UPnP: a porta que o seu roteador abre para a internet sem você saber

O recurso conveniente que virou risco

UPnP (Universal Plug and Play) foi criado para facilitar a vida: um aparelho da rede pede ao roteador para abrir uma porta e o roteador obedece, sem senha, sem confirmação. É assim que um console de videogame ou um aplicativo de vídeo "simplesmente funciona". O problema é que qualquer dispositivo pode pedir — inclusive uma câmera com firmware antigo, um NAS mal configurado ou um software malicioso.

O resultado é uma lista de portas abertas para a internet que ninguém na empresa autorizou e quase ninguém consegue ver. É o risco que o Sentinela foi feito para enxergar.

Por que isso é grave

• Câmeras IP expostas aparecem em buscadores de dispositivos e viram alvo em minutos.
• Serviços internos (RDP, painéis de administração, bancos de dados) passam a responder de fora, sem que o firewall tenha sido tocado.
• Malware usa UPnP para abrir o próprio caminho de volta, sem precisar quebrar nada.

A maioria dos roteadores vem com UPnP ligado de fábrica. A maioria das empresas nunca olhou o que ele abriu.

Como o Sentinela descobre

O Sentinela consulta o próprio roteador pelo protocolo UPnP e lista todos os mapeamentos ativos: qual porta externa aponta para qual dispositivo interno, e desde quando. A lista aparece no painel em linguagem clara — "porta 554 externa → Câmera da recepção" — e cada nova abertura gera um alerta em tempo real no Windows, por e-mail, Slack ou Teams.

Exposição no índice de segurança

Portas abertas para a internet pesam diretamente na nota de 0 a 100 do Sentinela. Uma rede com câmeras expostas não passa de um índice mediano, por melhor que esteja o resto — porque é ali que o risco real está.

O que fazer quando aparece uma porta aberta

• Identifique o dispositivo pelo nome e fabricante que o Sentinela mostra.
• Pergunte: esse serviço precisa mesmo ser acessível de fora? Na maioria dos casos, não.
• Remova o mapeamento no roteador e, se possível, desligue o UPnP por completo.
• Atualize o firmware do aparelho que pediu a abertura.
• Deixe o Sentinela vigiando: se a porta voltar a abrir, você fica sabendo na hora.

Servidor sem internet? Funciona mesmo assim

O Sentinela valida a licença localmente e roda em Windows Server isolado. Ele precisa enxergar a rede, não a internet — o que o torna adequado para ambientes industriais e servidores restritos, onde justamente a exposição inadvertida costuma passar despercebida por anos.