Boas práticas de firewall não são receitas universais, mas princípios que se adaptam a cada ambiente. Quando aplicadas com consistência, elas eliminam a maior parte das exposições evitáveis e tornam a operação mais previsível.
Este guia organiza essas práticas em torno de quatro ideias centrais: negar por padrão, controlar o que entra e o que sai, segmentar e manter governança sobre as regras.
Negar por padrão e liberar com critério
O princípio deny by default define que tudo é bloqueado, exceto o que for explicitamente permitido. Cada liberação deve ter propósito claro, escopo restrito e responsável identificado. Regras amplas, criadas para resolver um problema rápido, tendem a permanecer e ampliar a superfície de ataque.
Controlar entrada e saída
Muitos ambientes controlam bem o tráfego de entrada e esquecem o de saída. O controle de saída ajuda a limitar a comunicação de malware com a internet e a dificultar exfiltração de dados. Ele precisa ser desenhado para não atrapalhar a operação legítima, liberando os destinos e protocolos realmente necessários.
Segmentar para conter incidentes
A segmentação limita a movimentação lateral. Se um host for comprometido, regras entre segmentos impedem que o invasor alcance servidores, backups e ambientes sensíveis livremente. Servidores, estações, visitantes e dispositivos de borda devem viver em zonas distintas.
Governança das regras
Boas práticas
- Documente cada regra com propósito, responsável e data de revisão.
- Use aliases ou grupos para manter o conjunto legível.
- Adote controle de mudanças para liberações de acesso.
- Versione a configuração e registre alterações.
Riscos de não seguir boas práticas
Atenção
- Acúmulo de regras obsoletas que ninguém entende.
- Serviços expostos sem necessidade real.
- Falta de visibilidade por ausência de logs.
- Dependência de conhecimento individual, sem documentação.
Revisão periódica
Boas práticas só se sustentam com revisão. Periodicamente, vale conferir regras ativas, remover exceções esquecidas, validar o que está exposto e confirmar que a documentação reflete a realidade. A frequência depende do ritmo de mudanças do ambiente.
Erros que devem ser evitados
Atenção
- Liberar amplo para acelerar entregas e nunca revisar.
- Confiar apenas no firewall e ignorar outras camadas.
- Deixar a interface administrativa acessível além do necessário.
- Aplicar uma configuração padrão sem considerar o desenho da rede.
Quando buscar apoio especializado
Se o conjunto de regras cresceu sem controle, uma revisão de firewall estruturada ajuda a reorganizar e reduzir riscos. A OpenSourceBrasil atua com consultoria pfSense para empresas e segurança de redes corporativas, sempre adaptando as práticas ao contexto de cada cliente.
Fontes e documentação de referência
- Netgate: Firewall Rule Basics e metodologia de regrasMetodologia de regras que sustenta a recomendação de negar por padrão.
- Netgate: Floating RulesOnde regras flutuantes quebram a expectativa da política.
- Netgate: logs do sistemaRegistro de bloqueios como parte da política, não como extra.
Sobre o autor
Cesar Gargiulo
Especialista em segurança da informação e infraestrutura de redes
Cesar Gargiulo trabalha com tecnologia desde 2006 e com segurança da informação há mais de uma década. A base da carreira é infraestrutura: data center, rede, servidor e disponibilidade. É a partir dessa base que ele trata firewall, VPN e segmentação, e não como um assunto isolado de produto.
- Pós-graduação em Offensive Cyber Security (Red Team Operations), FIAP
- MBA em Governança Estratégica de TI, FHO Uniararas
- Fundador da GUARDIASEC, GUARDIASEC LTDA
- Cisco CCNA e certificações de pentest