Apesar de toda a informação e conhecimento disseminado ao longo dos anos, ainda escuto de profissionais de TI experientes a seguinte frase: “Como isso pode acontecer, estou atrás de um firewall?”, ou “Comprei um dos melhores firewalls do mercado e ainda assim fui invadido, como isso é possível?”
As redes corporativas talvez estejam mais em perigo do que nunca. A simples instalação de um firewall muitas vezes dá à empresa uma falsa sensação de segurança geral.
Infelizmente, o firewall tornou-se uma panaceia de segurança da informação. Uma vez instalado, acredita-se que um firewall seja o fim e tudo de segurança da informação, protegendo a rede corporativa de todos os males.
Parafraseando Bruce Schneier, considerado o guru da segurança da informação pela The Economist, “Segurança é um processo, não um produto”.
Embora o firewall seja capaz de proteger o perímetro, pode fazer muito pouco sobre a atividade que se origina e termina dentro da rede corporativa. De acordo com o inquérito de segurança de informação do FBI, uma organização tem duas vezes mais chances de ser comprometida de dentro do que de fora.
De qualquer forma, focando apenas no firewall, vamos citar alguns erros comuns relacionados ao mítico “Muro de Fogo”:
Peso da marca e/ou produto
Como em tudo na vida, o bom senso deve prevalecer. Não existe mágica em segurança! É necessária uma política de segurança da informação bem definida, um profissional capacitado para programar o firewall de acordo com a referida política, monitoramento contínuo e conhecimento técnico para analisar os logs e correlacionar os eventos. Sem isso, seu investimento no “melhor firewall do mercado” é inútil.
Não se engane… Simplesmente programar o firewall e esquecê-lo, independente da marca e/ou preço, será ruim. Não se trata apenas de tecnologia.
Capacitação técnica e operacional
Há um problema recorrente sobre capacitação técnica no que se refere a programação e administração eficaz do firewall. Apenas para citar o básico, muitos profissionais sequer conhecem o protocolo TCP/IP para realizar uma análise objetiva do tráfego de pacotes. Acredito até que quem não possui conhecimentos básicos de lógica de programação não deveria nem manipular um firewall. Digo isso porque quem não possui as referidas habilidades tende a analisar as regras de maneira isolada, cometendo erros gravíssimos.
Firewall x Política de segurança da informação
A programação do firewall deveria refletir as definições da política de segurança da informação. Entretanto, por falta de controle e/ou desconhecimento, é comum observarmos uma enorme divergência. A política se torna um documento formal, e as regras são definidas ao sabor dos egos.
Paradoxo do gerenciamento de firewall
A estrutura central da segurança é a política, um desafio ao qual conjuntos de regras específicas emergem. A mecânica disso pode dar errado rapidamente à medida que as organizações lutam com o gerenciamento de mudanças, à medida que os dispositivos, usos e aplicativos recebem acesso que devem ser revogados em uma data posterior. A limpeza de bases de regras pode ser realizada através dos sistemas de gerenciamento de firewall que vem com plataformas de hardware ou através de ferramentas de gerenciamento de terceiros, mas isso normalmente não acontece.
“Novos acessos são adicionados, mas o acesso antigo, expirado, raramente é removido. Não existem processos repetitivos consistentes. A complexidade cresce, a eficiência sofre e a probabilidade de erro e risco aumenta”, comenta Tim Woods, vice-presidente de tecnologia da FireMon.
O maior problema é que os administradores não têm visibilidade de suas políticas para identificar as regras redundantes, ocultas, sombreadas, excessivamente permissivas e desatualizadas, especialmente se eles estiverem administrando diferentes tipos de firewalls em seu ambiente. E a situação tende a piorar quando mais de um profissional tem permissão para manipular as regras de firewall.
Observamos e concluímos que você pode adquirir o firewall mais incrível do mercado, entretanto, ainda assim não será possível proteger sua empresa se ele não estiver alinhado com a política de segurança, corretamente configurado, administrado e monitorado por profissionais qualificados em segurança da informação. Devemos enxergar o firewall como uma das ferramentas do serviço de segurança da informação. Firewall não é panaceia!
* Renato Andalik é especialista em Tecnologia e Cibersegurança e cofundador da Ertech Systems
