FortiGate Firewall: NGFW vs UTM e perfis de segurança

O FortiGate funciona como firewall de próxima geração (NGFW) ou como UTM dependendo de quais perfis de segurança você ativa e de como configura a inspeção. Na prática, a diferença não está no equipamento, e sim na política: o NGFW prioriza identificação de aplicações, usuários e inspeção SSL seletiva, enquanto o UTM empilha antivírus, IPS e filtro web para proteger redes menores com um único appliance. Este guia mostra quando usar cada abordagem e quais perfis ativar em cada cenário.

NGFW e UTM no FortiGate: a diferença está na política, não no hardware

No FortiGate, NGFW e UTM não são equipamentos diferentes: são formas de operar o mesmo FortiOS. UTM (Unified Threat Management) reúne em um único appliance firewall, antivírus, IPS, filtro web e controle de aplicações, com foco em simplicidade. NGFW (Next-Generation Firewall) acrescenta inspeção em camada 7, identificação de aplicações e usuários e inspeção SSL, com foco em visibilidade e controle granular. No FortiGate, a escolha acontece na política, não no hardware.

O FortiOS oferece dois modos de política de inspeção, definidos por VDOM (ou globalmente, sem VDOM):

• Profile-based (padrão): a política de firewall casa tráfego por origem, destino, serviço e agenda. Depois, você anexa perfis de segurança (antivírus, filtro web, IPS, controle de aplicações) à regra. É a lógica clássica de UTM.
• Policy-based (modo NGFW): aplicações e categorias de URL passam a ser critérios de correspondência da própria política. O controle de aplicações deixa de ser um perfil e vira condição da regra, e a política de SSL/SSH é aplicada diretamente nela.

Essa distinção importa porque muda onde a decisão é tomada. No modo profile-based, a regra decide por endereço e porta e o perfil inspeciona depois. No modo policy-based, a aplicação identificada entra na decisão de permitir ou bloquear.

O FortiOS unifica as duas filosofias porque o mecanismo de inspeção e os perfis de segurança são os mesmos nos dois modos. O que muda é a forma de organizar as regras. Também é possível ajustar o modo de inspeção (flow ou proxy) conforme o equilíbrio entre desempenho e profundidade.

• Foco: UTM prioriza proteção consolidada e implantação rápida. NGFW prioriza visibilidade por aplicação e usuário.
• Perfil de cliente: UTM atende PMEs e filiais com equipe enxuta. NGFW atende ambientes com mais segmentação e requisitos de conformidade.
• Complexidade de gestão: UTM tende a ser mais simples, com poucas regras e perfis reutilizáveis. NGFW exige mais planejamento, pois a ordem das regras e a inspeção SSL pesam mais.

Para detalhes de configuração por versão, consulte a documentação oficial do FortiGate.

Como funcionam os perfis de segurança: IPS, antivírus, filtro web e controle de aplicações

Cada perfil de segurança do FortiGate inspeciona uma camada e um tipo de ameaça diferentes, e todos são ativados dentro da política de firewall. Entender essa divisão ajuda a calibrar proteção e desempenho.

• IPS: compara o tráfego com assinaturas de vulnerabilidades e exploits e também detecta anomalias de protocolo e de volume, como varreduras e tentativas de negação de serviço. Atua entre as camadas 3 e 7 e é essencial para proteger servidores publicados.
• Antivírus: procura malware em arquivos que trafegam por HTTP, SMTP, FTP e outros protocolos. No modo flow-based, o tráfego é inspecionado em fluxo, com menor latência e menor uso de memória. No modo proxy-based, o arquivo é armazenado e analisado por completo antes da entrega, o que permite análise mais profunda, ao custo de mais latência e consumo de recursos.
• Filtro web: classifica URLs e domínios nas categorias do FortiGuard e aplica ação por categoria (permitir, bloquear, monitorar ou alertar). Também permite listas manuais de URLs. Seu custo de CPU costuma ser menor que o de IPS e antivírus, mas depende da consulta ao serviço de reputação.
• Controle de aplicações: identifica aplicações por assinaturas, mesmo quando usam portas não padrão ou tráfego cifrado, e permite bloquear ou limitar por aplicação e categoria.

Na prática, você cria cada perfil, ajusta suas ações e os vincula a uma política de firewall que define origem, destino e serviço. Só o tráfego que casa com a política passa pelos perfis associados. Por isso, aplicar inspeção apenas onde ela faz sentido é a principal alavanca de desempenho. Quanto mais perfis ativos e quanto mais profunda a inspeção, maior a carga sobre CPU e memória, e o throughput com todos os perfis ligados fica abaixo do throughput de firewall puro. Consulte sempre os números de threat protection no datasheet do modelo.

A inspeção SSL/TLS é o ponto que mais pesa. Sem descriptografar o tráfego, IPS, antivírus e filtro web enxergam pouco do conteúdo, já que a maior parte da navegação hoje é cifrada. Com o modo deep inspection, o FortiGate atua como intermediário e exige instalar o certificado da CA nos dispositivos. O custo de processamento é significativo, e é comum manter exceções para categorias sensíveis, como bancos e saúde, e para aplicações que usam certificate pinning.

Por fim, assinaturas de IPS, antivírus, aplicações e categorias web vêm do FortiGuard e dependem de licença ativa. Sem o licenciamento, o equipamento continua a funcionar como firewall, mas os perfis deixam de receber atualizações e a proteção perde eficácia com o tempo.

Cenário UTM: pequenas e médias empresas com um único appliance

Em filiais e PMEs com equipe de TI enxuta, a regra é ativar poucos perfis, bem ajustados, e garantir que o appliance aguente o tráfego com tudo ligado. Um único FortiGate em modo UTM concentra firewall, IPS, antivírus, filtro web e controle de aplicações, e o ganho está em usar os perfis padrão recomendados antes de partir para customizações que ninguém vai conseguir manter.

Uma base enxuta e sustentável costuma incluir:

• IPS: perfil recomendado da Fortinet, mantendo a ação padrão das assinaturas. Evite desabilitar assinaturas sem motivo documentado e acompanhe os falsos positivos nos logs nas primeiras semanas.
• Antivírus: em modo flow-based, que reduz latência e consumo de memória em comparação ao proxy-based e atende bem a maioria dos cenários de filial.
• Filtro web: bloqueio por categorias de risco (malware, phishing, sites maliciosos) e de conteúdo impróprio, com exceções pontuais tratadas por lista local.
• Application control básico: bloqueio de proxies, P2P e anonimizadores, que são os principais caminhos para contornar o filtro web e as políticas de saída.

Sobre inspeção SSL, a escolha define o que os perfis conseguem enxergar. Com certificate-inspection, o FortiGate analisa apenas o certificado e o SNI: é leve, não exige instalar certificado nos dispositivos e permite o filtro web por categoria, mas antivírus e IPS não enxergam o conteúdo dentro do túnel TLS. Com deep inspection, o tráfego é descriptografado e reinspecionado, o que dá visibilidade real a malware e ataques em HTTPS, porém exige distribuir a CA aos clientes, tratar exceções (bancos, saúde, aplicações com certificate pinning) e consome bem mais CPU. Para equipes pequenas, uma abordagem prática é aplicar deep inspection em grupos de usuários ou destinos específicos e manter certificate-inspection no restante.

Nos logs e relatórios, habilite o registro de tráfego bloqueado e eventos de segurança, defina retenção compatível com o armazenamento local e configure alertas por e-mail para eventos críticos. Se não houver FortiAnalyzer, os relatórios nativos e o FortiView já oferecem uma visão suficiente para rotina semanal.

No dimensionamento, não use o throughput de firewall do datasheet como referência. Use o valor de throughput com UTM (ou threat protection), que considera IPS, antivírus e controle de aplicações ativos, e deixe folga sobre o pico real de banda. Se for ativar deep inspection, consulte também o desempenho de inspeção SSL do modelo, pois ele costuma ser bem menor. Considere ainda o crescimento de usuários e links nos próximos anos antes de fechar o modelo.

Cenário NGFW: datacenter, matriz e ambientes com visibilidade por aplicação e usuário

Em um cenário NGFW, o FortiGate deixa de decidir por IP e porta e passa a decidir por quem acessa e qual aplicação está em uso. Isso faz mais diferença em datacenter e matriz, onde o mesmo servidor atende perfis de usuário distintos e o tráfego leste-oeste é maior que o norte-sul.

Comece pela identidade. Integre o FortiGate ao Active Directory via FSSO (agente coletor ou modo sem agente) ou use SAML com o provedor de identidade para autenticação de usuários e VPN. Depois, use grupos do AD como origem nas políticas de firewall. Assim, a regra passa a dizer "grupo Financeiro acessa o ERP", e não "sub-rede X acessa o IP Y". Revise a cobertura do FSSO, porque dispositivos sem login mapeado caem em regras genéricas.

No application control, trabalhe com ações por categoria e exceções por aplicação:

• bloqueie categorias de risco, como proxy e anonimizadores, e aplicações de acesso remoto não homologadas;
• aplique limitação de banda ou monitoramento em streaming e redes sociais, conforme a política da empresa;
• libere explicitamente as aplicações de negócio e mantenha o restante em monitor no início, para ajustar antes de bloquear.

No IPS, crie um perfil por grupo de servidores. Filtre assinaturas por sistema operacional (Windows, Linux) e por severidade, ativando bloqueio nas críticas e altas e mantendo apenas registro nas demais. Um perfil aderente ao servidor protegido reduz falsos positivos e consumo de CPU, em comparação com um perfil único e amplo.

A deep inspection deve ser seletiva. Aplique-a ao tráfego de usuários para a internet e a destinos de maior risco. Deixe fora categorias sensíveis, como saúde e finanças, e serviços que usam pinning de certificado. Exige a CA de inspeção distribuída nos clientes.

Na segmentação interna, separe zonas (usuários, servidores, DMZ, gestão) e aplique políticas entre elas. Para tráfego interno de alto volume, como backup, replicação de banco e storage, priorize IPS ajustado e deixe de fora antivírus, deep inspection e filtros web, pois esses perfis consomem desempenho sem ganho proporcional. Use o Security Fabric para correlacionar eventos, aplicar automação de resposta e ter visão unificada da topologia entre os equipamentos Fortinet.

Próximo passo: faça um inventário de fluxos por servidor e valide cada perfil em modo monitor antes de ativar o bloqueio.

Cenário de borda exposta e serviços publicados: lições de incidentes como o MikroTrick

Expor SSH, WWW ou WebFig de um roteador à internet é uma decisão de design, não um detalhe de configuração. As vulnerabilidades do RouterOS da MikroTik (CVE-2026-67276 e CVE-2026-86060), exploradas ativamente desde 2 de setembro de 2026 no caso apelidado de MikroTrick, mostram o risco. Quando uma interface de gerenciamento responde para qualquer endereço, cada falha nela vira porta de entrada imediata.

O FortiGate reduz esse risco em camadas. Nenhuma delas dispensa as outras:

• Acesso administrativo restrito: libere HTTPS e SSH somente nas interfaces internas ou de gerenciamento. Use trusted hosts por administrador e exija VPN para gestão remota. Desative o gerenciamento na interface WAN.
• Local-in policies: controlam o tráfego destinado ao próprio firewall e limitam a origem de quem alcança os serviços de administração.
• VIPs com perfis de segurança: para serviços que precisam ser publicados, use VIP com política de firewall que aplique IPS, antivírus e inspeção SSL adequada. Publique apenas as portas necessárias.
• IPS com virtual patching: as assinaturas bloqueiam tentativas de exploração conhecidas contra o serviço publicado, ganhando tempo até a correção do fornecedor.
• Geo-blocking: bloqueie países sem relação com o negócio. Isso diminui o ruído e a superfície de varredura, mas não detém um atacante que use infraestrutura local.

Perfil de segurança não substitui patch. O virtual patching depende de assinatura disponível e atualizada, e cobre apenas o tráfego que passa pelo firewall. Ele não corrige a falha no sistema. O próprio FortiOS também recebe correções de segurança, e uma interface administrativa desatualizada e exposta repete o erro do MikroTrick. Acompanhe os boletins do PSIRT da Fortinet e mantenha uma janela regular de atualização do FortiOS.

Próximo passo: audite hoje quais interfaces do seu firewall aceitam gerenciamento pela WAN, feche as que não precisam e confirme a versão do FortiOS contra os boletins vigentes.

Como escolher e dimensionar: checklist de decisão, desempenho e licenciamento

Escolher entre perfil UTM e NGFW no FortiGate não depende de "qual é melhor", e sim do seu cenário: quantos usuários, quanto tráfego é criptografado, quais exigências de compliance você tem e quem vai operar o equipamento. Use o checklist abaixo antes de pedir qualquer proposta.

• Usuários e sessões: conte usuários simultâneos e dispositivos, não apenas colaboradores. Inclua visitantes, IoT e VPN.
• Tráfego criptografado: se a maior parte é HTTPS, a inspeção SSL/TLS será o fator que mais reduz o desempenho. Defina o que será inspecionado e o que ficará em exceção (saúde, bancos, por exemplo).
• Compliance: LGPD, PCI DSS ou exigências de clientes costumam pedir IPS, filtro web, controle de aplicações e retenção de logs.
• Equipe disponível: perfis de segurança exigem ajuste fino e revisão de alertas. Sem time dedicado, comece com perfis padrão e um parceiro de suporte.
• Aplicações críticas: liste ERP, VoIP, VPNs e sistemas legados sensíveis a latência ou a inspeção, pois são os candidatos a falso positivo.

Como ler o datasheet: o número de firewall throughput mede apenas o encaminhamento de pacotes, sem inspeção, e é o mais alto da tabela. Os valores de IPS, NGFW (IPS mais controle de aplicações) e threat protection (que soma antivírus e outras camadas) são progressivamente menores e refletem melhor o uso real. Dimensione pelo throughput do perfil que você realmente ativará, com margem de crescimento, e confira também sessões simultâneas e desempenho de inspeção SSL, que são medidos à parte.

Licenciamento FortiGuard: os serviços de segurança (IPS, antivírus, filtro web, controle de aplicações) dependem de assinatura ativa e atualizada. Os bundles, como o UTM e o Enterprise Protection, agrupam serviços em níveis diferentes, e o Enterprise Protection amplia o pacote. Compare o conteúdo de cada um com a sua lista de requisitos e peça a composição atual à equipe comercial, pois ela pode mudar conforme o modelo e a versão.

Implantação gradual: ative os perfis primeiro em modo monitor/audit, apenas registrando eventos. Revise os logs por um período suficiente para cobrir fechamento de mês e picos de uso, ajuste exceções e falsos positivos, e só então migre para bloqueio, categoria por categoria. Mantenha um plano de reversão.

Próximo passo: reúna número de usuários, link de internet, percentual estimado de tráfego HTTPS, requisitos de compliance e aplicações críticas, e fale com nossa equipe comercial para receber uma proposta com dimensionamento e licenciamento sob medida.