Firewall: o que uma pequena empresa realmente precisa proteger?

Muitas pequenas empresas têm um firewall e não sabem. Ele está dentro do roteador fornecido pela operadora, no sistema operacional dos computadores ou no equipamento instalado pelo fornecedor de TI. A questão raramente é ter ou não ter um firewall. É saber o que ele está protegendo, como está configurado e quem cuida dele.

O que um firewall faz, em termos simples

O firewall analisa as conexões de rede e decide quais podem passar. Ele segue regras: permitir o acesso a sites a partir dos computadores internos, por exemplo, e bloquear tentativas de conexão iniciadas por desconhecidos na internet.

Para uma PME, o papel mais importante do firewall é reduzir a superfície de ataque, ou seja, o conjunto de serviços da empresa que ficam visíveis e acessíveis de fora. Tudo o que não precisa estar exposto deve ficar fechado. Cada porta aberta sem necessidade é um ponto a mais que um atacante pode testar.

Firewall de borda e firewall no dispositivo

Há dois tipos que costumam estar presentes em uma pequena empresa:

Firewall de borda

Fica entre a rede do escritório e a internet. Pode ser o próprio roteador ou um equipamento dedicado. Ele protege todos os dispositivos conectados àquela rede ao mesmo tempo.

Firewall de software

Vem embutido no sistema operacional de computadores e notebooks. É ele que protege o equipamento quando está fora do escritório, em casa, em um hotel ou em uma rede pública. Com o trabalho remoto e híbrido, ele passou a ter um papel ainda mais relevante, porque o notebook muitas vezes nem passa pela rede da empresa.

O esquema britânico Cyber Essentials considera os dois tipos e exige que todo dispositivo dentro do escopo esteja protegido por um firewall configurado corretamente, seja o da borda, seja o do próprio equipamento.

O que realmente precisa ser configurado

Um firewall mal configurado pode dar uma falsa sensação de proteção. Os pontos essenciais são poucos e verificáveis:

• Senha de administração forte e exclusiva. A senha padrão do equipamento deve ser trocada. Senhas de fábrica são facilmente encontradas na internet.
• Bloqueio padrão de conexões de entrada. Nada que venha da internet deve ser aceito, a não ser que exista uma regra específica e justificada.
• Regras documentadas. Cada liberação precisa ter um motivo registrado e um responsável. Regras antigas, criadas para um sistema que já não existe, devem ser removidas.
• Painel de administração protegido. A interface de gerenciamento não deve ficar acessível pela internet. Se isso for realmente necessário, deve contar com autenticação multifator ou ficar restrita a endereços específicos.
• Firmware atualizado. O próprio equipamento recebe correções de segurança, e elas precisam ser aplicadas, como qualquer outro sistema. Veja por que manter sistemas atualizados é uma medida de segurança.

Situações comuns que merecem atenção

Alguns cenários aparecem com frequência em pequenas empresas e costumam passar despercebidos:

• Acesso remoto aberto diretamente para a internet. Liberar a área de trabalho remota de um servidor para que funcionários acessem de casa é prático, mas expõe o serviço a tentativas constantes de invasão. Soluções com VPN ou acesso intermediado por um serviço seguro, com autenticação multifator, reduzem bastante esse risco.
• Câmeras e gravadores acessíveis de fora. Sistemas de monitoramento frequentemente abrem portas no roteador para permitir a visualização pelo celular, muitas vezes com senhas padrão.
• Regras temporárias que ficaram. Uma liberação feita para um suporte pontual e nunca desfeita.
• Rede de visitantes misturada à rede interna. Separar a rede Wi-Fi de visitantes da rede onde estão os computadores e servidores é uma medida simples e eficaz.

O limite do firewall

O firewall é uma camada importante, mas não resolve tudo. Ele não impede que um funcionário abra um anexo malicioso, não corrige uma senha fraca e não protege um serviço em nuvem acessado diretamente pela internet. Por isso ele faz parte de um conjunto, ao lado da configuração segura, das atualizações, do controle de acesso e da proteção contra malware, como descrito em os cinco controles básicos de cibersegurança.

O objetivo, para uma PME, é que o firewall esteja ativo, configurado com critério e revisado periodicamente. Isso já reduz de forma relevante a exposição da empresa.

Checklist rápido

• A senha padrão do roteador ou firewall foi trocada.
• Conexões de entrada vindas da internet são bloqueadas por padrão.
• Existe uma lista das regras de liberação, com motivo e responsável.
• O painel de administração não está exposto à internet sem proteção adicional.
• O firewall de software está ativo em todos os notebooks e computadores.
• O firmware do equipamento está atualizado.