Proteção de Perímetro com FortiGate: Arquitetura, Funcionalidades e Boas Práticas para Ambientes Corporativos

A segurança de perímetro é frequentemente subestimada nas discussões sobre cibersegurança moderna. Em um cenário dominado por buzzwords como Zero Trust, SASE e XDR, é comum ver empresas investindo em soluções avançadas de detecção e resposta enquanto mantêm um firewall mal configurado, com regras permissivas acumuladas ao longo de anos, sem inspeção SSL ativa e sem qualquer política de segmentação interna.

O resultado é previsível: ataques que poderiam ser bloqueados no perímetro chegam ao endpoint. O ransomware que criptografou a rede poderia ter sido impedido na camada de rede. O comando-e-controle do malware que se instalou meses atrás estava se comunicando abertamente pela porta 443, criptografado, passando invisível pelo firewall que “estava ativo”.

Este artigo aborda como estruturar uma proteção de perímetro eficaz utilizando o FortiGate como NGFW, com foco em arquitetura, funcionalidades críticas, configurações recomendadas e integração com o ecossistema Fortinet Security Fabric.

1. O que é proteção de perímetro em redes modernas

O conceito clássico de perímetro de rede definia um limite claro entre o ambiente interno (confiável) e a internet (não confiável). Com a adoção de nuvem pública, SaaS, SD-WAN e trabalho remoto, esse limite se fragmentou. Hoje, o perímetro é distribuído: há usuários acessando recursos corporativos de redes domésticas, filiais conectadas via internet, cargas de trabalho em Azure e AWS, e APIs expostas que precisam ser protegidas.

Mesmo nesse cenário, a proteção de perímetro continua sendo a primeira e mais importante linha de defesa. A diferença é que ela precisa ser adaptada a essa nova realidade: inspeção em profundidade de tráfego criptografado, controle granular por aplicação e usuário, visibilidade centralizada e integração com inteligência de ameaças em tempo real.

É exatamente isso que o FortiGate, como Next-Generation Firewall (NGFW), entrega.

 

2. Arquitetura de referência com FortiGate

Antes de entrar nas funcionalidades, é importante entender onde o FortiGate se posiciona em uma arquitetura corporativa típica.

Topologia básica recomendada:

Em ambientes com alta disponibilidade, o FortiGate pode operar em cluster ativo-passivo (FGCP) ou ativo-ativo, com failover automático abaixo de 1 segundo para sessões críticas. Para ambientes com múltiplos links de internet, o SD-WAN integrado gerencia o balanceamento e failover de forma inteligente.

Para filiais, o FortiGate suporta implantação via Zero Touch Provisioning (ZTP), onde um appliance em uma filial remota sobe automaticamente a configuração correta ao ser ligado, sem necessidade de técnico local.

3. Funcionalidades críticas de segurança no FortiGate

3.1 Stateful Firewall e Políticas de Segurança

A base do FortiGate é um engine de firewall stateful de alta performance, acelerado por ASICs (Content Processors e Network Processors) que processam o tráfego em hardware, sem onerar a CPU principal.

As políticas de segurança no FortiGate são orientadas a identidade: é possível criar regras baseadas em usuário (com integração ao Active Directory via FSSO ou LDAP), grupo, endereço IP, sub-rede, FQDN, região geográfica e interface. Isso permite políticas altamente granulares, como “o grupo de Financeiro pode acessar o sistema bancário apenas de dentro da rede corporativa, de segunda a sexta, das 8h às 18h”.

Boas práticas em políticas:

• Adotar o princípio de menor privilégio: negar por padrão e liberar somente o necessário
• Utilizar objetos nomeados (endereços, serviços, grupos) em vez de IPs e portas soltos — facilita auditoria e manutenção
• Implementar política implícita de negação com log habilitado para rastrear tentativas bloqueadas
• Revisar periodicamente regras com hit count zero — regras inativas acumulam dívida técnica e confundem auditorias

3.2 Inspeção SSL/TLS (Deep Packet Inspection)

Este é um dos pontos mais críticos e, paradoxalmente, mais ignorados em ambientes corporativos. Estimativas indicam que mais de 80% do tráfego de rede moderno é criptografado. Sem inspeção SSL, um firewall NGFW examina apenas os metadados do tráfego — origem, destino, porta — e deixa o conteúdo passar cegamente.

O FortiGate realiza SSL Deep Inspection através de um mecanismo de proxy transparente: ele estabelece duas sessões TLS separadas (cliente↔FortiGate e FortiGate↔servidor), inspeciona o conteúdo em texto claro e o recriptografa. Para o usuário final, a experiência é transparente.

Considerações operacionais:

• É necessário distribuir o certificado CA do FortiGate nos dispositivos clientes (via GPO ou MDM) para evitar avisos de certificado
• Nem todo tráfego deve ser inspecionado: serviços bancários, portais de governo e aplicações com certificate pinning devem entrar na lista de exclusão (SSL Exemption)
• Inspecionar tráfego QUIC (HTTP/3) requer configuração específica, pois o protocolo utiliza UDP/443

Sem inspeção SSL ativa, IPS, Antivírus e Web Filtering operam de forma parcial ou ineficaz. É o pré-requisito para que as demais camadas de segurança funcionem corretamente.

3.3 IPS — Sistema de Prevenção de Intrusões

O módulo de IPS do FortiGate utiliza assinaturas mantidas e atualizadas pelo FortiGuard Labs, operação de inteligência de ameaças da Fortinet que monitora o cenário global de vulnerabilidades e ataques. As atualizações de assinaturas são publicadas continuamente — geralmente em menos de 24 horas após a identificação de uma nova ameaça ou CVE crítico.

O IPS opera em dois modos:

• Detecção (IDS): registra e alerta, sem bloquear — útil durante fase inicial de implantação para identificar falsos positivos
• Prevenção (IPS): bloqueia o tráfego malicioso em tempo real

Configuração recomendada:

• Aplicar perfis IPS distintos por segmento: um perfil mais agressivo para tráfego entrante da internet, um mais calibrado para tráfego interno
• Habilitar proteção contra botnets e comunicação com IPs maliciosos conhecidos (Botnet C&C)
• Ativar proteção contra ataques de negação de serviço (DoS) na interface WAN, com thresholds ajustados ao perfil de tráfego da empresa

3.4 Controle de Aplicações (Application Control)

O firewall de nova geração vai além de portas e protocolos. O Application Control do FortiGate identifica mais de 5.000 aplicações pela análise do comportamento do tráfego, independentemente da porta utilizada.

Isso resolve um problema real: aplicações como Telegram, BitTorrent e ferramentas de tunneling frequentemente operam na porta 443 para burlar firewalls tradicionais. Com Application Control, o FortiGate identifica e bloqueia essas aplicações pelo padrão do tráfego, não pela porta.

Casos de uso comuns:

• Bloquear uploads em serviços de armazenamento em nuvem pessoal (Google Drive pessoal, Dropbox) sem afetar versões corporativas
• Limitar banda para streaming de vídeo em horário comercial
• Bloquear aplicações de acesso remoto não autorizadas (AnyDesk, TeamViewer) que podem ser usadas por atacantes para persistência
• Controlar o uso de redes sociais por grupo de usuário

3.5 Web Filtering

O Web Filtering do FortiGate categoriza URLs em mais de 90 categorias baseadas em inteligência de ameaças em tempo real do FortiGuard. Além da categorização, o sistema avalia a reputação do domínio e a presença em listas de ameaças.

Funcionalidades importantes:

• DNS Filtering: bloqueia resolução de domínios maliciosos antes mesmo da conexão ser estabelecida — camada adicional de proteção
• YouTube for Schools / SafeSearch enforcement: força filtros de conteúdo em buscadores e plataformas de vídeo
• Quotas de uso: permite liberar categorias (como redes sociais) com limite de tempo diário por usuário

A combinação de Web Filtering com inspeção SSL garante que sites maliciosos hospedados em HTTPS não escapem da análise.

3.6 Antivírus em Camada de Rede

O módulo de Antivírus do FortiGate realiza varredura de arquivos transferidos via HTTP, HTTPS, FTP, SMTP, POP3 e IMAP antes de entregá-los ao endpoint. Opera em dois modos:

• Flow-based: mais rápido, menor impacto de latência, varredura em streaming
• Proxy-based: mais profundo, suporte a descompactação de arquivos, maior capacidade de detecção

Para ambientes com requisitos de performance elevada, o mode flow-based é recomendado, complementado por uma solução de endpoint protection (como ESET PROTECT ou FortiClient) para varredura mais profunda no dispositivo final.

3.7 Proteção contra Ameaças Avançadas — FortiSandbox

Para ameaças desconhecidas e arquivos suspeitos que não são detectados por assinaturas convencionais, o FortiGate integra-se ao FortiSandbox (on-premise ou em nuvem) para análise comportamental em ambiente isolado.

Arquivos suspeitos são enviados ao sandbox, executados em ambiente controlado, e o comportamento é analisado. Se o arquivo exibir comportamento malicioso (modificação de registro, comunicação com C&C, criptografia de arquivos), ele é bloqueado e uma nova assinatura é propagada automaticamente para todos os FortiGates conectados ao mesmo FortiGuard.

4. VPN e Acesso Remoto Seguro

O FortiGate suporta múltiplas modalidades de VPN:

IPSec Site-to-Site: conexão entre filiais e matriz, ou entre ambientes on-premise e nuvem. Suporte a IKEv2, autenticação por certificado, e redundância de túneis.

SSL-VPN: acesso remoto para usuários via browser ou FortiClient. Permite configuração de split tunneling (apenas tráfego corporativo passa pela VPN) ou full tunnel (todo o tráfego do usuário é inspecionado).

ZTNA — Zero Trust Network Access: evolução do modelo de VPN tradicional. Com FortiClient EMS integrado, o acesso a aplicações específicas é liberado apenas após validação do usuário e postura do dispositivo (versão de SO, antivírus ativo, patches aplicados). O usuário acessa a aplicação, não a rede — superfície de ataque significativamente reduzida.

5. Integração com o Fortinet Security Fabric

O maior diferencial do FortiGate em ambientes Fortinet é a integração nativa com o Security Fabric — a arquitetura de segurança integrada da Fortinet que conecta todos os produtos da pilha:

• FortiAnalyzer: centralização de logs, correlação de eventos, relatórios de conformidade (PCI DSS, LGPD, ISO 27001), e detecção de anomalias
• FortiManager: gerenciamento centralizado de múltiplos FortiGates, deploy de políticas, controle de versão de configurações
• FortiClient EMS: gerenciamento de endpoints, telemetria de postura, integração com ZTNA
• FortiAuthenticator: autenticação multifator, RADIUS, SAML — ponto central de gestão de identidade
• FortiSIEM / FortiSOC: correlação de eventos de múltiplas fontes para detecção e resposta a incidentes

Essa integração permite, por exemplo, que ao detectar um comportamento suspeito em um endpoint (via FortiClient), o FortiGate automaticamente quarentene aquele dispositivo, bloqueando seu acesso à rede até que a equipe de segurança investigue — tudo isso sem intervenção manual.

6. Visibilidade e Conformidade com FortiAnalyzer

Ter um firewall configurado corretamente é metade da equação. A outra metade é ter visibilidade sobre o que acontece na rede.

O FortiAnalyzer centraliza logs de todos os FortiGates do ambiente, correlaciona eventos e gera relatórios estruturados. Para ambientes sujeitos a auditorias de conformidade — PCI DSS, LGPD, SOC 2, ISO 27001 — o FortiAnalyzer fornece evidências prontas para auditoria: logs de acesso, registros de bloqueios, histórico de mudanças de política.

Em termos operacionais, o FortiAnalyzer permite:

• Identificar os usuários que mais consomem banda
• Detectar comportamento anômalo (ex.: um servidor interno iniciando conexões para IPs externos em horário não usual)
• Rastrear a progressão de um ataque com base em correlação de eventos de múltiplos pontos da rede
• Gerar relatórios executivos e técnicos automatizados por agendamento

7. Dimensionamento e Seleção do Modelo Correto

A escolha do modelo de FortiGate deve considerar três variáveis principais: throughput de firewall, throughput de inspeção SSL e número de sessões simultâneas. Um erro comum é dimensionar pelo throughput de firewall sem considerar a queda de performance com inspeção SSL ativa — que pode ser de 50% a 70% dependendo do modelo.

Referência por porte de empresa:

Para ambientes com requisito de alta disponibilidade, clusters FGCP (ativo-passivo) ou FGSP (ativo-ativo com sincronização de sessão) garantem continuidade operacional sem perda de sessões em caso de falha de um dos nós.

8. Boas Práticas de Hardening do FortiGate

Além das funcionalidades de segurança voltadas para o tráfego de rede, o próprio appliance precisa ser endurecido:

• Desabilitar acesso administrativo pela interface WAN (HTTP/HTTPS, SSH) — utilizar jump server ou VPN para administração remota
• Habilitar autenticação multifator para acesso administrativo via FortiAuthenticator ou token TOTP
• Configurar perfis de administração com menor privilégio possível (RBAC)
• Habilitar HTTPS com TLS 1.2 mínimo e cipher suites fortes na interface de gestão
• Ativar logging de todas as tentativas de login administrativo
• Manter firmware atualizado — o FortiGuard publica boletins de segurança regularmente, e vulnerabilidades críticas no FortiOS têm sido alvo de exploração ativa por atores de ameaça sofisticados
• Habilitar verificação de integridade de firmware no boot

Conclusão

A proteção de perímetro com FortiGate vai muito além de um firewall que bloqueia portas. Quando corretamente arquitetado e configurado, o FortiGate entrega inspeção profunda de tráfego criptografado, controle granular por aplicação e usuário, prevenção de intrusões baseada em inteligência atualizada, acesso remoto seguro com postura de dispositivo, e visibilidade centralizada para detecção e resposta a incidentes.

O desafio não é a tecnologia — é a implementação. Um FortiGate instalado com configuração padrão, sem inspeção SSL, sem IPS ativo e sem integração ao FortiAnalyzer entrega uma fração do seu potencial de proteção. A diferença entre um ambiente protegido e um ambiente vulnerável frequentemente não é o equipamento — é a configuração, a manutenção e a visibilidade.

É por isso que a gestão desse ambiente deve estar nas mãos de uma equipe com experiência real nesses produtos.

A VexaNetworks é parceira Fortinet e atua na implantação, configuração, hardening e suporte gerenciado de ambientes FortiGate — desde pequenas empresas até arquiteturas enterprise com FortiManager e FortiAnalyzer. Entre em contato com nossa equipe técnica para uma avaliação do seu ambiente atual.