O que acontece sem um firewall? A era de «infectado só por conectar» e os 5 momentos em que você ainda está exposto

Você tira um PC novo da caixa e a primeira coisa que vem à cabeça é a segurança ── então vai instalar o antivírus, e ele avisa: abra o nosso site no navegador para ativar a sua licença primeiro. Espera aí. Entrar na internet antes de a proteção estar instalada… isso é seguro mesmo?

Se esse instante de dúvida soa familiar, você não está sozinho. Existem outros clássicos momentos de «será que estou exposto agora?»:

• Num PC novinho em folha, pedem para você abrir o site de ativação antes de o antivírus estar instalado. Estou desprotegido neste momento?
• Logo depois de uma reinstalação limpa do sistema, você fica um bom tempo conectado baixando atualizações ── sem um único patch de segurança instalado ainda
• Você acabou de se mudar e o roteador ainda está numa caixa, então liga o PC direto no modem para ter internet
• No momento em que entra no Wi-Fi gratuito de um café ou hotel, seu notebook passa a dividir a rede com completos desconhecidos

A resposta, já de cara: os dois primeiros casos são essencialmente seguros hoje em dia. Os dois últimos, dependendo das circunstâncias, são um risco de verdade. E quem traça a linha entre eles é o seu firewall (o mecanismo que inspeciona o tráfego chegando de fora) ── junto com o roteador que fica na frente dele.

Neste artigo, vamos percorrer:

• O que um firewall realmente é (§1)
• A era em que «infectado só por conectar» acontecia de verdade (§2)
• Por que você está seguro hoje ── as camadas da defesa em profundidade (§3)
• Os 5 momentos em que suas defesas desaparecem (§4)
• Do que um firewall não protege (§5)
• Como firewalls domésticos, corporativos e de nuvem se diferenciam (§6)
• Como checar as suas defesas em 3 minutos (§7)

Nenhum conhecimento prévio de segurança é necessário ── vamos construir tudo passo a passo.

1. O que é um firewall? Da parede real ao posto de controle do tráfego

1-1. O nome vem de uma parede de verdade

«Firewall» é originalmente um termo de arquitetura: uma parede construída para impedir que um incêndio se espalhe entre seções de um prédio. Mesmo que a unidade vizinha pegue fogo, as chamas não atravessam a parede. A computação pegou o nome emprestado para uma barreira com a mesma missão ── seja qual for o caos lá fora, ele não se espalha para dentro da sua rede.

1-2. Na prática, é um posto de controle com livro de regras

Dito isso, um firewall real se comporta menos como parede e mais como um posto de controle. Ele fica entre o seu PC e a internet, inspeciona cada pedaço de tráfego que tenta passar e o confere contra um livro de regras antes de decidir se deixa passar ou barra.

• «A resposta de uma página web que você pediu» → passa
• «Um pedido de conexão que chegou do nada, sem ninguém ter pedido» → bloqueado

1-3. Entrada vs. saída ── a distinção em torno da qual gira este artigo

O posto de controle se importa com a direção do tráfego, e essa é a distinção mais importante de todo o artigo:

• Tráfego de entrada (vindo de fora em direção ao seu PC): a direção que o firewall vigia com mais atenção. Pedidos de conexão que chegam sem você ter pedido nada são bloqueados por padrão
• Tráfego de saída (que o seu PC envia para fora): abrir um site, um app verificando atualizações, e assim por diante. Permitido por padrão ── e as respostas que voltam também passam, como «a continuação de uma conversa que você começou»

«É seguro abrir um site no navegador?» ── a pergunta da introdução fica quase respondida só com essa distinção. Abrir um site é saída. O posto de controle deixa passar corretamente as respostas das conversas que você começou, enquanto continua barrando os visitantes não convidados.

1-4. Portas ── as portas numeradas atrás do seu endereço

No nosso artigo sobre endereços IP, descrevemos o endereço IP como o seu «endereço na rede». Acontece que atrás do endereço existe mais um nível de detalhe: as portas (portas numeradas, de 0 a 65535, uma para cada serviço rodando no seu PC).

Internet
     │
     ▼
┌─[ Posto de controle = Firewall ]───────────────────┐
│ Regra: só admitir respostas de conversas           │
│        que você começou                            │
└────────┬───────────────────────────────────────────┘
         ▼
   Seu PC (endereço = endereço IP)
   ├─ Porta 443  ── o tráfego HTTPS do seu navegador
   ├─ Porta 3389 ── Área de Trabalho Remota (normalmente fechada)
   └─ Porta 135  ── serviços internos do Windows (nunca deveria ser exposta)

E aqui está a parte que importa: de fábrica, o seu PC mantém várias portas abertas, escutando. Compartilhamento de arquivos, administração remota, engrenagens internas do sistema ── portas pensadas para a sua rede doméstica ou do escritório. O que acontece se essas portas ficarem expostas diretamente à internet? É exatamente a pergunta que a história respondeu por nós, no §2.

2. A era em que «infectado só por conectar» acontecia de verdade

2-1. Verão de 2003: Windows do mundo todo começam a reiniciar sozinhos

Em agosto de 2003, um worm chamado Blaster (worm é um malware que se espalha pelas redes de forma totalmente autônoma) varreu o planeta. O que tornou o Blaster chocante, mesmo para os padrões da época, foi o método:

• Sem e-mail, sem anexos
• Sem erro do usuário, sem clique, sem ação nenhuma
• Ele disparava código de ataque diretamente contra uma porta que o Windows deixava aberta em toda máquina conectada (o serviço RPC, porta 135)

Ou seja, as máquinas eram infectadas só por estarem conectadas. Pior: cada PC infectado passava para o lado atacante, espalhando o mesmo ataque contra endereços IP aleatórios. No ano seguinte, 2004, um worm chamado Sasser repetiu o mesmo roteiro contra outra porta (a 445), com resultados parecidos.

2-2. Quando o «tempo de sobrevivência» era medido em minutos

Os pesquisadores de segurança da época acompanhavam algo chamado «tempo de sobrevivência»: quanto tempo um Windows desprotegido aguentava conectado direto à internet antes de o primeiro ataque chegar. Nos estudos de meados dos anos 2000, a resposta era de minutos a dezenas de minutos. E não porque alguém estava mirando em você ── mas porque hordas de máquinas infectadas varriam mecanicamente todos os endereços IP, então a sua vez sempre chegava em questão de minutos.

1. 1Conexão diretaUm PC desprotegido recebe um endereço IP público.
2. 2O scan chegaMáquinas infectadas varrendo todos os IPs alcançam o seu em minutos.
3. 3Uma porta aberta é encontradaAs portas 135/445 e outras sempre abertas são descobertas.
4. 4Exploit entregueDados criados para abusar de uma falha do serviço são atirados contra a porta.
5. 5Infectado e se espalhandoSeu PC é tomado ── e começa a varrer a internet como atacante.

2-3. O antivírus não conseguia impedir

«Mas um antivírus não teria salvado você?» ── infelizmente, naquela época, em geral não. Os papéis eram diferentes.

O antivírus daquela era era principalmente um extintor dentro de casa: examinava os arquivos que chegavam e os programas que rodavam. Mas o Blaster não chegava como arquivo ── ele entrava como tráfego de rede puro, direto numa porta aberta. Um extintor de interior não detém um coquetel molotov atirado pela janela. O que faltava era um posto de controle na frente das portas: um firewall.

2-4. A virada ── o Windows XP SP2 liga o firewall por padrão

Em resposta aos surtos, a Microsoft fez uma mudança histórica na grande atualização de 2004, o Windows XP Service Pack 2: o Firewall do Windows, que existia mas vinha desligado de fábrica, passou a vir ligado.

O tráfego de entrada não solicitado passou a ser descartado sem o usuário levantar um dedo ── e essa única mudança nos padrões derrubou o modelo de negócio do «infectado só por conectar». Desde então, tanto no Windows quanto no macOS, firewall não é algo que se instala. É algo que já está rodando.

3. Por que você está seguro hoje ── defesa em profundidade

Hora de responder às preocupações da introdução. O seu PC de hoje é protegido pelo que, na prática, são três muros.

Internet
     │
     ▼
━━ Muro 1: seu roteador NAT ━━━━━━━━━━━━━━━━━━━━
   Tráfego que começa lá fora não consegue entrar, por construção
     │
     ▼
━━ Muro 2: o firewall do sistema operacional ━━━
   Entrada não solicitada é descartada (ligado por padrão)
     │
     ▼
   Os aplicativos do seu PC
     ▲
━━ Muro 3: o antivírus ━━━━━━━━━━━━━━━━━━━━━━━━━
   Vigia, na execução, tudo o que passou pelos muros

3-1. Muro 1: o roteador NAT ── uma fortaleza acidental

A internet doméstica quase sempre passa por um roteador. Roteadores dependem de NAT (tradução de endereços de rede ── o truque que permite a todos os aparelhos da casa dividirem um único IP público), e isso acaba sendo uma defesa poderosa.

Pela própria mecânica do NAT, uma conexão que começa de fora não dá ao roteador nenhuma pista de para qual aparelho da casa ela vai ── então é simplesmente descartada, destinatário desconhecido. Só as respostas de conversas iniciadas de dentro encontram o caminho de volta, guiadas pela tabela de tradução do roteador. O roteador NAT nunca foi projetado como produto de segurança e, mesmo assim, funciona como uma barreira estrutural contra o tráfego de entrada.

3-2. Muro 2: o firewall do sistema operacional

Como vimos no §2-4, tanto o Windows (Firewall do Windows Defender) quanto o macOS vêm com o firewall ligado. Ele bloqueia a entrada não solicitada que escapou do NAT ── e, ponto crucial, também a que vem de dentro da mesma rede (do lado de dentro do muro NAT). Guarde esse «de dentro da mesma rede»; ele fica importante no §4.

3-3. Muro 3: o antivírus

Quando algo passa pelo posto de controle de forma legítima ── um arquivo que você mesmo baixou, um anexo de e-mail ── e se revela malicioso, a camada que o detém na hora da execução é o antivírus. O Windows traz o Microsoft Defender embutido e rodando por padrão.

3-4. Então sim ── abrir o site de ativação é seguro

Vamos responder a introdução de frente. Abrir a página de ativação do antivírus num PC novinho é:

• Tráfego de saída (uma conversa que você começou ── §1-3), então o posto de controle admite corretamente as respostas
• Algo que acontece enquanto o roteador NAT (Muro 1) e o firewall do sistema (Muro 2) já estão ativos, direto de fábrica
• E no Windows, o Microsoft Defender (Muro 3) também roda desde a primeira inicialização

Resumindo: mesmo antes de instalar uma suíte de segurança de terceiros, você não está indefeso. A versão realmente perigosa dessa cena foi a de 2003, quando a porta 135 ficava exposta à internet sem Muro 1 nem Muro 2. Um sistema recém-reinstalado baixando atualizações segue a mesma lógica ── sistemas modernos levantam o firewall assim que a instalação termina, então as defesas estão de pé enquanto as atualizações descem.

4. Os 5 momentos em que suas defesas desaparecem

Agora chegamos ao coração do assunto. Cada um dos três muros pode sumir em circunstâncias específicas. Vamos mapear qual muro desaparece em cada cenário, usando o modelo do §3.

4-1. Wi-Fi público ── desconhecidos dentro do muro

Entre no Wi-Fi de um café ou hotel e o seu notebook passa a dividir a LAN (a rede interna do roteador) com completos desconhecidos. O roteador NAT bloqueia o tráfego de «fora» ── mas tráfego entre aparelhos da mesma rede interna não é «fora». O Muro 1 não faz nada contra a pessoa da mesa ao lado.

É aqui que o Muro 2 ── o firewall do sistema ── mostra a que veio. É exatamente por isso que o Windows pergunta «deseja tratar esta rede como pública?» quando você se conecta num lugar novo.

4-2. Direto no modem ── nenhum muro, 2003 reencenado

Logo depois de uma mudança ── ou no meio de um conserto ── pode acontecer de você pular o roteador e ligar o PC direto no modem. Seu PC passa a ter um IP público sem nada na frente. Estruturalmente, isso coloca você no mesmo campo do «infectado só por conectar» de 2003.

A boa notícia é que hoje o Muro 2, o firewall do sistema, está de pé por padrão, então a infecção instantânea não é mais o desfecho esperado. Ainda assim, você fica na linha de tiro direta se o sistema ou algum serviço escutando tiver uma falha desconhecida. Basta recolocar o roteador no meio para o Muro 1 ressuscitar ── então é melhor que a ligação direta no modem dure o mínimo possível.

4-3. VPS e servidores na nuvem ── os bots do mundo chegam em minutos

Alugue um VPS (servidor privado virtual) para hospedar um site e o quadro muda: não há muro NAT e, como você está publicando para o mundo, abre portas (80/443) de propósito.

E aqui vai uma realidade que vale conhecer de antemão ── um IP público começa a receber varreduras indiscriminadas no primeiro dia, e elas nunca param. O padrão típico é mais ou menos assim:

(Exemplo hipotético: tráfego não solicitado típico
 atingindo um servidor recém-publicado)

 Imediatamente  tentativas de conexão na porta 22 (SSH), vários IPs estrangeiros
 Em minutos     tentativas de conexão na porta 23 (Telnet)
 Em poucas horas começam tentativas de login como admin / root, intermitentes
 Horas depois   tentativas de conexão na porta 3389 (Área de Trabalho Remota)
 Para sempre    centenas a milhares de tentativas por dia, indefinidamente

A história do «tempo de sobrevivência» do §2 não é história antiga ── no mundo dos servidores públicos, continua sendo o dia a dia. De novo: ninguém está mirando em você pessoalmente; bots que varrem mecanicamente todo o espaço de endereços IP simplesmente rodam 24/7. Por isso a regra de ouro num VPS é usar o firewall do provedor de nuvem (grupos de segurança) e o do sistema para fechar todas as portas menos as que você publica deliberadamente (mais no §6).

4-4. Abertura de portas, DMZ, UPnP ── buracos que você mesmo fura

Hospedar um servidor de jogo, ou acessar o NAS de casa de fora, às vezes exige abertura de portas ── furar o Muro 1 para que uma porta específica fique alcançável pela internet.

O buraco em si não é o mal. O problema é que a segurança de uma porta aberta passa a depender inteiramente da qualidade do software que responde atrás dela. Um firmware de NAS antigo, um servidor de jogo que parou de receber atualizações ── se o que está atrás do buraco é vulnerável, você acabou de reconstruir com as próprias mãos a «porta 135» do §2.

• O modo DMZ (encaminhar todas as portas para um aparelho) não é um buraco ── é demolir o muro. Evite por princípio
• UPnP (um mecanismo que deixa apps pedirem aberturas de porta automaticamente) é prático, mas significa que um software da sua casa pode furar buracos sem perguntar. Confira de vez em quando o painel do roteador por aberturas que você não reconhece

4-5. «Desligado temporariamente» ── e nunca religado

Quando a rede dá problema, «desliga o firewall um instante» é um passo clássico de diagnóstico. O perigo não é o passo em si ── é voltar à vida normal com o firewall ainda desligado. Entre dias depois no Wi-Fi público de um café (cenário 4-1) com o Muro 2 caído, e você montou a pior combinação: desconhecidos dentro do muro, e o posto de controle fechado para férias. A solução é pura disciplina: terminou o diagnóstico, religue na hora.

5. Do que um firewall não protege ── o que você mesmo convida para entrar

Cobrimos o que um firewall defende. Saber o que ele não consegue defender é igualmente importante ── e o ponto cego do posto de controle é notavelmente consistente: ele nunca desconfia de nada que você mesmo convidou para entrar.

• Sites de phishing e e-mails golpistas: abrir o site falso é tráfego de saída seu. O posto de controle deixa passar
• Malware que você baixou e executou: passa de forma legítima, como «convidado». Detê-lo é trabalho do Muro 3 ── o antivírus
• Exploits contra o navegador ou apps: dados maliciosos chegam por uma porta que você abriu (a 443, por exemplo), disfarçados de resposta legítima. A defesa aqui são as atualizações de software

A conclusão da tabela é simples. Firewall (controle de entrada) + atualizações (selar as falhas das próprias portas) + antivírus (vigilância interna) + você (não convidar problema para entrar) ── nenhuma camada cobre tudo, e cada uma guarda um lugar que as outras não alcançam. Essa é a ideia da «defesa em profundidade». Hábitos como nunca reutilizar senhas pertencem a essa mesma «camada humana» (veja nosso guia de senhas, hashes e tokens).

6. Firewalls domésticos, corporativos e de nuvem ── o que muda

«Firewall» é uma palavra só cobrindo várias coisas que ficam em lugares diferentes e guardam escopos diferentes.

• O firewall pessoal (o Muro 2 do §3-2) brilha pela granularidade por aplicativo: «este app pode se comunicar, aquele não»
• Um firewall de perímetro corporativo difere do doméstico principalmente por policiar também a saída ── conferindo se os PCs do escritório não estão despachando dados de fininho para servidores estranhos
• Grupos de segurança na nuvem são o muro que usuários de VPS configuram por conta própria. A prática padrão é dobrar a proteção com uma ferramenta no sistema como o ufw (um comando que simplifica a configuração do firewall do Linux): «fechar tudo menos SSH e HTTPS» (para o lado servidor desta história, veja nosso guia de padrões de segurança em Python)

Mais um nome que você vai cruzar: o WAF (Web Application Firewall), um posto de controle especializado em sites. Ele inspeciona o conteúdo do tráfego em busca de padrões de ataque contra aplicações web ── nome parecido, mas guarda uma camada diferente da dos firewalls deste artigo.

7. Cheque as suas defesas em 3 minutos

Para terminar, vamos transformar tudo isso numa inspeção rápida do seu próprio setup.

7-1. Windows ── confirme que o firewall está de pé

Configurações → Privacidade e segurança → Segurança do Windows → Firewall e proteção de rede: todas as redes devem aparecer como «ativado». Dá para conferir pela linha de comando também:

netsh advfirewall show allprofiles | findstr State

Se os três perfis (Domínio / Particular / Público) dizem ON, está tudo bem. É aqui também que você pegaria o «esqueci de religar» do §4-5.

7-2. macOS

Ajustes do Sistema → Rede → Firewall: confirme que está ativado. As permissões de entrada por aplicativo ficam na mesma tela.

7-3. Linux

sudo ufw status verbose

Confirme Status: active e que as portas abertas são exatamente as que você pretende.

7-4. O painel do roteador ── inventário dos buracos

Três coisas para revisar na interface de administração do roteador:

• Regras de abertura de portas: tem algo que você não reconhece?
• DMZ: confirme que está desativado
• Portas abertas automaticamente via UPnP: tem app acampado aí que você não conhece?

7-5. Veja-se de fora

Serviços de checagem de portas (uma busca rápida traz vários) mostram como as suas portas aparecem do lado da internet. Se tudo reporta «closed» ou «stealth», os muros do §3 estão dando conta.

Resumo ── a essência em 4 linhas

1. Firewall é um posto de controle que bloqueia tráfego começando de fora. Ele guarda um lugar diferente do antivírus, que vigia arquivos portas adentro
2. Em 2003, «minutos conectado = infectado» era a realidade. O Windows XP SP2 (2004) ligou o firewall por padrão, e a era acabou
3. Uma casa moderna roda defesa em profundidade: roteador NAT + firewall do sistema + antivírus. Abrir o navegador num PC novo não deixa você indefeso
4. O perigo mora onde os muros desaparecem ── Wi-Fi público, ligação direta no modem, servidores públicos, abertura de portas e firewalls que ficaram desligados. Sabendo qual muro sumiu, a contramedida raramente é complicada

Para o sistema de endereços em si, veja O que é um endereço IP? ── e para como os nomes se ligam a esses endereços, O que é DNS?. Juntos, eles completam o quadro do que acontece entre o seu PC e a internet.

Perguntas frequentes

P1. É perigoso abrir o site de ativação antes de o antivírus estar instalado?

R. Hoje em dia é essencialmente seguro. Abrir um site é tráfego de saída ── uma conversa que você começa ── e o firewall admite corretamente as respostas. Enquanto isso, o roteador NAT, o firewall do sistema e (no Windows) o Microsoft Defender estão todos ativos desde que você liga a máquina. O que merece a sua atenção não é a direção do tráfego, e sim o destino: confirme que é o site genuíno do fabricante e não se deixe desviar para uma cópia falsa por um anúncio nos resultados de busca.

P2. O firewall embutido do Windows basta, ou preciso de um de terceiros?

R. Para a defesa de entrada ── o trabalho principal ── o embutido basta: ligado por padrão, atualizado automaticamente e com controle por aplicativo. O que as suítes de terceiros acrescentam mora em outras camadas: visibilidade da saída (qual app fala com qual servidor), proteção antiphishing etc. No mínimo, você não precisa comprar uma porque «o firewall embutido tem buracos». Não tem.

P3. Se eu tenho firewall, posso dispensar o antivírus?

R. Não. Como mostra a tabela do §5, o firewall não detém o que você mesmo convida para entrar ── arquivos baixados, anexos de e-mail, phishing. Esse é o território da camada antivírus, e o inverso é igualmente verdadeiro: é divisão de trabalho, não substituição. Lembre que o Windows traz o Microsoft Defender de fábrica ── «não comprei nada» não significa «desprotegido».

P4. Meu celular parece não ter firewall. Tem problema?

R. Celulares seguem outra filosofia de projeto. iOS e Android rodam cada app numa sandbox (uma caixa isolada por aplicativo) e, para começar, quase não abrem portas escutando conexões de fora. Além disso, as operadoras móveis roteiam você pelo NAT delas, então quase não existe caminho para a internet alcançar o seu telefone diretamente. Não é que o posto de controle esteja faltando ── é que o prédio foi projetado quase sem portas para vigiar. Em Wi-Fi público, vale a mesma cautela que com um PC.

P5. Abrir portas para jogos online é perigoso?

R. Feito no esquema «abra o mínimo e mantenha atualizado o software atrás», é um risco administrado. O que torna perigoso é apelar para o modo DMZ (que encaminha tudo), esquecer que a abertura existe e deixá-la anos, ou estacionar atrás do buraco um aparelho ou servidor sem atualizações. Se você depende de UPnP, confira de tempos em tempos o painel do roteador e revise a lista de portas abertas automaticamente.