Segurança da Informação e Firewall: atendimento em Araucária - PR

Segmentar é sobre a regra, não sobre a VLAN

Criar VLAN é a parte fácil e a que dá sensação de progresso. O trabalho real está na política de comunicação entre elas — e é essa etapa que costuma ser postergada, porque exige saber o que a operação precisa e porque errar nela derruba coisas.

O critério correto inverte a lógica usual: nega-se tudo por padrão e libera-se o que a operação exige, item por item. O contrário — liberar tudo e ir bloqueando o que se lembrar — nunca converge, porque ninguém consegue enumerar todas as coisas que não deveriam acontecer.

Na prática, isso produz um conjunto pequeno e explicável de regras: produção fala com o servidor de aplicação nas portas do sistema; coletores falam com o serviço específico; visitante fala com a internet e com nada mais; administração de equipamentos é alcançável apenas do segmento de gerência. Se a lista não cabe numa página, provavelmente ainda está liberando demais.

Como descobrir o que a operação precisa

A objeção legítima é: como saber o que liberar sem quebrar a operação? A resposta é medir antes de aplicar.

Coloca-se o ambiente em observação por um período, registrando quem conversa com quem, e disso sai a lista real de comunicações — que normalmente é bem menor do que se temia e contém duas ou três surpresas úteis. Depois, a política é aplicada em modo permissivo com registro, para capturar o que ficou de fora, e só então passa a bloquear.

É mais lento que aplicar de uma vez, e é o que evita a segunda-feira em que metade da planta não funciona.

Onde a segmentação mais importa nesta praça

Dois segmentos concentram o valor.

O de equipamentos que não se atualizam: controlador, leitor fixo, balança, sistema de operação de linha, ativo cuja garantia se perde se alguém tocar. Não se protege por atualização, protege-se por isolamento — comunicação permitida apenas com o que ele precisa alcançar, sem navegação, com acesso de fornecedor restrito, temporário e registrado.

O de gerenciamento: interface de administração de firewall, switch, virtualização e storage não deveria ser alcançável da rede em que se lê e-mail. Com o gerenciamento isolado, uma estação comprometida expõe uma estação; sem isso, expõe o painel de controle de tudo.

Prestadores dentro da planta

Em ambiente industrial com muitos fornecedores circulando, a segmentação também é o mecanismo que torna a presença deles administrável. Um prestador que precisa acessar uma máquina recebe caminho para aquela máquina, não para a rede.

E vale prever um segmento de trabalho para equipamento de terceiro — o notebook de manutenção, o dispositivo que veio com a máquina, a rede provisória de uma parada. Sem esse lugar definido, esses equipamentos acabam conectados no ponto mais próximo, que quase sempre é um segmento que deveria ser restrito.

Link único e o segundo caminho

Outro risco registrado para a cidade é a ausência de redundância de enlace. A decisão sobre um segundo caminho costuma ser tomada pelo preço mensal e deveria considerar outro número: quanto tempo leva o restabelecimento quando o problema é de infraestrutura externa.

O caminho secundário não precisa replicar o principal — sustenta o essencial: sistema de produção, expedição, emissão fiscal, telefonia. E vale mais se for de tecnologia diferente, porque falha por outro motivo; dois enlaces sobre a mesma infraestrutura caem juntos.

Com dois caminhos, o SD-WAN escolhe continuamente medindo latência, perda e variação, e troca quando um degrada — cobrindo a degradação parcial, que é o cenário mais comum e o mais difícil de diagnosticar sem medição.

Setores que mais demandam em Araucária

Indústria, logística, serviços e varejo B2B compõem o perfil da cidade. A indústria concentra o equipamento que não se atualiza e o acesso de prestador. A logística depende do enlace para expedição e integração. Serviços e varejo B2B pesam em pedido e faturamento, com integração para cliente.

Como conduzimos a implantação

Começa pelo levantamento: enlaces, equipamento de borda, VLANs existentes e o roteamento real entre elas, regras herdadas, acessos remotos ativos e o tráfego observado. Esse levantamento costuma ser a parte mais reveladora, porque mostra a distância entre o diagrama e o comportamento.

Depois vem o desenho — segmentos, política negando por padrão, isolamento de equipamentos e de gerência, segmento de trabalho para terceiros, acesso remoto autenticado.

A aplicação segue o caminho de medir, aplicar em modo permissivo com registro e só então bloquear. A ativação de borda é agendada em janela, porque interrompe a conexão por alguns minutos. Depois, as regras são ajustadas pelo tráfego real e o comportamento dos enlaces passa a ser acompanhado — sem isso ninguém percebe quando o caminho secundário para de funcionar.