CompTIA SY0-701: Segurança e Arquitetura de Rede — Guia de estudos

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Faz parte do CompTIA Security+ SY0-701 — Guia de estudos. Pratique com respostas verificadas no centro de exames da CompTIA, ou faça testes cronometrados no ExamRoll.io.

A arquitetura de segurança de rede é a disciplina de organizar dispositivos, controles e fluxos de tráfego para que a atividade maliciosa seja contida, monitorada e bloqueada, enquanto a comunicação legítima de negócios prossiga sem impedimentos. Ela combina políticas expressas como regras, limites estruturais expressos como segmentação e proteções criptográficas expressas como túneis — tudo reforçado pelo hardening no nível de host e porta.

Regras de Firewall e Listas de Controle de Acesso

Uma regra de firewall, seja escrita em um appliance stateful ou como uma ACL de roteador, avalia o tráfego com base em uma quíntupla: endereço de origem, endereço de destino, porta de origem, porta de destino e protocolo. As regras são processadas de cima para baixo, e a primeira correspondência prevalece. Essa ordem é extremamente importante. Uma regra que permite tráfego any any colocada acima de uma regra de negação específica torna essa negação inútil. Da mesma forma, todo conjunto de regras bem projetado termina com uma negação implícita — uma regra geral não escrita que descarta qualquer coisa que não seja explicitamente permitida.

Considere uma política que restringe o DNS de saída para que apenas um resolvedor interno designado em 10.50.10.25 possa consultar servidores externos na porta UDP/53:

access-list OUTBOUND permit udp host 10.50.10.25 any eq 53
access-list OUTBOUND deny   udp any any eq 53
access-list OUTBOUND permit ip  any any

A ordem é crítica: a permissão específica precede a negação ampla, e nenhum outro host pode acessar o DNS externo. Para bloquear uma origem de entrada maliciosa conhecida, como 10.1.4.9, a regra de entrada correspondente é simples:

access-list INBOUND deny ip host 10.1.4.9 any

Colocada no topo da lista de entrada, ela garante que o endereço seja descartado antes que qualquer regra de permissão possa corresponder.

Firewalls podem ser configurados para fail-open (permitir tráfego se o dispositivo falhar) ou fail-closed (negar todo o tráfego). O modo fail-open preserva a disponibilidade, mas sacrifica a segurança; o fail-closed faz o oposto. A escolha deve ser deliberada, informada se o segmento prioriza o tempo de atividade (uptime), como um chão de fábrica, ou a confidencialidade, como um enclave de processamento de pagamentos.

Segmentação, VLANs e Controles de Geolocalização

A segmentação divide uma rede plana em domínios de broadcast e de confiança menores. As VLANs impõem a separação da Camada 2 em switches compartilhados, enquanto sub-redes roteadas e firewalls impõem os limites da Camada 3. Uma empresa típica separa estações de trabalho de usuários, servidores, telefones VoIP, Wi-Fi de convidados, dispositivos IoT e interfaces de gerenciamento em VLANs distintas, cada uma governada por ACLs inter-VLAN. A segmentação limita o movimento lateral: se um ransomware for detonado em uma VLAN de usuário, ele não poderá pivotar imediatamente para a VLAN do banco de dados sem atravessar limites filtrados.

A geolocalização de IP estende a segmentação de forma lógica. Se a empresa opera apenas na América do Norte, regras de firewall ou feeds de geo-IP podem descartar conexões originadas de outras regiões, diminuindo drasticamente a superfície de ataque para tráfego de força bruta e reconhecimento. A geolocalização não substitui a autenticação — atacantes usam VPNs e proxies — mas é um filtro grosseiro eficaz.

Dispositivos de Perímetro: NGFW, IDS/IPS e WAF

Um firewall de próxima geração (NGFW) estende a inspeção stateful tradicional com reconhecimento de aplicação, integração de identidade de usuário, descriptografia TLS e feeds de inteligência de ameaças. Onde um firewall legado vê “TCP/443 para 8.8.8.8”, um NGFW vê “usuário jsmith usando o Dropbox para fazer upload de um arquivo classificado como PII.”

Sistemas de Detecção de Intrusão (IDS) e Sistemas de Prevenção de Intrusão (IPS) analisam o tráfego comparando-o com assinaturas e baselines de comportamento. A distinção crítica: um IDS é out-of-band e passivo — normalmente alimentado por uma porta SPAN ou um network tap — e só pode alertar. Um IPS é inline, posicionado no caminho do tráfego, e pode descartar, resetar ou colocar em quarentena fluxos maliciosos em tempo real. Implantar um IDS onde a prevenção é necessária deixa os ataques visíveis, mas não mitigados; implantar um IPS sem um ajuste cuidadoso arrisca bloquear o tráfego legítimo. A escolha se baseia na missão: monitoramento e forense exigem um IDS, enquanto a aplicação ativa de políticas exige um IPS.

Um Firewall de Aplicação Web (WAF) opera na Camada 7 e entende especificamente a semântica de HTTP/HTTPS. Ele analisa requisições para detectar SQL injection, cross-site scripting e abuso da lógica da aplicação. Um WAF não é um IPS de propósito geral: ele protege especificamente aplicações web e é posicionado diretamente na frente dos servidores web ou incorporado a um proxy reverso ou CDN. Por outro lado, um IPS cobre protocolos mais amplos, mas não tem o contexto profundo de aplicação necessário para capturar um payload UNION SELECT maliciosamente criado e embutido no corpo de um POST.

Balanceadores de Carga e Filtragem de Conteúdo

Balanceadores de carga distribuem as conexões de clientes por um pool de servidores backend usando algoritmos como round-robin, least-connections ou weighted hashing. Além do desempenho, eles permitem disponibilidade elástica: adicionar ou substituir um servidor backend exige apenas a atualização do pool, sem interrupções visíveis para o cliente. Isso torna os balanceadores de carga a solução ideal quando o requisito é um esforço operacional mínimo para adicionar ou substituir capacidade. Os balanceadores de carga modernos também terminam conexões TLS, realizam verificações de saúde (health checks) e se integram com serviços de WAF e de mitigação de DDoS (DDoS scrubbing).

Filtros de conteúdo e gateways web seguros inspecionam o tráfego de saída do usuário, bloqueando o acesso a categorias como malware, phishing ou conteúdo que viola políticas, e frequentemente aplicam filtragem na camada de DNS como uma linha de defesa adicional.

VPNs e Túneis Criptografados

Redes Privadas Virtuais (VPNs) fornecem confidencialidade e integridade para o tráfego que atravessa redes não confiáveis. O IPsec opera na Camada 3 e pode proteger qualquer tráfego IP; ele usa o IKE (Internet Key Exchange) para negociação e o AH (Authentication Header, apenas integridade) ou o ESP (Encapsulating Security Payload, integridade e confidencialidade). As VPNs SSL/TLS operam das Camadas 4 a 7, geralmente por meio de um navegador web ou um cliente leve, e são mais fáceis de implantar através de NAT e firewalls do que o IPsec. O WireGuard é um protocolo de VPN moderno e com uma base de código mínima que usa Curve25519 para troca de chaves e ChaCha20-Poly1305 para criptografia, oferecendo um desempenho significativamente melhor do que o OpenVPN ou o IPsec em muitos cenários.

O Split tunneling (túnel dividido) roteia apenas o tráfego destinado à empresa através da VPN, enquanto o tráfego da internet sai localmente. Isso reduz a carga de largura de banda da VPN, mas significa que as ameaças provenientes da internet contornam os controles de segurança corporativos. A VPN em modo full-tunnel (túnel completo) roteia todo o tráfego através do gateway corporativo, permitindo a filtragem de conteúdo e a inspeção de DLP, ao custo de maior latência e consumo de largura de banda.

Cenário Prático: Movimento Lateral por Meio de uma Rede Plana

Uma empresa de serviços profissionais executava todas as estações de trabalho, servidores e impressoras em uma única sub-rede /16, sem segmentação interna. Quando um invasor obteve acesso inicial por meio de um e-mail de phishing na estação de trabalho de um analista júnior, ele usou o nmap para descobrir 847 hosts alcançáveis, identificou um servidor de arquivos Windows Server 2012 R2 sem patches, explorou a vulnerabilidade MS17-010 (EternalBlue) para obter acesso de SYSTEM e, em seguida, usou esse ponto de apoio para alcançar o controlador de domínio. Toda a fase de movimento lateral levou menos de quatro horas. Se a rede tivesse sido segmentada — com as estações de trabalho em uma VLAN separada dos servidores e com regras de firewall entre VLANs permitindo apenas os protocolos necessários — a estação de trabalho do analista não teria conseguido alcançar o servidor de arquivos na porta SMB/445, e a cadeia de ataque teria sido quebrada no primeiro pivô.

← Ameaças · Todos os domínios · Operações →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →