Firewall, IDS/IPS, VPN e MFA: o que cada um faz

Quando a prova pergunta “qual ferramenta bloqueia isto?”, a resposta depende de entender o que cada tecnologia faz e onde se posiciona. Este guia separa as defesas mais cobradas de segurança em redes e mostra as diferenças que as bancas exploram. Para ameaças e golpes, veja segurança da informação: ameaças, malware e golpes digitais; para criptografia, chaves simétrica e assimétrica.

O objetivo: proteger confidencialidade, integridade e disponibilidade

Toda defesa visa preservar algum destes pilares:

Confidencialidade: só quem tem autorização acessa a informação.
Integridade: a informação não é alterada indevidamente.
Disponibilidade: o serviço está acessível quando necessário.

Muitas questões pedem que você ligue uma ferramenta ao pilar que ela protege.

Firewall

O firewall controla o tráfego entre redes com base em regras, normalmente entre a rede interna e a internet. Tipos clássicos:

Filtro de pacotes (sem estado): decide pacote a pacote, olhando endereços IP, portas e protocolo.
Firewall com inspeção de estado (stateful): acompanha as conexões e aceita respostas só a conexões iniciadas de dentro.
Firewall de aplicação / proxy: entende o conteúdo de protocolos específicos (por exemplo, HTTP) e pode filtrar por URL ou conteúdo.
NGFW (firewall de nova geração): combina filtragem por estado com identificação de aplicações e usuários e recursos de prevenção de intrusão.

Ponto de prova: o firewall não substitui antivírus nem impede ataque que vem por tráfego permitido (por exemplo, um anexo malicioso em e-mail autorizado). Ele reduz a superfície de ataque, mas não elimina riscos.

WAF e DMZ

WAF (Web Application Firewall): protege aplicações web contra ataques ao nível do protocolo HTTP, como injeção de comandos SQL e cross-site scripting.
DMZ (zona desmilitarizada): segmento intermediário onde ficam servidores que precisam ser acessados de fora (web, e-mail), isolados da rede interna. Se um servidor da DMZ for comprometido, o atacante ainda enfrenta outra barreira antes de chegar à rede interna.

Proxy

O proxy é um intermediário: o cliente faz o pedido ao proxy, que o repassa ao destino. Usos: filtrar acesso a sites, guardar cópias (cache) para acelerar acessos repetidos e registrar o uso. O proxy reverso fica diante dos servidores e recebe as requisições vindas de fora, protegendo e distribuindo a carga.

IDS e IPS

	IDS	IPS
Sigla	Sistema de Detecção de Intrusão	Sistema de Prevenção de Intrusão
Ação	detecta e alerta	detecta e bloqueia
Posição típica	observa uma cópia do tráfego	fica em linha no caminho do tráfego
Risco	só avisa, não impede	pode bloquear tráfego legítimo (falso positivo)

Métodos de detecção:

Por assinatura: compara com padrões conhecidos de ataque. Rápido e preciso para ameaças conhecidas, mas não detecta ataques novos.
Por anomalia (comportamento): aprende o que é normal e alerta sobre o que foge do padrão. Detecta ameaças novas, com mais falsos positivos.

Pegadinha frequente: dizer que o IDS “bloqueia” o ataque. Quem bloqueia, em princípio, é o IPS.

VPN

Uma VPN (rede privada virtual) cria um túnel criptografado sobre uma rede pública, como a internet. Efeitos: protege a confidencialidade e a integridade dos dados em trânsito e autentica as pontas. Usos: acesso remoto de servidores ao ambiente do órgão e ligação segura entre unidades. Variações: VPN baseada em IPsec e VPN que usa SSL/TLS (acessível pelo navegador).

Cuidados de leitura: a VPN não protege contra um malware já presente no computador, nem torna o usuário “anônimo” para o serviço em que ele se autentica.

Antivírus e EDR

O antivírus procura programas maliciosos por assinatura e por comportamento (heurística) e deve estar atualizado, pois novas ameaças surgem o tempo todo. Soluções de EDR monitoram e respondem a atividades suspeitas nos dispositivos finais, indo além da análise de arquivos. Nenhuma ferramenta detecta tudo: por isso se fala em defesa em camadas.

Autenticação e MFA

Autenticar é provar quem você é. Os fatores de autenticação são de três tipos:

Fator	O que é	Exemplos
Conhecimento	algo que você sabe	senha, PIN
Posse	algo que você tem	celular com aplicativo gerador de códigos, token, cartão
Inerência	algo que você é	digital, face, íris

A autenticação multifator (MFA) exige dois ou mais fatores de tipos diferentes. Exemplos:

Senha + código gerado no celular: MFA (conhecimento + posse).
Senha + digital: MFA (conhecimento + inerência).
Senha + pergunta secreta: não é MFA, porque ambos são conhecimento.
Duas senhas diferentes: também não.

A MFA reduz o risco quando a senha vaza, porque o segundo fator ainda é exigido. Isso não elimina golpes em que a vítima é induzida a entregar o código (engenharia social).

Termos relacionados:

Autenticação: confirmar a identidade.
Autorização: definir o que a identidade autenticada pode fazer.
Auditoria (accounting): registrar o que foi feito. Fecha o trio autenticação, autorização e auditoria.
SSO (single sign-on): um único login que dá acesso a vários sistemas.
Princípio do menor privilégio: cada usuário recebe só as permissões necessárias à função. Veja também controle de acesso e medidas de segurança.

Boas práticas de senha

Senhas longas e únicas por serviço são mais seguras que senhas curtas e complexas reaproveitadas.
Um gerenciador de senhas ajuda a manter senhas únicas.
Não compartilhe senhas nem códigos de verificação.
Sistemas bem projetados armazenam apenas um hash da senha (com salt), e não a senha em texto, de modo que nem o administrador a conhece.

Quadro-resumo

Se o enunciado diz…	Pense em…
“controla o tráfego por regras entre redes”	firewall
“protege aplicação web contra injeção de SQL”	WAF
“servidores públicos isolados da rede interna”	DMZ
“detecta e alerta”	IDS
“detecta e bloqueia, em linha”	IPS
“túnel criptografado pela internet”	VPN
“dois fatores de tipos diferentes”	MFA
“um login para vários sistemas”	SSO

Erros comuns

Confundir IDS com IPS.
Achar que a VPN protege o computador contra vírus.
Contar senha e pergunta secreta como dois fatores.
Dizer que o firewall dispensa o antivírus.
Esquecer que defesa em camadas combina várias medidas, e nenhuma é infalível.

Próximos passos

Revise ameaças em segurança da informação: ameaças, malware e golpes digitais.
Faça cópias de segurança com backup completo, incremental e diferencial.
Entenda onde as defesas atuam em modelo OSI e TCP/IP.

Fontes e atualização

Edital do TRT 10 (Cebraspe): o conteúdo de Tecnologia da Informação lista firewall, WAF, IDS/IPS, VPN, antivírus, controle de acesso e autenticação baseada em múltiplos fatores.
Edital do TRF 1 (FGV): o conteúdo de TI lista firewall, proxy, IDS/IPS, gateway VPN, DMZ, antivírus e autenticação multifator.

Os conceitos foram conferidos; produtos e arquiteturas mudam. Confira o que o edital do seu concurso pede.