IPS no FortiGate: barrando o ataque na porta que precisa ficar aberta

Firewall bloqueia o que não deveria estar aberto. Mas e o que precisa estar aberto? Seu servidor web atende na porta 443 porque essa é a função dele. O atacante não vai tentar derrubar a porta — vai entrar pela porta que já está aberta, explorando uma falha na aplicação que atende ali.

É exatamente essa lacuna que o IPS preenche: ele inspeciona o conteúdo do tráfego permitido, procurando o padrão de uma tentativa de exploração.

IDS, IPS e por que a diferença importa

Os dois analisam o mesmo tráfego. A diferença está no que fazem depois:

• IDS (detecção) observa e alerta. O ataque acontece; você fica sabendo;
• IPS (prevenção) fica no caminho do tráfego e corta a conexão antes de o pacote chegar ao destino.

No FortiGate, o IPS opera em linha por padrão. Ele decide em milissegundos, o que traz uma consequência importante: um falso positivo derruba tráfego legítimo. Por isso a implantação precisa ser feita em etapas, e não com tudo ligado no primeiro dia.

Como o IPS reconhece um ataque

A base é um conjunto de assinaturas mantido pelo FortiGuard, o laboratório de pesquisa da Fortinet. Cada assinatura descreve o padrão de uma tentativa de exploração de uma vulnerabilidade específica — não do arquivo do malware, mas do comportamento da exploração.

Essa distinção é o que torna o IPS valioso. Uma assinatura para uma falha conhecida do Apache detecta qualquer ferramenta que tente explorá-la, inclusive uma escrita ontem. Ela protege a versão vulnerável do software enquanto você não consegue atualizar — e "não consigo atualizar agora" é a realidade de muito sistema legado.

Montando um sensor que faz sentido

Ligar todas as assinaturas existentes é a receita para lentidão e falso positivo. O sensor deve refletir o que você realmente tem na rede.

config ips sensor
    edit "servidores-web"
        config entries
            edit 1
                set severity high critical
                set status enable
                set action block
                set log enable
                set log-packet enable
            next
            edit 2
                set application Apache Nginx PHP MySQL
                set status enable
                set action block
            next
            edit 3
                set severity medium
                set status enable
                set action pass
                set log enable
            next
        end
    next
end

A lógica em três camadas: bloquear tudo que é crítico ou alto; bloquear o que atinge especificamente o software que você roda; e apenas registrar o que é de severidade média, para revisar depois sem correr risco de derrubar serviço.

A implantação em três fases

Esta é a parte que separa uma instalação que protege de uma que é desligada no terceiro dia.

Fase 1 — só observar (duas semanas)

Todas as assinaturas com ação pass e log habilitado. O IPS não bloqueia nada, só registra. Ao fim, você tem o retrato do que realmente acontece na sua rede.

Fase 2 — revisar o que apareceu

Analise os registros e separe em três grupos: ataques reais (a maior parte vem da internet, varrendo tudo o tempo todo), falsos positivos, e comportamento interno estranho que ninguém sabia que existia — costuma ser um sistema antigo fazendo algo de forma pouco ortodoxa.

Para os falsos positivos, crie exceções por assinatura e por origem, nunca desligando a assinatura inteira:

config ips sensor
    edit "servidores-web"
        config entries
            edit 10
                set rule 12345
                set status enable
                set action pass
                set exempt-ip
                    edit 1
                        set src-ip 192.168.10.50 255.255.255.255
                    next
                end
            next
        end
    next
end

Fase 3 — bloquear, por camadas

Comece bloqueando severidade crítica e alta. Acompanhe por uma semana. Depois avance para média nos segmentos onde faz sentido. Tenha alguém de plantão nas primeiras 48 horas de cada etapa.

Onde posicionar o IPS

Erro comum: aplicar IPS somente na política de saída para a internet. Isso protege contra o que vem de fora, mas ignora o movimento lateral — o atacante que já entrou e se espalha internamente.

Distribua conforme o sentido do tráfego:

• Internet → DMZ: sensor rigoroso, focado no software que os servidores publicados executam;
• Internet → interna: bloqueio de crítico e alto;
• Interna → DMZ: sim, também aqui. Estação comprometida atacando o servidor interno é cenário comum;
• Entre VLANs: é o que transforma segmentação em contenção de verdade.

O custo em desempenho

IPS consome recurso, e ignorar isso leva a firewall saturado. O impacto depende de quantas assinaturas estão ativas e se há inspeção profunda de HTTPS junto.

Duas recomendações práticas: dimensione pelo número de Threat Protection da folha de especificação, não pelo de firewall puro; e mantenha sensores enxutos, específicos por segmento, em vez de um sensor gigante aplicado a tudo.

Só serve se alguém olhar

Um IPS bloqueando em silêncio protege, mas não informa. Os registros contam coisas que mudam decisões:

• um pico de tentativas contra um serviço específico indica campanha em andamento contra aquela vulnerabilidade;
• tentativas partindo de um IP interno são um alerta de máquina comprometida, e devem gerar chamado imediato;
• a mesma assinatura disparando sempre no mesmo horário costuma ser um sistema interno mal configurado, não um ataque.

Envie esses eventos para o sistema de alertas que a equipe já acompanha. IPS cujo relatório ninguém abre acaba virando uma linha de custo sem retorno visível.

A TRIAT implanta IPS Fortinet com esse processo em fases, ajusta os sensores ao que existe na sua rede e integra os eventos ao monitoramento 24/7 — para que bloqueio relevante vire chamado, e não uma linha perdida em um relatório mensal.