Firewall Gerenciado é um modelo de serviço no qual um fornecedor especializado opera, monitora e mantém a infraestrutura de firewall em nome da sua empresa. Você define as políticas de negócio; o fornecedor garante a implementação técnica, as atualizações e a resposta a incidentes — 24 horas por dia.
Os três modelos de firewall
Firewall de hardware (appliance): Dispositivo físico dedicado instalado nas dependências do cliente ou no datacenter. A empresa compra o equipamento, licencia o software e é responsável por toda a operação — desde a instalação até as atualizações de firmware e regras. Exige equipe interna qualificada.
Firewall de software: Solução instalada em servidor ou VM. Pode ser open source (pfSense, OPNsense) ou comercial virtualizado (FortiGate VM, Palo Alto VM-Series). Custos de hardware são menores, mas a responsabilidade operacional permanece inteiramente com a equipe interna.
Firewall Gerenciado (Managed Firewall): O fornecedor provê e opera o firewall — hardware ou virtual — como serviço. Você paga uma mensalidade e recebe operação contínua, sem precisar manter equipe especializada em segurança de rede.
O que inclui um serviço de Firewall Gerenciado
Um contrato bem estruturado deve cobrir os seguintes pontos. Na prática, é exatamente nesses detalhes que a diferença entre um bom fornecedor e um ruim aparece:
Provisionamento e configuração inicial — Projeto de regras baseado nas políticas de segurança do cliente, segmentação de rede, VLANs, zonas de confiança.
Gestão de regras — Criação, modificação e remoção de regras sob solicitação, com documentação de cada alteração e justificativa de negócio.
Monitoramento 24/7 — Análise contínua de logs, alertas de tráfego anômalo, tentativas de intrusão e conexões suspeitas.
Atualizações e patches — Aplicação de atualizações de firmware, assinaturas de IPS/IDS e bases de reputação de IP sem interrupção do serviço.
Relatórios periódicos — Relatórios de eventos, tentativas de ataque bloqueadas, top origens de tráfego, conformidade com políticas.
Resposta a incidentes — Bloqueio emergencial de IPs, ajuste de regras em resposta a ataques em andamento, comunicação com o cliente.
Revisão periódica de políticas — Auditoria regular das regras existentes para remover permissões obsoletas e fechar lacunas.
NGFW vs firewall tradicional
O firewall tradicional opera na camada 3/4 do modelo OSI: filtra pacotes por IP de origem, destino e porta. É eficiente, mas não enxerga o que trafega dentro de uma conexão permitida. Imagine que você liberou a porta 443 para tráfego HTTPS — o firewall tradicional deixa passar tudo que chega nessa porta, sem saber se é um usuário legítimo ou um atacante usando HTTPS para exfiltrar dados.
O Next-Generation Firewall (NGFW) resolve exatamente isso, adicionando inspeção profunda de pacotes (DPI) e operando até a camada 7:
| Capacidade | Firewall Tradicional | NGFW |
|---|---|---|
| Filtragem por IP/porta | Sim | Sim |
| Inspeção de aplicação (L7) | Não | Sim |
| Prevenção de intrusão (IPS) | Não | Sim |
| Inspeção de SSL/TLS | Não | Sim (com decriptação) |
| Controle por identidade de usuário | Não | Sim |
| Filtro de URL/categoria | Não | Sim |
| Sandbox de malware | Não | Sim (modelos avançados) |
| Threat intelligence integrada | Não | Sim |
Em ambientes cloud, onde o tráfego lateral (east-west) entre VMs é tão relevante quanto o tráfego norte-sul, NGFWs são a escolha padrão para ambientes que precisam de visibilidade real sobre o que circula na rede.
Firewall próprio vs gerenciado
| Critério | Firewall próprio | Firewall Gerenciado |
|---|---|---|
| Custo inicial | Alto (hardware + licença) | Baixo ou zero |
| Custo mensal | Baixo (após amortização) | Previsível (mensalidade) |
| Equipe necessária | 1–2 engenheiros de rede/segurança | Nenhuma dedicada |
| Velocidade de resposta a incidentes | Depende da disponibilidade interna | SLA contratual |
| Atualização de assinaturas | Responsabilidade interna | Incluída no serviço |
| Visibilidade | Total (acesso direto ao appliance) | Por relatórios e portal |
| Escalabilidade | Limitada ao hardware adquirido | Flexível |
| Conformidade (auditorias) | Equipe interna documenta | Fornecedor provê evidências |
Quando faz sentido terceirizar o firewall
Terceirizar vale a pena quando pelo menos dois destes fatores se aplicam à sua realidade:
Sua empresa não tem engenheiro de segurança de rede dedicado, ou a função está acumulada com outras responsabilidades. O firewall atual fica semanas sem atualização de assinaturas porque ninguém tem tempo. Eventos de segurança — tentativas de intrusão, bloqueios legítimos — não são investigados rotineiramente. Você está sujeito a auditorias de conformidade (PCI-DSS, ISO 27001, LGPD) e precisa de evidências de monitoramento contínuo. O custo de uma violação supera o custo anual do serviço gerenciado. Você está migrando para cloud e o modelo de rede mudou — segurança de rede on-premises e em cloud são disciplinas diferentes.
Quando vale a pena manter internamente: Empresas com equipe de segurança madura, processos de change management estabelecidos e necessidade de controle granular de cada regra — como instituições financeiras com compliance rigoroso — frequentemente preferem operar o próprio firewall, com o fornecedor apenas provendo o hardware e as licenças.
Critérios para avaliar um fornecedor
- SLA de resposta a incidentes — Qual o tempo máximo de resposta a um ataque em andamento? 15 minutos? 1 hora? Exija isso em contrato.
- Fabricante do appliance — Fornecedores tier-1 (Palo Alto, Fortinet, Check Point, Cisco) têm ecossistema de threat intelligence mais amplo. Desconfie de soluções sem marca conhecida.
- Acesso a logs e visibilidade — Você deve ter acesso contínuo aos logs, não apenas a relatórios mensais. Pergunte se há portal de visibilidade em tempo real.
- Processos de change management — Como alterações de regras são solicitadas, aprovadas e documentadas? Deve haver rastreabilidade completa.
- Equipe certificada — Pergunte por certificações: Fortinet NSE, Palo Alto PCNSE, Check Point CCSE. Certificações indicam conhecimento real do produto.
- Localização dos logs — Para conformidade com LGPD, os logs de tráfego devem permanecer em território brasileiro.
- Testes de eficácia — O fornecedor realiza simulações de ataque (red team) ou pen tests periódicos para validar a eficácia das políticas?
A Adentro oferece Firewall Gerenciado como serviço, com monitoramento 24/7 e suporte em português. Solicite uma avaliação da sua arquitetura de rede atual.