Atualização do Ideco NGFW Novum: Mudanças na Arquitetura e sua Importância

Em abril de 2026, foi lançada uma atualização para o Ideco NGFW Novum, um release planejado que aprimora cinco áreas principais: gerenciamento centralizado, proteção DNS, gerenciamento de acesso remoto, SD-WAN e clustering. Abaixo, detalhamos as mudanças e os problemas que elas resolvem.

Contexto: Por que essas áreas específicas?

O Ideco NGFW Novum foi projetado como uma plataforma para infraestruturas distribuídas de grandes organizações. Uma instalação típica envolve múltiplos sites, diferentes canais de comunicação, um conjunto diversificado de dispositivos, usuários remotos e fornecedores com diferentes níveis de confiança.

Nessa configuração, quatro problemas são frequentemente encontrados:

1. Gerenciamento Horizontalmente Expandido: Com 10, 20 ou 50 nós NGFW, qualquer alteração na política exige repetição manual em cada dispositivo, resultando em custos operacionais e inconsistências de configuração.
2. DNS como Ponto Cego: O controle de perímetro clássico filtra conexões por IP e porta. No entanto, as requisições DNS geralmente contornam essas restrições, mesmo em redes isoladas. Atacantes exploram o DNS para transmitir dados, se comunicar com servidores de comando e controle (C&C) e evitar a filtragem.
3. Qualidade do Canal WAN Monitorada Apenas Após Falha Completa: O failover clássico só redireciona o tráfego quando uma interface cai. A degradação do canal – aumento de latência, perda de pacotes, jitter – passa despercebida. Serviços críticos (ERP, voz, videoconferência) continuam a usar o caminho problemático até que os usuários reclamem. Provar a degradação ao provedor sem medições registradas é difícil.
4. Pausas Durante o Failover de Cluster ou Reconstrução de Roteamento Dinâmico: Para infraestruturas com requisitos rigorosos de disponibilidade, isso é inaceitável.

A nova versão aborda cada um desses problemas.

Ideco Center: Gerenciamento de Contextos VPP, Logs Centralizados de IPS e WAF, Cluster Geograficamente Distribuído

Antes da atualização, o Ideco Center gerenciava contextos virtuais NGFW clássicos. A nova versão adiciona suporte para contextos virtuais de alto desempenho (VPP-contextos) a partir de um console unificado.

Contextos virtuais permitem que você execute múltiplas instâncias independentes do NGFW em um único servidor físico ou virtual, com recursos e políticas separados. Um cenário típico é um data center com múltiplos tenants ou uma grande organização com unidades de negócios isoladas em uma única plataforma. Antes desta versão, o gerenciamento centralizado desses contextos através do Ideco Center não estava disponível.

A segunda mudança é a coleta centralizada de logs de IPS (Intrusion Prevention System) e WAF (Web Application Firewall) de todos os nós NGFW conectados. Anteriormente, o Ideco Center agregava logs de autenticação, tráfego web, firewall e ações do administrador, mas os eventos de prevenção de intrusões e proteção de aplicações web permaneciam locais em cada nó. Para investigar um incidente, era necessário conectar-se sequencialmente aos consoles de cada NGFW e correlacionar os registros manualmente.

Agora, os eventos de IPS e WAF de toda a infraestrutura são consolidados em um único ponto. Isso oferece duas capacidades práticas. A primeira é a correlação de eventos entre sites: uma tentativa de exploit da mesma vulnerabilidade em múltiplos nós é vista como uma única imagem, e não como eventos locais isolados. A segunda é um único ponto de exportação para um SIEM (Security Information and Event Management) via syslog: em vez de configurar a exportação em cada NGFW, o fluxo de eventos é exportado centralmente do Ideco Center.

A terceira mudança é um cluster geograficamente distribuído do sistema de gerenciamento. Duas instâncias do Ideco Center são implantadas em diferentes data centers. Uma conexão direta entre os nós não é necessária. Se um nó falhar, o gerenciamento é automaticamente transferido para o segundo; as políticas aplicadas anteriormente no NGFW continuam a funcionar independentemente da disponibilidade do console.

Isso é fundamentalmente diferente do clustering do próprio NGFW. Aqui, estamos falando sobre a resiliência da camada de gerenciamento como uma camada separada: mesmo que ambos os data centers estejam enfrentando problemas de conectividade, o processamento de tráfego nos nós não para.

DNS Security: Log de Requisições como Ferramenta de Investigação

O DNS Security no Ideco NGFW Novum analisa as requisições em tempo real: identifica domínios DGA (Domain Generation Algorithm) (gerados algoritmicamente por servidores de comando e controle de malware), tunelamento DNS e domínios de phishing, e os bloqueia.

A nova versão adiciona um log de requisições DNS, acessível através da interface web. O administrador vê o histórico de acessos: qual dispositivo acessou quais domínios, quando e com qual resultado.

O valor prático aqui é a transparência. Ao investigar um incidente ou anomalia, o log de DNS permite que você reconstrua a cronologia: quando uma estação de trabalho começou a fazer requisições DNS para um domínio suspeito, a qual categoria de ameaça ele pertence. O log também pode ser exportado para um SIEM via syslog para analisar a correlação com outros eventos.

ZTNA e Ideco Client: Autenticação Multifator, Sincronização de Sessões, CLI

Na nova versão, o Ideco Client adiciona autenticação por certificado de máquina (Machine Certificate). Em combinação com a senha do usuário e um código único (OTP), isso forma um esquema multifator: usuário + dispositivo + fator temporal.

O significado arquitetônico é o seguinte. A comprometimento apenas da senha não dá ao atacante acesso: ele também precisa de acesso físico ao dispositivo com o certificado necessário. O roubo do dispositivo sem a senha também não abre o acesso. Para um ataque, é necessário obter simultaneamente a senha, o OTP e o dispositivo com o certificado instalado. Isso exclui os cenários mais comuns de tomada de conta.

A segunda mudança é a sincronização das sessões VPN do Ideco Client no cluster. Ao trocar os nós do cluster, as sessões do usuário não são desconectadas. Anteriormente, a troca significava reautenticação para todos os usuários ativos.

A terceira é a implementação do modo CLI do Ideco Client para sistemas headless. Isso cobre o cenário de conexão gerenciada de servidores, sistemas de produção e outros equipamentos sem uma interface gráfica ao contorno ZTNA (Zero Trust Network Access).

Além disso, o registro estendido do Ideco Client foi adicionado ao lançamento. Isso reduz o tempo de diagnóstico de problemas.

SD-WAN: Gerenciamento de Canais por Perfis SLA

Na configuração básica, o Ideco NGFW Novum já suporta balanceamento de carga entre múltiplos canais WAN e failover de rotas. O failover funcionava quando a interface estava indisponível.

A nova versão adiciona gerenciamento de canais baseado em um perfil SLA. O administrador define valores de limite para cada perfil: latência máxima permitida, jitter e perda de pacotes. O tráfego atribuído ao perfil é roteado apenas através de canais que atendam a esses parâmetros. Se um canal se degradar abaixo dos limites definidos, o tráfego é automaticamente transferido para um caminho de backup, sem esperar que a interface caia completamente.

Adicionalmente: o log agora registra as trocas entre canais, indicando o motivo. Isso dá transparência: o administrador vê quantas vezes o tráfego mudou por dia, qual gatilho e quanto tempo passou na rota de backup. Sem este log, provar ao provedor que o canal está degradado é difícil.

Cluster e Protocolos de Roteamento

Na nova versão, várias mudanças foram adicionadas à arquitetura de cluster, cada uma abordando um cenário de falha específico.

• Graceful Restart em BGP e OSPF: Ao reiniciar o processo de roteamento em um nó de cluster, os dispositivos vizinhos continuam a usar as rotas previamente acordadas durante o período de recuperação. Sem este mecanismo, a reinicialização levaria a uma reconstrução completa das tabelas de roteamento e a uma pausa na transmissão de tráfego.
• Sincronização do Estado das Interfaces LACP no Cluster: Canais agregados (bonding) agora são transferidos corretamente ao trocar nós: o estado das interfaces é sincronizado entre os nós, e não há renegociação LACP com o switch durante o failover. Isso reduz o tempo de troca.
• Sincronização das Tabelas FIB: As tabelas de encaminhamento são sincronizadas entre os nós. Ao trocar, o nó de backup começa a rotear o tráfego sem precisar reconstruir o FIB do zero.
• Suporte a EIGRP: Para organizações que usam EIGRP na infraestrutura, isso fecha o cenário de integração do Ideco NGFW Novum sem uma reconstrução completa. O EIGRP é usado principalmente em infraestruturas que herdaram equipamentos de rede Cisco.
• Aceleração da Troca de Nós do Cluster: O tempo de troca foi reduzido. Este é um parâmetro mensurável que afeta o SLA: quanto menor a pausa durante a troca, menor a probabilidade de quebrar as sessões TCP ativas.

Conclusão

A nova versão não muda a arquitetura da plataforma, mas preenche lacunas específicas que se manifestam durante a operação em infraestruturas distribuídas: centralização do gerenciamento e logs IPS/WAF a partir de um único console, transparência da atividade DNS, resiliência do cluster através da sincronização de estados e Graceful Restart, controle de qualidade do canal WAN no nível da política, e não no evento de uma falha. Para organizações que já usam o Ideco NGFW Novum, a versão é atualizada da maneira usual. Detalhes sobre os novos recursos podem ser obtidos com seu gerente ou no webinar de 23 de abril.