FortiGate: o que um firewall de próxima geração realmente faz

Muita empresa acha que tem firewall porque tem o roteador do provedor. Aquele equipamento faz NAT e bloqueia porta — o que já foi suficiente em 2005, quando o tráfego malicioso vinha por portas identificáveis. Hoje praticamente tudo passa por 443, criptografado, e distinguir uma videochamada legítima de uma exfiltração de dados exige olhar o conteúdo, não o número da porta.

É essa a diferença entre um firewall tradicional e um NGFW — firewall de próxima geração. O FortiGate é um deles.

A diferença prática

Um firewall tradicional decide com base em quatro informações: origem, destino, porta e protocolo. Um NGFW acrescenta três dimensões que mudam tudo:

• Identidade da aplicação — ele reconhece que aquele tráfego HTTPS é o Dropbox, e não um site qualquer;
• Identidade do usuário — a regra vale para a pessoa, não para o IP da estação, o que sobrevive a DHCP e a notebook que troca de mesa;
• Inspeção de conteúdo — o que trafega é examinado em busca de malware e de padrões de ataque conhecidos.

Como uma política é montada

No FortiOS, o sistema do FortiGate, tudo gira em torno da política de firewall. Cada uma define de onde para onde o tráfego vai, o que é permitido, e — a parte importante — quais perfis de segurança se aplicam.

config firewall policy
    edit 0
        set name "financeiro-para-internet"
        set srcintf "vlan-financeiro"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "horario-comercial"
        set service "ALL"
        set utm-status enable
        set ssl-ssh-profile "certificate-inspection"
        set av-profile "default"
        set ips-sensor "default"
        set application-list "corporativo"
        set webfilter-profile "corporativo"
        set nat enable
        set logtraffic all
    next
end

Repare que a política em si é simples. A inteligência mora nos perfis referenciados por ela — antivírus, IPS, controle de aplicação e filtro web —, que podem ser reaproveitados em quantas políticas você quiser. Ajustar um perfil ajusta todas as regras que o usam.

Os perfis de segurança, um por um

Cada um resolve um problema diferente e vale a pena entender a divisão:

• AntiVirus — inspeciona arquivos em trânsito, bloqueando malware antes de chegar à estação;
• IPS — reconhece tentativas de exploração de vulnerabilidades e corta a conexão. É o assunto do artigo sobre IPS;
• Application Control — identifica e controla aplicações, independentemente da porta usada;
• Web Filter — classifica sites por categoria e aplica a política de navegação;
• DNS Filter — bloqueia domínios maliciosos já na resolução de nome, antes de a conexão existir;
• File Filter — barra tipos de arquivo por extensão e conteúdo real, não só pelo nome;
• DLP — detecta padrões sensíveis saindo da rede, como CPF ou número de cartão.

O problema do tráfego criptografado

Aqui está o ponto que separa uma implantação eficaz de uma decorativa. Se mais de 90% do tráfego é HTTPS e o firewall não consegue olhar dentro dele, antivírus e IPS ficam praticamente cegos.

O FortiGate oferece dois modos:

• Certificate inspection — examina apenas o certificado e o nome do site. Permite categorizar e bloquear por domínio, mas não enxerga o conteúdo. Não quebra nada e é o ponto de partida seguro;
• Deep inspection — o firewall termina a sessão TLS, inspeciona o conteúdo e reabre uma nova sessão até o destino. Enxerga tudo, e é o que dá poder real ao antivírus e ao IPS.

Dimensionar sem se enganar

A tabela de desempenho de qualquer fabricante traz números de throughput bem diferentes conforme o que está ligado. O número grande, de firewall puro, é o que menos importa.

Dimensione pelo número de Threat Protection, considerando o crescimento dos próximos três anos, e com folga se você pretende ligar inspeção profunda. Firewall subdimensionado não trava: ele fica lento, e a reação natural da equipe é desligar as proteções para "resolver a lentidão" — o pior desfecho possível.

O que mais vem junto

Além da inspeção, o FortiGate acumula funções que costumavam exigir caixas separadas:

• VPN site a site e de acesso remoto, com IPsec ou SSL;
• SD-WAN, para usar vários links de internet de forma inteligente;
• VLANs e segmentação, isolando setores dentro da própria rede;
• Alta disponibilidade, com dois equipamentos em cluster;
• VDOMs, que dividem um mesmo appliance em firewalls virtuais independentes.

O erro mais comum

É comprar o equipamento, ligar, deixar tudo em modo monitor e nunca voltar. O FortiGate passa a ser um roteador caro que gera relatório bonito.

Uma implantação que funciona segue outro caminho: liga em monitoramento por duas semanas para entender o tráfego real, revisa o que apareceu, define exceções, e só então passa a bloquear — categoria por categoria, com alguém acompanhando as primeiras reclamações. Depois disso, revisa as regras a cada seis meses, porque a rede muda.

A TRIAT projeta, implanta e monitora Fortinet — do dimensionamento à revisão periódica das políticas, com o firewall integrado ao monitoramento 24/7.