Como escolher o firewall certo para uma pequena empresa

Quase toda pequena empresa começa com o firewall que veio embutido no roteador do provedor ou no modem. Ele faz o básico: bloqueia conexões não solicitadas vindas da internet. O problema é que praticamente todo ataque relevante hoje entra por dentro de conexões que foram solicitadas — um e-mail, um download, um site comprometido, um acesso remoto mal configurado. É aí que um firewall corporativo muda o jogo.

O que um firewall corporativo faz que o roteador não faz

Inspeção de conteúdo (DPI): analisa o que trafega dentro da conexão, não só de onde ela vem.
IPS/IDS: reconhece e bloqueia padrões de ataque conhecidos em tempo real.
Filtro web e de aplicações: controla categorias de sites e aplicativos (streaming, jogos, ferramentas de acesso remoto não autorizadas).
Antivírus e antimalware de borda: barra arquivos maliciosos antes de chegarem à estação.
VPN robusta: túneis site-to-site e acesso remoto com autenticação forte.
Segmentação: isola redes (visitantes, câmeras, servidores, produção) para que um incidente não se espalhe.
Relatórios e logs: visibilidade de quem acessou o quê — essencial para responder a um incidente.

UTM x NGFW: a diferença na prática

Os dois termos se confundem no marketing. De forma direta:

UTM (Unified Threat Management): reúne várias funções de segurança em uma caixa só (firewall, antivírus, filtro web, VPN, IPS). É a opção natural para a maioria das pequenas empresas: menos peças, menos contratos, administração centralizada.
NGFW (Next-Generation Firewall): foco em identificar e controlar aplicações e usuários, com inspeção profunda e integração a inteligência de ameaças. Faz mais sentido quando há requisitos de conformidade, muitos sistemas expostos ou necessidade de política por identidade.

Na prática, os equipamentos atuais de médio porte fazem as duas coisas — o que muda é qual conjunto de licenças você ativa e paga.

Como dimensionar: os números que importam

Pedir "um firewall para 20 pessoas" não basta. O dimensionamento correto olha para:

Critério	Por que importa	Como levantar
Throughput com inspeção ligada	O número de "firewall puro" da ficha técnica cai de 60% a 90% com IPS e antivírus ativos.	Some a banda de internet contratada + folga de 2x para crescimento.
Conexões simultâneas	Dispositivos IoT, câmeras e nuvens abrem centenas de sessões por estação.	Estime 150–300 sessões por usuário ativo.
Túneis VPN	Filiais e home office consomem capacidade dedicada.	Conte pontos site-to-site + pico de acessos remotos simultâneos.
Inspeção de tráfego criptografado (TLS)	A maior parte do tráfego é HTTPS; sem inspecioná-lo, boa parte da proteção não age.	Decida se vai inspecionar TLS — isso pesa muito no dimensionamento.

Appliance de fabricante ou solução aberta (pfSense/OPNsense)?

Appliance com licença (Fortinet, Palo Alto, Sophos, WatchGuard) entrega assinaturas de ameaças atualizadas, suporte do fabricante e garantia de hardware. É a escolha de menor risco operacional para quem não tem equipe de segurança interna.

pfSense ou OPNsense em hardware dedicado reduzem o custo de licença e dão controle total. São excelentes quando há alguém — interno ou parceiro — responsável por manter, monitorar e responder. Sem esse cuidado contínuo, viram um ponto cego.

Erros comuns que custam caro

Comprar pelo throughput de "firewall puro" e ver a internet arrastar quando liga a inspeção.
Ativar todas as licenças e nunca configurar as políticas — pagar por recurso desligado na prática.
Deixar regra "any-any" de saída: todo mundo acessa tudo, e o filtro web não serve para nada.
Não segmentar: câmeras e visitantes na mesma rede dos servidores.
Esquecer o plano de firmware: um firewall desatualizado é uma porta com fechadura conhecida.
Não guardar os logs em lugar nenhum — quando há incidente, não há o que investigar.

Checklist rápido antes de comprar

Levantei banda contratada, número de usuários ativos e filiais?
Vou inspecionar tráfego HTTPS? (isso define o porte do equipamento)
Quantos túneis VPN site-to-site e quantos acessos remotos simultâneos?
Quem vai administrar, atualizar e monitorar depois da instalação?
O orçamento inclui as renovações anuais de licença, não só o ano 1?
Tenho onde centralizar e reter os logs?
A proposta prevê segmentação de rede (visitantes, câmeras, servidores)?

Nota da RELIC

Na maioria dos projetos de pequeno porte no Grande ABC, o gargalo não é o modelo do firewall — é a configuração. Um equipamento de entrada bem segmentado, com políticas de saída restritivas e firmware em dia, protege mais que um modelo caro com regra "any-any". Antes de trocar de caixa, vale revisar a política.