Um endereço público como 203.0.113.10 atrai tentativas de conexão, independentemente de um pequeno escritório pretender publicar um serviço ou não. Sem uma política de firewall, um atacante na internet precisa apenas do endereço e de um caminho aberto para alcançar serviços expostos, buscar configurações vulneráveis ou enviar tráfego para redes internas. Um firewall é o dispositivo de borda que compara cada tentativa de conexão com regras predefinidas e permite ou bloqueia o tráfego. Em nosso laboratório, a primeira decisão segura é simples: permitir apenas a conexão web pública destinada ao servidor Web no endereço 192.168.40.10 e negar qualquer outro tráfego não solicitado vindo da internet. Vamos mapear as redes que essa decisão deve proteger:
Este diagrama define os endereços e as funções para todas as tabelas de regras subsequentes. O firewall utiliza o endereço terminado em .1 em cada rede interna, enquanto 203.0.113.10 é o seu endereço voltado para a internet. O PC1 pertence à rede de usuários, o Guest1 pertence a uma rede de convidados isolada e o AdminPC é a única estação de trabalho com permissão para administrar o firewall. O servidor web está localizado na DMZ, uma rede separada para serviços que precisam aceitar tráfego limitado da internet sem fornecer aos clientes da internet uma rota de acesso à rede de servidores.
Um invasor que chegue à interface WAN nunca deve conseguir acessar o servidor File no endereço 192.168.20.20 ou o servidor de diretório e DNS no endereço 192.168.20.10. Separar esses sistemas em VLANs cria limites, mas as VLANs, por si sós, não decidem quais pacotes podem atravessá-las. O firewall toma essa decisão por meio de regras explícitas entre as redes.
Regra de limite Um segmento de rede protege um sistema apenas quando o firewall nega tráfego que não tenha uma finalidade de negócio declarada.
Os cinco fluxos de tráfego recorrentes do laboratório nos fornecem testes concretos para cada tipo de firewall e conjunto de regras. O Guest1 precisa de resolução DNS para acessar a internet, mas um dispositivo de convidado não tem justificativa de negócio para abrir uma conexão de compartilhamento de arquivos do Windows com o servidor File na porta TCP 445. O PC1, por outro lado, pode precisar dessa conexão de compartilhamento de arquivos. A internet pode acessar o servidor web da DMZ na porta TCP 443, enquanto apenas o AdminPC deve conseguir acessar a página de gerenciamento do firewall na porta TCP 443.
Um firewall de filtragem de pacotes toma decisões com base em campos visíveis em um pacote, incluindo endereço de origem, endereço de destino, protocolo e porta. Uma regra pode permitir a porta UDP 53 do Guest1 para o 8.8.8.8, ou negar a porta TCP 445 da rede de convidados para a rede de servidores. A filtragem de pacotes é rápida e útil, mas um pacote isolado não indica se ele pertence a uma conexão legítima iniciada anteriormente.
Um firewall com inspeção de estado (stateful) registra conexões ativas em uma tabela de estados. Quando o PC1 inicia uma conexão permitida de compartilhamento de arquivos com o servidor File, o firewall com inspeção de estado permite os pacotes de retorno porque eles correspondem a essa conexão registrada. Um pacote não solicitado vindo da Internet não possui um estado correspondente; portanto, o firewall pode negá-lo, a menos que uma regra permita especificamente a nova conexão. Esse comportamento evita a criação de uma regra abrangente e perigosa que permitiria todo tráfego com características de resposta, vindo de qualquer direção.
Um firewall com reconhecimento de aplicações (application-aware firewall) pode inspecionar informações além de portas e endereços, como uma requisição HTTP ou uma consulta DNS. Um firewall de próxima geração geralmente combina a inspeção de estado (stateful inspection) com a inspeção de aplicações e a detecção de ameaças. Uma inspeção mais profunda não substitui a definição de limites claros. O firewall deve primeiro decidir que a Internet pode contatar a Web via HTTPS; a inspeção, então, ajuda a identificar tráfego que viole o uso esperado desse caminho permitido.
Quais dos cinco fluxos devem atravessar um limite e quais devem ser barrados pelo firewall? A tabela apresenta a decisão esperada e as evidências da negação: