Questão de Sistemas Operacionais — Linux — VUNESP 2023

Firewall Stateful e o IPFW

Gabarito: letra C. A operação stateful (com estado) em um firewall como o IPFW significa que o firewall cria regras dinâmicas para fluxos específicos quando detecta pacotes que seguem um determinado padrão, permitindo que o tráfego de retorno de uma conexão legítima seja automaticamente liberado. Essa é a essência do firewall stateful, em contraste com o firewall stateless, que analisa cada pacote isoladamente.

O firewall stateful é uma evolução do firewall de filtragem de pacotes tradicional. Enquanto o firewall stateless (sem estado) examina cada pacote de forma independente, sem lembrar de conexões anteriores, o firewall stateful mantém uma tabela de estados (ou tabela de conexões) que registra informações sobre as conexões ativas. Quando um pacote chega, o firewall consulta essa tabela para verificar se ele faz parte de uma conexão já estabelecida e legítima. Se fizer, o pacote é permitido automaticamente, sem precisar reavaliar todas as regras de filtragem.

Na prática, imagine um usuário interno acessando um site externo via HTTP (porta 80). O firewall stateful, ao ver o primeiro pacote da conexão (SYN), cria uma entrada na tabela de estados. Quando o servidor web responde (SYN-ACK, ACK), o firewall reconhece que esse pacote de resposta pertence à conexão já registrada e o libera, mesmo que não exista uma regra explícita permitindo tráfego de entrada na porta 80. Isso simplifica a configuração e aumenta a segurança, pois o firewall só precisa ter regras para iniciar conexões, não para todo o tráfego de retorno.

O IPFW, disponível no FreeBSD e também portado para o Linux, implementa esse conceito através de regras com a palavra-chave keep-state ou check-state. Quando uma regra com keep-state é acionada por um pacote, o firewall cria dinamicamente uma regra de estado que permite o tráfego de retorno correspondente. É exatamente essa criação dinâmica de regras para fluxos específicos que a alternativa C descreve.

A pegadinha desta questão está em confundir o conceito de stateful com outras funcionalidades de firewall, como notificação por e-mail, bloqueio por horário ou limitações de protocolo. O termo "stateful" se refere especificamente à capacidade de manter e utilizar o estado das conexões, e não a qualquer outra característica. Guarde essa distinção: é ela que separa a alternativa correta das demais.

Alternativa A — ❌ Incorreta

Afirma que o firewall stateful bloqueia completamente o protocolo UDP, permitindo apenas TCP. Isso é falso. O firewall stateful pode trabalhar com qualquer protocolo, incluindo UDP e ICMP. A diferença é que, para protocolos sem conexão como o UDP, o firewall stateful cria estados baseados em outros critérios (como endereços e portas de origem/destino) e um tempo de expiração, mas não bloqueia o protocolo em si.

Alternativa B — ❌ Incorreta

Menciona "conjuntos de regras expandidos, com mais de 65535 regras". Isso não tem relação com o conceito de stateful. O número de regras em um ruleset é uma questão de capacidade e organização, não de estado. O firewall stateful pode ter poucas ou muitas regras; a característica que o define é a criação dinâmica de regras para fluxos, não o tamanho do conjunto de regras.

Alternativa C — ✅ Correta ⟵ GABARITO

Descreve exatamente o funcionamento do firewall stateful: "uma forma do firewall criar regras dinamicamente para fluxos específicos quando pacotes que seguem um determinado padrão são detectados". É isso que acontece quando um pacote inicial de uma conexão é aceito: o firewall cria uma regra dinâmica (estado) que permite o tráfego de retorno daquele fluxo específico, sem necessidade de regras estáticas adicionais.

Alternativa D — ❌ Incorreta

Fala em notificação por e-mail ao administrador quando pacotes com determinado padrão são detectados. Isso descreve uma funcionalidade de alerta/notificação, que pode existir em alguns firewalls, mas não é o que define a operação stateful. A notificação é um recurso de monitoramento, não de manutenção de estado de conexões.

Alternativa E — ❌ Incorreta

Descreve o bloqueio de pacotes com base em data e hora do sistema. Isso é uma funcionalidade de agendamento (scheduling), que permite ao administrador definir horários para determinadas regras. Não tem relação com o conceito de stateful, que trata do estado das conexões.

Gabarito: letra C