Roteadores e firewalls são componentes críticos da infraestrutura de rede. Enquanto o roteador é responsável por encaminhar pacotes entre redes, o firewall atua como uma barreira de segurança, filtrando o tráfego com base em regras predefinidas. Nesta aula, vamos explorar quatro pilares essenciais para a segurança desses dispositivos: políticas, ACLs, NAT e logging. Compreender esses elementos é fundamental para projetar, implementar e manter uma rede segura contra ameaças internas e externas.

Vamos começar entendendo como as políticas de segurança definem as diretrizes gerais, depois mergulharemos nas ACLs como ferramentas de filtragem, seguido pelo NAT que ajuda a proteger a identidade dos hosts internos e, por fim, o logging que permite monitorar e auditar eventos de segurança. Cada tópico será acompanhado de exemplos práticos de configuração, especialmente em roteadores Cisco, que são amplamente utilizados em ambientes corporativos.

Políticas

Políticas de segurança em roteadores e firewalls são conjuntos de regras que determinam quais tipos de tráfego são permitidos ou negados. Essas políticas devem ser baseadas no princípio do menor privilégio, ou seja, apenas o tráfego necessário para as operações deve ser permitido, todo o resto deve ser bloqueado por padrão. Uma política bem definida é o alicerce de uma rede segura, pois orienta a configuração de ACLs, NAT e outras funcionalidades.

As políticas podem ser classificadas em dois tipos principais: políticas de segurança da informação (documentos de alto nível) e políticas de configuração (implementações técnicas). As políticas de configuração são aplicadas diretamente nos dispositivos de rede e devem ser revisadas periodicamente para se adequar às mudanças na organização e às novas ameaças. É importante também definir quem é responsável por criar, aprovar e auditar essas políticas, garantindo que haja accountability.

Um exemplo de política de segurança seria: "Permitir acesso à internet apenas para os funcionários do departamento de marketing, bloqueando qualquer outro acesso externo". Essa política deve ser traduzida em regras específicas no firewall ou roteador, como uma ACL que permita tráfego originado da sub-rede do marketing e negue todo o restante.

! Exemplo de política de segurança em um roteador Cisco
! Permitir apenas tráfego da rede 192.168.10.0/24 para a internet
access-list 101 permit ip 192.168.10.0 0.0.0.255 any
access-list 101 deny ip any any
interface GigabitEthernet0/0
 ip access-group 101 out

É essencial que as políticas sejam documentadas e comunicadas a toda a equipe de TI. Além disso, devem ser testadas em um ambiente controlado antes de serem implementadas em produção, para evitar interrupções no serviço ou brechas de segurança.

ACL

Listas de Controle de Acesso (ACLs) são um mecanismo usado em roteadores e firewalls para filtrar tráfego com base em critérios como endereço IP de origem/destino, porta, protocolo, entre outros. As ACLs são processadas sequencialmente: cada pacote é comparado com as regras na ordem em que aparecem na lista; a primeira regra que corresponder determina a ação (permitir ou negar). Por isso, a ordem das regras é crítica.

Existem dois tipos principais de ACLs: padrão e estendida. As ACLs padrão filtram apenas pelo endereço IP de origem, enquanto as estendidas permitem filtrar por endereços IP de origem e destino, protocolos e portas. As ACLs estendidas são mais flexíveis e comumente usadas em firewalls. As ACLs podem ser aplicadas a interfaces de entrada ou saída, dependendo da direção do tráfego que se deseja controlar.

Um erro comum é não incluir regras explícitas de negação no final da ACL. Sem uma negação explícita, o tráfego que não corresponde a nenhuma regra é permitido por padrão (em alguns dispositivos). Para segurança, sempre adicione uma negação implícita no final (deny ip any any) para bloquear qualquer tráfego não autorizado.

! Exemplo de ACL estendida em um roteador Cisco
! Permitir HTTP e HTTPS para o servidor web 192.168.1.10
access-list 110 permit tcp any host 192.168.1.10 eq 80
access-list 110 permit tcp any host 192.168.1.10 eq 443
access-list 110 deny ip any any
interface GigabitEthernet0/1
 ip access-group 110 in

As ACLs também podem ser usadas para limitar o acesso a serviços administrativos do próprio roteador, como SSH e SNMP, restringindo os endereços IP que podem gerenciar o dispositivo. Isso reduz a superfície de ataque.

NAT

Network Address Translation (NAT) é um mecanismo que traduz endereços IP privados em endereços públicos ou vice-versa. Ele é amplamente usado para permitir que dispositivos com endereços privados acessem a internet, além de adicionar uma camada de proteção, pois esconde a estrutura interna da rede. O NAT pode ser estático (um-para-um), dinâmico (vários para vários) ou PAT (Port Address Translation), que permite que muitos dispositivos compartilhem um único endereço IP público usando portas diferentes.

Em termos de segurança, o NAT ajuda a proteger os hosts internos, pois eles não são diretamente acessíveis a partir da internet. No entanto, o NAT não é uma solução de segurança completa; ele não substitui um firewall. Por exemplo, o NAT não inspeciona o conteúdo dos pacotes e pode permitir tráfego malicioso se as regras de firewall não forem configuradas adequadamente. Além disso, o NAT pode dificultar a auditoria, pois os logs de conexão mostram apenas o endereço público, não o endereço interno original.

A configuração de NAT varia conforme o fabricante. Em roteadores Cisco, por exemplo, é necessário definir quais interfaces são internas (inside) e externas (outside), e então criar regras de tradução.

! Exemplo de NAT dinâmico com PAT em roteador Cisco
! Define as interfaces
interface GigabitEthernet0/0
 ip nat inside
! interface GigabitEthernet0/1
 ip nat outside
! Cria uma ACL para permitir o tráfego da rede interna
access-list 1 permit 192.168.0.0 0.0.255.255
! Define o pool de endereços públicos (ou usa a interface)
ip nat pool PUBLICO 200.1.1.1 200.1.1.10 netmask 255.255.255.240
! Configura NAT dinâmico com overload (PAT)
ip nat inside source list 1 pool PUBLICO overload

Ao implementar NAT, é importante considerar a segurança de serviços que precisam ser acessados externamente, como servidores web. Para isso, o NAT estático (ou port forwarding) é utilizado para redirecionar o tráfego de uma porta específica do IP público para um host interno.

Logging

Logging é o processo de registrar eventos relacionados à segurança e ao funcionamento do roteador ou firewall. Esses logs são essenciais para detectar tentativas de intrusão, diagnosticar problemas e realizar auditorias. Sem logs, é impossível saber o que está acontecendo na rede e responder a incidentes de segurança de forma eficaz.

Os logs podem ser armazenados localmente no dispositivo ou enviados para um servidor central de logs (como um SIEM - Security Information and Event Management). O envio para um servidor central é recomendado, pois os dispositivos de rede têm capacidade de armazenamento limitada e os logs podem ser sobrescritos. Além disso, um servidor central permite análise correlacionada de eventos de múltiplos dispositivos.

Para que os logs sejam úteis, é importante configurar o nível de severidade adequado (por exemplo, apenas erros ou também informações) e incluir carimbo de data/hora, endereços IP de origem e destino, portas, e a ação tomada (permitir/negar). Em roteadores Cisco, é possível configurar o logging para console, terminal virtual, buffer ou servidor syslog.

! Configuração de logging em roteador Cisco
! Habilita logging para servidor syslog
logging host 192.168.1.100
! Define o nível de severidade (informational)
logging trap informational
! Habilita timestamps para os logs
service timestamps log datetime msec
! Envia logs para o buffer local (opcional)
logging buffered 4096

Além de configurar o logging, é fundamental revisar os logs regularmente e configurar alertas para eventos críticos, como múltiplas tentativas de acesso negado. Isso pode ser feito no SIEM, que pode gerar notificações por e-mail ou mensagem. O logging também deve ser protegido, pois os logs podem conter informações sensíveis; o acesso a eles deve ser restrito a pessoal autorizado.

Boas Práticas e Observações Finais

Para garantir a segurança de roteadores e firewalls, algumas práticas recomendadas incluem: manter os dispositivos atualizados com patches de segurança, desabilitar serviços desnecessários, usar autenticação forte para acesso administrativo (como SSH em vez de Telnet), e implementar o princípio do menor privilégio em todas as configurações. Além disso, é crucial ter um processo de revisão periódica das políticas e ACLs, bem como monitorar os logs de forma contínua.

Outra recomendação é segmentar a rede em zonas de segurança (como DMZ, rede interna, rede de convidados) e aplicar políticas diferentes para cada zona. Isso limita o impacto de uma possível violação. Por fim, documente toda a configuração e mantenha um plano de resposta a incidentes para agir rapidamente em caso de ataques.

Referências

Exercícios

  1. Explique a diferença entre ACL padrão e ACL estendida, e dê um exemplo de uso para cada uma.

    2. ✓ Resposta: ACL padrão filtra apenas pelo endereço IP de origem, enquanto ACL estendida pode filtrar por IP de origem e destino, protocolo e portas. Exemplo de ACL padrão: permitir apenas tráfego da rede 192.168.1.0/24. Exemplo de ACL estendida: permitir HTTP (porta 80) para um servidor específico.
  2. Qual é a diferença entre NAT estático, dinâmico e PAT? Em que cenário cada um é mais adequado?

    3. ✓ Resposta: NAT estático mapeia um IP privado para um IP público fixo, usado para servidores acessíveis externamente. NAT dinâmico mapeia IPs privados para um pool de IPs públicos, usado quando há mais IPs privados que públicos. PAT (Port Address Translation) permite que vários dispositivos usem um único IP público com portas diferentes, usado para acesso à internet de muitos dispositivos.
  3. Por que é importante configurar logging em um roteador ou firewall? Cite pelo menos três benefícios.

    4. ✓ Resposta: Logging é importante para: 1) detectar tentativas de intrusão; 2) diagnosticar problemas de rede; 3) realizar auditorias de segurança e conformidade.
  4. Descreva um cenário onde uma ACL mal configurada pode causar uma falha de segurança. Como evitar isso?

    5. ✓ Resposta: Exemplo: uma ACL que permite tráfego de qualquer origem para o servidor de banco de dados na porta 3306, sem restringir IPs, expõe o banco à rede externa. Para evitar, deve-se especificar origens confiáveis, adicionar regras de negação implícitas e testar a ACL antes de aplicar.
  5. Qual é a diferença entre logging local e logging remoto (syslog)? Por que o logging remoto é recomendado?

    6. ✓ Resposta: Logging local armazena os logs no próprio dispositivo, enquanto o remoto envia para um servidor central via syslog. O remoto é recomendado porque os dispositivos têm armazenamento limitado, os logs podem ser perdidos em caso de falha, e um servidor central permite análise e correlação de eventos de vários dispositivos.