# DC0053 — Firewall Metadata
> [!info] Data Component MITRE ATT&CK
> **ID:** DC0053 | **Fonte pai:** [[ds0018-firewall|DS0018 — Firewall]] | **Cobertura:** Configuração, políticas, status e regras de firewall
## Descrição
Firewall Metadata captura informações contextuais sobre firewalls — suas configurações, políticas, status operacional e regras associadas. Ao contrário dos logs de tráfego, este componente foca nos *metadados administrativos* do firewall: quem modificou uma regra, quando, qual política está ativa e quais portas estão abertas ou bloqueadas.
Este componente é crítico para detectar modificações maliciosas em regras de firewall, uma técnica amplamente utilizada por atores como [[g0032-lazarus-group]], [[g0096-apt41]] e grupos de ransomware para desabilitar controles de segurança antes de iniciar a fase destrutiva de um ataque. A modificação de políticas de firewall frequentemente precede movimentação lateral e exfiltração de dados.
Em ambientes de nuvem, os metadados de firewall cobrem Security Groups (AWS), Network Security Groups (Azure) e Firewall Rules (GCP) — todos representando controles de rede que, quando modificados por adversários, podem expor infraestrutura crítica à internet pública. No Brasil, ataques a setores [[financial]] e [[government]] frequentemente envolvem manipulação de regras de firewall para abrir caminhos de exfiltração.
A telemetria gerada por este componente alimenta casos de uso de detecção de [[T1562.004-disable-or-modify-system-firewall]] (Impair Defenses: Disable or Modify System Firewall) e [[t1599-network-boundary-bridging|T1599-network-boundary-bridging]], além de ser essencial para auditorias de conformidade como PCI-DSS e LGPD no contexto brasileiro.
## Telemetria
| Fonte | Evento / Log | Descrição |
|-------|-------------|-----------|
| Windows Event Log | **EID 4950** | Configuração do Windows Firewall alterada |
| Windows Event Log | **EID 4954** | Regra do Windows Firewall alterada pelo GPO |
| Windows Event Log | **EID 4946** | Regra adicionada à lista de exceções do Windows Firewall |
| Windows Event Log | **EID 4947** | Regra modificada na lista de exceções do Windows Firewall |
| Windows Event Log | **EID 4948** | Regra removida da lista de exceções do Windows Firewall |
| Windows PowerShell | `Get-NetFirewallRule` | Metadados de todas as regras configuradas |
| Linux iptables | `iptables -S` / `nft list ruleset` | Ruleset completo do firewall host |
| AWS CloudTrail | `AuthorizeSecurityGroupIngress` | Adição de regra de entrada em Security Group |
| AWS CloudTrail | `RevokeSecurityGroupEgress` | Remoção de regra de saída em Security Group |
| Azure Activity Log | `Microsoft.Network/networkSecurityGroups/write` | Modificação de NSG |
| Azure Activity Log | `Microsoft.Network/firewallPolicies/write` | Alteração em política de Azure Firewall |
| GCP Audit Log | `compute.firewalls.insert` / `compute.firewalls.patch` | Criação/modificação de regra de firewall GCP |
| EDR (Sysmon/CrowdStrike) | Processo `netsh.exe` ou `sc.exe` | Comando para alterar firewall via linha de comando |
## Queries de Detecção
### KQL — Microsoft Sentinel: Alteração de Regra de Firewall Windows
```kql
SecurityEvent
| where EventID in (4946, 4947, 4948, 4950, 4954)
| extend RuleAction = tostring(EventData.RuleAction),
RuleName = tostring(EventData.RuleName),
ModifiedBy = tostring(EventData.SubjectUserName)
| where ModifiedBy !contains "SYSTEM"
| project TimeGenerated, Computer, EventID, RuleName, RuleAction, ModifiedBy
| order by TimeGenerated desc
```
### KQL — Azure: Modificação de NSG Fora do Horário Comercial
```kql
AzureActivity
| where OperationNameValue contains "networkSecurityGroups"
and ActivityStatusValue == "Success"
| extend Hour = hourofday(TimeGenerated)
| where Hour < 7 or Hour > 19
| project TimeGenerated, Caller, OperationNameValue, ResourceGroup, Properties
| order by TimeGenerated desc
```
### SPL — Splunk: Detecção de Desabilitação de Firewall via netsh
```spl
index=windows sourcetype=XmlWinEventLog:Security
(EventCode=4950 OR EventCode=4954)
| eval rule_name=mvindex(split(Message,"Rule Name:"),1)
| search Message="*disabled*" OR Message="*Disabled*"
| stats count by Computer, rule_name, Account_Name, _time
| where count > 0
| sort - _time
```
### SPL — Splunk: Modificações em Security Groups AWS
```spl
index=aws sourcetype=aws:cloudtrail
eventName IN ("AuthorizeSecurityGroupIngress","AuthorizeSecurityGroupEgress",
"RevokeSecurityGroupIngress","RevokeSecurityGroupEgress")
| spath output=fromPort path=requestParameters.fromPort
| spath output=ipProtocol path=requestParameters.ipProtocol
| spath output=cidr path=requestParameters.cidrIp
| where cidr="0.0.0.0/0"
| stats count by userIdentity.arn, eventName, fromPort, cidr, _time
| sort - _time
```
## Técnicas Relacionadas
| Técnica | Nome | Relevância |
|---------|------|-----------|
| [[T1562.004-disable-or-modify-system-firewall]] | Disable or Modify System Firewall | Técnica primária — desabilitar firewall antes de C2 |
| [[t1562-impair-defenses\|T1562-impair-defenses]] | Impair Defenses | Categoria pai — evasão de controles de segurança |
| [[t1190-exploit-public-facing-application\|T1190-exploit-public-facing-application]] | Exploit Public-Facing Application | Firewalls expostos com regras permissivas como vetor inicial |
| [[t1599-network-boundary-bridging\|T1599-network-boundary-bridging]] | Network Boundary Bridging | Modificação de regras para criar pontes de rede |
| [[t1078-valid-accounts\|T1078-valid-accounts]] | Valid Accounts | Uso de credenciais legítimas para alterar regras de firewall |
## Contexto LATAM
> [!warning] Relevância para Brasil e América Latina
> Grupos de ransomware como **Black Basta**, **LockBit** e **RansomHub** — ativos no Brasil — consistentemente desabilitam ou modificam regras de firewall como parte de sua execução. Em incidentes respondidos por equipes brasileiras em 2024-2025, a modificação de NSGs em ambientes Azure foi observada em ataques ao setor [[financial]] e [[government]].
>
> Organizações brasileiras em setores regulados (bancário, saúde) devem correlacionar eventos de modificação de firewall com o calendário de mudanças aprovadas (ITSM/CMDB). Qualquer alteração fora de janelas de manutenção autorizadas deve ser escalada para análise imediata. Ferramentas como **Fortinet FortiGate** e **Palo Alto Networks** dominam o mercado corporativo LATAM — ativar o syslog de auditoria administrativa é prioritário.
## Referências
- [MITRE ATT&CK — DC0053 Firewall Metadata](https://attack.mitre.org/datacomponents/DC0053)
- [MITRE ATT&CK — T1562.004 Disable or Modify System Firewall](https://attack.mitre.org/techniques/T1562/004/)
- [[ds0018-firewall|DS0018 — Firewall]]
- [[_defenses|Hub de Defesas]]
- [[_data-sources|Índice de Data Sources]]