Poucas palavras de segurança são tão repetidas e tão mal entendidas quanto firewall. Para muita gente, ter firewall é sinônimo de estar protegido, ponto final. Ele é, de fato, uma peça essencial, mas achar que ele resolve tudo é a receita de uma falsa sensação de segurança. Este guia explica, sem jargão, o que o firewall faz e, tão importante quanto, o que ele não faz.
O que o firewall faz
Pense no firewall como um porteiro que controla o trânsito entre a sua rede e o mundo lá fora. Ele olha o que tenta entrar e sair e aplica regras: isto pode passar, aquilo não. A ideia central é simples e poderosa, deixar aberto apenas o que precisa estar aberto, e bloquear o resto por padrão.
Na prática, ele cumpre papéis valiosos:
- Esconde o que não deveria estar exposto. Serviços internos deixam de ser alcançáveis da internet.
- Reduz a superfície de ataque. Menos portas abertas, menos caminhos para o atacante tentar.
- Separa zonas da rede. Usado por dentro, ajuda na segmentação que contém a movimentação lateral.
Esse último ponto conecta com o que defendi em segmentação de rede: o firewall não serve só para a fronteira externa, serve também para erguer paredes internas.
O que o firewall não faz
Aqui mora o perigo do mal-entendido. O firewall controla o trânsito que ele consegue inspecionar, nas portas que ele vigia. Um monte de ataque passa por onde ele deixa aberto de propósito, ou por um caminho que ele nem vê:
| Ameaça | O firewall ajuda? |
|---|---|
| Phishing que engana o usuário | Quase nada. A pessoa abre a porta por dentro |
| Ataque pelo site que já é público | Pouco. A porta do site precisa ficar aberta |
| Senha fraca ou vazada | Nada. O login acontece por um canal permitido |
| Programa malicioso baixado pelo usuário | Pouco. Entrou por um caminho autorizado |
| Ameaça que já está dentro | Depende de haver segmentação interna |
Repare no padrão: o firewall é forte contra quem tenta arrombar a porta de fora, e fraco contra quem é convidado a entrar, seja um usuário enganado, um site exposto por necessidade ou uma credencial roubada. É por isso que o phishing continua sendo tão eficaz mesmo em redes com bom firewall.
Uma peça, não a muralha inteira
O firewall é uma camada, e segurança boa é feita de camadas. Ele cuida bem de uma parte, reduzir a exposição e controlar o trânsito, e precisa de outras defesas cobrindo o que ele não alcança:
- Para o usuário enganado: treino e segundo fator.
- Para o site exposto: corrigir e proteger a aplicação em si.
- Para a ameaça interna: segmentação e privilégio mínimo.
- Para o programa malicioso: controle do que roda nas máquinas.
Entender o limite é usar melhor
Não há nada de errado com o firewall, há algo errado em esperar demais dele. Quem entende que ele é um porteiro competente para o trânsito da fronteira, e não um escudo mágico contra tudo, para de confiar cegamente e passa a montar as outras camadas que faltavam. A pergunta certa nunca é “temos firewall?”, e sim “o que ele não cobre, e quem cobre isso?”. É nessa segunda pergunta que a segurança de verdade começa.