Filtro de navegação: menos sobre produtividade, mais sobre segurança

Filtro de navegação carrega uma fama ruim, e em parte merecida: muita implantação começa com uma lista de sites bloqueados feita no susto, gera reclamação, e termina desligada em duas semanas. Mas o filtro web bem configurado não é sobre impedir que as pessoas percam tempo — é sobre reduzir a superfície de ataque. Phishing e malware chegam, na esmagadora maioria das vezes, por um clique em um link.

Categorização: como o FortiGuard classifica a web

O FortiGate não trabalha com uma lista de sites mantida por você. Ele consulta a base do FortiGuard, que classifica dezenas de milhões de domínios em categorias — notícias, redes sociais, comércio, jogos, conteúdo adulto, malware, phishing, proxies, e assim por diante.

Sua política é escrita sobre categorias, não sobre endereços:

config webfilter profile
    edit "corporativo"
        config ftgd-wf
            config filters
                edit 1
                    set category 26
                    set action block
                next
                edit 2
                    set category 61 83
                    set action block
                next
                edit 3
                    set category 37
                    set action warning
                    set warning-duration 300
                next
            end
        end
        set log-all-url enable
        set web-filter-command-block enable
    next
end

Repare na terceira entrada. Em vez de bloquear, ela avisa: o usuário vê uma tela explicando que aquela categoria não é apropriada para uso corporativo e pode escolher prosseguir, com o acesso registrado. Para categorias de produtividade — e não de segurança —, essa abordagem resolve o problema sem criar atrito. A maior parte das pessoas simplesmente volta.

As categorias que ninguém deveria discutir

Algumas classificações existem puramente para proteger, e bloquear todas elas não gera reclamação legítima:

• Malware e phishing — o motivo principal de ter filtro;
• Botnet e C&C — se uma estação tenta acessar um servidor de comando e controle, ela já está comprometida. O bloqueio corta a comunicação e o registro te avisa;
• Proxies e anonimizadores — existem para burlar exatamente a política que você está implantando;
• Domínios recém-registrados — campanhas de phishing usam domínios criados horas antes. Bloquear domínios com menos de 30 dias elimina boa parte delas de uma vez;
• Domínios sem categoria — vale ao menos gerar aviso. Site legítimo de empresa costuma estar classificado.

DNS Filter: barrar antes da conexão existir

É uma camada anterior e complementar. Em vez de inspecionar a requisição HTTP, o DNS Filter atua na resolução do nome: se o domínio é malicioso, ele nem devolve o endereço, e a conexão não chega a ser tentada.

Duas vantagens práticas: funciona para qualquer protocolo, não só navegação — inclusive para malware que se comunica por canais próprios; e é muito barato em processamento, porque analisa uma consulta DNS em vez de um fluxo inteiro.

Junto com ele, force que todas as consultas DNS da rede passem pelo firewall. Malware costuma usar servidores DNS próprios justamente para escapar desse controle.

Perfis diferentes para públicos diferentes

Uma política única para a empresa inteira é o caminho mais curto para o desgaste. O comercial precisa de redes sociais; o financeiro não deveria abrir anexo de remetente desconhecido; a rede de visitantes não deveria alcançar coisa alguma da rede interna.

Com integração ao Active Directory, esses perfis seguem o usuário e não o computador — o que resolve o caso do funcionário que senta em outra mesa ou usa notebook compartilhado.

Duas coisas que precisam ser combinadas antes

Filtro de navegação envolve decisões que não são técnicas, e ignorar isso cria problema.

A primeira é transparência: os colaboradores precisam saber que a navegação corporativa é filtrada e registrada, preferencialmente por política de uso assinada. Isso não é burocracia — é o que dá respaldo ao registro e evita discussão futura.

A segunda é quem decide. A TI define o bloqueio de malware e phishing; o que fazer com redes sociais e streaming é decisão da diretoria e do RH. Quando a TI decide sozinha, ela vira a vilã de uma escolha que não era dela.

Sobre HTTPS, mais uma vez

Com certificate inspection, o filtro enxerga o nome do site e consegue categorizar — o que já cobre a maior parte do valor do recurso, sem instalar certificado em estação alguma. É um excelente ponto de partida.

Com deep inspection, ele passa a enxergar a URL completa e o conteúdo, o que permite bloquear páginas específicas dentro de um site permitido e detectar phishing hospedado em domínio legítimo. Exige o preparo descrito no artigo sobre antivírus e controle de aplicação.

O relatório que vale a reunião

Os registros do filtro respondem a perguntas concretas: quantas tentativas de acesso a phishing foram bloqueadas no mês, quais máquinas tentaram falar com servidores de comando e controle, quais categorias consomem mais banda.

O primeiro número é o que justifica o investimento em linguagem de diretoria. O segundo é o mais importante para a TI: máquina tentando acessar botnet é chamado imediato, não estatística — significa que já existe algo rodando ali dentro.

A TRIAT implanta filtro web e DNS Filter Fortinet com perfis por setor, constrói as exceções a partir do tráfego real e entrega o relatório mensal com o que foi bloqueado e o que exige ação.