Firewalls: filtragem de pacotes versus nova geração

Uma barreira de proteção é um dispositivo de segurança de Network (de hardware ou software) que monitora e controla o tráfego de entrada e saída com base em regras predefinidas. As barreiras de proteção ficam entre Networks internas confiáveis e Networks externas não confiáveis, atuando como um controlador de acesso. Elas são um controle fundamental do Perimeter, mas ataques modernos que usam canais criptografados ou movimentação lateral dentro de zonas confiáveis mostram por que as barreiras de proteção, sozinhas, são insuficientes e precisam ser combinadas com outras camadas de defesa.

As barreiras de proteção com filtragem de pacotes (também chamadas de barreiras de proteção sem estado) inspecionam cada pacote isoladamente com base nos campos do cabeçalho: IP de origem, IP de destino, porta de origem, porta de destino e protocolo. Elas aplicam regras simples de permissão ou negação chamadas de ACLs (Access Control Lists). Como examinam cada pacote de forma independente, não conseguem acompanhar se um pacote faz parte de uma sessão estabelecida, o que as torna vulneráveis a ataques que falsificam valores esperados do cabeçalho ou exploram vulnerabilidades envolvendo vários pacotes.

As barreiras de proteção com inspeção de estado mantêm uma tabela de estado que acompanha as conexões ativas. Quando um pacote chega, a barreira de proteção verifica se ele pertence a uma sessão já estabelecida. Isso permite que o tráfego de retorno passe automaticamente, sem regras explícitas. As barreiras de proteção com estado são muito mais seguras que os filtros de pacotes porque conseguem detectar pacotes que não pertencem a uma sessão válida — como pacotes ACK não solicitados usados em varreduras furtivas — e aplicar políticas no nível da conexão.

As barreiras de proteção de próxima geração (NGFW) acrescentam inspeção profunda de pacotes e reconhecimento de aplicativos, além do acompanhamento de estado. Uma NGFW pode identificar o aplicativo que gera o tráfego — não apenas a porta — usando dissecação de protocolos e aprendizado de máquina. Os principais recursos de NGFW incluem controle de aplicativos (bloquear o Dropbox independentemente da porta), integração da identidade do User (regras vinculadas a grupos do AD), IPS integrado e inspeção de SSL/TLS. Entre os fornecedores estão Palo Alto Networks, Fortinet, Check Point e Cisco Firepower.

As regras das barreiras de proteção são avaliadas de cima para baixo — a primeira regra correspondente vence. Isso significa que as regras mais específicas devem aparecer antes das mais gerais. Uma regra negar tudo implícita na parte inferior bloqueia qualquer tráfego que não tenha sido permitido explicitamente. Erros comuns incluem colocar uma regra ampla de permissão antes de uma negação específica, criar sombreamento (uma regra que nunca corresponde porque uma regra anterior sempre corresponde primeiro) e esquecer de permitir o tráfego de retorno ou as mensagens de erro do ICMP das quais os aplicativos dependem.

Uma WAF (Web Application Firewall) opera na Layer 7 e foi projetada especificamente para proteger aplicativos Web contra ataques como injeção de SQL, XSS e CSRF. Diferentemente das NGFWs, que protegem o tráfego de Network de forma ampla, uma WAF entende a semântica de HTTP e HTTPS — inspecionando URLs, cabeçalhos, cookies e corpos de solicitações. As WAFs podem operar no modo de detecção (registrar, mas não bloquear) ou no modo de prevenção (bloquear solicitações maliciosas). AWS WAF, Cloudflare e Imperva são soluções comerciais comuns.

Como a maior parte do tráfego agora é criptografada com HTTPS, as ameaças podem se ocultar dentro de sessões TLS. A inspeção de SSL/TLS (também chamada de interceptação de SSL ou decryption) permite que as NGFWs atuem como um proxy intermediário: a barreira de proteção encerra a conexão TLS do Client, inspeciona o texto simples e o criptografa novamente em direção ao destino. Isso permite a verificação de malware e o DLP dentro de túneis criptografados. O certificado da barreira de proteção precisa ser confiável para os Clients, geralmente distribuído por meio da Política de Grupo para dispositivos CORPORATE.

As barreiras de proteção são mais eficazes quando posicionadas em limites de confiança. Um design comum coloca uma barreira de proteção de Perimeter entre a Internet e a DMZ, e uma barreira de proteção interna entre a DMZ e a Network interna. Isso cria uma sub-rede protegida na qual os Servers voltados ao público (Web e correio) ficam isolados; assim, se forem comprometidos, o invasor não poderá alcançar diretamente os sistemas internos. Designs modernos também colocam barreiras de proteção entre segmentos internos para limitar a movimentação lateral.

Um IDS (Intrusion Detection System) monitora o tráfego e gera alertas quando identifica padrões suspeitos, mas não bloqueia o tráfego. Um IPS (Intrusion Prevention System) fica Inline e pode descartar ativamente pacotes maliciosos ou redefinir conexões em tempo real. A maioria das NGFWs modernas inclui um IPS integrado. Os métodos de detecção incluem os baseados em assinaturas (correspondência com padrões de ataque conhecidos) e os baseados em anomalias (detecção de desvios em relação a uma linha de base aprendida).

Um dispositivo UTM (Unified Threat Management) consolida várias funções de segurança em um único dispositivo: barreira de proteção, IPS, antivírus, VPN, filtragem Web e, às vezes, segurança de e-mail. Os UTMs são populares em pequenas e médias empresas porque simplificam o gerenciamento e reduzem custos. A desvantagem é que um único dispositivo representa um único ponto de falha e pode não oferecer o desempenho ou a profundidade de soluções desenvolvidas para uma finalidade específica. O termo UTM foi amplamente substituído por NGFW em contextos corporativos.

O exame Security+ avalia sua capacidade de selecionar o tipo correto de barreira de proteção para determinado cenário. A filtragem de pacotes é rápida, mas não mantém estado e pode ser facilmente contornada. A inspeção de estado acompanha sessões e é a base das Networks modernas. A NGFW acrescenta reconhecimento de aplicativos, identidade do User e IPS integrado — a escolha certa para Perimeters corporativos. A WAF protege especificamente aplicativos Web na Layer 7 de HTTP. Sempre associe o controle à ameaça: uma WAF não interromperá uma varredura de portas, e um filtro de pacotes não interromperá uma injeção de SQL.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que as barreiras de proteção com filtragem de pacotes não mantêm estado e avaliam cada pacote apenas pelos campos do cabeçalho; as barreiras de proteção com estado acompanham os estados das conexões para permitir o tráfego de retorno e detectar pacotes anômalos; e as barreiras de proteção de próxima geração acrescentam reconhecimento de aplicativos, identidade do User e IPS integrado para uma inspeção mais profunda. A seguir, exploraremos a segmentação de Network e as VLANs.