Bloqueio geográfico: restringir acessos por país reduz ataques?

O que é bloqueio geográfico e como ele funciona

Bloqueio geográfico (ou geobloqueio) é a prática de liberar ou negar conexões conforme o país de origem do endereço IP. Firewalls e serviços de identidade consultam bases GeoIP, que associam faixas de IP a países. Essas bases usam os registros das entidades regionais que distribuem endereços, como o LACNIC na América Latina, e dados de provedores especializados. Quando uma conexão chega, o equipamento descobre a qual país o IP pertence e aplica a regra configurada: liberar, bloquear ou pedir uma verificação adicional.

Na prática, o geobloqueio aparece em três camadas. A primeira é o firewall de perímetro, que filtra o tráfego destinado aos serviços publicados pela empresa, como VPN, portal de acesso remoto ou sistemas web internos. A segunda é a camada de identidade, como o Acesso Condicional do Microsoft Entra ID, que decide se um login no Microsoft 365 será aceito conforme a localização. A terceira são os serviços de borda, como WAF e CDN, que protegem sites e aplicações expostos na internet.

Há duas abordagens. Na lista de bloqueio, a empresa nega países específicos, em geral aqueles de onde não espera tráfego legítimo e de onde vêm muitos ataques. Na lista de permissão, ela libera só os países onde realmente opera (para muitas empresas brasileiras, apenas o Brasil) e nega todo o resto. A lista de permissão é mais restritiva e costuma dar mais resultado, mas exige um processo claro de exceções.

Geobloqueio reduz ataques? Onde ele faz diferença de verdade

Reduz, mas é preciso entender que tipo de ataque. Boa parte das tentativas contra serviços expostos é automatizada: robôs varrem faixas inteiras de IP atrás de VPNs, portais RDP, webmails e painéis administrativos e depois disparam tentativas de senha em massa. Muitas dessas campanhas partem de servidores fora do Brasil. Quando a empresa restringe o acesso aos países onde opera, uma parte grande desse ruído deixa de chegar aos seus serviços.

Os benefícios mais visíveis no dia a dia são:

• Menos força bruta e password spray contra VPN, webmail e logins do Microsoft 365, o que diminui a chance de uma senha fraca ser descoberta.
• Menos contas travadas sem motivo, já que tentativas externas repetidas acionam o bloqueio por excesso de erros e atingem usuários legítimos.
• Logs mais limpos, o que ajuda a equipe de TI a enxergar os eventos realmente suspeitos no meio de milhares de tentativas irrelevantes.
• Mais tempo para corrigir falhas: quando surge uma vulnerabilidade crítica em um equipamento de VPN, por exemplo, o geobloqueio reduz a exposição até a correção ser aplicada.
• Mais um sinal de risco: um login de outro país bloqueado mesmo com usuário e senha corretos indica forte chance de credencial vazada e pede investigação imediata.

Esse último ponto costuma ser subestimado. Se o Acesso Condicional bloqueia um login estrangeiro que já passou pela etapa de senha, a empresa fica sabendo que alguém de fora tem a senha daquele colaborador. Assim dá para trocar a credencial e revisar a conta antes que o invasor encontre outro caminho.

As limitações: o que o bloqueio por país não resolve

O geobloqueio filtra a origem aparente da conexão, não a intenção de quem está do outro lado. Um atacante minimamente organizado sabe que muitas empresas brasileiras bloqueiam tráfego estrangeiro e adapta sua infraestrutura. Por isso, usar a restrição por país como barreira principal dá uma falsa sensação de segurança.

As principais limitações são:

1. VPNs e proxies comerciais: qualquer pessoa consegue, a baixo custo, um serviço que entrega um endereço IP brasileiro.
2. Nuvem pública com regiões no Brasil: provedores como AWS, Azure e Google Cloud têm data centers em São Paulo, e um atacante sobe uma máquina virtual ali em poucos minutos.
3. Proxies residenciais e botnets: aparelhos comprometidos dentro do país, como roteadores domésticos e câmeras IP, servem de ponte para ataques com IPs nacionais legítimos.
4. Imprecisão das bases GeoIP: a identificação do país costuma ser boa, mas não é perfeita. Faixas transferidas entre provedores, conexões móveis em roaming e alguns endereços IPv6 podem ser classificados errado.
5. Ataques que não dependem de login direto: phishing que leva o próprio usuário a entregar a sessão, malware em anexo e ataques pela cadeia de fornecedores passam por cima do filtro geográfico.

Geobloqueio filtra ruído, não é muralha. Ele diminui o volume de ataques oportunistas, mas não substitui MFA, senhas fortes, sistemas atualizados e monitoramento contínuo.

Na prática, o bloqueio por país deve ser mais uma camada de uma estratégia de defesa em profundidade. Ele funciona melhor junto com autenticação multifator resistente a phishing, políticas de dispositivo, publicação de serviços só quando necessário e alertas para logins fora do padrão.

Como aplicar geobloqueio no firewall sem quebrar serviços

Os principais firewalls corporativos filtram por país: o SonicWall tem o recurso Geo-IP Filter, o FortiGate permite criar objetos de endereço do tipo geografia e o pfSense faz o mesmo com o pacote pfBlockerNG. Configurar é simples; o cuidado está em escolher onde aplicar a regra. O ponto de partida recomendado é o tráfego de entrada para serviços publicados, como VPN SSL, portais de acesso remoto, sistemas web internos e interfaces de gerenciamento. Vale lembrar que deixar o RDP aberto direto para a internet já é um risco, com ou sem geobloqueio: ele deveria ficar atrás de uma VPN.

Alguns serviços pedem atenção antes de restringir a origem. Se o servidor de e-mail fica no perímetro da empresa, o recebimento (SMTP) não deve ser bloqueado por país, porque clientes e fornecedores estrangeiros precisam conseguir enviar mensagens. O mesmo vale para webhooks de sistemas SaaS, integrações bancárias, gateways de pagamento e plataformas fiscais, que podem chamar sistemas da empresa a partir de servidores no exterior. Por isso, mapeie essas dependências antes de ativar a regra e siga um roteiro gradual:

1. Liste todos os serviços publicados e quem precisa acessá-los, incluindo parceiros e integrações automáticas.
2. Analise os logs das últimas semanas para encontrar origens legítimas em outros países.
3. Crie a regra em modo de registro ou com escopo reduzido, começando por um serviço menos crítico.
4. Abra exceções por IP para fornecedores e integrações conhecidas, em vez de liberar o país inteiro.
5. Amplie aos poucos e mantenha ligada a atualização automática da base GeoIP.

Também é possível bloquear a saída por país, o que pode dificultar a comunicação de um malware com servidores de comando e controle. Esse bloqueio, porém, costuma afetar atualizações de software, serviços em nuvem e sites legítimos hospedados fora do Brasil, por isso deve ser aplicado de forma mais seletiva e com testes.

Acesso condicional no Microsoft 365: bloqueio por país do jeito certo

No Microsoft 365, o firewall da empresa ajuda pouco: os serviços estão na nuvem da Microsoft e o login pode acontecer de qualquer lugar. A ferramenta certa é o Acesso Condicional do Microsoft Entra ID, disponível a partir da licença Entra ID P1, que já vem no Microsoft 365 Business Premium, no E3 e no E5. Com ele, a empresa cria localizações nomeadas baseadas em países e as usa como condição em políticas que bloqueiam ou liberam o acesso.

Em empresas que operam só no Brasil, a configuração mais comum é: criar uma localização nomeada com os países permitidos e criar uma política que bloqueia o acesso de qualquer local, exceto dessa localização. A opção que inclui países ou regiões desconhecidos merece atenção, porque define o que acontece com endereços sem país identificado. Algumas boas práticas fazem toda a diferença:

• Comece em modo somente relatório (report-only) e acompanhe os logs de entrada por uma ou duas semanas antes de ativar o bloqueio.
• Exclua as contas de emergência (break-glass) e proteja-as com senha longa, MFA resistente a phishing e alerta de uso.
• Revise contas de serviço e integrações que fazem login a partir de servidores no exterior, para não interromper processos automáticos.
• Combine com MFA obrigatório: o bloqueio por país corta parte das tentativas, e o MFA protege contra as que vêm de IPs brasileiros.
• Monitore logins bloqueados com senha correta, porque eles indicam credencial comprometida.

A localização é avaliada no momento da autenticação. Uma sessão já aberta pode continuar valendo por algum tempo, a menos que a Avaliação Contínua de Acesso (CAE) esteja ativa em aplicativos compatíveis. Por isso, quando uma conta comprometida é identificada, revogar as sessões ativas continua sendo um passo obrigatório, junto com a troca de senha.

Viagens da equipe e exceções: como fazer na prática, com apoio da Duk

O receio mais comum ao adotar o geobloqueio é travar o diretor que vai a uma feira no exterior ou o vendedor que visita um cliente fora do país. A solução não é abrir mão do controle, e sim criar um processo simples de exceção. O modelo mais eficiente usa um grupo de segurança para viajantes, excluído da política de bloqueio por país mas incluído em uma política mais rígida, que exige MFA resistente a phishing e, quando possível, dispositivo gerenciado e em conformidade.

O fluxo recomendado funciona assim: o colaborador avisa sobre a viagem com antecedência por um chamado, informando destino e período. A TI coloca o usuário no grupo de exceção só durante essas datas. Em ambientes com Entra ID P2, a saída do grupo pode ser automática com o PIM para Grupos. Sempre que possível, libere apenas o país de destino em uma localização nomeada temporária, em vez de abrir o mundo todo. Quando a viagem acaba, o usuário volta à política padrão. Assim a empresa continua protegida e ninguém fica sem acesso ao e-mail no aeroporto.

A Duk Informática & Cloud aplica esse tipo de controle no dia a dia de mais de 550 empresas atendidas, com mais de 18 anos de experiência em infraestrutura, segurança e nuvem. Como Microsoft Gold Partner, a Duk configura Acesso Condicional, localizações nomeadas, MFA e políticas de exceção para viagens no Microsoft 365, além de regras de Geo-IP nos firewalls de perímetro. Todo projeto começa pela análise dos logs, para não interromper serviços nem integrações. Se sua empresa quer reduzir o volume de ataques sem criar atrito para a equipe, nosso time pode avaliar o ambiente atual e propor uma implantação gradual, com o geobloqueio como uma das camadas de uma estratégia completa de segurança.