FortiGuard: por que a assinatura de segurança não é opcional

Um firewall de próxima geração sem assinaturas atualizadas é um roteador caro. Toda a capacidade de reconhecer malware, tentativa de exploração, site de phishing ou aplicação disfarçada depende de uma base de conhecimento que muda todo dia — porque as ameaças mudam todo dia.

É isso que os serviços do FortiGuard entregam, e é por isso que o equipamento tem preço de compra e custo de assinatura. Ignorar o segundo esvazia o primeiro.

O que cada assinatura alimenta

Não é um contrato único. São serviços separados, e o que você contrata define o que o equipamento consegue fazer:

Repare que filtro web e DNS funcionam por consulta em tempo real: o equipamento pergunta ao serviço a categoria de um domínio no momento do acesso. Se a assinatura vence, essa consulta deixa de ser respondida — e o comportamento do filtro passa a depender do que você configurou como padrão para "não categorizado". Vale conferir esse detalhe antes que ele apareça sozinho.

A janela entre a falha e a correção

Quando uma vulnerabilidade crítica é divulgada, começa uma corrida. De um lado, atacantes automatizam a exploração — historicamente, em questão de horas. Do outro, você precisa aplicar a correção em todos os sistemas afetados, o que envolve testar, agendar janela e, às vezes, esperar o fornecedor do sistema liberar a versão.

Nesse intervalo, o IPS com assinatura atualizada é o que segura. A assinatura chega bem antes de a sua janela de manutenção acontecer, e bloqueia a tentativa de exploração mesmo com o sistema ainda vulnerável.

Atualizar o FortiOS: outra história

As assinaturas chegam sozinhas e sem risco. O firmware é diferente: muda comportamento, ocasionalmente altera sintaxe de configuração e sempre exige reinicialização. Merece processo.

Escolher a versão certa

A Fortinet publica versões em ramos, e nem sempre a mais nova é a indicada. Prefira uma versão madura do ramo — normalmente algumas revisões após o lançamento inicial — em vez da recém-lançada. Leia as notas de versão inteiras, prestando atenção especial em recursos removidos e mudanças de comportamento padrão.

Respeitar o caminho de atualização

Não se salta de qualquer versão para qualquer versão. A Fortinet publica um caminho recomendado, e pular etapas é uma forma conhecida de corromper a configuração. A ferramenta de upgrade path do fabricante indica a sequência correta.

O checklist que evita o pior

1. Backup da configuração antes de qualquer coisa, salvo fora do equipamento;
2. anote a versão atual — você precisa dela para voltar;
3. confira se o hardware suporta a versão de destino; modelos antigos param de receber ramos novos;
4. agende janela real, com aviso. A reinicialização derruba tudo, inclusive os túneis VPN;
5. em cluster de alta disponibilidade, a atualização é feita nó a nó, mas ainda assim haverá interrupção breve;
6. tenha acesso físico ou por console disponível. Se algo der errado com a interface de rede, o acesso remoto some junto.

Deixar atualizar sozinho, ou não?

A resposta é diferente para cada camada:

• Assinaturas: sim, sempre automático. São de baixo risco, não exigem reinicialização e o valor está justamente em chegarem rápido. Desligar isso é abrir mão do produto;
• Firmware: não. Atualização de firmware é evento planejado, com janela, backup e alguém acompanhando.

config system autoupdate schedule
    set status enable
    set frequency automatic
end

config system central-management
    set include-default-servers enable
end

Verificar que está mesmo funcionando

Assinatura vencida não apaga o equipamento nem acende alarme vermelho. Ele continua roteando, e o problema fica invisível até um incidente. Confira periodicamente:

get system status
diagnose autoupdate versions
diagnose autoupdate status

O diagnose autoupdate versions mostra a data de cada base — antivírus, IPS, controle de aplicação. Se alguma estiver com semanas de atraso, algo está errado: contrato vencido, bloqueio de saída para os servidores do FortiGuard ou DNS falhando.

O que fazer no dia de uma vulnerabilidade crítica

Quando sai um alerta grave, a sequência que funciona é esta:

1. confirme se o equipamento e a versão em uso estão na lista de afetados;
2. verifique se a base de IPS está atualizada e se existe assinatura para a falha;
3. aplique as mitigações recomendadas — normalmente restringir o acesso administrativo e desabilitar um serviço específico;
4. programe a atualização de firmware com prioridade, mas com o mesmo checklist de sempre;
5. revise os registros procurando tentativas anteriores ao alerta. Falha crítica costuma ser explorada antes de ser divulgada.

Esse último passo é frequentemente pulado, e é o que responde à pergunta que mais importa: "isso já aconteceu com a gente?".

O contrato é parte da proteção

Vale dizer sem rodeio: um FortiGate com contrato vencido protege muito menos do que o mesmo equipamento com contrato ativo, e a diferença não é visível na interface. É o tipo de economia que só aparece no pior dia.

A TRIAT acompanha vencimento de contrato, atualização de assinaturas e janela de firmware como parte do serviço gerenciado, com alerta antecipado — para que a proteção que você contratou continue existindo depois do primeiro ano.