de aplicação, como SQL Injection, XSS (Cross-Site Scripting) e CSRF (Cross-Site Request Forgery).

A funcionalidade de aprendizado automático (ou modo de aprendizado) é um recurso crucial em WAFs modernos. Inicialmente, o WAF opera em um modo de aprendizado, onde observa o tráfego legítimo da aplicação e cria um perfil de comportamento normal. Com base nesse perfil, ele pode identificar e bloquear automaticamente padrões de tráfego anômalos que se desviam do comportamento esperado, como tentativas de exploração de vulnerabilidades ou padrões de ataque conhecidos. Essa abordagem permite que o WAF seja altamente eficaz contra ameaças específicas da aplicação, sem a necessidade de regras manuais complexas e sem bloquear o tráfego autorizado, pois o aprendizado contínuo ajusta a proteção às mudanças na aplicação.

A otimização de um WAF envolve um equilíbrio delicado entre segurança e disponibilidade. O objetivo é maximizar a proteção sem impactar negativamente o tráfego legítimo. Isso é alcançado por meio de uma configuração que combine regras específicas, assinaturas de ataques conhecidos e, principalmente, o aprendizado automático para detectar comportamentos anômalos. A alternativa C é a única que descreve uma ação que atende a esse objetivo, pois o aprendizado automático permite que o WAF se adapte dinamicamente ao tráfego da aplicação, bloqueando ameaças sem interromper o acesso dos usuários autorizados.

A pegadinha desta questão está em confundir a função do WAF com a de um firewall de rede tradicional ou em adotar medidas extremas que comprometem a disponibilidade ou a segurança. As alternativas A, B, D e E propõem ações que são contraproducentes ou que não aproveitam as capacidades específicas do WAF. A alternativa C, por outro lado, destaca a funcionalidade de aprendizado automático, que é uma característica distintiva dos WAFs modernos e essencial para uma proteção eficaz sem impactar o tráfego autorizado.

Alternativa A — ❌ Incorreta

Bloquear todo o tráfego de entrada e saída tornaria os sistemas web completamente inacessíveis, violando o requisito de "garantir máxima segurança sem impactar o tráfego autorizado". Um WAF deve filtrar e analisar o tráfego, não bloqueá-lo indiscriminadamente. Essa ação é uma medida extrema que compromete a disponibilidade, um dos pilares da segurança da informação.

Alternativa B — ❌ Incorreta

Bloquear todo o tráfego HTTPS é uma medida incorreta, pois o HTTPS (HTTP sobre TLS/SSL) é o protocolo padrão para comunicação segura na web. O WAF, na verdade, é capaz de inspecionar o tráfego HTTPS após a decriptação, o que é uma de suas principais vantagens. Bloquear o HTTPS impediria o acesso a qualquer site seguro, inviabilizando o uso da aplicação. A alternativa confunde a necessidade de inspecionar o tráfego criptografado com a de bloqueá-lo.

Alternativa C — ✅ Correta ⟵ GABARITO

A configuração da funcionalidade de aprendizado automático do WAF é a ação correta. Essa funcionalidade permite que o WAF observe o tráfego legítimo da aplicação, crie um perfil de comportamento normal e, a partir dele, identifique e bloqueie automaticamente padrões de tráfego anômalos. Isso garante máxima segurança contra ataques específicos da camada de aplicação, sem impactar o tráfego autorizado, pois o WAF se adapta dinamicamente às mudanças na aplicação.

Alternativa D — ❌ Incorreta

Desabilitar temporariamente o WAF para realizar testes de desempenho é uma prática arriscada e incorreta. Durante o período em que o WAF estiver desabilitado, os sistemas web ficam completamente desprotegidos contra ataques, o que pode levar a incidentes de segurança. Testes de desempenho devem ser realizados em um ambiente de homologação ou com o WAF configurado em modo de monitoramento (sem bloquear), nunca desabilitando a proteção em produção.

Alternativa E — ❌ Incorreta

Configurar regras genéricas de bloqueio no WAF é uma abordagem ineficaz e perigosa. Regras genéricas podem bloquear tráfego legítimo (falsos positivos) ou não serem específicas o suficiente para detectar ataques direcionados à aplicação. A administração simplificada não deve vir às custas da eficácia da proteção. A configuração ideal envolve regras específicas, assinaturas de ataques e o uso de aprendizado automático para se adaptar ao tráfego da aplicação.

Gabarito: letra C