Ransomware quase nunca "invade" nada no sentido de filme de hacker. Na grande maioria dos casos que a gente vê — e no que se repete incidente após incidente relatado publicamente — o caminho de entrada é muito mais simples: uma porta que alguém abriu um dia, para resolver um problema pontual, e nunca mais fechou.
Ter um firewall instalado não significa estar protegido. O que protege é o conjunto de regras dele — e é ali, na revisão dessas regras, que mora a maior parte do risco real. Este artigo cobre os erros de configuração mais comuns que a gente encontra em avaliações de ambiente, e o que fazer com cada um.
RDP exposto direto na internet
É o clássico. Alguém precisou acessar um servidor Windows remotamente, liberou a porta 3389 direto do roteador ou firewall pra internet, resolveu o problema do dia e seguiu em frente. Meses depois, aquela regra continua lá — e hoje existem ferramentas de varredura automatizada rodando o tempo todo na internet só pra achar exatamente esse tipo de porta aberta, testando senha fraca ou explorando vulnerabilidade conhecida do protocolo.
RDP não deveria estar acessível diretamente da internet em nenhuma hipótese. Se existe necessidade real de acesso remoto, o caminho é VPN com autenticação em duas etapas, e o RDP liberado só de dentro dessa rede privada — nunca do "any" externo.
Regra "liberar tudo" que ninguém tira depois
Durante um teste, uma migração ou um chifre de emergência, é comum alguém liberar uma regra ampla — tipo "qualquer origem, qualquer porta" — só pra destravar o que estava bloqueando o trabalho. O problema não é liberar: é esquecer de reverter. Regra de exceção sem data de expiração vira regra permanente, e ninguém audita o que já está "funcionando".
O mesmo vale, com um agravante, pro tráfego de saída. Firewall costuma ser configurado pra controlar quem entra, mas raramente controla quem sai — e é exatamente a saída sem filtro que deixa um ransomware, depois de entrar, baixar o resto do payload de um servidor externo ou exfiltrar dados antes de criptografar tudo. Egress filtering (bloquear por padrão o tráfego de saída e liberar só o necessário) é uma das medidas mais eficazes e mais ignoradas.
Quando foi a última vez que alguém revisou suas regras de firewall?
Se a resposta for "não sei" ou "quando configuramos", isso já é um risco. A InfraCtrl assume redes e segurança como parte da operação contínua — não como projeto de uma vez só.
Avaliar minha infraestruturaRede plana: uma porta aberta vira acesso a tudo
Mesmo quando a regra exposta é "só" pra um sistema específico, se a rede não é segmentada, quem entra por ali enxerga o resto do ambiente. Servidor de aplicação, banco de dados, backup e estação de trabalho, tudo na mesma rede plana, sem VLAN e sem regra interna separando um do outro. Um ponto de entrada vira acesso lateral irrestrito — e é exatamente esse movimento lateral que transforma um incidente pequeno em uma criptografia de ambiente inteiro, backups inclusos.
Segmentação não precisa ser complexa pra começar a valer: separar servidores de produção da rede de estações de trabalho, e isolar o ambiente de backup de tudo o mais (inclusive com credenciais próprias), já corta boa parte do estrago possível.
A interface de gestão do próprio firewall exposta
Existe uma ironia recorrente: o equipamento que deveria proteger a rede tem seu próprio painel de administração acessível da internet, muitas vezes ainda com a senha padrão de fábrica ou uma senha fraca que nunca foi trocada. O mesmo problema aparece em NAS, hypervisor e outros painéis de gestão. Interface de administração — de qualquer equipamento — não tem motivo pra estar acessível fora da rede interna ou de uma VPN.
Regras acumuladas que ninguém mais sabe pra que servem
Firewall que roda anos sem revisão vira um arquivo arqueológico: dezenas de regras, metade delas de sistemas que já saíram do ar, e ninguém no time atual sabe explicar por que aquela porta específica está liberada. Regra que ninguém entende é regra que ninguém tira — por medo de quebrar algo — e é exatamente esse acúmulo que aumenta a superfície de ataque sem necessidade nenhuma.
Checklist rápido para auditar o seu
- RDP, SSH e outros acessos de administração não estão expostos direto na internet — só via VPN
- Existe filtro de saída (egress), não só de entrada
- A rede é segmentada: produção, backup e estações de trabalho não dividem o mesmo espaço
- A interface de gestão do firewall e de outros equipamentos não está acessível externamente
- Toda regra tem dono e motivo conhecido — nenhuma "porque sempre esteve lá"
- Existe uma data marcada pra próxima revisão do conjunto de regras
Auditoria de firewall é rotina, não projeto único
O erro mais comum de todos, na verdade, é tratar a configuração do firewall como algo que se resolve uma vez e nunca mais se olha. Ambiente muda, gente muda, sistema novo entra, sistema antigo devia ter saído e ninguém tirou a regra dele. Segurança de rede é operação contínua, não configuração inicial.
Leitura recomendada
Network Security Assessment: Know Your Network, de Chris McNab (O'Reilly) — referência sobre metodologia de avaliação de segurança de rede, reconhecimento e revisão de firewall, para quem quer se aprofundar além deste resumo prático.
Não sabe se sua rede tem alguma dessas brechas?
Peça uma avaliação gratuita. A gente olha suas regras de firewall, sua segmentação e seus acessos remotos de verdade — sem compromisso.
Falar com um especialista