Roteadores e firewalls são os guardiões da rede: eles controlam o tráfego que entra e sai, definem quem pode acessar o quê e registram atividades suspeitas. Sem uma configuração segura, esses dispositivos podem se tornar portas de entrada para ataques. Nesta aula, vamos explorar quatro pilares fundamentais da segurança desses dispositivos: políticas, ACLs, NAT e logging. Você aprenderá não apenas o que cada um faz, mas como implementá-los de forma eficaz para proteger sua infraestrutura.

A segurança de rede não é um produto, mas um processo contínuo. Políticas bem definidas, listas de controle de acesso precisas, tradução de endereços estratégica e logs monitorados são a base para detectar e responder a incidentes. Vamos mergulhar em cada um desses tópicos com exemplos práticos e boas práticas.

Políticas

Políticas de segurança são regras que determinam como o tráfego deve ser tratado na rede. Elas podem ser definidas em um nível alto (o que é permitido ou negado) e depois implementadas tecnicamente em roteadores e firewalls. Uma política eficaz deve ser clara, concisa e alinhada aos objetivos de negócio. Por exemplo, uma política pode estabelecer que apenas o tráfego HTTP/HTTPS é permitido para a internet, enquanto todo o resto é bloqueado.

As políticas podem ser baseadas em vários critérios: endereço de origem e destino, porta, protocolo, usuário, aplicação, horário, entre outros. Em ambientes corporativos, é comum usar o modelo de confiança zero, onde nada é confiável por padrão e cada solicitação de acesso é verificada. Na prática, isso significa que as políticas devem ser o mais restritivas possível, permitindo apenas o necessário.

Exemplo de política de firewall em linguagem de configuração (Cisco ASA):

access-list INSIDE_IN permit tcp 192.168.1.0 255.255.255.0 any eq 80
access-list INSIDE_IN permit tcp 192.168.1.0 255.255.255.0 any eq 443
access-list INSIDE_IN deny ip any any

Nesse exemplo, a política permite que a rede interna acesse apenas HTTP e HTTPS, bloqueando todo o resto. Isso reduz a superfície de ataque e impede tráfego não autorizado.

ACL

ACL (Access Control List) é um mecanismo usado por roteadores e firewalls para filtrar pacotes com base em regras. As ACLs são aplicadas em interfaces e podem ser configuradas para permitir ou negar tráfego. Elas são fundamentais para implementar políticas de segurança em nível de rede. Existem dois tipos principais: ACLs padrão (que filtram apenas por endereço de origem) e ACLs estendidas (que filtram por origem, destino, protocolo e porta).

As ACLs são processadas em ordem: a primeira regra que corresponder ao pacote é aplicada, e as demais são ignoradas. Por isso, a ordem das regras é crucial. Uma boa prática é colocar regras mais específicas primeiro e regras gerais (como deny all) por último. Além disso, é importante lembrar que toda ACL deve ter um deny all implícito no final, que bloqueia qualquer tráfego não permitido.

Exemplo de ACL estendida em Cisco IOS:

access-list 101 permit tcp 192.168.1.0 0.0.0.255 any eq 80
access-list 101 permit tcp 192.168.1.0 0.0.0.255 any eq 443
access-list 101 deny ip any any
interface GigabitEthernet0/0
 ip access-group 101 in

Esse exemplo aplica a ACL 101 na interface GigabitEthernet0/0 para tráfego de entrada, permitindo apenas HTTP e HTTPS da rede 192.168.1.0/24. O tráfego negado é descartado.

NAT

NAT (Network Address Translation) é uma técnica que modifica os endereços IP nos pacotes à medida que atravessam um roteador ou firewall. É amplamente usado para permitir que dispositivos com endereços privados acessem a internet, traduzindo seus endereços para um endereço público. Além disso, o NAT oferece um certo nível de segurança, pois esconde a estrutura interna da rede.

Existem vários tipos de NAT: NAT estático (mapeia um endereço privado para um público fixo), NAT dinâmico (mapeia endereços privados para um pool de endereços públicos) e PAT (Port Address Translation), que usa a mesma porta para múltiplos dispositivos. O PAT é o mais comum em redes domésticas e pequenas empresas, pois permite que muitos dispositivos compartilhem um único endereço IP público.

Exemplo de configuração de PAT em Cisco IOS:

ip nat pool PUBLIC_POOL 200.100.10.1 200.100.10.10 netmask 255.255.255.0
access-list 1 permit 192.168.1.0 0.0.0.255
ip nat inside source list 1 pool PUBLIC_POOL overload
interface GigabitEthernet0/0
 ip nat inside
interface GigabitEthernet0/1
 ip nat outside

Aqui, o tráfego da rede interna (192.168.1.0/24) é traduzido para um pool de endereços públicos com overload (PAT). Isso permite que todos os dispositivos internos compartilhem esses endereços.

Logging

Logging é o registro de eventos que ocorrem no roteador ou firewall. Esses logs são essenciais para monitoramento, auditoria e investigação de incidentes de segurança. Sem logs, é praticamente impossível saber o que aconteceu em uma rede após um ataque. Os logs podem incluir informações sobre tráfego permitido ou negado, tentativas de acesso, mudanças de configuração, erros do sistema, entre outros.

É importante configurar o logging de forma adequada, definindo quais eventos devem ser registrados e para onde os logs devem ser enviados. Em ambientes corporativos, os logs são geralmente enviados a um servidor central (como um SIEM) para análise e armazenamento de longo prazo. Boas práticas incluem sincronizar o relógio do dispositivo (via NTP), definir níveis de severidade e garantir que os logs não se percam.

Exemplo de configuração de logging em Cisco IOS:

logging host 192.168.1.100
logging trap informational
logging buffered 4096
logging on

Nesse exemplo, os logs são enviados para o servidor 192.168.1.100, com nível informacional, e também armazenados em buffer local. Isso permite monitorar eventos em tempo real e ter um histórico para análise.

Boas Práticas

Além de configurar corretamente políticas, ACLs, NAT e logging, é fundamental manter os dispositivos atualizados com patches de segurança, usar senhas fortes e autenticação multifator, e realizar auditorias periódicas de configuração. Também é recomendável segmentar a rede e aplicar o princípio do menor privilégio, tanto em termos de acesso quanto de regras de firewall. Por fim, documente todas as mudanças e mantenha um plano de resposta a incidentes.

Referências

Exercícios

  1. Explique a diferença entre ACL padrão e ACL estendida, e dê um exemplo de quando usar cada uma.

✓ Resposta: ACL padrão filtra apenas com base no endereço IP de origem, enquanto a estendida pode filtrar por origem, destino, protocolo e porta. Use ACL padrão para simplesmente bloquear ou permitir tráfego de uma rede específica, e ACL estendida para controle mais fino, como permitir apenas HTTP de uma sub-rede para um servidor web.
  • Qual é a função do NAT e por que ele contribui para a segurança da rede?

    • ✓ Resposta: O NAT traduz endereços IP privados para públicos, permitindo que dispositivos internos acessem a internet. Contribui para a segurança porque esconde a estrutura interna da rede, dificultando ataques direcionados a dispositivos internos, e também ajuda a limitar o número de endereços públicos utilizados.
  • Por que a ordem das regras em uma ACL é importante? Dê um exemplo de uma ordem que poderia causar problemas.

    • ✓ Resposta: A ordem é importante porque a primeira regra que corresponde é aplicada. Se houver uma regra 'deny any any' antes de uma regra 'permit tcp any any eq 80', todo o tráfego será negado, incluindo o HTTP, que deveria ser permitido. Portanto, regras específicas devem vir antes das regras gerais.
  • Descreva as informações que devem ser registradas nos logs de um firewall para auxiliar na investigação de um ataque.

    • ✓ Resposta: Devem ser registrados: data e hora do evento, endereço IP de origem e destino, portas de origem e destino, protocolo, ação tomada (permitir/negar), e possivelmente o usuário ou aplicação. Essas informações ajudam a reconstruir a sequência de eventos e identificar a origem do ataque.
  • Proponha uma política de segurança para uma pequena empresa que possui dois servidores: um web (portas 80/443) e um de banco de dados (porta 3306), que deve ser acessado apenas internamente. Descreva as regras de firewall necessárias.

    • ✓ Resposta: Regras sugeridas: 1) Permitir tráfego de entrada para o servidor web nas portas 80 e 443 vindo de qualquer origem. 2) Permitir tráfego de saída do servidor web para o banco de dados na porta 3306 (ou manter o banco em uma rede separada e bloquear acesso externo). 3) Negar todo o resto. Exemplo em Cisco IOS: 
    access-list 100 permit tcp any host 200.100.10.5 eq 80
access-list 100 permit tcp any host 200.100.10.5 eq 443
access-list 100 permit tcp host 200.100.10.5 host 192.168.1.10 eq 3306
access-list 100 deny ip any any