Firewalls, antivírus, IDS/IPS, testes de invasão e análise de vulnerabilidades

Do zero

Proteger uma rede é como proteger um prédio com várias camadas:

• O firewall é a portaria: decide quem pode entrar e sair, por quais portas, segundo uma lista de regras.
• O antivírus (ou o EDR, seu sucessor mais completo) é o segurança que circula por dentro de cada sala (cada computador), procurando objetos e comportamentos suspeitos.
• O IDS é o sistema de câmeras com alarme: detecta algo estranho e avisa. O IPS é a câmera ligada a uma porta automática: detecta e bloqueia na hora.

E de tempos em tempos é preciso testar se tudo isso funciona:

• A análise de vulnerabilidades é a vistoria: alguém percorre o prédio com uma lista e anota todas as janelas destrancadas, sem tentar entrar.
• O teste de invasão (pentest) é contratar um especialista, com autorização por escrito, para tentar de verdade entrar no prédio e mostrar até onde chegaria.

Frase para guardar: firewall filtra, IDS avisa, IPS bloqueia; a análise de vulnerabilidades lista as falhas, o pentest as explora com autorização.

Em 1 minuto

• Firewall de filtro de pacotes (sem estado, ou stateless) olha endereços e portas, pacote a pacote, sem lembrar dos anteriores; o stateful (com estado) acompanha as conexões; de aplicação (proxy) entende o protocolo; o de nova geração (NGFW) junta tudo com identificação de aplicação e IPS. O WAF protege aplicações web (contra injeção, por exemplo).
• Antivírus: detecção por assinatura (malware conhecido) e por heurística ou comportamento (malware novo). O EDR monitora o comportamento do computador e permite responder (isolar a máquina).
• IDS detecta e alerta, fora do caminho do tráfego; IPS fica no caminho e bloqueia. Ambos podem ser de rede (NIDS/NIPS) ou de host (HIDS/HIPS). Detectam por assinatura, por anomalia ou por análise de protocolo com estado (compara o uso de cada protocolo com o comportamento previsto na especificação): as três metodologias do NIST SP 800-94 [CONFERIR: o texto ainda não está em fontes/].
• DMZ: sub-rede intermediária para os servidores expostos à internet, separada da rede interna.
• Pentest precisa de autorização e escopo; pode ser caixa-preta, cinza ou branca, conforme o que o testador sabe do alvo.

Exemplo concreto: a defesa do portal do Tribunal

Internet ──► Firewall externo ──► DMZ: WAF ► servidor do portal
                                        │
                                Firewall interno (só a porta do banco, a partir do portal)
                                        │
                                Rede interna: banco de dados, servidores de arquivos
                                IDS/IPS observando o tráfego · EDR em cada máquina

Regras do firewall interno, no estilo “negar por padrão”:

Uma vez por mês, a equipe roda uma varredura de vulnerabilidades em todos os servidores e prioriza as correções pela nota CVSS (escala de 0 a 10 que mede a gravidade de uma falha) e pela exposição. Uma vez por ano, contrata um pentest do portal, com escopo e autorização formal, para ver se as falhas podem ser exploradas de fato.

Comparação: IDS × IPS e varredura × pentest

Fases de um pentest: planejamento (escopo, regras e autorização por escrito), reconhecimento, varredura, exploração, pós-exploração (até onde se chega) e relatório com as evidências e as recomendações. No NIST SP 800-115, as mesmas etapas aparecem em quatro fases: planejamento, descoberta (reconhecimento e varredura), ataque (exploração, que pode voltar à descoberta) e relatório [CONFERIR: o texto do SP 800-115 ainda não está em fontes/].

Caixa-preta: o testador não sabe nada do alvo, como um atacante externo; caixa-branca: tem acesso a código e documentação; caixa-cinza: sabe parte, como um usuário comum.

Como a FCC cobra

• Tipos de firewall e WAF.
• Detecção por assinatura × por anomalia.
• NIDS × HIDS.
• Fases e tipos (caixa-preta, cinza, branca) do pentest.

Pegadinhas

Explique com suas palavras

Explique a um gestor a diferença entre IDS e IPS e entre análise de vulnerabilidades e teste de invasão, dizendo quando contratar cada teste.

1. Escreva sem olhar a lição, com frases curtas e um exemplo seu.
2. Onde travar ou precisar de jargão, há uma lacuna: releia só essa parte.
3. Compare com a explicação-modelo e reescreva o que faltou.

Sua explicação

Fica salva neste navegador.

Comparar com uma explicação-modelo

O IDS funciona como um alarme: observa o tráfego, percebe algo parecido com um ataque e avisa a equipe, mas não impede nada. O IPS fica no meio do caminho e, quando reconhece o ataque, bloqueia na hora. O cuidado é que, se o IPS errar, bloqueia também o que era legítimo.

A análise de vulnerabilidades é uma vistoria automática e frequente, que lista as falhas conhecidas em todos os sistemas para a equipe corrigir. O teste de invasão é um especialista autorizado tentando invadir de verdade, para mostrar o que um atacante conseguiria. A vistoria vale todo mês; o pentest, uma vez por ano ou depois de mudanças grandes, como um sistema novo exposto na internet.

Teste-se

Mais duas questões deste tópico estão em Questões.

Flashcards gerados

Ligação com o estudo de caso

O estudo de caso pode pedir para “propor regras de firewall” (como no exemplo de sub-redes do guia) ou “definir a estratégia de segurança lógica”. Desenhe a arquitetura em camadas (firewall, DMZ, WAF, IPS, EDR), escreva as regras no formato origem, destino, porta e ação, com a negação por padrão no fim, e proponha varredura periódica mais pentest anual.

Fontes da lição

• Edital nº 01/2026, Anexo II, Segurança da Informação (fontes/edital-01-2026.txt).
• NIST SP 800-94, Guide to Intrusion Detection and Prevention Systems (IDS, IPS e metodologias de detecção) [CONFERIR: o texto ainda não está em fontes/].
• NIST SP 800-115, Technical Guide to Information Security Testing and Assessment (varredura de vulnerabilidades e teste de invasão) [CONFERIR: o texto ainda não está em fontes/].