Muito se fala hoje sobre Segurança da Informação e Segurança Cibernética. São temas essenciais, mas existe uma premissa que muitas vezes é deixada em segundo plano: não existe segurança consistente sobre uma infraestrutura mal desenhada, pouco conhecida ou sem documentação adequada.
Antes de evoluir controles de segurança, implementar novas ferramentas, ampliar monitoramento, desenvolver políticas de Zero Trust ou fortalecer processos de resposta a incidentes, é necessário conhecer profundamente a infraestrutura que sustenta o ambiente.
Isso significa ter uma rede bem estruturada, segmentada, resiliente e documentada, com fluxos conhecidos, responsabilidades definidas e comportamento previsível em condições normais e de falha.
A partir dessa base é possível trabalhar de forma mais madura os aspectos de melhoria de Segurança da Informação e Cibersegurança.
Foi justamente esse princípio que orientou um projeto recente de arquitetura multisite: primeiro criar uma infraestrutura sólida, segura e previsível; depois utilizar essa base para evoluir continuamente os controles de segurança.
O conceito da arquitetura
Projetar uma arquitetura de rede para múltiplas unidades vai muito além de simplesmente conectar localidades.
O verdadeiro desafio está em garantir segurança, disponibilidade, previsibilidade operacional e continuidade, mesmo diante de falhas de conectividade ou indisponibilidade de parte da infraestrutura.
O objetivo foi estruturar uma arquitetura multisite capaz de interligar diferentes unidades de forma segura e eficiente, mantendo a autonomia local de cada ambiente e, ao mesmo tempo, permitindo integração entre serviços, roteamento inteligente e contingência entre localidades.
A base do projeto foi a criação de um backbone privado entre unidades por meio de fibra óptica, utilizado como meio principal de interligação física.
Sobre essa infraestrutura foi implementada uma camada adicional de proteção utilizando IPsec ponto a ponto, garantindo criptografia do tráfego entre as localidades.
Na prática, temos três camadas distintas:
- a fibra óptica realizando a interligação física;
- o IPsec protegendo logicamente a comunicação entre as unidades;
- e o roteamento dinâmico determinando como as redes corporativas são alcançadas.
Essa separação é importante porque cada tecnologia passa a possuir uma função claramente definida dentro da arquitetura.
Por que utilizar IPsec sobre um enlace de fibra privado?
É comum existir a percepção de que, por se tratar de uma fibra dedicada entre localidades, não seria necessária uma camada adicional de criptografia.
Entretanto, um princípio importante de segurança é simples:
o fato de um meio de comunicação ser privado não significa que ele precise ser implicitamente confiável.
A utilização de IPsec ponto a ponto sobre os enlaces ópticos adiciona confidencialidade e integridade ao tráfego entre os sites.
Além disso, esse modelo oferece outras vantagens:
- proteção do tráfego entre unidades;
- padronização da comunicação entre localidades;
- redução da exposição de dados durante o transporte;
- maior controle sobre os caminhos de comunicação;
- independência entre o meio físico e a camada de segurança;
- facilidade para expansão da arquitetura.
Em resumo:
a fibra fornece capacidade, baixa latência e estabilidade; o IPsec fornece proteção criptográfica.
Roteamento dinâmico entre as localidades
Sobre os enlaces protegidos, o ambiente utiliza roteamento dinâmico para distribuir as redes corporativas.
Esse modelo reduz a dependência de grandes conjuntos de rotas estáticas e permite que a própria infraestrutura se adapte a mudanças de caminho.
Cada localidade anuncia apenas as redes pelas quais é responsável, criando uma visão mais organizada e previsível da topologia.
Essa característica também melhora significativamente o troubleshooting.
Quando a infraestrutura possui um desenho claro, é possível identificar rapidamente:
- origem do tráfego;
- destino;
- caminho esperado;
- firewall responsável;
- túnel utilizado;
- rota aprendida;
- ponto de saída para a Internet.
Esse nível de visibilidade também possui impacto direto em Segurança da Informação.
É muito mais difícil proteger aquilo que não conseguimos mapear.
Alta disponibilidade e continuidade
Outro ponto importante do projeto foi evitar que a redundância estivesse concentrada apenas nos equipamentos.
Ter dois firewalls, por exemplo, não significa necessariamente possuir alta disponibilidade.
Se ambos dependem do mesmo enlace, do mesmo caminho ou de um único serviço crítico, ainda existe um ponto único de falha.
Por isso, a arquitetura foi desenvolvida considerando diferentes camadas de disponibilidade.
Cada unidade possui sua conectividade local e pode utilizar outra localidade como contingência quando necessário.
Caso determinada saída de Internet fique indisponível, o tráfego pode ser encaminhado pela infraestrutura corporativa até outro site com conectividade disponível.
Um fluxo de contingência pode ocorrer da seguinte forma:
Usuário → Firewall local → Fibra óptica → IPsec → Firewall remoto → Internet
Essa capacidade aumenta consideravelmente a resiliência do ambiente.
NAT somente no ponto efetivo de saída
Outro princípio adotado foi manter o NAT apenas no firewall que efetivamente está realizando a saída para a Internet.
O tráfego interno entre localidades mantém os endereços originais.
Por exemplo, se a Unidade A estiver utilizando temporariamente a Internet da Unidade B:
Unidade A → Backbone → Unidade B → NAT → Internet
Esse modelo oferece melhor:
- rastreabilidade;
- troubleshooting;
- correlação de logs;
- aplicação de políticas;
- visibilidade de segurança.
Evitar traduções desnecessárias dentro da rede corporativa simplifica consideravelmente a operação.
Segmentação como parte da arquitetura
Uma infraestrutura segura também precisa possuir limites claros.
Por isso, usuários, servidores, dispositivos de infraestrutura, gerenciamento, serviços e outros grupos de ativos devem ser separados logicamente.
A segmentação não deve existir apenas para organização.
Ela é um importante mecanismo de segurança.
Quando bem implementada, permite estabelecer regras claras sobre:
quem pode acessar o quê, por qual caminho e em quais condições.
Essa abordagem também reduz a movimentação lateral em caso de comprometimento de um ativo.
Documentação também é um controle de segurança
Talvez esse seja um dos aspectos menos valorizados em projetos de infraestrutura.
Uma rede pode estar tecnicamente bem configurada e ainda assim apresentar um grande risco operacional se apenas uma ou duas pessoas compreenderem como ela funciona.
Por isso, documentação precisa fazer parte da própria arquitetura.
Diagramas, endereçamento, VLANs, fluxos, regras de comunicação, túneis, roteamento, dependências, processos de contingência e responsabilidades precisam estar documentados.
Uma boa documentação reduz:
- tempo de troubleshooting;
- risco durante mudanças;
- dependência de conhecimento individual;
- erros de configuração;
- tempo de resposta durante incidentes.
E também melhora diretamente a capacidade da equipe de segurança de entender o ambiente que precisa proteger.
Infraestrutura e Cibersegurança não são disciplinas isoladas
Esse talvez seja o principal ponto deste projeto.
Muitas organizações começam a discutir segurança olhando diretamente para ferramentas:
SIEM, EDR, XDR, IDS/IPS, SOC, Zero Trust, PAM, NDR e diversas outras tecnologias.
Todas são importantes.
Mas nenhuma delas elimina a necessidade de conhecer a infraestrutura.
Antes de perguntar:
“Qual ferramenta de segurança precisamos implementar?”
talvez algumas perguntas anteriores precisem ser respondidas:
Quais são nossas redes?
Como elas se comunicam?
Quais são os caminhos possíveis entre os ambientes?
Onde estão os ativos críticos?
Quais serviços dependem de quais localidades?
O que acontece quando um enlace falha?
Existe segmentação adequada?
Temos documentação atualizada?
Essas respostas criam a fundação sobre a qual Segurança da Informação e Cibersegurança podem trabalhar de forma consistente.
Benefícios da arquitetura
Entre os principais resultados de uma arquitetura multisite estruturada dessa forma, podemos destacar:
- maior resiliência operacional;
- comunicação criptografada entre localidades;
- redução de pontos únicos de falha;
- maior previsibilidade do roteamento;
- melhor segmentação;
- maior rastreabilidade do tráfego;
- facilidade de troubleshooting;
- melhor documentação do ambiente;
- maior capacidade de expansão;
- base mais sólida para evolução da Cibersegurança.
Conclusão
Segurança da Informação não começa necessariamente no SOC, no SIEM ou no firewall.
Ela começa muito antes.
Começa quando entendemos a infraestrutura, organizamos seus componentes, eliminamos improvisações, documentamos os fluxos e criamos uma arquitetura previsível.
A interligação das unidades através de fibra óptica, protegida por IPsec ponto a ponto, associada a roteamento dinâmico, segmentação, alta disponibilidade e contingência entre localidades cria uma base tecnológica muito mais sólida.
E somente com essa fundação bem estabelecida conseguimos avançar de forma consistente para camadas mais maduras de Segurança da Informação e Segurança Cibernética.
Porque, no final, é muito difícil proteger aquilo que não conhecemos, não entendemos ou não documentamos.
#Infraestrutura #Redes #Cibersegurança #SegurançaDaInformação #ArquiteturaDeRedes #IPsec #FibraOptica #NetworkSecurity #Networking #AltaDisponibilidade #CyberSecurity #NetworkArchitecture #ContinuidadeDeNegócio #ZeroTrust