Ninguém sabe o que cada regra faz
Regras sem comentário viram intocáveis, porque ninguém tem coragem de tirar o que não entende.
Segurança e DDoS · Provedores
Revisão de firewall para provedores
Cada regra da borda, do concentrador e da gerência lida, explicada e mantida só se tiver motivo, com o que está exposto conferido de fora.
- Regra por regra, com contador de uso
- Varredura externa de antes e depois
- Cada regra mantida com comentário
Revisão de firewall é conferir, regra por regra, o que os filtros da borda, dos concentradores e da gerência deixam passar, tirar o que sobra e fechar o que falta. É para o provedor com regras acumuladas por técnicos diferentes ou que nunca testou de fora o que está exposto. O resultado é uma configuração limpa, com cada regra comentada e um relatório de achados por prioridade.
O que é revisão de firewall
É uma auditoria das regras de filtragem da rede, seguida da correção em janela. Em provedor, o firewall protege os equipamentos e a rede, não controla a navegação do assinante.
O firewall de um provedor raramente é uma caixa só: são filtros no roteador de borda, no concentrador PPPoE, no CGNAT e nos servidores. Cada técnico que passou deixou regras, e poucas foram retiradas.
A revisão deixa claro o papel de cada filtro. Eles protegem a infraestrutura de acesso indevido e de pacotes falsificados, mas não seguram um ataque DDoS volumétrico, que lota o link antes de chegar até eles.
Os contadores de cada regra e os fluxos de NetFlow mostram o que é usado de verdade. A revisão olha quatro conjuntos de regras:
Borda
Antispoofing, descarte de endereços reservados, portas de amplificação e proteção da CPU do roteador.
Concentrador e CGNAT
Regras de entrada e saída dos assinantes, bloqueios de portas usadas em spam e ataque, e exceções documentadas.
Gerência
Quem alcança SSH, Winbox, SNMP e as páginas web dos equipamentos, e a partir de quais redes.
Servidores
RADIUS, DNS, sistemas de gestão e monitoramento com só as portas necessárias abertas.
Quando você precisa de revisão de firewall
Seis sinais de que as regras deixaram de proteger. Se um deles é o seu caso, a revisão vem antes da próxima mudança.
Liberação provisória que ficou
A porta aberta para um teste de fornecedor três anos atrás continua lá, para qualquer origem.
Técnico saiu e deixou acessos
IP de casa ou de empresa antiga liberado na gerência continua entrando até alguém perceber.
Gerência respondendo para fora
Se uma varredura simples acha SSH, Winbox ou SNMP em IP público, a regra que deveria barrar falhou.
Reclamação de spam ou ataque saindo
Tráfego com origem falsa ou da porta 25 saindo da rede mostra que faltam filtros de saída.
Mudança grande na rede
Operadora nova, CGNAT novo ou troca de equipamento deixam regras sem sentido e abrem buracos.
Como funciona a revisão de firewall
São cinco etapas, e as regras só mudam na quarta. Até lá, tudo é leitura, contagem e aprovação por escrito.
Exportação das regras
As regras de cada equipamento exportadas e lidas na ordem em que o equipamento as aplica.
Prazo: [PREENCHER]
Contadores e varredura
Contadores zerados e lidos depois de algumas semanas, mais uma varredura externa de antes.
Período de contagem: [PREENCHER]
Relatório de achados
Cada problema com a correção indicada, separado entre urgente e próxima janela, para você aprovar.
Prazo: [PREENCHER]
Correção em janela
Backup antes, mudança por equipamento e conferência de que serviços e assinantes seguem funcionando.
Duração da janela: [PREENCHER]
Varredura de conferência
Nova varredura externa para provar que o exposto fechou, e configuração comentada entregue.
Prazo: [PREENCHER]
O que está incluído na revisão de firewall
A revisão cobre borda, concentradores, CGNAT, gerência e servidores, com a correção aplicada em janela. O que fica de fora tem página própria.
Incluído
- Exportação e leitura das regras de cada equipamento
- Contadores de uso para achar regras mortas
- Regras sombreadas por outras acima delas
- Varredura externa de antes e depois
- Antispoofing e descarte de endereços reservados
- Portas de amplificação fechadas na borda
- Proteção da CPU dos roteadores
- Comentário em cada regra mantida, com motivo e dono
- Relatório de achados por prioridade
Não incluído
- Compra de firewall ou licença (a Táquion Tech não vende equipamento)
- Busca de falhas conhecidas nos equipamentos, na varredura de vulnerabilidades
- Tentativa autorizada de passar pelas regras, no pentest em infraestrutura de provedor
- Pedidos de liberação tratados todo mês, no serviço gerenciado de firewall
- Fechamento dos serviços do próprio roteador, no hardening de roteadores
Quanto custa a revisão de firewall
O preço depende principalmente de quantos equipamentos têm regras e de quantas regras existem. O valor exato sai por escrito depois da exportação.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Equipamentos com regras | Cada um é exportado, lido e corrigido separadamente | Borda, dois concentradores e o CGNAT |
| Quantidade de regras | Listas longas levam mais leitura e mais contagem | Mais de 300 regras na borda |
| Marcas misturadas | Sintaxe e ordem de aplicação mudam por fabricante | MikroTik na borda e firewall dedicado nos servidores |
| Aplicação das correções | Fazer a correção soma janelas ao relatório | Correção aplicada pela Táquion Tech |
| Documentação existente | Sem nada escrito, descobrir o motivo de cada regra leva mais tempo | Regras sem comentário de vários técnicos |
| Frequência | Revisão anual aproveita o trabalho do ano anterior | Segunda revisão comparando com a primeira |
Faixa de preço para um provedor com borda, concentrador e CGNAT: [PREENCHER faixa aprovada pela Táquion Tech]. A revisão pode ser única ou anual, e a anual parte do relatório anterior.
O que conferir antes de contratar a revisão de firewall
Confira os erros que fazem a revisão quebrar serviço, o que conferir em cada ponto da rede e as normas que as regras devem seguir. Vale para avaliar qualquer fornecedor, inclusive a Táquion Tech.
Erros comuns ao contratar
Cinco falhas que transformam limpeza de regras em reclamação de assinante.
Apagar regra sem olhar contador
Regra sem uso aparente pode servir a um evento raro, como uma rotina mensal de backup. Contadores de algumas semanas vêm antes de remover.
Bloquear portas dos assinantes no atacado
Bloqueio amplo gera reclamação e não protege a rede. Só entram portas com motivo escrito, como a 25 de saída para conter spam.
Ler as regras fora de ordem
Uma regra ampla no topo esconde as de baixo. A revisão lê a lista na mesma ordem em que o equipamento aplica.
Revisar só o IPv4
Regras feitas apenas em IPv4 deixam a mesma porta aberta no endereço IPv6 do equipamento.
Regra sem dono
Cada liberação precisa de quem pediu, por que e até quando. Sem isso, a lista volta a crescer em meses.
Checklist do que conferir
O que uma revisão deve olhar em cada ponto da rede. Peça ao fornecedor o relatório nesses termos.
Na borda
Entrada
Descartar pacotes vindos da internet com origem nos seus blocos ou em faixas reservadas.
Saída
Deixar sair só tráfego com origem nos seus blocos [CONFIRMAR na norma BCP 38].
No concentrador
Portas de amplificação
DNS, NTP, SSDP e memcached de entrada para as CPEs, conforme a política aprovada por você.
Porta 25
Saída bloqueada ou limitada para residenciais, com exceção documentada para quem precisa.
Na gerência
Só a rede de gerência e a VPN alcançam SSH, SNMP e páginas web. Veja a rede de gerência isolada.
Revisão única, anual ou gerenciada
A frequência certa depende de quantas vezes as regras mudam. A tabela ajuda a escolher.
| Opção | Quando escolher | O que entrega |
|---|---|---|
| Revisão única | Regras nunca revisadas ou depois de incidente | Lista limpa e relatório |
| Revisão anual | Rede estável, que muda pouco | Comparação com o ano anterior |
| Firewall gerenciado | Mudanças frequentes e equipe pequena | Pedidos tratados todo mês [CONFIRMAR oferta] |
Sinal de que a revisão anual não basta
Mais de uma liberação por semana ou várias pessoas mexendo nas regras. Nesse ritmo, a lista se desorganiza antes do próximo ano.
Normas e boas práticas
Referências públicas que as regras devem seguir. Peça ao fornecedor que diga quais usa.
BCP 38 e BCP 84
Orientam o filtro de origem na entrada e na saída, inclusive em redes com mais de uma operadora [CONFIRMAR na norma].
RFC 6890
Lista as faixas de endereço de uso especial, que não devem chegar pela borda vindas da internet [CONFIRMAR na norma].
R-Ciber da Anatel
Pede controle de acesso aos equipamentos e registro de incidentes [CONFIRMAR na norma]. Veja a adequação ao R-Ciber.
Por que escolher a Táquion Tech para revisar o firewall
Porque nenhuma regra sai sem prova de que não é usada, e o resultado é conferido de fora. Seis compromissos de toda revisão.
Regra por regra, com contador
Cada remoção tem o contador de uso como prova. Nada sai por achismo.
Contadores anexados ao relatório
Varredura de antes e depois
O que estava exposto e o que fechou, visto de fora da sua rede.
Duas varreduras externas na entrega
Backup e caminho de volta
Cada janela começa com a configuração salva e o comando para desfazer cada bloco de mudanças.
Backup antes de cada janela
Cada regra comentada
Motivo, quem pediu e até quando, escritos na própria configuração.
Configuração comentada entregue
Não vendemos firewall
A revisão usa os equipamentos que você já tem. Troca só é indicada se o atual não aguenta as regras.
Nenhuma marca indicada por comissão
Especialista do começo ao fim
Quem lê as regras é quem escreve o relatório e aplica a correção.
[PREENCHER: anos de experiência da equipe com firewall]
Onde a Táquion Tech revisa firewall
A revisão é remota e atende provedores de todo o Brasil. No litoral de Santa Catarina, o Especialista também acompanha a janela no POP quando você prefere.
Remoto para todo o Brasil
Exportação, contagem, varredura e correção por acesso remoto registrado, em janela combinada.
Presencial no litoral de Santa Catarina
Acompanhamento da janela de correção no POP, com console à mão. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre revisão de firewall
As dúvidas mais comuns antes de mexer nas regras. Se a sua não estiver aqui, pergunte no WhatsApp.
Com que frequência revisar o firewall?
Pelo menos uma vez por ano e depois de mudanças grandes, como operadora nova, CGNAT novo ou troca de equipamento. Com liberações toda semana, o ritmo precisa ser maior.
Quanto custa a revisão de firewall?
Depende do número de equipamentos e de regras. A faixa é [PREENCHER], e o valor exato sai depois da exportação das regras.
Quanto tempo leva?
O prazo típico é [PREENCHER], contando o período de contagem de uso das regras. A correção em si cabe em poucas janelas.
Provedor deve bloquear portas dos assinantes?
Só em casos bem definidos, como portas usadas em amplificação e a 25 para spam. Bloqueio amplo gera reclamação e não protege a rede.
O que é filtro de origem falsa?
É impedir que saia da sua rede tráfego com endereço de origem que não é seu. Assim, assinantes infectados não participam de ataques com origem falsificada.
Como saber o que está exposto na minha rede?
Com uma varredura feita de fora, que lista as portas e os serviços que respondem em cada endereço público. A revisão inclui uma antes e outra depois da correção.
A revisão pode derrubar algum serviço?
O risco existe quando se remove regra em uso, por isso nada sai sem contador e tudo muda em janela com backup. Os serviços principais são testados ao fim de cada janela.
O firewall segura ataque DDoS?
Não o volumétrico, que lota o link antes de chegar às regras. Para esse, existe a implantação de mitigação de DDoS.
Como escolher uma empresa de revisão de firewall?
Pergunte se ela usa contadores antes de remover, se faz varredura de antes e depois e se comenta cada regra. Use os erros comuns desta página como roteiro.
Vocês aplicam as correções ou só entregam o relatório?
Você escolhe. O relatório traz a correção de cada achado para a sua equipe aplicar, ou a Táquion Tech aplica em janela combinada, e isso muda o valor da proposta.
Serviços relacionados à revisão de firewall
Três serviços que confirmam e completam a revisão. Cada um testa a proteção por um ângulo diferente.
-
Varredura de vulnerabilidades
Busca periódica por falhas conhecidas nos equipamentos expostos.
Ver a varredura de vulnerabilidades -
Pentest em infraestrutura de provedor
Tentativa real e autorizada de passar pelas regras, com relatório do que um invasor alcança.
Ver o pentest em infraestrutura de provedor -
Hardening de roteadores
Serviços do próprio roteador fechados, com gerência restrita e CPU protegida.
Ver o hardening de roteadores
Leia antes de contratar
Três guias sobre o que as regras precisam barrar e o que acontece quando falham.
- Provedor invadido: causas, diagnóstico e quando chamar um Especialista
Os primeiros passos quando alguém passou pelas regras e entrou nos equipamentos.
- IP do provedor em blacklist: causas, diagnóstico e quando chamar um Especialista
Como tráfego saindo sem filtro leva os IPs do provedor para listas de bloqueio.
- Configuração de FlowSpec: guia prático para provedores
Como bloquear ataques de forma dinâmica sem mexer nas regras fixas.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de revisão de firewall
Diga onde estão as regras e quando foram revistas pela última vez. Um Especialista devolve escopo, prazo e valor.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
