Os firewalls são essenciais para proteger sistemas e redes contra acessos não autorizados e ataques cibernéticos. Um firewall popular entre servidores Linux é o ConfigServer Security & Firewall (CSF), que oferece um conjunto robusto de medidas de segurança, incluindo o controle de acesso com base na localização geográfica. Esse recurso é viabilizado através das configurações CC_DENY e CC_ALLOW, que permitem restringir ou autorizar tráfego de acordo com os códigos de país. Neste artigo, vamos explorar como configurar essa funcionalidade no CSF para aprimorar a segurança da sua rede.
I. A Importância do CC_DENY/ALLOW no CSF Firewall
O CSF oferece uma série de funcionalidades para filtrar o tráfego de rede de entrada e saída. Entre elas, as configurações CC_DENY e CC_ALLOW destacam-se por possibilitarem políticas de segurança com base na origem geográfica do tráfego, com objetivos como:
- Mitigar ataques: Muitos ataques cibernéticos têm origem em regiões ou países específicos. Bloquear esses locais pode reduzir a exposição e os riscos de atividades maliciosas.
- Atender requisitos de conformidade: Algumas organizações precisam, por requisitos regulatórios, restringir o tráfego com determinadas localidades.
- Reduzir tráfego indesejado: Regiões que geram tráfego desnecessário ou indesejado (spam ou bots, por exemplo) podem ser bloqueadas, otimizando os recursos de rede.
- Serviços Localizados: Quando serviços são destinados apenas a determinados países, CC_ALLOW pode garantir que apenas esses usuários acessem o sistema.
II. Entendendo os Códigos de Países
Os códigos de países são padronizados pela ISO 3166-1, usando duas ou três letras para representar cada país ou território de forma única, como “US” para os Estados Unidos e “DE” para a Alemanha. No CSF, esses códigos simplificam a filtragem geográfica.
III. Implementando CC_DENY/ALLOW no CSF
Para configurar o CC_DENY ou CC_ALLOW, siga estes passos:
-
Instale o CSF: Caso ainda não tenha o CSF instalado, utilize o gerenciador de pacotes da sua distribuição Linux para instalá-lo.
-
Configuração do CSF: Abra o arquivo de configuração do CSF, geralmente localizado em
/etc/csf/csf.conf. -
Defina as Regras CC_DENY/ALLOW: No arquivo de configuração, localize as opções
CC_DENYeCC_ALLOW. Aqui, insira os códigos dos países que deseja bloquear ou permitir, separados por espaço, como no exemplo abaixo:No exemplo acima, o tráfego da China, Rússia e Coreia do Norte é bloqueado, enquanto o tráfego dos EUA, Reino Unido e Canadá é permitido.
-
Aplique as Alterações: Salve o arquivo de configuração e reinicie o CSF para aplicar as mudanças com os seguintes comandos:
IV. Benefícios e Considerações
Utilizar CC_DENY/ALLOW com códigos de países oferece vantagens como:
- Segurança aprimorada: Reduzindo o risco de ataques cibernéticos com base na origem geográfica.
- Otimização de recursos: Filtrar tráfego desnecessário pode melhorar a performance do sistema.
- Conformidade: Auxilia organizações a cumprirem exigências de segurança.
Contudo, algumas considerações são importantes:
- Falsos Positivos: Dados de geolocalização podem ocasionalmente bloquear usuários legítimos.
- VPNs e Proxies: Restrição por país pode ser burlada com VPNs e proxies.
- Manutenção: É necessário manter a lista de códigos atualizada para refletir mudanças geopolíticas.
V. Lista Completa de Códigos de Países para CSF
Aqui está uma lista completa de códigos de país e seus respectivos nomes:
- AD: Andorra
- AE: Emirados Árabes Unidos
- AF: Afeganistão
- AG: Antígua e Barbuda
- AI: Anguilla
- AL: Albânia
- AM: Armênia
- AN: Antilhas Neerlandesas
- AO: Angola
- AQ: Antártida
- AR: Argentina
- AS: Samoa Americana
- AT: Áustria
- AU: Austrália
- AW: Aruba
- AZ: Azerbaijão
- BA: Bósnia e Herzegovina
- BB: Barbados
- BD: Bangladesh
- BE: Bélgica
- BF: Burkina Faso
- BG: Bulgária
- BH: Bahrein
- BI: Burundi
- BJ: Benin
- BM: Bermudas
- BN: Brunei
- BO: Bolívia
- BR: Brasil
- BS: Bahamas
- BT: Butão
- BV: Ilha Bouvet
- BW: Botsuana
- BY: Bielorrússia
- BZ: Belize
- CA: Canadá
- CC: Ilhas Cocos
- CF: República Centro-Africana
- CG: Congo
- CH: Suíça
- CI: Costa do Marfim
- CK: Ilhas Cook
- CL: Chile
- CM: Camarões
- CN: China
- CO: Colômbia
- CR: Costa Rica
- CS: Tchecoslováquia (antiga)
- CU: Cuba
- CV: Cabo Verde
- CX: Ilha Christmas
- CY: Chipre
- CZ: República Tcheca
- DE: Alemanha
- DJ: Djibuti
- DK: Dinamarca
- DM: Dominica
- DO: República Dominicana
- DZ: Argélia
- EC: Equador
- EE: Estônia
- EG: Egito
- EH: Saara Ocidental
- ER: Eritreia
- ES: Espanha
- ET: Etiópia
- FI: Finlândia
- FJ: Fiji
- FK: Ilhas Malvinas
- FM: Micronésia
- FO: Ilhas Faroe
- FR: França
- FX: França, Metropolitana
- GA: Gabão
- GB: Reino Unido
- GD: Granada
- GE: Geórgia
- GF: Guiana Francesa
- GH: Gana
- GI: Gibraltar
- GL: Groenlândia
- GM: Gâmbia
- GN: Guiné
- GP: Guadalupe
- GQ: Guiné Equatorial
- GR: Grécia
- GS: Ilhas Geórgia do Sul e Sandwich do Sul
- GT: Guatemala
- GU: Guam
- GW: Guiné-Bissau
- GY: Guiana
- HK: Hong Kong
- HM: Ilha Heard e Ilhas McDonald
- HN: Honduras
- HR: Croácia
- HT: Haiti
- HU: Hungria
- ID: Indonésia
- IE: Irlanda
- IL: Israel
- IN: Índia
- IO: Território Britânico do Oceano Índico
- IQ: Iraque
- IR: Irã
- IS: Islândia
- IT: Itália
- JM: Jamaica
- JO: Jordânia
- JP: Japão
- KE: Quênia
- KG: Quirguistão
- KH: Camboja
- KI: Kiribati
- KM: Comores
- KN: São Cristóvão e Nevis
- KP: Coreia do Norte
- KR: Coreia do Sul
- KW: Kuwait
- KY: Ilhas Cayman
- KZ: Cazaquistão
- LA: Laos
- LB: Líbano
- LC: Santa Lúcia
- LI: Liechtenstein
- LK: Sri Lanka
- LR: Libéria
- LS: Lesoto
- LT: Lituânia
- LU: Luxemburgo
- LV: Letônia
- LY: Líbia
- MA: Marrocos
- MC: Mônaco
- MD: Moldávia
- ME: Montenegro
- MG: Madagascar
- MH: Ilhas Marshall
- MK: Macedônia do Norte
- ML: Mali
- MM: Mianmar
- MN: Mongólia
- MO: Macau
- MP: Ilhas Marianas do Norte
- MQ: Martinica
- MR: Mauritânia
- MS: Montserrat
- MT: Malta
- MU: Maurício
- MV: Maldivas
- MW: Maláui
- MX: México
- MY: Malásia
- MZ: Moçambique
- NA: Namíbia
- NC: Nova Caledônia
- NE: Níger
- NF: Ilha Norfolk
- NG: Nigéria
- NI: Nicarágua
- NL: Países Baixos
- NO: Noruega
- NP: Nepal
- NR: Nauru
- NU: Niue
- NZ: Nova Zelândia
- OM: Omã
- PA: Panamá
- PE: Peru
- PF: Polinésia Francesa
- PG: Papua Nova Guiné
- PH: Filipinas
- PK: Paquistão
- PL: Polônia
- PM: São Pedro e Miquelão
- PN: Pitcairn
- PR: Porto Rico
- PT: Portugal
- PW: Palau
- PY: Paraguai
- QA: Catar
- RE: Reunião
- RO: Romênia
- RS: Sérvia
- RU: Rússia
- RW: Ruanda
- SA: Arábia Saudita
- SB: Ilhas Salomão
- SC: Seychelles
- SD: Sudão
- SE: Suécia
- SG: Singapura
- SH: Santa Helena
- SI: Eslovênia
- SJ: Svalbard e Jan Mayen
- SK: Eslováquia
- SL: Serra Leoa
- SM: San Marino
- SN: Senegal
- SO: Somália
- SR: Suriname
- SS: Sudão do Sul
- ST: São Tomé e Príncipe
- SV: El Salvador
- SY: Síria
- SZ: Suazilândia
- TC: Ilhas Turks e Caicos
- TD: Chade
- TF: Territórios Franceses do Sul
- TG: Togo
- TH: Tailândia
- TJ: Tadjiquistão
- TK: Tokelau
- TL: Timor-Leste
- TM: Turcomenistão
- TN: Tunísia
- TO: Tonga
- TR: Turquia
- TT: Trinidad e Tobago
- TV: Tuvalu
- TW: Taiwan
- TZ: Tanzânia
- UA: Ucrânia
- UG: Uganda
- UM: Ilhas Menores Distantes dos EUA
- US: Estados Unidos
- UY: Uruguai
- UZ: Uzbequistão
- VA: Cidade do Vaticano
- VC: São Vicente e Granadinas
- VE: Venezuela
- VG: Ilhas Virgens Britânicas
- VI: Ilhas Virgens dos EUA
- VN: Vietnã
- VU: Vanuatu
- WF: Wallis e Futuna
- WS: Samoa
- YE: Iémen
- YT: Mayotte
- ZA: África do Sul
- ZM: Zâmbia
- ZW: Zimbábue
- COM: Comercial dos EUA
- EDU: Educacional dos EUA
- GOV: Governo dos EUA
- INT: Internacional
- MIL: Militar dos EUA
VI. Conclusão
Os códigos de país para CC_DENY/ALLOW no CSF Firewall oferecem uma ferramenta valiosa para aprimorar a segurança da rede ao controlar o tráfego com base em localizações geográficas. Ao permitir ou negar seletivamente o acesso de países específicos, os administradores de sistema podem reduzir significativamente o risco de ataques cibernéticos e otimizar os recursos de rede. No entanto, é fundamental considerar os benefícios e os possíveis desafios, como falsos positivos e a necessidade de manutenção constante. Quando implementada com atenção e combinada com outras medidas de segurança, a filtragem por localização pode se tornar um componente poderoso de uma estratégia abrangente de cibersegurança.
