0 de 520 campos personalizados
Esta política aplica-se a [toda a infraestrutura de rede da organização], incluindo [redes internas, DMZ, acesso remoto], e é obrigatória para [todos os colaboradores, prestadores de serviços e parceiros].
Cumprimento das medidas de cibersegurança exigidas pela Diretiva NIS2:
CISO: [João Silva] - Aprovação e supervisão da política
Gestor de Rede: [Maria Santos] - Implementação e gestão da segurança de rede
Equipa SOC: [Equipa de 5 elementos] - Monitorização 24/7 e resposta a incidentes
Administradores de Sistema: [Equipa técnica] - Configuração e manutenção de dispositivos de rede
Esta política será revista a cada [12 meses] ou quando ocorrer [incidente de segurança grave ou alteração regulamentar]. Última revisão: [01/01/2025]. Próxima revisão: [01/01/2026].
A arquitetura de rede segue os princípios de [defesa em profundidade], implementando [múltiplas camadas de segurança] e baseada em [Zero Trust Architecture].
| Zona | Nível de Confiança | Sistemas/Serviços | Controlos de Acesso | Encriptação |
|---|---|---|---|---|
| Internet (Não Confiável) | Crítico | Tráfego externo não filtrado | Bloqueio total exceto regras explícitas | TLS 1.3 obrigatório |
| DMZ (Desmilitarizada) | Alto | Servidores web, email, DNS públicos | Firewall duplo, inspeção profunda | TLS 1.3, certificados válidos |
| Rede Interna (Corporativa) | Médio | Estações de trabalho, impressoras | 802.1X, NAC, segmentação VLAN | WPA3-Enterprise, IPsec |
| Zona de Servidores | Alto | Servidores aplicacionais internos | Firewall interno, ACLs rigorosas | TLS 1.3, IPsec entre zonas |
| Zona Crítica (Dados Sensíveis) | Crítico | BD críticas, sistemas financeiros | Micro-segmentação, MFA obrigatória | AES-256, HSM para chaves |
| Zona de Gestão (Management) | Crítico | Consolas admin, jump servers | Acesso privilegiado, PAM, MFA | TLS 1.3, SSH com chaves |
Descrição: [Arquitetura de duplo firewall com DMZ intermediária para serviços expostos à Internet]
Proteções Implementadas: [IDS/IPS em ambos os firewalls, WAF para aplicações web, inspeção SSL/TLS]
Firewalls NGFW: [Palo Alto PA-5250 (perímetro), Fortinet FortiGate 600E (interno)]
IDS/IPS: [Cisco Firepower Threat Defense]
WAF: [F5 BIG-IP Advanced WAF]
NAC (Network Access Control): [Cisco ISE - Identity Services Engine]
SIEM: [Splunk Enterprise Security]
Switches Core: [Cisco Catalyst 9500 com segmentação VLAN]
Ligações à Internet: [2 ISPs redundantes com BGP multihoming]
Largura de banda: [Primária: 1 Gbps, Secundária: 500 Mbps]
Failover automático: [Sim, com deteção em menos de 30 segundos]
Links internos redundantes: [LACP agregation, spanning-tree RSTP]
A segmentação de rede baseia-se em [isolamento por função de negócio e nível de sensibilidade], implementada através de [VLANs, firewalls internos e micro-segmentação].
Apenas o tráfego [explicitamente autorizado] pode circular entre segmentos. Implementação: [deny all por defeito, allow por exceção em ACLs].
| VLAN ID | Nome | Subnet | Gateway | Acesso Permitido | Proteção |
|---|---|---|---|---|---|
| 10 | VLAN_MANAGEMENT | 10.0.10.0/24 | 10.0.10.1 | Apenas administradores autorizados | MFA, PAM, logging completo |
| 20 | VLAN_SERVERS | 10.0.20.0/24 | 10.0.20.1 | Servidores aplicacionais | Firewall interno, IDS/IPS |
| 30 | VLAN_DATABASE | 10.0.30.0/24 | 10.0.30.1 | Apenas servidores autorizados | Micro-segmentação, encriptação |
| 40 | VLAN_CORPORATE | 10.0.40.0/22 | 10.0.40.1 | Estações de trabalho corporativas | NAC 802.1X, EDR, DLP |
| 50 | VLAN_GUEST | 10.0.50.0/24 | 10.0.50.1 | Visitantes, sem acesso interno | Isolamento total, apenas Internet |
| 60 | VLAN_IOT | 10.0.60.0/24 | 10.0.60.1 | Dispositivos IoT/SCADA | Isolamento, inspeção profunda |
| 70 | VLAN_VPN | 10.0.70.0/24 | 10.0.70.1 | Acesso remoto VPN | MFA, certificados, IPS |
| 99 | VLAN_QUARANTINE | 10.0.99.0/24 | 10.0.99.1 | Dispositivos comprometidos/não conformes | Isolamento total, remediação |
Implementação de micro-segmentação para [sistemas críticos e bases de dados] através de [políticas granulares a nível de aplicação].
Ferramenta: [VMware NSX, Cisco ACI]
Granularidade: [Controlo por workload individual, não por subnet]
Políticas: [Baseadas em identidade, aplicação e contexto]
Tráfego de gestão: [Out-of-band em VLAN dedicada, acesso via jump server]
Tráfego de backup: [VLAN separada com QoS, sem acesso à produção]
Tráfego de voz (VoIP): [VLAN de voz com QoS prioritária, VLAN ID 100]
Regra geral: [Negação implícita entre todas as zonas, autorizações explícitas apenas]
Logging: [Todas as tentativas de comunicação inter-zona são registadas]
Revisão: [ACLs revistas trimestralmente pela equipa de segurança]
Todos os firewalls devem suportar:
| ID | Origem | Destino | Serviço/Porta | Ação | Logging | Justificação |
|---|---|---|---|---|---|---|
| 1 | Internet | DMZ_WebServer | HTTPS/443 | Allow | Sim | Acesso público ao portal web |
| 2 | Internet | DMZ_EmailGW | SMTP/25, SMTPS/587 | Allow | Sim | Receção de email externo |
| 3 | DMZ | Internal_Servers | HTTPS/443, DB/3306 | Allow | Sim | Backend APIs e BD |
| 4 | Corporate_VLAN | Internet | HTTP/80, HTTPS/443 | Allow | Sim | Navegação web corporativa |
| 5 | VPN_Users | Corporate_Resources | RDP/3389, SSH/22 | Allow | Sim | Acesso remoto autenticado |
| 6 | Guest_VLAN | Internal_Any | Any | Deny | Sim | Isolamento de rede de visitantes |
| 7 | Management_VLAN | All_Devices | SSH/22, HTTPS/443 | Allow | Sim | Gestão de dispositivos |
| 8 | Internet | Internal_Any | Any | Deny | Sim | Bloqueio de acesso direto externo |
| 9 | IoT_VLAN | Corporate_VLAN | Any | Deny | Sim | Isolamento de dispositivos IoT |
| 10 | Any | Any | Any | Deny | Sim | Regra de negação implícita final |
Processo de aprovação: [Pedido formal, análise de risco, aprovação do CISO]
Validade de regras temporárias: [Máximo 30 dias, revisão obrigatória]
Revisão periódica: [Trimestral, com remoção de regras não utilizadas]
Documentação: [Todas as regras documentadas com justificação e proprietário]
Solução anti-DDoS: [Cloudflare Enterprise + firewall on-premise]
Capacidade de mitigação: [Até 10 Tbps na cloud, 10 Gbps on-premise]
Tempo de resposta: [Deteção automática em menos de 60 segundos]
Rate limiting: [1000 req/min por IP para APIs públicas]
Proteções ativadas:
Valide a configuração de regras de firewall antes de implementação.
Solução implementada: [Cisco Identity Services Engine (ISE)]
Âmbito: [Todas as ligações à rede corporativa, wired e wireless]
Verificações pré-admissão:
Método de autenticação: [EAP-TLS com certificados digitais]
RADIUS servers: [Cisco ISE cluster com 3 nós redundantes]
Certificados: [PKI interna, renovação automática a cada 12 meses]
Fallback para falha: [VLAN de quarentena com acesso limitado]
A arquitetura segue os princípios de Zero Trust conforme NIST SP 800-207:
SSIDs corporativos:
Encriptação: [WPA3 obrigatório, WPA2 desativado]
Roaming: [802.11r Fast Transition ativado]
MAC Address Filtering: [Apenas em ambientes críticos, não como controlo primário]
Port Security: [Máximo 2 MAC addresses por porta de acesso]
DHCP Snooping: [Ativado em todos os switches de acesso]
Dynamic ARP Inspection: [Proteção contra ARP spoofing]
Ação automática: [Mover para VLAN de quarentena (VLAN 99)]
Acesso permitido em quarentena: [Apenas servidores de atualização e remediação]
Tempo máximo em quarentena: [48 horas, após isso bloqueio total]
Notificações: [Email e SMS ao utilizador e equipa de segurança]
Determine a zona de segurança apropriada para um sistema ou serviço.
Solução implementada: [Cisco Firepower Threat Defense]
Modo de operação: [IPS inline para tráfego crítico, IDS para monitorização]
Localização de sensores:
Base de assinaturas: [Snort VRT + Talos Intelligence + regras customizadas]
Atualização: [Automática diária, assinaturas críticas em tempo real]
Regras customizadas: [15 regras específicas para ameaças setoriais]
Tuning: [Revisão mensal para reduzir falsos positivos]
Para ataques de severidade crítica: [Bloqueio imediato do IP origem por 24 horas]
Para ataques de severidade alta: [Alerta ao SOC + rate limiting agressivo]
Para anomalias: [Logging detalhado + alerta informativo]
Quarentena automática: [Dispositivos internos comprometidos movidos para VLAN 99]
SIEM utilizado: [Splunk Enterprise Security]
Eventos enviados: [Todos os alertas IDS/IPS, logs de firewall, NAC]
Correlação: [Regras de correlação para deteção de ataques multi-fase]
Retention: [Eventos de segurança retidos por 12 meses]
Feeds integrados:
Atualização de IoCs: [Automática a cada hora]
NetFlow/IPFIX: [Ativado em todos os routers e switches core]
Análise comportamental: [Machine learning para deteção de anomalias]
Deep Packet Inspection: [DPI em pontos críticos para protocolos específicos]
Ferramentas: [Zeek (Bro), Suricata para análise aprofundada]
Tecnologia: [IPsec VPN para site-to-site, SSL VPN para remote access]
Equipamento: [Palo Alto GlobalProtect, Cisco AnyConnect]
Capacidade: [Até 2000 utilizadores concorrentes]
Redundância: [Cluster ativo-passivo com failover automático]
Método primário: [MFA obrigatória - certificado digital + OTP]
Integração: [Active Directory + Azure MFA]
Certificados: [PKI interna, certificados de utilizador válidos por 12 meses]
Políticas de senha: [Mínimo 12 caracteres, complexidade alta, rotação 90 dias]
IPsec Phase 1: [IKEv2, AES-256-GCM, DH Group 20]
IPsec Phase 2: [ESP, AES-256-GCM, PFS Group 20]
SSL VPN: [TLS 1.3, cipher suites com forward secrecy]
Renegociação de chaves: [A cada 8 horas ou 1 GB de dados]
Split-tunneling: [Desativado, todo o tráfego via VPN]
Zonas acessíveis: [Apenas recursos corporativos aprovados, sem acesso direto a zonas críticas]
Conformidade de endpoint: [Verificação de antivírus, firewall, patches via NAC]
Idle timeout: [15 minutos de inatividade resulta em desconexão]
Localização dos túneis:
Monitorização: [Healthchecks a cada 10 segundos, alerta se down > 1 min]
Utilização permitida: [Apenas para trabalho corporativo, proibido uso pessoal]
Dispositivos permitidos: [Apenas dispositivos corporativos geridos]
Logging: [Todas as conexões/desconexões, transferências de ficheiros grandes]
Auditoria: [Revisão mensal de acessos, investigação de anomalias]
Solução PAM: [CyberArk para acesso administrativo remoto]
Jump Server: [Bastion hosts obrigatórios para administração]
Sessões gravadas: [Todas as sessões SSH/RDP administrativas gravadas]
Aprovação: [Acesso privilegiado requer aprovação prévia do supervisor]
Eventos registados obrigatoriamente:
SIEM: [Splunk Enterprise Security]
Volume médio diário: [500 GB de logs de rede]
Retenção online: [90 dias em hot storage]
Retenção total: [12 meses em cold storage]
Proteção de logs: [Envio via syslog encriptado, armazenamento em WORM]
SOC: [Operacional 24/7/365 com equipa de 5 elementos em turnos]
Dashboards principais:
Alertas críticos (severidade 1): [SMS + email + chamada automática ao SOC]
Alertas altos (severidade 2): [Email + notificação no SIEM]
Alertas médios (severidade 3): [Apenas notificação no SIEM]
SLA de resposta: [Sev 1: 15 min, Sev 2: 1 hora, Sev 3: 4 horas]
Frequência de auditorias internas: [Trimestrais para configurações de firewall e NAC]
Auditoria externa: [Anual por entidade certificadora NIS2/ISO 27001]
Testes de penetração: [Semestrais para perímetro e segmentação interna]
Vulnerability scanning: [Semanal automatizado para todos os dispositivos de rede]
| Métrica | Objetivo | Medição | Responsável |
|---|---|---|---|
| Disponibilidade de Rede | 99.9% | Monitorização contínua | Gestor de Rede |
| Tempo de Deteção de Incidentes | < 5 minutos | SIEM timestamps | SOC Lead |
| Falsos Positivos IDS/IPS | < 10% | Revisão mensal | Analista de Segurança |
| Patches de Dispositivos de Rede | 100% em 30 dias | Inventário automatizado | Administrador de Rede |
| Conformidade de Regras de Firewall | 100% | Auditoria trimestral | CISO |
| Cobertura de Logging | 100% dispositivos | Verificação automática | Engenheiro SIEM |
Relatório semanal: [Resumo de incidentes, top ameaças, estatísticas de tráfego]
Relatório mensal: [KPIs, análise de tendências, recomendações]
Relatório trimestral: [Conformidade NIS2, auditorias, melhorias implementadas]
Relatório anual: [Revisão estratégica, roadmap de segurança de rede]
Distribuição: [CISO, CIO, Comité de Gestão de Risco]
Gere e visualize a matriz de acessos entre zonas de rede.
Este template cobre todos os aspetos de segurança de rede e perímetro exigidos pela NIS2 (Artigo 21) e ISO 27033. Personalize todos os campos destacados e utilize as ferramentas de validação antes de implementar na sua organização.