Soluções: firewall, IDS × IPS, SIEM, proxy direto × reverso, EDR, SPF/DKIM/DMARC, DLP

A ideia que organiza o assunto

Não existe uma caixa que proteja a rede. Existe uma pilha de soluções, cada uma enxergando o tráfego de um ponto diferente e com um poder diferente sobre ele — e a prova vive exatamente das trocas entre elas.

Duas perguntas resolvem quase tudo:

1. Em que camada essa solução enxerga? O filtro de pacotes vê endereço IP, protocolo e porta, e mais nada — para ele, uma requisição HTTP legítima e uma injeção de SQL são o mesmo pacote na porta 80. O firewall de estado acrescenta a memória da conexão. O gateway de aplicação, o proxy e o WAF abrem o conteúdo e entendem o que está sendo pedido. Quem vê só cabeçalho não pode julgar conteúdo, e é daí que sai metade dos itens errados.

2. Ela detecta ou bloqueia? O IDS observa uma cópia do tráfego, fora do caminho, e produz alerta — é passivo por definição. O IPS fica em linha, no caminho entre origem e destino, e por isso pode descartar o pacote antes que ele chegue. Trocar essas duas frases de lugar é a distorção mais previsível do tópico, e a CEBRASPE a escreve com frequência quase mecânica.

Com essas duas perguntas, o resto se deriva: o SIEM não bloqueia nada porque não está no caminho — ele recebe log de todo mundo e correlaciona; o WAF só serve para HTTP porque é onde ele sabe ler; o DLP se preocupa com o dado que sai, não com o ataque que entra.

Por que se usa (e o que custa)

Detectar é barato, bloquear é arriscado. Um IDS fora do caminho pode errar sem derrubar nada: um falso positivo vira um alerta a mais na fila. O IPS em linha paga o preço oposto — um falso positivo derruba tráfego legítimo, e uma falha do equipamento é uma falha da rede inteira. Por isso o IPS exige sintonia e o IDS é tolerado ruidoso. Essa assimetria é a razão de as duas soluções coexistirem em vez de uma substituir a outra.

Ver mais custa mais. Cada camada a mais de inspeção é mais processamento por pacote e mais latência. O filtro de pacotes é rápido porque olha pouco; o WAF é lento porque remonta a requisição, decodifica e casa contra assinaturas. Somando a isso o TLS: inspecionar conteúdo cifrado exige terminar a sessão no equipamento, o que traz custo e implicações de privacidade.

Concentrar dá visão e cria dependência. O SIEM só é útil se todo mundo lhe manda log — e, quando manda, ele vira o ponto onde a correlação acontece, a conformidade se comprova e a perícia começa. Também vira volume de dados, custo de retenção e regras a manter.

Como funciona

Firewall. É a política de rede escrita como regras de permitir e negar, num ponto por onde todo o tráfego tem de passar. Ele evoluiu em três degraus:

O filtro de pacotes (estático, sem estado) decide pacote a pacote, olhando IP de origem e destino, protocolo e portas. Não guarda nada entre um pacote e o seguinte, e por isso não sabe se aquele pacote pertence a uma conversa que a própria rede iniciou.

O filtro dinâmico, ou firewall de estado (stateful), mantém uma tabela de conexões. Ele sabe que o pacote que volta pertence a uma sessão TCP legítima que saiu antes, e libera a resposta sem precisar de uma regra permissiva permanente. Ainda decide por cabeçalho — só que com contexto.

O gateway de aplicação (proxy de aplicação) abre a carga útil. É o único que distingue navegação web de compartilhamento P2P, porque essa distinção não está no cabeçalho IP: está no protocolo falado. Firewalls de aplicação enxergam tentativas de injeção de SQL e comandos indevidos, coisa invisível ao filtro de pacotes.

Um UTM empacota várias funções — firewall, antivírus, IPS, filtro de conteúdo, VPN — num equipamento só. E NAT costuma vir junto do firewall, traduzindo os endereços internos num endereço válido na saída; NAT não é um mecanismo de segurança, mas é listado entre as tecnologias de firewall.

IDS. Monitora, analisa e alerta. Divide-se por onde fica — HIDS no próprio host, olhando chamadas de sistema, processos, memória e arquivos; NIDS num ponto da rede, olhando o tráfego do segmento — e por como decide: assinatura, que casa o tráfego contra padrões de ataques conhecidos, ou anomalia (comportamento), que constrói um modelo do que é normal, inclusive com aprendizado de máquina e redes neurais, e aponta o desvio. Assinatura não pega ataque novo; anomalia pega, ao custo de falso positivo. É por isso que uma APT bem feita passa por antivírus e IDS baseados em assinatura.

Internamente, o IDS tem sensores (ou agentes), que coletam; o analisador, que compara o coletado com o padrão e decide se o evento é normal ou malicioso; e o console, que apresenta e gerencia. Sensor coleta, analisador julga.

IPS. É o IDS com poder de ação e posição para exercê-lo: fica em linha, detecta por assinatura, anomalia de protocolo ou heurística, e reage em tempo real — descarta o pacote, encerra a conexão, bloqueia a origem, reconfigura outros ativos. Existe NIPS e HIPS, este atuando dentro do host, sobre o sistema operacional ou a aplicação monitorada.

Proxy. É um intermediário: o cliente pede a ele, e ele pede ao destino em seu próprio nome. No proxy direto (forward), quem é atendido é o usuário interno saindo para a Internet — daí o cache, o filtro de conteúdo por categoria, o registro de acessos e o anonimato, já que o servidor de destino vê o IP do proxy, não o do cliente. No proxy reverso, quem é protegido é o servidor: ele recebe as requisições vindas da Internet e as repassa a um ou vários servidores de aplicação atrás dele. Não gera nem hospeda conteúdo próprio; entrega o que os servidores de origem produzem — e serve tanto conteúdo estático quanto dinâmico, com cache, terminação TLS, balanceamento de carga, alta disponibilidade e autenticação centralizada.

WAF. É firewall de camada 7 especializado em HTTP/HTTPS, colocado diante da aplicação web. Inspeciona requisição e resposta em busca de injeção de SQL, XSS, inclusão de arquivo e afins — o que o firewall de rede jamais veria, porque para ele aquilo é tráfego autorizado na porta 80. Pode ser aparelho, módulo no servidor ou serviço em nuvem; o WAF em nuvem opera como proxy reverso, com o tráfego do site redirecionado para ele, e atende vários sites.

SIEM. Coleta, normaliza e correlaciona eventos de origens heterogêneas — firewall, IDS/IPS, servidores, aplicações, sistema operacional — num ponto único. Serve para detectar o que nenhuma fonte isolada mostraria, para monitorar em tempo real, para comprovar conformidade e para sustentar investigação forense, que é justamente o que a retenção centralizada de logs viabiliza. O que ele não faz é ficar no caminho do tráfego: SIEM não bloqueia pacote.

DLP. Cuida do dado sensível que sai — pela rede, pelo endpoint ou em repouso. Reconhece o dado por técnicas distintas: keyword matching (palavras e expressões-chave), expressão regular (CPF, cartão), fingerprinting ou casamento exato de arquivo (assinatura/hash do documento classificado como sensível) e classificação por rótulo. Confundir os nomes dessas técnicas é o formato preferido dos itens de DLP.

DMZ. Sub-rede intermediária entre a rede interna confiável e a Internet, onde ficam os serviços que precisam ser acessíveis de fora. O firewall é quem a delimita — logo, usar firewall não impede a DMZ: é o que a torna possível.

Falso positivo × falso negativo. Falso positivo é acusar o inocente: arquivo legítimo classificado como vírus, tráfego legítimo bloqueado. Falso negativo é deixar passar o culpado: o ataque que ocorreu e ninguém viu. A prova troca os dois nomes com regularidade.

O que decide os itens

Camada, posição e poder de ação — a tabela que resolve mais itens do que todas as outras distinções somadas:

solução	camada	posição	detecta × bloqueia
filtro de pacotes	3 e 4 — rede/transporte	em linha	bloqueia, por IP/protocolo/porta
firewall de estado	3 e 4 + estado da conexão	em linha	bloqueia, com contexto da sessão
gateway de aplicação / proxy de aplicação	7 — aplicação	em linha	bloqueia, por conteúdo do protocolo
WAF	7 — só HTTP/HTTPS	em linha (proxy reverso)	bloqueia ataque à aplicação web
IDS	analisa camadas superiores	fora do caminho, cópia do tráfego	só detecta e alerta
IPS	idem	em linha, no caminho	detecta e bloqueia em tempo real
proxy (direto/reverso)	7	intermediário	intermedeia, filtra, cacheia, oculta a origem
SIEM	nenhuma — recebe log	fora do caminho	correlaciona e alerta; não bloqueia
DLP	conteúdo do dado	rede, endpoint, repouso	detecta e bloqueia saída de dado sensível

IDS × IPS — o par mais cobrado. IDS: passivo, fora de linha, alerta. IPS: em linha, ativo, bloqueia, encerra conexão, reconfigura ativos. Se o item disser que o IPS apenas monitora sem interferir, ou que ele deve ficar fora do caminho do tráfego, está errado por definição. Cuidado com uma exceção real: um IDS reativo pode disparar ação de resposta — o que nenhum IDS faz é ficar em linha descartando o pacote antes da entrega.

Sem estado × com estado — o firewall com estado rastreia o estado entre os pacotes; o sem estado julga cada pacote isoladamente. Ataque que depende do contexto da conexão exige o com estado. E nenhum dos dois lê o conteúdo da aplicação: firewall de estado não faz inspeção profunda de carga útil de HTTP.

Firewall de rede × WAF — o firewall de rede autoriza a porta 80; o que trafega dentro dela é problema do WAF. Item que diga que o firewall de rede identificará dados maliciosos enviados a um sítio está errado, e essa é a armadilha favorita do tópico.

HIDS × NIDS — host × rede. Detecção restrita ao servidor onde o produto está instalado é HIDS; NIDS observa o tráfego do segmento.

Assinatura × anomalia — assinatura casa padrão conhecido e não vê ataque inédito; anomalia modela o comportamento normal, usa estatística e aprendizado de máquina, e acusa o desvio, gerando mais falso positivo. Trocar os dois rótulos é item errado pronto.

Proxy direto × proxy reverso — direto atende o cliente que sai; reverso protege o servidor que é acessado. Reverso serve conteúdo estático e dinâmico, faz cache, balanceia carga e centraliza autenticação, mas não hospeda o conteúdo.

SIEM × IPS — se o requisito fala em correlacionar eventos, logs de várias fontes, comportamento de usuário e visão de fluxo, a resposta é SIEM. Se fala em negar acesso, impedir ataque, detectar por assinatura, anomalia de protocolo ou heurística e bloquear, a resposta é IPS. A CEBRASPE monta o requisito de um e oferece o outro.

Falso positivo × falso negativo — legítimo barrado ou acusado é falso positivo; malicioso que passou é falso negativo.

iptables/Netfilter — o iptables é a ferramenta em espaço de usuário que configura o Netfilter, módulo do kernel Linux responsável por filtragem, NAT e log. Cadeias: INPUT para o que chega ao próprio host, OUTPUT para o que ele origina, FORWARD para o que atravessa. Origem é -s, destino é -d; alvo é -j ACCEPT, -j DROP, -j REJECT. Liberar acesso vindo de um IP se faz com -s, não com -d.

Windows Defender Firewall — o padrão bloqueia conexões de entrada não solicitadas e permite as de saída. O item que inverte isso é errado.

Como a CEBRASPE derruba você aqui

Troca de termo entre soluções vizinhas — 37%, o formato mais frequente. O assunto é uma coleção de nomes próximos, e a banca escreve a descrição correta de um e assina com o nome do outro: detecção limitada ao próprio servidor chamada de “NIDS (network intrusion detection system)” quando é HIDS; o IDS que “usa aprendizado de máquina para criar um modelo definido de atividade confiável” apresentado como “baseado em assinatura” quando é por anomalia; o proxy web inspecionando “o tráfego de SMTP entre clientes e servidores” quando o que ele intermedeia é HTTP e HTTPS; o WAF em nuvem que “precisa ser implementado por meio de proxy direto e suporta apenas um site” quando é proxy reverso e multitenant; o firewall cujo perímetro separaria “a rede interna e a ZDM”, quando o outro lado do perímetro é a rede externa e a DMZ é uma terceira zona. Leia a descrição inteira, decida sozinho de que produto ela é, e só então olhe a sigla que o item usou.

Dentro dessa troca, dois pares valem decorar. O primeiro é falso positivo × falso negativo, que apareceu duas vezes com o mesmo erro: arquivo legítimo classificado como vírus e tráfego legítimo bloqueado pelo firewall foram os dois chamados de “falso negativo”, quando alarme disparado sem ameaça real é falso positivo. Acusar o inocente é positivo; deixar passar o culpado é negativo. O segundo é IPS × SIEM, e veio em itens espelhados: numa situação que pedia correlação de logs de várias fontes, “é suficiente instalar um IPS”; noutra, que pedia barrar acesso não autorizado em linha, “é suficiente instalar um SIEM”. Pergunte se o requisito é agir sobre o tráfego ou consolidar registro — o SIEM nunca está no caminho do pacote.

Inversão — 32%. Duas descrições corretas nos lugares trocados, ou a propriedade definidora virada de ponta-cabeça. “Um IPS é projetado para perceber ameaças e informar imediatamente ao administrador da rede acerca da atividade maliciosa descoberta” — é o IDS. O IPS posicionado “fora do caminho do tráfego a ser analisado” — é exatamente o oposto da definição de IPS. O IDS acionado pelo firewall “para bloquear o tráfego na rede” — quem detecta é o IDS e quem bloqueia é o firewall, e o encadeamento descrito é impossível. O Windows Defender que “bloqueia toda a comunicação de saída da rede e libera toda a comunicação de entrada” — é o inverso do padrão. Confira o par inteiro, nunca uma metade de cada vez.

Ainda em inversão: negar uma capacidade real, depois de reconhecê-la. É a metade mais produtiva do formato, e a frase sempre começa correta. “O SIEM […] ela não é adequada para investigações forenses de incidentes de segurança.” “As soluções SIEM são ineficazes em processos de coleta e verificação de dados de conformidade.” “Proxies são […] incapazes de oferecer anonimato.” “Um firewall é incapaz de fazer roteamento.” “Ataques realizados por meio de portas legítimas do firewall não podem ser detectados por este sistema” — detectar justamente isso é a razão de existir do IDS. O firewall rebaixado a “opção secundária para a proteção de redes de dados que lidam com informações sensíveis”. A primeira metade serve de âncora de credibilidade para a segunda: julgue-as separadamente.

Atribuição errada — 21%. Ação real, componente ou camada impossível. Um firewall “presente na camada de enlace” entendendo codificação HTML de um pacote HTTP: para ler carga útil é preciso chegar à camada de aplicação, e quem faz isso é proxy, gateway de aplicação ou WAF. Um firewall com estado identificando injeção de SQL “pela característica de inspeção em profundidade”: ele decide por endereço, porta e estado, e liberou a porta 80 — quem enxerga a cadeia de consulta é o WAF. Um IDS que “detecta e modifica dados nos pacotes de rede para prevenir ataques”, ou que “restringe o acesso entre as redes para prevenir uma invasão”: IDS observa cópia do tráfego e alerta. Firewalls de rede “instalados em computadores da rede que são acessados como destino final”, quando o de rede fica em ponto de passagem obrigatória e o instalado na máquina é o de host. E, na arquitetura interna do IDS, “o sensor é responsável por analisar as informações coletadas e compará-las com um padrão conhecido” — o sensor coleta, o analisador compara, o console apresenta. Aplique a tabela: a camada e o papel do componente citado têm de comportar a ação descrita.

Generalização — 11%. Quatro itens, todos presos a um absoluto: firewall “sempre implementado por software”; antivírus que protege “exclusivamente por meio de escaneamento de vírus conhecidos em arquivos armazenados”; dado malicioso enviado ao sítio que “sempre será identificado pelo firewall de rede”, quando enxergar dentro da requisição HTTP é tarefa de WAF; e a afirmação de que “apenas empresas particulares e especializadas podem ser autoridades certificadoras”, quando o ITI, autarquia federal, é a AC-Raiz da ICP-Brasil. Achado o absoluto, procure o contraexemplo que ele exclui — neste tópico ele quase sempre existe, porque as soluções vêm em hardware, software, serviço e nuvem ao mesmo tempo.

Erros clássicos

Achar que firewall é necessariamente software, ou necessariamente equipamento. É os dois: existe como aparelho dedicado, como software em servidor e como recurso do sistema operacional.

Supor que o firewall de rede protege a aplicação. Ele libera a porta 80 e não tem como saber o que vai dentro. Injeção de SQL passa por ele como tráfego autorizado — quem enxerga isso é WAF ou firewall de aplicação.

Tratar IPS como “IDS melhor”. A diferença não é qualidade de detecção, é posição: em linha × fora de linha. Sem estar no caminho, nenhum produto bloqueia pacote.

Achar que SIEM é ferramenta de bloqueio. Ele consolida e correlaciona. Age sobre a informação, não sobre o pacote.

Confundir o sensor com o analisador do IDS. Sensor coleta; o analisador compara com o padrão e decide.

Chamar de falso negativo o legítimo barrado. Bloquear tráfego bom e acusar arquivo bom são falsos positivos.

Achar que o proxy reverso é para sair da rede. Sair é o proxy direto. O reverso fica na frente do servidor e recebe quem vem de fora.

Supor que a DMZ dispensa ou conflita com o firewall. É o firewall que a delimita, com políticas distintas para interna, DMZ e Internet.

Trocar -s por -d no iptables. Liberar quem vem de um IP é -s. E a cadeia importa: INPUT é o que chega ao host, OUTPUT o que ele mesmo origina.