O que mudou
O firewall tradicional decide com base em endereço IP, porta e protocolo. Isso funcionava quando cada serviço tinha sua porta. Hoje, praticamente tudo trafega por HTTPS — e um filtro por porta enxerga muito pouco.
O que um NGFW acrescenta
- Identificação de aplicação, independente de porta
- Políticas por identidade de usuário, não apenas por endereço
- IPS integrado contra explorações conhecidas
- Inspeção de tráfego criptografado, quando aplicável
- Integração com inteligência de ameaças atualizada continuamente
Segmentação: o ganho subestimado
O maior benefício muitas vezes não é bloquear a entrada, e sim limitar o movimento lateral. Uma rede plana transforma um endpoint comprometido em um comprometimento de ambiente. Com zonas bem desenhadas e políticas entre elas, o mesmo incidente fica contido.
Erros comuns de implantação
- Migrar regras legadas sem revisão — o ambiente herda permissões que ninguém entende
- Deixar regras
any/any"temporárias" em produção - Não habilitar inspeção onde é permitido e necessário
- Tratar o firewall como caixa isolada, sem enviar logs para correlação
Roteiro seguro
Mapeamento de fluxos → desenho de zonas → política em modo monitor → ajuste → aplicação → revisão periódica. Rollout controlado evita indisponibilidade e resistência interna.