Sophos Firewall: Melhores Práticas para Segurança de Rede Moderna

Durante muito tempo, as firewalls foram o local onde se defendiam ataques. Hoje, elas próprias são um dos alvos mais atraentes. Isso é lógico: uma firewall está em uma posição privilegiada entre a internet, redes locais, serviços em nuvem, acessos VPN e aplicações internas. Quem encontra uma vulnerabilidade, uma senha fraca ou uma configuração incorreta aqui, não está mais na porta, mas muitas vezes já dentro do edifício.

É exatamente por isso que não basta mais considerar uma firewall apenas como um motor de políticas para regras de permissão e negação. A segurança de rede moderna precisa de três pilares: Fortalecimento, Proteção e Detecção e Resposta. É necessário reduzir a superfície de ataque antes de um ataque, bloquear de forma eficaz durante um ataque e, em seguida, reconhecer rapidamente o que aconteceu.

Tenho gerenciado ambientes Sophos Firewall em tamanhos e setores muito diferentes por muitos anos. As recomendações a seguir não são, portanto, uma lista teórica de recursos, mas sim o que tem se mostrado eficaz em ambientes reais de clientes, migrações, auditorias e casos de suporte.

Por que as firewalls estão tão no foco

Uma firewall é um alvo valioso para atacantes porque é exposta, privilegiada e muitas vezes crítica para os negócios. Além disso, muitos ambientes operam firewalls, portais VPN ou acessos de gerenciamento remoto por anos. Nem todo ambiente está devidamente atualizado, nem toda superfície de gerenciamento está realmente isolada, e nem todo login é protegido por autenticação multifator.

Na prática, três causas recorrentes para ataques bem-sucedidos se destacam:

• Vulnerabilidades em firewalls e sistemas de borda, especialmente quando patches são aplicados tardiamente ou não são aplicados.
• Credenciais comprometidas e ataques de identidade, frequentemente sem MFA ou com configuração fraca de MFA. O Relatório de Adversários Ativos da Sophos 2026 menciona causas relacionadas à identidade como a causa raiz em 67,32% dos casos investigados.
• Sistemas expostos, como RDP, portais VPN, portais de usuários ou interfaces de administração, que são diretamente acessíveis da internet.

O pensamento mais importante por trás disso: muitos ataques hoje não são mais uma “invasão” espetacular. Muito frequentemente, os atacantes simplesmente fazem login. Se uma conta de usuário, uma senha de administrador ou um acesso VPN for comprometido, o primeiro passo para a firewall inicialmente parece um uso legítimo.

Os três pilares da segurança de rede moderna

A segurança moderna de redes pode ser entendida como um espectro de proativo a reativo:

1. Fortalecimento: Reduzir a superfície de ataque, remover sistemas obsoletos, usar produtos seguros, verificar configurações, restringir acessos.
2. Proteção: Bloquear ataques, controlar tráfego criptografado, usar de forma eficaz funções de controle de web, IPS, zero-day e controle de aplicações.
3. Detecção e Resposta: Reconhecer anomalias, isolar dispositivos comprometidos, correlacionar dados de ameaças e reagir automaticamente.

Muitas firewalls são tradicionalmente fortes no segundo pilar. Esses sistemas bloqueiam tráfego, inspecionam pacotes, reconhecem padrões conhecidos e aplicam políticas. Isso é importante, mas não mais suficiente. Se a própria firewall estiver configurada incorretamente, se o acesso remoto estiver sem MFA ou se um sistema não atualizado continuar em produção, há um problema estrutural que nenhuma regra IPS isolada pode resolver adequadamente.

Minha experiência mostra: os melhores resultados não vêm de uma única função mágica, mas de uma configuração básica limpa, revisões regulares e uma firewall que está integrada no restante do processo de segurança.

Pilar 1: Fortalecimento antes do ataque

Fortalecimento é a parte do trabalho de segurança que raramente recebe aplausos, mas faz a diferença em caso de emergência. Trata-se de menos superfície de ataque, menos legados, menos caminhos de gerenciamento abertos e menos dependência de reações manuais.

Reduzir infraestrutura e remover sistemas antigos

A maneira mais simples de reduzir uma superfície de ataque é, às vezes, a mais desconfortável: desligar coisas. Cada appliance antigo, cada serviço VPN esquecido, cada portal de gerenciamento e cada servidor não mais suportado é um ponto de ataque adicional. Sistemas que estão na borda da rede ou que indiretamente permitem acesso privilegiado a redes internas são particularmente críticos.

Para os administradores do Sophos Firewall, isso significa concretamente:

• Verificar regularmente quais firewalls, REDs, gateways VPN, controladores WLAN, proxies reversos e componentes de acesso remoto ainda estão em produção.
• Remover sistemas que chegaram ao fim da vida útil ou do suporte de posições privilegiadas.
• Consolidar funções, se isso reduzir a complexidade: firewall, SD-WAN, DNS Protection, ZTNA, Threat Feeds, relatórios e gerenciamento central devem ser coordenados de forma limpa.
• Documentar quais serviços realmente precisam ser acessíveis da internet.

O objetivo não é encher um produto com o máximo possível. O objetivo é evitar legados cegos. Uma infraestrutura pequena, atual e bem controlada é quase sempre mais segura do que um ambiente grande, historicamente crescido, com muitas exceções “sempre foi assim”.

Proteger consistentemente o acesso de gerenciamento

Uma das melhores práticas mais importantes é simples: a Web Admin Console e o User Portal não devem ser desnecessariamente acessíveis a partir da WAN. Se a administração remota for necessária, ela deve ser feita através do Sophos Central, uma rede de gerenciamento dedicada, ZTNA ou outro caminho controlado.

Vejo em ambientes de clientes que não é a técnica de ataque mais complicada que é o problema, mas sim um acesso de administrador antigo, um portal historicamente crescido ou uma exceção “temporária” que nunca foi removida. Esses pontos devem ser incluídos em uma revisão regular da firewall.

Os seguintes pontos devem ser verificados em cada ambiente Sophos Firewall:

• Ativar MFA para administradores, especialmente para o administrador padrão e todas as contas com amplos direitos.
• Exigir MFA para logins de VPN e portal, se esses acessos ainda forem usados.
• Evitar ou restringir fortemente o acesso WAN à Admin Console e ao User Portal a redes de origem dedicadas.
• Configurar regras de senha fortes para usuários e administradores.
• Proteger SSH, idealmente com autenticação por chave pública e sem ampla acessibilidade WAN.
• Ativar backups centralizados e proteger o acesso aos backups, pois os backups de configuração podem conter informações sensíveis.
• Ativar notificações e registros, para que eventos relevantes de segurança não passem despercebidos durante a operação.

O ponto sobre os backups é frequentemente subestimado. Um backup de firewall não contém apenas configurações inofensivas, mas informações sobre redes, regras, certificados, VPNs e estruturas internas. Portanto, os backups devem ser criptografados, armazenados de forma controlada e testados regularmente.

Definir conscientemente o Device Access e o Local Service ACL

Quando se fala em acesso WAN, é necessário falar especificamente sobre Device Access e Local Service ACL no Sophos Firewall. Na matriz de acesso ao dispositivo, é definido por zona quais serviços locais da firewall são acessíveis: administração HTTPS, User Portal, SSH, Ping, DNS, Captive Portal, portais VPN e outros serviços.

A melhor prática aqui é muito simples, mas eficaz: da zona WAN, deve ser acessível apenas o que é realmente necessário. Acesso de administrador, SSH e User Portal não devem estar amplamente disponíveis na internet. Se exceções forem necessárias, elas devem ser limitadas a endereços IP de origem específicos ou redes de gerenciamento através de Local Service ACL Exception Rules.

Regras de país como proteção mínima

Se endereços IP de origem fixos não forem realistas, recomendo pelo menos trabalhar com regras de país. O acesso apenas de alguns países relevantes ainda é muito melhor do que a acessibilidade mundial. Alternativamente, pode-se bloquear países com os quais a empresa não tem relação e onde também não há funcionários ou administradores normalmente em trânsito. Isso não substitui MFA, papéis fortes e ACLs limpas, mas reduz ruídos desnecessários e muitas tentativas de acesso automatizadas.

Na minha opinião, este é um dos primeiros pontos em qualquer revisão de firewall. Muitas configurações de risco não surgem por má intenção, mas porque um serviço foi aberto brevemente para uma migração, um caso de suporte ou um teste e nunca foi fechado novamente. Esses detalhes distinguem uma firewall que simplesmente funciona de uma firewall que é realmente operada de forma limpa.

Verificar segurança de login e papéis de administrador

MFA é importante, mas a camada de login consiste em mais do que um segundo fator. Os administradores devem usar contas próprias e rastreáveis e não trabalhar permanentemente com um administrador completo compartilhado. Direitos baseados em papéis ajudam a separar acessos de suporte, relatórios ou helpdesk do administrador real da firewall.

Além disso, tentativas de login falhadas devem ser limitadas, sessões encerradas corretamente e acessos de administrador restritos a redes definidas. Um aviso de login pode ser legalmente útil em determinados ambientes, mas não substitui controles técnicos reais. Mais importantes são políticas de senha fortes, sessões inativas curtas, proteção contra força bruta e o princípio do menor privilégio.

Evitar fadiga de patches: Hotfixes devem agir rapidamente

Patching é um dos temas em que teoria e prática estão muito distantes. Claro que todo administrador sabe que atualizações de firmware são importantes. Na realidade, no entanto, elas significam janelas de manutenção, avaliação de riscos, planejamento de HA, comunicação com departamentos especializados e, às vezes, também tempo de inatividade. Isso leva à fadiga de patches: atualizações são adiadas porque são trabalhosas.

É exatamente aqui que o componente tempo é perigoso. Ataques de identidade são agora a causa raiz dominante, mas a exploração de vulnerabilidades continua sendo um vetor real, especialmente em sistemas de borda como firewalls, VPNs e outros serviços próximos à internet. O Relatório de Adversários Ativos da Sophos 2026 cita como exemplo o CVE-2024-40766 no SonicOS, que foi visível em uma grande parte dos casos de exploração confirmados no conjunto de dados. Ao mesmo tempo, o tempo mediano entre o aviso do fabricante ou patch e a exploração observada foi de 322 dias. Isso é um sinal bastante claro: a fadiga de patches não é um problema operacional abstrato, mas uma janela de ataque.

O Sophos Firewall dá um passo importante aqui: Hotfixes Automatizados permitem patches de segurança relevantes ao vivo sem uma janela de manutenção clássica. Para os administradores, isso é extremamente valioso, pois o efeito crítico de proteção não ocorre apenas quando a próxima janela de manutenção livre chega.

No entanto, vale a pena lembrar: hotfixes não substituem uma estratégia de atualização limpa. Hotfixes fecham a lacuna perigosa entre a descoberta de uma vulnerabilidade e a atualização regular de firmware. A melhor prática, portanto, é:

• Manter os hotfixes ativados.
• Verificar regularmente os níveis de firmware e documentar a preparação para atualização de firmware.
• Ler previamente os caminhos de atualização e compatibilidade.
• Preparar backups e plano de rollback.
• Planejar clusters HA e locais remotos separadamente.

Não tratar VPN como prova de confiança

O acesso remoto VPN foi o padrão por anos. O problema: o VPN clássico muitas vezes pensa em redes, não em aplicações. Quem está conectado com sucesso já está, do ponto de vista de muitos ambientes, em uma área confiável. Se o dispositivo final estiver comprometido ou as credenciais forem roubadas, um atacante pode se mover a partir daí.

Zero Trust Network Access (ZTNA) resolve esse problema não por magia, mas por um princípio melhor: Não confie em nada, verifique tudo. O acesso não é concedido de forma geral a uma rede, mas avaliado por usuário, dispositivo, estado e aplicação. Um dispositivo deve estar saudável e em conformidade, a identidade deve ser verificada e a política decide de forma granular qual aplicação é acessível.

ZTNA não é uma decisão automática da Sophos

É importante notar que: ZTNA não é uma decisão que deve automaticamente falar a favor do Sophos ZTNA. Dependendo do ambiente, fornecedores especializados em ZTNA, SSE ou SASE podem estar mais avançados funcionalmente, oferecer melhores integrações ou se adequar melhor organizacionalmente. O que importa não é o nome do fabricante, mas se identidade, estado do dispositivo, acesso a aplicações, registro e operação funcionam bem juntos.

Essa também é minha postura fundamental em projetos Sophos: não uso automaticamente a Sophos para cada tema. Se uma solução de terceiros em ZTNA, SSE, Threat Intelligence, SIEM ou NDR se adequar melhor tecnicamente, essa é a melhor recomendação. Uma boa arquitetura de segurança não surge por máxima dependência do fabricante, mas por componentes bem integrados com responsabilidade clara.

Para ambientes puramente Sophos, a integração ainda pode ser interessante, pois ZTNA, Endpoint, Firewall e Sophos Central podem ser usados juntos. Um dispositivo comprometido ou não conforme pode perder o acesso sem que um administrador precise primeiro modificar manualmente as regras da firewall. Vale a pena também olhar para o ZTNA Gateway no Sophos Firewall. Em ambientes mistos ou maiores, deve-se comparar conscientemente e não automaticamente definir o fabricante da firewall existente como a plataforma ZTNA.

Quem ainda depende fortemente de SSL VPN ou IPsec Remote Access hoje, deve pelo menos verificar estes pontos:

• Exigir MFA para cada acesso remoto.
• Remover usuários VPN antigos ou não utilizados.
• Controlar a importação de grupos do AD ou Entra ID, para que o acesso remoto não seja ativado involuntariamente.
• Reduzir ao mínimo o túnel dividido, redes permitidas e permissões.
• Planejar uma migração gradual para uma solução ZTNA, SSE ou SASE adequada, especialmente para aplicativos web internos, RDP, SSH, portais de administração e aplicações de negócios.

Segmentação contra movimento lateral

Se os atacantes entrarem com credenciais válidas ou através de um serviço exposto, a segmentação interna decide até onde eles podem se mover. Uma firewall não deve ser apenas um gateway perimetral, mas deve separar zonas internas de forma limpa: usuários, servidores, gerenciamento, IoT, rede de convidados, produção, backup e sistemas particularmente críticos não devem estar cegamente no mesmo modelo de confiança.

Na prática, isso significa: construir VLANs e zonas não apenas por amor à ordem, mas protegê-las com regras reais de firewall. Entre redes de usuários e servidores, apenas as aplicações necessárias devem ser permitidas. Acessos de gerenciamento pertencem a redes de administração dedicadas. Redes IoT e de impressoras não devem se comunicar livremente com servidores. Backups e controladores de domínio merecem regras particularmente restritivas e bom registro.

É aqui que o círculo se fecha com a afirmação “os atacantes fazem login”. Se uma conta comprometida tiver acesso a uma aplicação, mas não a toda a rede, um incidente não se torna automaticamente uma violação completa.

Em novos projetos, planejo a segmentação o mais cedo possível. Posteriormente, ainda é possível, mas muito mais trabalhoso, pois aplicações, exceções e dependências históricas precisam ser desvendadas primeiro.

Tornar visíveis as configurações incorretas

Uma firewall pode ser tecnicamente muito poderosa e ainda assim se tornar perigosa devido a configurações incorretas. Regras muito amplas, objetos “Any”, autenticação fraca, políticas IPS ausentes, atualizações de padrões desativadas ou portais abertos são exemplos típicos. O difícil é que, em ambientes crescidos, esses riscos nem sempre são imediatamente visíveis.

O Sophos Firewall Health Check aborda exatamente esse problema. Ele verifica dezenas de configurações em relação a melhores práticas e benchmarks e mostra no Centro de Controle onde as configurações são arriscadas ou desviam dos padrões recomendados. Os resultados são priorizados por risco, levam diretamente às configurações afetadas e podem ser corrigidos ou conscientemente ignorados, dependendo da situação.

O Health Check é especialmente útil para processos operacionais recorrentes:

• após uma nova implantação de firewall,
• após grandes alterações de regras,
• antes e depois de atualizações de firmware,
• antes de auditorias,
• após migrações de hardware antigo,
• como uma verificação trimestral regular.

No entanto, é importante lembrar: um Health Check não substitui o pensamento dos administradores. Nem toda recomendação se aplica a todos os ambientes. Alguns pontos têm razões de conformidade ou operacionais, outros são lacunas de segurança claras. O importante é avaliar conscientemente as divergências e não deixá-las crescer despercebidas.

Na minha opinião, o Health Check é especialmente forte como uma ferramenta operacional contínua. Não é apenas algo para o primeiro Go-Live, mas um bom ponto de partida para revisões trimestrais, preparação para auditorias e a limpeza de regras antigas.

Secure by Design: Fortalecer a própria firewall

Na minha opinião, não são apenas produtos de segurança que são necessários, mas produtos de segurança seguros. Essa é uma diferença importante. Uma firewall não deve apenas bloquear ataques a outros sistemas, mas deve ser fortalecida contra ataques.

No Sophos Firewall, isso inclui várias camadas:

• Kernel fortalecido e arquitetura modernizada: A arquitetura Xstream mais recente se concentra mais em isolamento, modularização, conteinerização e separação de privilégios. Isso reduz certas classes de vulnerabilidades e limita os impactos por meio de melhor isolamento. Além disso, há mitigações contra vulnerabilidades de canal lateral e CPU. Isso torna a plataforma mais robusta, mas não imune a vulnerabilidades.
• Hotfixes Automatizados: Correções de segurança podem ser distribuídas muito rapidamente e sem uma janela de manutenção clássica.
• Monitoramento de Integridade Remota: O sensor Linux integrado do Sophos XDR pode monitorar a integridade do sistema em tempo real, como alterações de configuração não autorizadas, exportações de regras, execução de programas suspeitos ou adulteração de arquivos. Isso é valioso apenas se a função estiver ativada, licenciada, conectada e monitorada durante a operação.
• Gerenciamento Central Seguro: A administração pode ser feita através do Sophos Central, sem abrir amplamente as portas de gerenciamento na internet.
• Health Check: Configurações de risco são visíveis diretamente.
• Backups Criptografados: Dados de configuração são transmitidos e armazenados de forma protegida.

Além disso, a Sophos aposta na monitoração proativa da base instalada de firewalls. A telemetria das firewalls pode ajudar a detectar sinais de ataques ou manipulações mais cedo. Se um padrão se tornar visível, a Sophos pode apoiar clientes ou parceiros de forma direcionada e distribuir hotfixes rapidamente.

Esses pontos são menos espetaculares no dia a dia do que uma nova regra de firewall ou um ataque bloqueado no log. A longo prazo, no entanto, eles são decisivos. Um produto fortalecido reduz a probabilidade de que a própria firewall se torne um ponto de entrada. No entanto, isso não substitui um processo de patch limpo, monitoramento e verificação regular de configuração.

O que procurar no fabricante da firewall

Secure by Design não é apenas uma característica do produto, mas também uma questão do fabricante. Os clientes devem esperar que os fabricantes tratem vulnerabilidades de forma transparente, comuniquem claramente informações de ciclo de vida, distribuam rapidamente correções de segurança e construam seus produtos de forma que configurações incorretas e componentes comprometidos sejam detectados o mais cedo possível.

A responsabilidade é compartilhada. Os fabricantes devem fornecer produtos seguros e reagir de forma transparente. Os clientes devem aplicar atualizações, substituir sistemas EOL, usar MFA e revisar regularmente a operação. Ambos andam juntos.

Pilar 2: Proteção durante o ataque

Fortalecimento é a base. Depois disso, a firewall deve continuar fazendo o que foi projetada para fazer: controlar o tráfego e bloquear ataques. No Sophos Firewall, isso inclui, entre outros, IPS, Web Protection, Application Control, Zero-Day Protection, TLS Inspection, DNS Protection e Threat Intelligence Feeds.

A Sophos aposta fortemente na arquitetura Xstream para isso. O tráfego confiável pode ser processado de forma mais eficiente, tarefas intensivas em computação, como operações criptográficas, são executadas por caminhos otimizados, e para tráfego de maior risco, há mais reserva de desempenho para inspeção profunda de pacotes, inspeção TLS e proteção contra zero-day.

A inspeção TLS é um bom exemplo do equilíbrio entre segurança e operação. Sem descriptografia, uma grande parte do tráfego moderno permanece invisível. Com regras TLS mal planejadas, no entanto, criam-se casos de suporte, problemas de certificado ou gargalos de desempenho. A melhor prática, portanto, não é “descriptografar tudo cegamente”, mas classificar de forma limpa:

• grupos de usuários e servidores críticos primeiro,
• excluir de forma limpa categorias problemáticas conhecidas, como bancos, saúde e privacidade,
• testar páginas de bloqueio e aviso,
• documentar a distribuição de certificados,
• analisar ativamente os logs.

Minha recomendação é não iniciar a inspeção TLS como um projeto de tudo ou nada. Melhor é um lançamento limpo com grupos de usuários claros, exceções, janelas de teste e análise de logs. Assim, a visibilidade aumenta sem que o helpdesk seja sobrecarregado no primeiro dia.

Os Threat Feeds também pertencem a esta área de proteção. Esses feeds ajudam a bloquear IPs, domínios ou URLs maliciosos conhecidos diretamente na fronteira da rede. Em versões mais recentes do Sophos Firewall, eles estão muito mais integrados em Active Threat Response e mecanismos de proteção.

Os Threat Feeds se tornam especialmente interessantes quando não apenas listas genéricas são usadas, mas feeds de terceiros curados com contexto atual. Um exemplo disso é Cybora.io, onde IPs e domínios maliciosos de várias fontes e telemetria de firewall são combinados em feeds utilizáveis. Como esses feeds podem ser usados em firewalls, descrevi mais detalhadamente no artigo Threat Intelligence Feeds para a Firewall.

Aqui também vale a pena lembrar: os Threat Feeds devem ser testados e monitorados. Feeds muito agressivos, processos de lista de permissões ausentes ou responsabilidades pouco claras podem bloquear tráfego legítimo e causar mais danos do que benefícios na operação. Bons feeds não substituem uma revisão de regras, mas são um componente adicional com seu próprio ajuste.

Além disso, não se deve esquecer as endurecimentos clássicos do SFOS: Proteção contra Spoofing e configurações adequadas de DoS e o bloqueio Geo-IP podem reduzir acessos simples, ruidosos ou obviamente indesejados. Isso não substitui uma política limpa, mas tira o ruído desnecessário da firewall e bloqueia caminhos de ataque que em muitos ambientes não têm nenhum propósito legítimo.

Recomendo aqui uma abordagem pragmática: primeiro controlar os grandes riscos de forma limpa, depois afiar gradualmente as funções de proteção e documentar com logs o que realmente funciona. Uma política sobrecarregada que ninguém mais entende não é um ganho de segurança a longo prazo.

Pilar 3: Detecção e Resposta após o primeiro sinal

A parte mais interessante da segurança de rede moderna é a reação. Uma firewall não deve operar isoladamente, mas usar sinais de Endpoint, Servidor, NDR, MDR, XDR e Threat Intelligence. A Sophos pode explorar vantagens do ecossistema aqui, mas apenas se essas integrações realmente se adequarem ao ambiente.

Ecossistemas ajudam apenas se se adequarem

Synchronized Security e Security Heartbeat são boas ideias: a firewall pode considerar o estado dos endpoints e restringir ou bloquear a comunicação em dispositivos comprometidos. Na realidade, no entanto, cada vez mais empresas usam o Microsoft Defender ou outras soluções de endpoint. Então, essa parte do ecossistema Sophos funciona apenas de forma limitada ou não funciona. É exatamente por isso que não se deve automaticamente escolher tudo do mesmo fabricante, apenas porque é oferecido como um ecossistema integrado.

Minha recomendação aqui é clara: o que importa é o que se adequa à empresa e pode ser implementado de forma limpa. Se o Microsoft Defender, outro EDR, um NDR de terceiros ou um SIEM externo for a melhor base, então a firewall deve ser integrada de forma limpa nessa arquitetura. Mais importante do que vendas cruzadas é que os logs cheguem ao lugar certo, os alarmes sejam compreendidos e alguém verifique regularmente o que os sistemas relatam. Sem análise de logs, ajuste e processo de incidentes, mesmo a melhor integração ajuda pouco.

Com Active Threat Response, ameaças detectadas podem ser traduzidas automaticamente em decisões de rede. E com NDR Essentials, a firewall ganha uma visão adicional sobre tráfego de rede suspeito, mesmo onde nenhum agente de endpoint clássico está instalado.

Automação precisa de Runbooks

No entanto, a automação precisa de diretrizes. Deve estar claro quais sinais podem bloquear automaticamente, quem levanta uma isolação novamente, como falsos positivos são tratados e como esses processos são testados. Sem runbooks, responsabilidades e exercícios regulares, ninguém sabe em caso de emergência se um bloqueio foi intencional, correto ou muito agressivo.

O que acontece em caso de emergência? Um dispositivo comprometido pode ser isolado, a comunicação C2 é interrompida, a exfiltração pode ser bloqueada e um analista MDR ou XDR pode acionar uma Active Threat Response sem primeiro construir manualmente uma regra na firewall. Isso é especialmente valioso quando um ataque é detectado fora do horário normal de operação.

Para os administradores, o mais importante é que a reação seja rápida o suficiente. Se um analista MDR ou XDR precisar primeiro ligar, escrever um ticket e um administrador local precisar então construir manualmente uma regra na sexta-feira à noite, o tempo de reação é muito longo. Reação automatizada não significa que as pessoas são substituídas. Significa que a primeira contenção acontece imediatamente e a equipe pode então investigar de forma limpa.

Em equipes de TI menores, essa automação é valiosa. Nem toda empresa tem um especialista em firewall disponível 24 horas por dia. Quando Endpoint, Firewall, NDR, MDR e SIEM trabalham juntos de forma sensata entre fabricantes, ganha-se tempo, e o tempo é muitas vezes o fator mais importante em ataques ativos.

Lista de verificação prática para administradores do Sophos Firewall

Quem deseja fortalecer seu Sophos Firewall hoje pode começar com esta lista:

Verificar imediatamente

• Os hotfixes estão ativados?
• O MFA está ativo para administradores?
• A Web Admin Console e o User Portal são acessíveis a partir da WAN?
• O SSL VPN ou o IPsec Remote Access estão protegidos com MFA?
• Ainda existem contas de administrador locais não utilizadas?
• Os backups estão planejados, criptografados e testados?
• O Device Access e o Local Service ACL estão reduzidos ao mínimo?
• Os serviços acessíveis pela WAN estão pelo menos limitados a países relevantes ou redes de origem conhecidas?
• As atualizações de padrões e os níveis de firmware estão atualizados?

Dentro das próximas semanas

• Executar o Health Check e priorizar os achados.
• Verificar regras de firewall antigas com “Any” na origem, destino ou serviço.
• Verificar papéis de administrador, segurança de login, tempos de sessão e proteção contra força bruta.
• Inventariar serviços expostos como RDP, SSH, servidores web, portais e regras NAT.
• Verificar zonas internas e regras VLAN contra movimento lateral.
• Comparar opções ZTNA, SSE ou SASE para aplicações típicas de acesso remoto.
• Verificar Threat Feeds e DNS Protection.
• Ativar proteção contra spoofing, proteção contra DoS e bloqueio Geo-IP conforme o risco.
• Testar e implementar gradualmente a inspeção TLS de forma estruturada.

Planejar estrategicamente

• Substituir sistemas que chegaram ao fim da vida útil.
• Coordenar de forma sensata a operação de firewall, VPN, DNS, SD-WAN e ZTNA/SSE.
• Padronizar gerenciamento central, relatórios e alertas, por exemplo, através do Sophos Central, SIEM ou plataformas de segurança existentes.
• Definir exportação Syslog/SIEM e retenção de logs para análises forenses.
• Integrar sinais MDR/XDR/NDR no processo de incidentes.
• Introduzir revisões recorrentes de fortalecimento de firewall.

Conclusão

As melhores práticas de segurança de rede não são um projeto único, mas um modelo operacional. Justamente porque as firewalls são tão privilegiadas na borda da rede, elas devem ser regularmente fortalecidas, atualizadas, verificadas e integradas na detecção.

Minha recomendação após muitos anos com o Sophos Firewall é clara: uma firewall moderna deve ser mais do que um produto de proteção hoje. O que importa é um design seguro, configurações incorretas visíveis, correções de segurança rápidas e uma reação que, em caso de emergência, funcione em conjunto com Endpoint, NDR, XDR e MDR.

Ou, dito de forma prática: se uma firewall é tão antiga que pertence mais a um museu do que a um rack, isso não é apenas um risco operacional. É uma superfície de ataque. E é exatamente essa superfície de ataque que mantenho o menor possível.

Suporte pela Avanet

Se precisar de suporte para fortalecer um Sophos Firewall, pode entrar em contato com a Avanet. Eu apoio como especialista Sophos de longa data em auditorias de firewall, revisões de Health Check, limpeza de regras, acesso remoto e planejamento ZTNA/SSE, estratégias de atualização e treinamentos para equipes de TI.

Um olhar externo sobre acessos de gerenciamento, configuração de VPN, regras antigas, serviços expostos à WAN e status de atualização muitas vezes vale a pena. Muitos riscos não surgem de uma única configuração errada, mas de exceções crescidas que ninguém mais questiona no dia a dia.

Se estiver interessado, basta enviar uma mensagem curta através do formulário de contato. Depois, pode-se esclarecer juntos se uma revisão compacta de firewall, uma auditoria ou um treinamento para o ambiente em questão é o mais sensato.

FAQ

Links adicionais

• Blog Avanet: Sophos Firewall v22: Visão geral e todos os novos recursos
• Blog Avanet: Threat Intelligence Feeds para a Firewall
• Blog Avanet: Sophos ZTNA Gateway no Sophos Firewall
• Blog Avanet: Sophos NDR - Eliminando pontos cegos na rede
• KB Avanet: Atualização de Firmware do Sophos Firewall - Preparação e Melhores Práticas

Fontes

• Sophos: Firewall: Melhores Práticas de Segurança de Rede
• Documentos Sophos: Fortalecendo seu Sophos Firewall
• Sophos X-Ops: Nowhere, man: The 2026 Active Adversary Report