Equilibrar segurança rede com produtividade requer abordagem em camadas. Quer parar downloads alto risco (media pirata, software não autorizado, vetores malware) sem quebrar workflows legítimos como receber anexos email. Aqui está estratégia prática, enterprise-grade, usando infraestrutura rede standard.
Camada 1: Filtragem DNS (Primeira Linha Defesa)
Intercepte requests antes saírem sua rede.
- Ferramentas: Cisco Umbrella, Quad9, NextDNS, Pi-hole (self-hosted), Cloudflare Gateway.
- Ação: Ative categorias "Domínios Recém-Registados," "Parked," "P2P/File Sharing," "Software/Tech - Ilegal," e "Malware" bloqueio.
- Whitelist: Permita explicitamente domínios seu provedor email (outlook.com, gmail.com, proofpoint.com, mimecast.com) e CDNs conhecidos bons (akamai.net, cloudfront.net).
- Benefício: Zero config cliente; cobre todos dispositivos (IoT, BYOD, guests).
Camada 2: Next-Gen Firewall / UTM Application Control (Inspecção Camada 7)
Identifique tráfego por assinatura aplicação, não apenas porta.
- Plataformas: Palo Alto, FortiGate, Sophos XG, pfSense + Snort/Suricata, OPNsense.
- Regras:
- Bloquear: BitTorrent, eDonkey, Gnutella, Direct Connect, Soulseek, Popcorn Time, Stremio, IPs conhecidos sites warez/torrent.
- Rate-Limit/Inspecionar: FTP, SFTP, downloads HTTP/HTTPS (ver Camada 3).
- Permitir: SMTP/IMAP/POP3/Exchange ActiveSync/MAPI/HTTPS para hosts mail aprovados.
- Inspecção SSL (Crítico): Implemente CA cert confiável em endpoints geridos. Sem decifrar TLS, não distingue anexo email 50MB de download filme 50MB no TCP 443.
Camada 3: Web Proxy / Secure Web Gateway (SWG) Inspecção Conteúdo
Controlo granular transferências ficheiros HTTP/S.
- Proxy Explícito (PAC/WPAD) ou Transparente: Force todo HTTP/S através proxy.
- Bloqueio Tipo Ficheiro: Bloqueie por MIME type / magic bytes / extensão:
.exe, .msi, .dmg, .pkg, .apk, .iso, .torrent, .mp3, .mp4, .mkv, .avi, .flac, .zip, .rar, .7z (ajuste por política).
- Regras Exceção: Permita extensões bloqueadas APENAS de:
- Domínios aprovados (portais download vendors: adobe.com, microsoft.com, vendor.com).
- Domínios anexos webmail (attachments.googleusercontent.com, outlook.office365.com/attachments).
- Integração DLP: Scan exfiltração dados sensíveis simultaneamente.
Camada 4: Controlos Endpoint (Defesa Profundidade)
Controlos rede falham para dispositivos off-premise/roaming.
- EDR/XDR: CrowdStrike, SentinelOne, Defender for Endpoint — bloqueiam execução binários não assinados/não confiáveis independentemente fonte.
- AppLocker / WDAC (Windows) / Santa (macOS): Enforce allowlists executáveis permitidos.
- Políticas Browser (GPO/Intune/Jamf): Desative "Save As" sites risco; force scan download por AV.
Camada 5: Salvaguardas Específicas Email (Preservando Anexos)
- Gateway: Proofpoint, Mimecast, Microsoft Defender for Office 365, Barracuda.
- Política: Remova apenas extensões alto risco (
.exe, .scr, .bat, .ps1, .jar, .vbs) no gateway mail. Entregue .pdf, .docx, .xlsx, .zip, .jpg, .png após scan AV/sandbox malware.
- Experiência Utilizador: Quarentene anexos suspeitos com workflow "Pedir Libertação" — mantém mail fluindo, para ameaças.
Monitorização e Iteração
- NetFlow/sFlow: Identifique top talkers, portas incomuns, transferências grandes para ASNs desconhecidos.
- Logs Proxy/FW: Revisão diária categorias bloqueadas; afine false positives (ex: CDN atualização software legítimo bloqueado).
- Loop Feedback Utilizador: Formulário simples "Pedir Acesso" (Teams/Slack/Jira) para recursos legítimos bloqueados. SLA: <4 horas.
Matriz Política Exemplo
| Tipo Tráfego | Ação | Mecanismo |
|---|
| Protocolos Torrent/P2P Conhecidos | BLOQUEAR | FW App-ID / Assinatura IPS |
| Downloads Executáveis (Fonte Desconhecida) | BLOQUEAR | SWG Tipo Ficheiro + Reputação |
| Ficheiros Media (Sites Streaming) | BLOQUEAR / QUOTA | Categoria DNS + SWG MIME |
| Anexos Email (Mail Corp) | PERMITIR + SCAN | Gateway Email AV/Sandbox |
| Atualizações Software (WSUS/Intune/Apple/Google) | PERMITIR | Allowlist Destino |
| Cloud Storage (OneDrive/Drive/Box - Corp) | PERMITIR | Allowlist Destino + DLP |
Princípio Chave: Default-deny para downloads executável/código; default-allow com scan para tipos documento negócio via canais aprovados (email, cloud sancionado). Reveja trimestralmente.
