Políticas de firewall: 10 boas práticas para empresas no Brasil
Firewall bom, mal configurado, protege menos do que um antivírus grátis. Estas dez práticas são o mínimo que auditor de LGPD e ISO 27001 procura no Brasil — e o que a SmartConect aplica em toda entrega.
1. Regra padrão: negar tudo
A última regra da lista deve ser 'deny any any' com log. Só passa o que foi explicitamente autorizado. Se a sua política é 'permitir tudo, bloquear o que der problema', você não tem firewall — tem obstáculo.
2. Segmentar por VLAN e por função
Servidores, estações, câmeras, impressoras, Wi-Fi de visitantes e IoT em VLANs diferentes, com firewall entre elas. Câmera comprometida não pode 'ver' o servidor de arquivos.
3. Regras por usuário do Active Directory
Regras por IP viram bagunça em 6 meses. Regras por grupo de usuário (Financeiro, TI, Terceiros) sobrevivem a rotatividade e a mudanças de endereço.
4. Bloqueio de geolocalização
Bloqueie por default países onde sua empresa não opera. Grande parte dos ataques vem de faixas de IP conhecidas — Rússia, China, Nigéria.
5. Inspeção HTTPS ativa
Sem SSL inspection, malware moderno passa pelo firewall sem ser visto. Distribua o certificado interno via GPO e ative por default nos grupos gerenciados.
6. Logs centralizados e retidos por 6 meses
Exigência prática de LGPD e ISO 27001. Sem log guardado, você não consegue provar quando ocorreu um incidente.
7. VPN com MFA obrigatório
VPN sem segundo fator é senha vazando dando acesso total à rede interna. MFA por app (Google/Microsoft Authenticator) é o mínimo.
8. Revisão trimestral de regras
Todo trimestre, revise e remova regras órfãs (aplicação que não existe mais, ex-funcionário, projeto encerrado). Firewall entulhado é vulnerabilidade.
9. IPS ativo em modo bloqueio, não só alerta
IPS em modo detect só produz relatório. Coloque em prevent para as categorias críticas: exploit, brute-force, botnet, ransomware.
10. Backup diário da configuração
Configuração do firewall deve ser versionada e copiada offsite. Recuperação em incidente cai de dias para minutos.
Quer implementar isso na sua empresa?
Nosso time desenha a solução, faz o projeto e opera com SLA 99,99% e NOC 24/7.
Perguntas frequentes
Preciso de um analista dedicado para manter isso?+
Não, se contratar firewall gerenciado. O provedor cuida do tuning, das revisões e das atualizações, e você recebe relatório mensal.
Segmentar por VLAN atrapalha a produtividade?+
Não, se as regras entre VLANs forem bem desenhadas. O usuário nem percebe — só o atacante que pretendia se mover lateralmente.
SSL inspection é legal pela LGPD?+
Sim, em dispositivos corporativos, desde que a política de uso esteja documentada e comunicada aos funcionários. Não deve incidir em tráfego pessoal de bancos e saúde — normalmente cria-se exceção.
O que faço se meu firewall atual não suportar essas práticas?+
É sinal para trocar por um NGFW. Firewall UTM antigo trava com SSL inspection ativo e não integra com AD.