Questão de Redes de Computadores — Segurança de Redes — INSTITUTO AOCP 2024

Firewall: política de segurança e regras

Gabarito: letra C. A melhor prática em configuração de firewall é adotar uma política de "negar por padrão" (default-deny), permitindo apenas o tráfego específico e necessário — princípio do menor privilégio aplicado à rede. As demais alternativas ou liberam tráfego de forma indiscriminada ou criam bloqueios absolutos que inviabilizam o funcionamento da instituição.

O firewall é um componente de segurança — software ou hardware — que atua como barreira entre a rede interna e a externa, controlando o tráfego com base em regras definidas pela política de segurança da organização. Ele funciona como um ponto único de entrada (choke point), por onde todo o tráfego deve passar, permitindo aplicar filtros, gerar logs e bloquear acessos não autorizados. A configuração de um firewall não é uma tarefa mecânica: ela reflete decisões de segurança que equilibram proteção e funcionalidade.

A política de "negar por padrão" (também chamada de default-deny ou whitelisting) parte do princípio de que tudo que não foi explicitamente permitido deve ser bloqueado. Em vez de listar o que se quer bloquear (abordagem blacklist, frágil porque depende de conhecer todas as ameaças), o administrador lista apenas os serviços e fluxos legítimos — por exemplo, liberar HTTP/HTTPS para o servidor web, DNS para o resolvedor, e-mail para o servidor de correio. Todo o restante fica bloqueado por padrão. Essa é a abordagem recomendada por boas práticas de segurança, pois reduz drasticamente a superfície de ataque e impede que tráfego malicioso ou não autorizado passe despercebido.

Na prática, imagine a rede da universidade: os alunos precisam acessar o portal acadêmico (HTTPS), os professores usam o sistema de notas (HTTPS), e o setor administrativo envia e-mails (SMTP). Com a política default-deny, o firewall libera exatamente essas portas e serviços, e bloqueia todo o resto — inclusive portas não utilizadas, protocolos de gerenciamento expostos e conexões de entrada não solicitadas. Se um atacante tentar explorar uma porta aleatória, o firewall simplesmente descarta o pacote, pois não há regra que o permita.

A alternativa C é a única que aplica corretamente o princípio do menor privilégio. As demais cometem erros clássicos: liberar tudo (A), bloquear tudo de entrada sem exceção (B), ou confiar em "fontes conhecidas" sem critério de necessidade (D). A pegadinha da banca está em confundir "bloquear tudo" com "negar por padrão": a política default-deny não é um bloqueio cego, mas uma liberação seletiva e justificada.

Guarde o critério decisivo: a política de firewall deve ser baseada no princípio do menor privilégio — permitir apenas o necessário, negar todo o resto. É exatamente nesse critério que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Permitir todo o tráfego de entrada e saída, aplicando apenas filtros baseados em antivírus e antimalware, é uma abordagem permissiva demais. O firewall não é um antivírus: ele controla o tráfego com base em regras de política de segurança, e não substitui a filtragem de conteúdo nem a detecção de malware. Liberar tudo e confiar apenas em antivírus deixa a rede exposta a ataques que o antivírus não detecta, como explorações de vulnerabilidades em serviços não atualizados. A melhor prática é justamente o oposto: negar por padrão e liberar seletivamente.

Alternativa B — ❌ Incorreta

Bloquear todo o tráfego de entrada e permitir todo o tráfego de saída, sem exceções, é uma política rígida e inviável para uma universidade. Bloquear toda a entrada impediria, por exemplo, que alunos e professores acessem o portal acadêmico hospedado internamente, ou que servidores web públicos sejam alcançados. Além disso, permitir toda a saída sem restrição permite que malware interno exfiltre dados ou que usuários acessem sites maliciosos. A política default-deny não bloqueia tudo de entrada — ela permite o que é necessário, como conexões para servidores específicos.

Alternativa C — ✅ Correta ⟵ GABARITO

Implementar uma política de "negar por padrão", permitindo apenas tráfego de entrada e saída específicos e necessários, é a melhor prática de configuração de firewall. Essa abordagem segue o princípio do menor privilégio: cada regra é criada para atender a uma necessidade real de negócio (ex.: liberar porta 443 para o servidor web), e todo o tráfego não explicitamente permitido é bloqueado. Isso minimiza a superfície de ataque, impede acessos não autorizados e ainda permite auditoria, pois cada fluxo liberado é conhecido e documentado.

Alternativa D — ❌ Incorreta

Permitir todo o tráfego de entrada de fontes conhecidas e bloquear todo o tráfego de saída para destinos desconhecidos é uma política incompleta e perigosa. "Fontes conhecidas" não é um critério seguro: um atacante pode falsificar endereços IP de origem (spoofing), fazendo o tráfego parecer vir de uma fonte confiável. Além disso, bloquear toda a saída para destinos desconhecidos pode impedir atualizações de software, acesso a serviços legítimos na nuvem e até o funcionamento de aplicações acadêmicas. A política correta não se baseia em "conhecido vs. desconhecido", mas em necessidade e permissão explícita.

Gabarito: letra C