Firewall é um daqueles itens que a empresa compra uma vez a cada cinco anos e convive com a escolha o tempo todo. Se ele for pequeno demais, a rede fica lenta no dia em que a inspeção for ligada. Se as licenças forem mal dimensionadas, a conta chega na renovação. Se o suporte for de fora, um equipamento com defeito pode deixar a empresa sem internet por semanas.
Se a sua dúvida ainda é se vale ter um, o artigo sobre firewall empresarial trata dessa parte. Aqui o assunto é a escolha: o que olhar, em que ordem e onde estão as armadilhas.
Comece pelo ambiente, não pelo catálogo
Antes de comparar modelos, é preciso ter cinco números na mão. Sem eles, qualquer comparação é entre folhetos.
- Usuários e dispositivos simultâneos, incluindo celulares e equipamentos que ficam conectados o tempo todo
- Velocidade dos links de internet, hoje e a contratada para os próximos anos
- Quantidade de acessos remotos por VPN, entre home office e filiais
- Serviços publicados, como sistema acessado de fora, servidor de e-mail próprio ou câmeras
- Unidades a interligar, porque isso muda o tipo de VPN e a quantidade de equipamentos
Esses números definem o porte. Todo o resto é escolha de recurso.
Firewall corporativo não é o roteador do provedor
O equipamento que a operadora deixa na empresa faz endereçamento e um bloqueio básico. Ele não inspeciona conteúdo, não controla aplicação, não registra quem acessou o quê e não é gerenciado por ninguém depois da instalação. Em muitas empresas, ele é a única barreira entre a rede interna e a internet.
Um firewall corporativo trabalha em outra camada: enxerga a aplicação e não só a porta, inspeciona tráfego criptografado, aplica regra por usuário e por horário, guarda registro e permite VPN com controle. É essa diferença que importa quando um ransomware tenta se comunicar com o servidor de comando dele.
O que os nomes significam
Você vai encontrar três siglas nas propostas.
UTM reúne vários recursos de segurança em um equipamento só: firewall, antivírus de borda, filtro de conteúdo, prevenção de intrusão e VPN. É o formato mais comum em pequenas e médias empresas.
NGFW é o firewall que decide por aplicação e por identidade do usuário, não apenas por endereço e porta. Na prática, os dois termos se misturam nos produtos atuais.
Firewall as a Service é o mesmo conjunto entregue como serviço em nuvem, sem equipamento na empresa. Faz sentido quando quase tudo já está em nuvem e a equipe é distribuída.
Os critérios que decidem a escolha
1. Desempenho com a inspeção ligada
Esse é o erro de dimensionamento mais caro. O número grande da ficha técnica costuma ser o throughput de firewall puro. Com inspeção de ameaça e inspeção de tráfego criptografado ativadas, a capacidade real cai muito, às vezes para menos de um quarto. Peça sempre o número com inspeção completa ligada e compare com a soma dos seus links, com folga para crescer.
2. Inspeção de tráfego criptografado
A maior parte do tráfego hoje é criptografada. Firewall que não inspeciona esse tráfego está olhando o envelope e não a carta. É o recurso que mais consome processamento, então ele precisa entrar na conta do dimensionamento desde o começo.
3. VPN que a sua realidade exige
Separe dois usos: acesso de pessoas, para home office e trabalho externo, e ligação entre unidades. Verifique quantas sessões simultâneas o modelo aguenta, se o cliente de VPN corporativa é cobrado à parte e se há autenticação em dois fatores. O artigo sobre infraestrutura e redes mostra como isso se encaixa no resto do ambiente.
4. Redundância
Se a empresa para quando a internet cai, o firewall precisa suportar dois links com troca automática. Se ela para quando o firewall cai, então são dois equipamentos em alta disponibilidade. Vale medir quanto custa uma hora parada antes de decidir que redundância é luxo.
5. Gestão, registro e relatório
Interface clara, regra fácil de auditar, registro guardado pelo tempo necessário e relatório que alguém realmente lê. Firewall bom mal configurado protege menos que firewall simples bem configurado. E registro de acesso é o que permite responder o que aconteceu depois de um incidente, inclusive para a LGPD.
6. Licenciamento e renovação
Aqui mora a surpresa. O equipamento costuma ser a menor parte do custo. Os recursos de segurança são licenças anuais, e o valor da renovação raramente aparece com destaque na proposta inicial. Peça o custo dos próximos três a cinco anos, não só o da compra. E confirme o que acontece quando a licença vence: em muitos modelos, o equipamento continua roteando mas para de proteger.
7. Suporte e reposição no Brasil
Pergunte onde está o suporte técnico, em que idioma, qual o prazo de troca do equipamento com defeito e se existe estoque no país. Um firewall com ótima ficha técnica e reposição internacional pode significar semanas de espera.
8. Quem vai administrar
Firewall não é equipamento de instalar e esquecer. Ele precisa de atualização, revisão de regra, acompanhamento de alerta e ajuste quando a empresa muda. Defina antes da compra se isso ficará com a equipe interna ou com o fornecedor de TI, e coloque no contrato.
Equipamento, máquina virtual ou nuvem
Empresa com escritório próprio, servidores locais e link de internet dedicado costuma se resolver melhor com equipamento físico. Ambiente que já está quase todo em nuvem, com equipe distribuída e pouca coisa dentro do escritório, se resolve melhor com o modelo em nuvem. E há o caso híbrido, com equipamento pequeno no escritório e a política de segurança central em nuvem para quem trabalha fora.
Erros que aparecem depois da instalação
- comprar pelo throughput de folheto e ligar a inspeção só depois, quando a rede fica lenta
- ignorar o custo de renovação e descobrir no segundo ano que ele é recorrente
- deixar a configuração padrão, com regra permissiva que nunca foi revisada
- não guardar registro por tempo suficiente e ficar sem resposta depois de um incidente
- tratar o firewall como a única camada, sem antivírus corporativo, backup e atualização em dia
- dimensionar para hoje, sem folga para o crescimento e para o link que será contratado
O que entra no custo total
A conta honesta tem cinco linhas: equipamento, licenças de segurança do primeiro ano, instalação e configuração, renovação anual das licenças e administração mensal. Comparar propostas só pela primeira linha é o que faz duas soluções parecerem equivalentes quando não são.
Conclusão
A escolha do firewall começa com cinco números do seu próprio ambiente e termina com o custo dos próximos anos, não com a ficha técnica do equipamento. Dimensione com a inspeção ligada, confirme a VPN que você realmente usa, entenda o modelo de licenciamento e defina quem administra.
Firewall bem escolhido e mal administrado vira uma caixa acesa no rack. A escolha é metade da decisão, a rotina é a outra metade.
Precisa dimensionar o firewall certo para o seu ambiente?
A 8sa levanta usuários, links, acessos remotos e serviços publicados antes de indicar qualquer modelo, e cuida da administração depois. Solicite uma proposta.