DMZ, VLANs, Regras de Firewall e Filtragem — Estudos de Cibersegurança

01

Zonas de Confiança, Redes Planas e Arquitetura de DMZ

Por décadas, muitas redes corporativas foram projetadas como uma "casca de ovo": uma borda externa fortificada com firewall e roteador de borda, porém com um interior completamente oco e desprotegido conhecido como Rede Plana (Flat Network). Em uma rede plana, todos os dispositivos (estações de trabalho, servidores de arquivos, impressoras, câmeras IP e bancos de dados transacionais) compartilham a mesma sub-rede e o mesmo domínio de broadcast.

O Perigo Mortal das Redes Planas: Movimento Lateral (MITRE ATT&CK TA0008)

Se um colaborador inadvertidamente executar um malware em sua máquina de trabalho (via phishing ou pendrive infectado), o atacante obtém visibilidade imediata de toda a infraestrutura. Sem barreiras internas de segmentação, ele pode realizar varreduras ARP/IP locais, explorar vulnerabilidades SMB (como EternalBlue/MS17-010), roubar credenciais em memória (Pass-the-Hash) e comprometer diretamente o Controlador de Domínio (Active Directory) ou o banco de dados de produção em poucos minutos, sem que o firewall de borda sequer tome conhecimento do tráfego.

O Conceito de Zonas de Segurança Lógicas

A segmentação moderna substitui a confiança implícita por Zonas de Confiança Hierárquicas, onde o tráfego que cruza as fronteiras entre zonas é obrigatoriamente filtrado, inspecionado e registrado:

1. Zona Externa (Untrusted / Internet)

Rede pública aberta, totalmente fora do controle administrativo corporativo. Fonte primária de tráfego hostil, botnets e scanners automatizados.

2. Zona Desmilitarizada (DMZ / Semi-trusted)

Sub-rede intermediária projetada para hospedar servidores com serviços públicos voltados para a Internet (Web Servers, Proxies Reversos, DNS Autoritativo, VPN Gateways). Mesmo se um servidor na DMZ for comprometido, ele não possui livre acesso à rede interna.

3. Zona Interna (LAN Corporativa / Trusted)

Ambiente onde residem as estações de trabalho de colaboradores, notebooks corporativos e dispositivos de usuário final.

4. Zona Restrita / Dados (Strictly Confidential)

Zona altamente isolada abrigando os ativos mais sensíveis da empresa: Bancos de Dados SQL, ERPs financeiros, Controladores de Domínio e clusters de processamento confidencial.

Arquitetura de DMZ em Dois Estágios (Dual-Firewall Architecture)

Em arquiteturas corporativas de alta segurança, a DMZ é implementada entre dois firewalls físicos distintos de fabricantes diferentes (ex: Firewall de Borda do Fornecedor A e Firewall Interno do Fornecedor B).

Essa abordagem de Defesa em Profundidade garante que, caso uma vulnerabilidade de dia zero (Zero-Day) ou falha de configuração seja descoberta e explorada no firewall de borda, o atacante ainda enfrentará uma barreira tecnológica completamente diferente antes de conseguir atingir os servidores internos e bases de dados restritas.

02

Segregação em Camada 2: VLANs e Trunking IEEE 802.1Q

Implementar segmentação física comprando switches e cabos separados para cada departamento corporativo seria economicamente inviável e inflexível. Para resolver isso, switches gerenciáveis utilizam VLANs (Virtual Local Area Networks), que criam partições lógicas independentes dentro do mesmo hardware de comutação.

Cada VLAN constitui um domínio de broadcast isolado. O tráfego de broadcast (como requisições ARP) gerado em uma VLAN não se propaga para outras VLANs, impedindo que dispositivos em departamentos diferentes interceptem comunicações de rede locais (ataques de ARP Spoofing e sniffing de rede).

O Cabeçalho IEEE 802.1Q e a Diferença entre Access e Trunk

Porta de Acesso (Access Port)

Conectada a dispositivos finais (computadores, impressoras, servidores). Pertence a apenas uma única VLAN. Os quadros Ethernet trafegam normais (sem tag 802.1Q). O switch insere a identificação de VLAN internamente e remove antes de enviar ao host.

Porta de Enlace (Trunk Port)

Conecta switches entre si ou um switch a um firewall/roteador. Transporta tráfego de múltiplas VLANs simultaneamente. Para diferenciar os pacotes, o switch insere uma tag de 4 bytes no quadro Ethernet seguindo o padrão IEEE 802.1Q.

Estrutura da Tag IEEE 802.1Q Mermaid Arquitetura

Ataques de Salto de VLAN (VLAN Hopping) e Mitigações de Hardening

Atacantes em uma VLAN de menor privilégio (ex: rede de visitantes) tentam injetar tráfego em VLANs restritas através de duas técnicas clássicas:

Switch Spoofing: O computador do atacante se passa por um switch emitindo mensagens de protocolo de negociação (como o DTP - Dynamic Trunking Protocol da Cisco). Se o switch tiver negociação automática ativada, a porta vira um Trunk, permitindo ao invasor acessar todas as VLANs.
Mitigação: Desativar negociação dinâmica em todas as portas de acesso (switchport mode access e switchport nonegotiate).
Double Tagging (Marcação Dupla 802.1Q): O atacante envia um quadro com duas tags 802.1Q (a externa com a VLAN nativa do switch, e a interna com a VLAN vítima). O primeiro switch retira a tag nativa externa e reencaminha o pacote via Trunk; o segundo switch lê a tag interna e entrega o pacote na VLAN de destino.
Mitigação: Nunca utilizar a VLAN 1 (padrão) para tráfego operacional e alterar explicitamente a VLAN Nativa dos trunks para uma VLAN não utilizada.

Roteamento Inter-VLAN: Router-on-a-Stick vs Firewall Inline

Como dispositivos em VLANs diferentes não se comunicam diretamente na Camada 2, todo tráfego entre elas precisa ser roteado na Camada 3. Em ambientes seguros, o gateway desse roteamento inter-VLAN não é um roteador cego, mas sim um Firewall Corporativo (ou subinterfaces virtuais em modo Router-on-a-Stick conectadas a um firewall), garantindo que qualquer pacote que tente transitar de uma VLAN para outra seja inspecionado contra a política de segurança.

03

Arquitetura de Firewalls: Stateless, Stateful e NGFW

Um firewall é um dispositivo ou software que monitora e controla o tráfego de rede de entrada e saída com base em regras de segurança pré-determinadas. A evolução da tecnologia de filtragem divide os firewalls em três gerações fundamentais:

1. Stateless (Filtragem Estática de Pacotes)

Avalia cada pacote isoladamente com base apenas no cabeçalho (IPs e Portas de origem/destino e protocolo). Não tem memória de conexões passadas.
Grave limitação: Para permitir que usuários internos naveguem na web, o administrador precisava abrir todas as portas altas de entrada (1024-65535), pois o firewall não conseguia correlacionar uma resposta com a requisição inicial.

2. Stateful Inspection (Inspeção com Estado)

Rastreia o ciclo de vida completo de cada conexão na memória operacional através da Tabela de Estados (conntrack). Reconhece o handshake TCP de 3 vias (SYN, SYN-ACK, ACK) e encerramento (FIN/RST).
Superpoder: Quando um cliente interno inicia uma conexão para um servidor web na Internet, o firewall registra o estado e permite automaticamente os pacotes de retorno legítimos sem precisar de regras manuais permissivas de entrada.

3. NGFW (Next-Generation Firewall)

Combina a inspeção de estado tradicional com Deep Packet Inspection (DPI) na Camada 7 (Aplicação). Identifica a aplicação real independentemente da porta utilizada (ex: detecta tráfego BitTorrent ou DNS tunneling rodando na porta 443), executa descriptografia TLS/SSL, integra antivírus de fluxo, IPS e controle de identidade de usuários (User-ID).

O Coração do Stateful Firewall: A Tabela de Estados (conntrack)

No kernel do Linux (mecanismo Netfilter/iptables/nftables) e em appliances de mercado (Fortinet, Palo Alto, Check Point), cada conexão rastreada recebe uma classificação de estado precisa:

NEW: Primeiro pacote que tenta estabelecer uma nova sessão legítima (por exemplo, um pacote TCP com a flag SYN ativa).
ESTABLISHED: Pacotes que pertencem a uma conexão que já completou o handshake bidirecional e está ativa na tabela de estados.
RELATED: Pacotes que iniciam uma nova conexão, porém associada diretamente a uma conexão já existente (ex: a conexão de dados da porta 20 em transferências FTP ou canais de controle VoIP/SIP).
INVALID: Pacotes que não correspondem a nenhuma conexão conhecida ou violam a máquina de estados do TCP (ex: receber um pacote com flag ACK ou FIN do nada, sem histórico de SYN prévio). Devem ser sempre descartados imediatamente.

04

Formulação de Políticas e Ordem de Precedência de Regras

Configurar regras de firewall exige precisão matemática. Ao contrário de uma linguagem declarativa genérica, os mecanismos de firewall processam suas listas de controle de acesso (ACLs) seguindo um princípio estrito de Avaliação Sequencial First-Match.

A Regra de Ouro: Default Drop / Default Deny

O alicerce inegociável de qualquer firewall seguro é a Política de Bloqueio Padrão (Default Drop). A última regra de qualquer conjunto de filtragem (ou a política implícita da tabela) determina que: "Se um pacote de dados não coincidiu explicitamente com nenhuma regra de permissão anterior, ele deve ser sumariamente descartado e registrado em log". Sistemas que utilizam "Default Allow" (permitir tudo exceto o que for explicitamente proibido) são categoricamente considerados inseguros.

Anatomia de uma Regra de Firewall (Tupla de 5 Elementos)

Toda regra de firewall é composta por critérios de correspondência (Matching Criteria) e uma ação decisória (Action):

IP de Origem (Source IP / Subnet): Endereço ou máscara de quem envia o pacote.
Porta de Origem (Source Port): Geralmente aleatória/alta do cliente (geralmente indicada como Any ou 1024-65535).
Protocolo de Transporte: TCP, UDP, ICMP ou Any.
IP de Destino (Destination IP / Subnet): Endereço do servidor ou serviço de destino.
Porta de Destino (Destination Port): Porta do serviço requerido (ex: 80, 443, 22, 5432).
Ação (Target Action):
• ACCEPT / PERMIT: O pacote é aprovado e segue viagem.
• DROP: O pacote é silenciosamente descartado sem retorno (ideal contra scanners externos para economizar banda e não confirmar presença).
• REJECT: O pacote é descartado, mas o firewall envia ativamente uma resposta informativa (um pacote TCP RST ou uma mensagem ICMP Port Unreachable).

A Falha Crítica do Sombreamento de Regras (Rule Shadowing)

Como as regras são avaliadas de cima para baixo (First-Match), a ordem das linhas é determinante. Se uma regra genérica for colocada antes de uma regra específica, ocorre o Sombreamento de Regras (Rule Shadowing).

Cenário de Desastre: Um administrador deseja bloquear tráfego SSH da Internet para a rede, exceto para o IP do seu escritório. Se ele colocar primeiro a regra PERMIT Any -> Any porta 22 e abaixo colocar a regra DROP Any -> Any porta 22, a regra de bloqueio nunca será executada, deixando a rede completamente vulnerável! Regras específicas e restritivas devem sempre anteceder regras gerais e permissivas.

05

Laboratório Interativo: Simulador de Regras de Firewall e Tabela conntrack

Experimente na prática a mecânica de avaliação sequencial First-Match de um firewall corporativo. Neste laboratório em Vanilla JavaScript, você pode injetar pacotes de rede realistas, acompanhar passo a passo qual regra realizou o match, verificar a atuação da tabela de conexões ativas (conntrack) e reordenar regras para entender ao vivo o impacto devastador do Rule Shadowing.

LAB PRÁTICO INTERATIVO

Simulador de Filtragem Stateful e Inspeção de Regras

InjAudite políticas de perímetro, dispare pacotes simulados e visualize a resolução do motor de firewall.

Disparar Cenários Práticos de Tráfego:

Detalhes do Pacote Injetado:

IP Origem:

IP Destino:

Protocolo:

Porta Destino:

Simula o primeiro pacote (TCP SYN) tentando estabelecer sessão.

Conjunto de Regras do Firewall (Ordem de Avaliação First-Match)

As regras são avaliadas sequencialmente de cima para baixo. Clique nas setas para reordenar e testar Rule Shadowing.

#	Ordem	Ação	Origem (Src)	Destino (Dst)	Proto/Porta	Descrição / Zona

Decisão Final da Filtragem

Tabela de Conexões Ativas (conntrack)

0 conexões ativas

Nenhuma sessão ativa registrada no estado ESTABLISHED.

06

Checklist de Aplicação Prática: Auditoria de Segmentação e Firewalls

Utilize este checklist técnico durante auditorias de rede, implementação de novos perímetros ou compliance com normas como ISO 27001 (controles de rede) e PCI DSS (requisito de segmentação de ambiente de dados de cartão - CDE):

Política Padrão Default Drop Habilitada: Todas as interfaces e zonas de segurança possuem a regra final implícita de descarte sumário (DROP) de qualquer pacote não autorizado, com geração de alertas e logs de auditoria. Isolamento Rigoroso da DMZ (Sem Tráfego Inbound para LAN): Servidores posicionados na DMZ são impedidos de iniciar novas conexões para a rede corporativa interna ou servidores de banco de dados, exceto em portas estritamente documentadas originadas da LAN para a DMZ. Prevenção Ativa Contra VLAN Hopping em Switches: Todas as portas de acesso possuem negociação DTP desativada (nonegotiate), a VLAN 1 padrão está desabilitada para tráfego operacional e a VLAN nativa dos trunks foi alterada para um ID dedicado não utilizado. Auditoria Periódica de Sombreamento de Regras (Rule Shadowing): A ordem das regras no firewall é revisada semestralmente com ferramentas automatizadas para identificar regras obsoletas, duplicadas ou mascaradas por regras mais permissivas acima. Filtragem Egress (Tráfego de Saída Restrito): Servidores internos e da DMZ possuem regras estritas de saída, impedindo que conexões em portas não autorizadas (como IRC, canais de C2 ou consultas DNS externas para servidores não autorizados) saiam da organização. Inspeção com Estado (Stateful) com Drop de Pacotes Inválidos: O kernel do firewall descarta explicitamente pacotes com estado INVALID (violação da sequência TCP) antes de qualquer avaliação de regras de permissão.

07

Questões de Fixação e Concursos Públicos

Teste sua preparação respondendo a questões focadas em concursos públicos de alto nível para Perito Criminal da PF, Analista de Infraestrutura do SERPRO e certificações como Cisco CCNA/CCNP Security e Check Point CCSA:

Questão 1 • Stateful vs Stateless

Em uma infraestrutura de rede corporativa, um analista de segurança precisa configurar um firewall para permitir que as estações de trabalho da LAN interna naveguem na web (HTTP porta 80 e HTTPS porta 443 na Internet), mas nenhuma conexão originada na Internet deve penetrar na rede interna. Se for utilizado um firewall estático sem estado (Stateless Packet Filter), qual configuração seria tecnicamente necessária para viabilizar essa navegação, e qual risco direto ela introduz?

Ver resposta comentada

Gabarito: Seria necessário abrir todas as portas altas (1024 a 65535) na direção de entrada da Internet para a LAN, permitindo que atacantes externos acessem qualquer serviço em portas altas sem inspeção.

Justificativa: Firewalls Stateless não possuem tabela de estados (conntrack) e não sabem se um pacote vindo da Internet é uma resposta legítima a uma navegação iniciada internamente ou uma tentativa de ataque. Como clientes TCP utilizam portas de origem efêmeras aleatórias (geralmente entre 1024 e 65535), um firewall sem estado precisa ter uma regra genérica de entrada permitindo portas altas. Em contrapartida, um firewall Stateful rastreia a conexão iniciada internamente no estado ESTABLISHED e permite automaticamente o tráfego de retorno sem abrir portas fixas de entrada.

Questão 2 • Ordem de Avaliação e Rule Shadowing

Considere o seguinte trecho simplificado de uma tabela de regras de um firewall que processa políticas de cima para baixo (First-Match):
Regra 1: Ação: DROP | Origem: Qualquer | Destino: Rede_Servidores_DMZ | Porta: Qualquer
Regra 2: Ação: ACCEPT | Origem: Qualquer | Destino: Servidor_Web_DMZ (10.0.1.5) | Porta: 443 (HTTPS)
Regra 3: Ação: DROP | Origem: Qualquer | Destino: Qualquer | Porta: Qualquer (Default Drop)
Ao tentar acessar o site HTTPS hospedado no Servidor_Web_DMZ, os usuários da Internet recebem erro de conexão recusada / timeout. Qual a causa desse comportamento?

Ver resposta comentada

Gabarito: Ocorrência de Rule Shadowing (Sombreamento de Regra), onde a Regra 1 ampla descarta o tráfego antes que a Regra 2 específica seja avaliada.

Justificativa: Como o algoritmo First-Match interrompe a verificação na primeira correspondência, um pacote com destino ao IP 10.0.1.5 na porta 443 casa perfeitamente com a Regra 1 (pois 10.0.1.5 pertence a Rede_Servidores_DMZ). O firewall aplica imediatamente a ação DROP e encerra o processamento. A Regra 2 está "sombreada" e nunca será executada. Para corrigir, a regra permissiva específica (Regra 2) deve ser movida para cima da Regra 1.

Questão 3 • Arquitetura de DMZ e Mitigação de Pivot

Um servidor web corporativo hospedado na DMZ foi comprometido por meio de uma vulnerabilidade de execução remota de código (RCE). Qual diretriz fundamental de arquitetura de rede impede que o atacante utilize esse servidor web como pivô (pivot host) para invadir o banco de dados principal de produção localizado na rede interna restrita?

Ver resposta comentada

Gabarito: Proibição estrita de conexões iniciadas na DMZ com destino à rede interna, associada a regras de firewall específicas permitindo apenas portas estritas do serviço (ex: SQL 5432) com controle de origem.

Justificativa: O princípio de isolamento de DMZ dita que servidores semi-confiáveis nunca devem ter permissão de iniciar conexões arbitrárias com a rede interna. A comunicação necessária entre a aplicação web e o banco de dados deve ser restrita via firewall estritamente ao IP do banco na porta específica (ex: TCP 5432), bloqueando terminantemente qualquer tráfego administrativo (SSH, RDP, SMB, ICMP) ou conexões reversas para a Internet, frustrando tentativas de movimentação lateral.

08

Fatos Essenciais • Conclusão da Trilha 1: Fundamentos & Redes Seguras

Redes Planas São Indefensáveis

Sem segmentação interna, o comprometimento de uma única máquina corporativa concede acesso irrestrito ao Active Directory e aos bancos de dados da empresa.

802.1Q Isola Domínios de Broadcast

VLANs separam o tráfego de Camada 2 via tags de 4 bytes (VID de 12 bits). Desative DTP e restrinja trunks para evitar ataques de VLAN Hopping.

Stateful Rastreia o Handshake

A tabela de estados (conntrack) permite pacotes de retorno legítimos no estado ESTABLISHED sem a necessidade perigosa de abrir portas altas estáticas.

Default Drop é Inegociável

Todo tráfego que não coincidir explicitamente com uma regra permissiva deve ser bloqueado na última linha do firewall.

First-Match Exige Cuidado com a Ordem

Regras são avaliadas de cima para baixo. Regras específicas devem sempre preceder regras gerais para evitar Rule Shadowing.

Parabéns! Trilha 1 Concluída

Você dominou Fundamentos, Redes, Criptografia, IAM e Segmentação. O próximo passo é o Estudo 06 (Hardening-Sistemas), iniciando a Trilha 2: Segurança Defensiva!