Questão de Redes de Computadores — Firewall — Avança SP 2023

Arquiteturas de Firewall: Dual-Homed Host, Screened Host e Screened Subnet

Gabarito: letra B. Estão corretas as afirmações I, III e IV: a arquitetura Dual-Homed Host usa um único computador com duas interfaces de rede entre as redes interna e externa; a Screened Host combina um roteador de filtragem (screening router) com um bastion host; e a Screened Subnet isola o bastion host em uma zona desmilitarizada (DMZ). A afirmação II está incorreta porque a principal desvantagem da arquitetura Dual-Homed Host não é a falta de controle de tráfego, mas sim o fato de que todo o tráfego depende de um único ponto — se ele for comprometido, a rede interna fica exposta.

As arquiteturas de firewall definem como os componentes de segurança são organizados para proteger a rede interna. A Dual-Homed Host (host com duas interfaces) é a mais simples: um único computador com duas placas de rede, uma conectada à rede interna e outra à rede externa, com o roteamento entre elas desabilitado. Todo o tráfego que passa de uma rede para a outra deve, obrigatoriamente, passar por esse host, que atua como um ponto único de controle. A principal desvantagem dessa arquitetura é justamente essa centralização: se o host for comprometido, o atacante ganha acesso direto à rede interna, pois não há outro mecanismo de defesa entre ele e os recursos internos. Além disso, o desempenho pode ser limitado, já que todo o tráfego passa por um único equipamento.

A Screened Host (host protegido) adiciona uma camada extra: um roteador de filtragem (screening router) fica entre a rede externa e o bastion host, que por sua vez se conecta à rede interna. O roteador filtra o tráfego com base em regras (endereços IP, portas, protocolos), permitindo apenas o tráfego destinado ao bastion host. O bastion host é um servidor fortificado que hospeda os serviços expostos à internet (como web, e-mail, DNS). Essa arquitetura oferece mais segurança que a Dual-Homed, pois o atacante precisa vencer duas barreiras: o roteador e o bastion host.

A Screened Subnet (sub-rede protegida) é a mais robusta: cria uma rede isolada entre a rede interna e a externa, chamada de DMZ (Demilitarized Zone — Zona Desmilitarizada). Nessa DMZ ficam os bastion hosts e os servidores públicos. O tráfego externo chega a um roteador de filtragem, passa pela DMZ e, para alcançar a rede interna, precisa atravessar outro firewall ou roteador. Assim, mesmo que um servidor da DMZ seja comprometido, o atacante ainda encontra uma barreira antes de chegar aos dados internos. Essa arquitetura é a que oferece maior nível de segurança, pois isola completamente a zona pública da zona privada.

A banca explora a confusão entre as desvantagens das arquiteturas: na Dual-Homed Host, o problema não é a falta de controle de tráfego (pelo contrário, há controle total, pois todo tráfego passa pelo host), mas sim o risco de comprometimento do ponto único. Já na Screened Host, a desvantagem é que, se o bastion host for comprometido, o atacante pode acessar a rede interna diretamente, sem passar pelo roteador. Na Screened Subnet, a desvantagem é a complexidade e o custo de manter dois firewalls.

Guarde a distinção entre as três arquiteturas: Dual-Homed = um host com duas interfaces; Screened Host = roteador + bastion host; Screened Subnet = roteador + DMZ + bastion host. É exatamente nessa distinção que as alternativas se dividem.

Item I — ✅ Correto

A afirmação descreve corretamente a arquitetura Dual-Homed Host: um computador com duas interfaces de rede, uma para a rede interna e outra para a externa (internet). Todo o tráfego entre as redes passa por esse host, que atua como firewall. É a definição clássica dessa arquitetura.

Item II — ❌ Incorreto

A afirmação está errada ao dizer que a principal desvantagem da Dual-Homed Host é a falta de controle de tráfego. Na verdade, essa arquitetura oferece controle total do tráfego, pois todo o tráfego passa pelo host. A principal desvantagem é o ponto único de falha: se o host for comprometido, a rede interna fica exposta, pois não há outra barreira. Além disso, o desempenho pode ser limitado, já que todo o tráfego passa por um único equipamento.

Item III — ✅ Correto

A afirmação descreve corretamente a arquitetura Screened Host: um roteador de filtragem (screening router) que filtra o tráfego externo e um bastion host que hospeda os serviços públicos. O roteador permite apenas o tráfego destinado ao bastion host, que por sua vez se conecta à rede interna. Essa é a definição clássica da arquitetura.

Item IV — ✅ Correto

A afirmação descreve corretamente a arquitetura Screened Subnet: o bastion host fica dentro de uma área isolada chamada DMZ (Demilitarized Zone — Zona Desmilitarizada). A DMZ é uma rede separada entre a rede interna e a externa, onde ficam os servidores públicos. Essa arquitetura oferece maior segurança, pois isola a zona pública da zona privada.

Conclusão: Corretos: I, III e IV → portanto a alternativa é a letra B.

Gabarito: letra B