Seu firewall já sabe quem atacou. Por que ele esquece?

Todo firewall guarda um diário de tentativas de ataque. Quem tentou explorar uma falha conhecida, quem varreu as portas, quem insistiu na senha do acesso remoto: está tudo lá, com o endereço de origem, a hora e a gravidade.

E o que acontece com esse diário? Muitas vezes ele enche o disco, alguém configura para apagar o mais antigo, e ele só é aberto depois que alguma coisa dá errado. O firewall barra a tentativa daquele momento e não aprende nada com ela. Se o mesmo endereço tentar de novo na hora seguinte, é tratado como se fosse a primeira vez.

É um desperdício que passa despercebido: você já paga por um equipamento que sabe exatamente quem está atacando, e essa informação vai para o lixo.

Como transformar o log do firewall em bloqueio automático

A ideia é simples, e é isso que ela tem de bom. Um pequeno programa lê o registro de ameaças do próprio firewall em intervalos curtos, separa o que é grave de verdade e anota o endereço de quem atacou numa lista. O firewall consulta essa lista sozinho e passa a recusar qualquer conexão nova daquele endereço.

1. 1 O firewall registra Cada ameaça barrada fica no log, com origem e gravidade.
2. 2 O programa lê Em intervalos curtos, separa só o que é grave.
3. 3 A lista cresce O endereço de quem atacou entra, menos os que nunca podem entrar.
4. 4 O firewall bloqueia Ele consulta a lista sozinho e recusa a próxima tentativa.

O registro que ia para o lixo vira a defesa. O firewall deixa de só anotar quem bateu na porta e passa a lembrar quem não deve mais entrar, de madrugada e no fim de semana também.

Por que essa solução é boa

• Usa o que você já tem. A maioria dos firewalls corporativos sabe importar uma lista de endereços pela rede. Não é um produto novo para comprar: é fazer render o que já está instalado.
• Trabalha sozinha. A lista se atualiza a qualquer hora, inclusive quando não há ninguém olhando. Ataque não escolhe horário comercial.
• É segura por desenho. O programa não mexe nas regras do firewall: só escreve uma lista, e o firewall é quem vai buscá-la. Se o programa parar, o firewall continua com a última lista que recebeu.
• Tudo fica registrado e é reversível. Cada endereço que entra na lista fica anotado, e qualquer um pode ser liberado à mão, na hora.

Quer saber o que o seu firewall está registrando hoje? A revisão do firewall começa por aí.

Os cuidados de uma lista de bloqueio automática

• As exceções vêm primeiro. Os endereços da sua empresa, de quem trabalha de casa e dos fornecedores de que você depende nunca entram na lista, ou um funcionário errando a senha bloqueia o próprio escritório.
• Só entra o que é grave e confiável. Em alguns tipos de tráfego, a origem pode ser falsificada para fazer você bloquear quem precisa.
• Nada fica bloqueado para sempre. Endereço muda de dono, e toda lista tem limite de tamanho: quanto tempo cada um fica é decisão de projeto, assim como proteger a lista e saber que o programa está vivo.

Nos primeiros dias, a lista só registra o que teria bloqueado. Só depois de conferir que ela não pegaria ninguém por engano é que o bloqueio é ligado de verdade, e o que entra nela é aprovado por você antes.

Por onde começar a revisão do firewall

Se o seu firewall guarda um log que ninguém usa, ele é um bom lugar para começar. Em 30 minutos de conversa, a gente olha como o seu firewall está configurado para registrar ameaças, o que daria para transformar em bloqueio e quais exceções você precisaria ter antes. Você sai sabendo se a revisão vale a pena, e nada muda no seu ambiente sem a sua aprovação.