Questão de Segurança da Informação — Conceitos de Firewall, Proxy e DMZ — VUNESP 2023

Firewall de Inspeção de Pacotes com Estado (Stateful Firewall)

Gabarito: letra B. O firewall de inspeção de pacotes com estado (stateful firewall) registra informações sobre conexões TCP estabelecidas e utiliza essa informação na decisão de filtragem de datagramas IP. Essa é a característica central que o distingue do filtro de pacotes tradicional (stateless), que analisa cada pacote isoladamente.

O firewall de inspeção de pacotes com estado, também conhecido como stateful firewall ou firewall de estado de sessão, é um tipo de firewall que mantém uma tabela de estados das conexões ativas. Essa tabela registra informações sobre as conexões TCP estabelecidas, como endereços IP de origem e destino, portas e o estado da conexão (SYN, SYN-ACK, ACK, ESTABLISHED, etc.). Ao receber um novo pacote, o firewall consulta essa tabela para verificar se o pacote pertence a uma conexão legítima já estabelecida ou se é uma nova conexão que deve ser avaliada pelas regras de filtragem.

A principal vantagem desse tipo de firewall é que ele consegue distinguir pacotes que fazem parte de uma conexão legítima de pacotes forjados ou fora de contexto. Por exemplo, um atacante pode tentar enviar um pacote com um endereço IP de origem falsificado (IP Spoofing) para dentro de uma sessão válida. O firewall stateful, ao consultar sua tabela de estados, percebe que aquele pacote não pertence a nenhuma conexão estabelecida e o descarta. Já o filtro de pacotes tradicional (stateless) analisa cada pacote isoladamente, sem considerar o contexto da conexão, sendo vulnerável a esse tipo de ataque.

Na prática, o firewall stateful funciona da seguinte forma: quando um pacote SYN é enviado para iniciar uma conexão TCP, o firewall registra essa nova conexão em sua tabela de estados. Quando o pacote SYN-ACK de resposta chega, o firewall verifica se ele corresponde a uma conexão registrada. Se sim, ele permite a passagem. A partir daí, todos os pacotes subsequentes dessa conexão são permitidos, desde que estejam dentro do estado esperado. Isso torna o processo de filtragem mais eficiente e seguro, pois o firewall não precisa reavaliar cada pacote do zero, apenas verificar se ele pertence a uma conexão já autorizada.

É importante distinguir o firewall stateful de outros tipos de firewall. O filtro de pacotes tradicional (stateless) analisa apenas o cabeçalho dos pacotes, sem manter estado das conexões. O proxy firewall (gateway de aplicação) atua como intermediário, estabelecendo duas conexões separadas: uma entre o cliente e o proxy, e outra entre o proxy e o servidor. O gateway de nível de circuito é um tipo específico de proxy que opera na camada de sessão (camada 5 do modelo OSI). O firewall de aplicação (WAF) é dedicado à inspeção de conteúdo de aplicações web, como queries HTTP.

A pegadinha desta questão está em confundir o firewall stateful com outros tipos de firewall. A alternativa C descreve o funcionamento de um proxy firewall, que estabelece duas conexões TCP separadas. A alternativa D descreve o gateway de nível de circuito, que é um tipo de proxy. A alternativa E descreve uma função específica de um firewall de aplicação, não de um firewall stateful. A alternativa A descreve o filtro de pacotes tradicional, que não mantém estado das conexões.

Guarde a fronteira entre o firewall stateful e os demais tipos: o que define o stateful é a manutenção de uma tabela de estados das conexões TCP, que é usada na decisão de filtragem. É exatamente essa característica que a alternativa B descreve.

Alternativa A — ❌ Incorreta

Esta alternativa descreve o funcionamento de um filtro de pacotes tradicional (stateless), que analisa cada pacote IP isoladamente, verificando apenas o cabeçalho (endereços de origem e destino, portas, protocolo), sem considerar informações de camadas superiores nem manter estado das conexões. O firewall stateful, ao contrário, mantém uma tabela de estados das conexões TCP e utiliza essa informação na decisão de filtragem, indo além da análise do cabeçalho.

Alternativa B — ✅ Correta ⟵ GABARITO

Esta é a definição correta do firewall de inspeção de pacotes com estado (stateful firewall). Ele registra informações sobre conexões TCP estabelecidas em uma tabela de estados e utiliza essa informação para decidir se um datagrama IP deve ser encaminhado ou descartado. Essa é a característica fundamental que o distingue do filtro de pacotes tradicional.

Alternativa C — ❌ Incorreta

Esta alternativa descreve o funcionamento de um proxy firewall (gateway de aplicação), que atua como intermediário na comunicação, estabelecendo duas conexões TCP separadas: uma entre o cliente e o proxy, e outra entre o proxy e o servidor. O firewall stateful não interrompe a conexão fim-a-fim; ele apenas monitora e filtra os pacotes, mantendo o estado das conexões.

Alternativa D — ❌ Incorreta

O gateway de nível de circuito é um tipo específico de proxy que opera na camada de sessão (camada 5 do modelo OSI), estabelecendo duas conexões TCP separadas, similar ao proxy de aplicação, mas sem inspecionar o conteúdo dos pacotes. O firewall stateful não é chamado de gateway de nível de circuito; são tecnologias distintas.

Alternativa E — ❌ Incorreta

Esta alternativa descreve uma função específica de um firewall de aplicação (WAF) ou de um proxy de DNS, que inspeciona o conteúdo de queries DNS em datagramas UDP. O firewall stateful não é dedicado à inspeção de conteúdo de queries DNS; ele mantém o estado das conexões TCP e filtra pacotes com base nesse estado.

Gabarito: letra B