Um firewall mal configurado em uma VLAN de produção, uma regra ACL esquecida após uma migração de servidor, um acesso VPN ainda ativo para um prestador que saiu há seis meses: são esses pontos cegos que transformam uma rede corporativa em um playground para um atacante. A auditoria de segurança de rede serve para desmascará-los antes que um incidente o faça em seu lugar.
Segmentação de rede e fluxos autorizados: o primeiro ponto de atrito
No papel, a maioria das empresas possui uma segmentação de rede. Na prática, muitas vezes se observa que as regras de filtragem entre zonas não foram revisadas desde a entrada em operação. Fluxos temporários abertos para um projeto tornam-se permanentes por esquecimento.
Antes de iniciar uma varredura de vulnerabilidades, começamos por mapear os fluxos realmente ativos entre cada segmento. Em seguida, comparamos essa fotografia com o esquema teórico fornecido pela equipe de infraestrutura. A discrepância entre os dois revela as primeiras falhas: portas abertas sem justificativa, protocolos não criptografados que transitam entre a rede de escritório e a DMZ, máquinas de teste acessíveis a partir do Wi-Fi convidado.
Esse trabalho de confrontação entre o que é declarado e o que é real é detalhado neste guia sobre auditoria de segurança de rede, que descreve a lógica de priorização a ser aplicada uma vez que as discrepâncias sejam identificadas.
Os retornos variam nesse ponto de acordo com o tamanho do parque, mas uma rede de algumas centenas de postos já gera fluxos suficientes para que o exercício leve vários dias.
Inventário dos ativos de rede: por que as ferramentas automáticas não são suficientes
Um scanner de rede coleta endereços IP, nomes de máquinas, serviços expostos. O que ele não diz: a quem pertence esse equipamento, qual é seu papel no negócio e quem é responsável por ele. Sem essa camada de informação, obtemos uma lista, não um inventário utilizável.
A auditoria impõe cruzar a descoberta automática com entrevistas com as equipes de TI e de negócios. Buscamos em particular:
- Os equipamentos não gerenciados (shadow IT): impressoras conectadas, sensores IoT, NAS pessoais conectados à rede local sem validação da DSI
- As contas de serviço com privilégios elevados cujo uso exato e a senha ninguém mais conhece
- As interconexões com parceiros ou fornecedores, frequentemente configuradas via túneis VPN site-a-site cujas regras de filtragem do lado remoto escapam ao controle da empresa
Um ativo não inventariado é um ativo não protegido. É uma regra simples, mas condiciona toda a sequência da auditoria.
Análise de vulnerabilidades e testes de intrusão na rede: duas abordagens complementares
A varredura de vulnerabilidades identifica falhas conhecidas (CVE publicadas, versões obsoletas, configurações padrão). Ela é executada em todo o perímetro definido, programando as varreduras intensivas fora do horário de produção para limitar o impacto no desempenho.
O teste de intrusão vai mais longe. Um auditor tenta explorar as vulnerabilidades detectadas para medir a profundidade de acesso realmente alcançável. A questão não é mais “esta porta está aberta”, mas “a partir deste ponto de entrada, até onde podemos ir no sistema de informação”.
Concretamente, distinguimos duas abordagens:
- O teste em caixa preta, onde o auditor não possui nenhuma informação prévia e simula um atacante externo
- O teste em caixa cinza, onde o auditor recebe uma conta de usuário padrão para avaliar as possibilidades de elevação de privilégios e movimento lateral dentro da rede
- O teste em caixa branca, mais raro, onde o auditor tem acesso à documentação completa e ao código-fonte para uma revisão aprofundada
A varredura detecta as falhas, o teste de intrusão mede seu impacto real. Ambos são necessários para produzir um relatório de auditoria que vá além da simples lista de correções.
Conformidade NIS2 e capacidade de detecção: um critério de auditoria agora central
A diretiva NIS2 impõe às entidades envolvidas uma notificação de incidente em até 24 horas à ANSSI. Essa exigência muda a própria natureza da auditoria de rede. Não verificamos mais apenas se os sistemas estão atualizados: avaliamos se a empresa é capaz de detectar uma intrusão, registrá-la e emitir o alerta dentro desse prazo.
A auditoria deve, portanto, examinar toda a cadeia de detecção: coleta de logs (firewall, servidores, diretório Active Directory), centralização em um SIEM ou ferramenta equivalente, regras de correlação ativas e procedimento de notificação formalizado. Sem registro centralizado, a notificação em 24 horas permanece teórica.
A conformidade regulatória vai além da NIS2. Dependendo do setor, também verificamos o alinhamento com o RGPD para o tratamento de dados pessoais que transitam pela rede, ou com referências como a ISO 27001 se a empresa visa uma certificação.
Do relatório de auditoria ao plano de remediação: transformar constatações em ações
Um relatório que lista vulnerabilidades classificadas por nível de criticidade (crítica, alta, média, baixa) sem priorização operacional acaba em uma gaveta. O entregável útil é aquele que hierarquiza as correções com base no risco real do negócio, não apenas na pontuação CVSS.
Uma falha crítica em um servidor isolado sem dados sensíveis é menos prioritária do que uma falha média no controlador de domínio Active Directory. A priorização é feita pelo impacto no negócio, não apenas pela pontuação técnica.
O plano de remediação especifica para cada constatação: a ação corretiva, o responsável, o prazo e o meio de verificação. Também integramos indicadores de acompanhamento (taxa de correções aplicadas, cobertura MFA, tempo médio de detecção) para medir o progresso ao longo do tempo.
A auditoria pontual permanece uma fotografia. As empresas que tiram o melhor proveito desse exercício o inscrevem em um ciclo contínuo: avaliar, corrigir, supervisionar, reavaliar. Essa transição de um controle anual para uma postura gerida continuamente é a tendência que separa as organizações reativas daquelas que realmente antecipam as ameaças em sua rede.
