Um firewall guard (frequentemente chamado cross-domain guard ou high-assurance guard) é um appliance de segurança especializado projetado para impor políticas estritas de fluxo de informação entre redes de classificações de segurança diferentes (ex.: Não Classificado ↔ Secreto, ou TI ↔ TO). Diferente de firewalls convencionais que filtram por IP/porta/protocolo, guards inspecionam conteúdo, estrutura e semântica na camada de aplicação.
Diferencial Central: Guard vs. Firewall Tradicional
| Capacidade | Firewall Tradicional | Firewall Guard |
|---|
| Profundidade de inspeção | L3/L4 (IP, porta, protocolo) + assinaturas L7 | Validação semântica L7 completa (schema, estrutura, política) |
| Modelo de política | Permitir/negar por 5-tupla + assinaturas app | Transformação e validação de conteúdo estruturado |
| Direcionalidade | Bidirecional (stateful) | Frequentemente unidirecional (data diode) ou bidirecional estritamente controlado |
| Assunção de confiança | Tráfego geralmente confiável se permitido | Zero trust: todos payloads validados, transformados, sanitizados |
| Certificação | ICSA, EAL2–4 | Common Criteria EAL 4–7, NIAP, NSA Raise the Bar |
| Caso de uso | Perímetro empresarial, segmentação | Soluções cross-domain (CDS), redes classificadas, infraestrutura crítica, nuclear, defesa |
Funções e Tecnologias Principais
1. Validação de Conteúdo Estruturado
- Validação de schema XML/JSON (XSD, JSON Schema) — rejeita mensagens malformadas/não conformes.
- Parsers específicos de protocolo: MIL-STD-6016 (Link 16), NMEA, MAVLink, DICOM, HL7, MODBUS, DNP3, OPC UA.
- Whitelist de elementos/atributos/valores permitidos — bloqueia campos desconhecidos/extensíveis.
2. Transformação e Sanitização de Dados
- Remove metadados (EXIF, comentários, camadas ocultas).
- Redata campos sensíveis (PII, marcações de classificação).
- Converte formatos: XML ↔ JSON, proprietário → padrão.
- Normaliza encoding (UTF-8, XML canônico).
3. Prevenção de Malware e Ameaças
- Inspeção profunda de arquivos: engines AV (múltiplos), sandboxing, CDR (Content Disarm & Reconstruction) — reconstrói arquivo limpo da estrutura parseada.
- Bloqueia conteúdo ativo: macros, scripts, OLE embutido, polyglots.
4. Controle de Fluxo e Rate Limiting
- Impõe largura de banda, taxa de mensagens, cotas de tamanho por política.
- Previne exfiltração via canais covert (timing, padding).
5. Auditoria e Não-Repúdio
- Logs de auditoria imutáveis (armazenamento WORM, blockchain-anchored).
- Assinaturas digitais em cada decisão (permitir/negar/transformar).
- Captura completa de payload (configurável) para forense.
6. Alta Disponibilidade e Redundância
- Active/active ou active/standby com sync de estado.
- Evidência de adulteração de hardware, HSM FIPS 140-2/3 para armazenamento de chaves.
Arquiteturas de Implantação
Unidirecional (Data Diode + Guard)
Caminho físico unidirecional (diodo óptico) do lado Low → High. Guard no lado High valida entrada. Canal de volta zero. Usado: dados de sensores para rede classificada, historiador → enterprise.
Par de Guards Bidirecional
Dois guards (Low→High, High→Low) com políticas independentes. Cada um valida, transforma, loga. Usado: gateway email, transferência arquivos, chat, bridging API.
Arquitetura Vermelho/Preto/Cinza
- Vermelho: Classificado / TO / Crítico de segurança.
- Preto: Não classificado / TI / Internet.
- Cinza: Appliance guard (trusted computing base).
Principais Fornecedores e Produtos
- Owl Cyber Defense: Data diodes, guards bidirecionais (Owl CTF).
- Forcepoint: High Assurance Guard, Cross Domain Solutions.
- Raytheon / RTX: Trusted Thin Client, Cross Domain Desktop Compositor.
- BAE Systems: XTS-400, STOP OS, produtos Guard.
- Nexor: Merlin, Sentinel (UK MoD, NATO).
- Titus / Boldon James: Guards conscientes de label (imposição classificação de dados).
- Advenica: SecuriCDS (defesa sueca, infra crítica).
Drivers Regulatórios e de Conformidade
- DoD EUA: DoDI 8540.01 (Política Cross Domain), DCID 6/3, ICD 503.
- ICD 503: Segurança TI Comunidade Inteligência — mandata guards para TS/SCI ↔ inferior.
- Nuclear (NRC): Reg Guide 5.71 — cibersegurança para usinas.
- Infraestrutura Crítica (CISA): IEC 62443, NERC CIP — separação TI/TO.
- Aliados/OTAN: NATO AComP-4718, STANAG 4406.
Quando Você Precisa de um Guard?
- Conectando redes com diferentes níveis de classificação (ex.: Secreto → Não Classificado).
- Convergência TI/TO onde sistemas de segurança não devem ser alcançáveis da TI corporativa.
- Troca de dados regulada (defesa, intel, nuclear, finanças SWIFT, saúde PII).
- Cadeia de suprimentos: Acesso de fornecedor a TO sem VPN/remote desktop.
Para TI empresarial típica, next-gen firewall (Palo Alto, Fortinet, Check Point) + arquitetura zero trust basta. Guards são para quando um único erro de pacote pode causar perda de vida, violação de segurança nacional ou catástrofe regulatória. Custam $100K–$2M+ e requerem equipe especializada.
