Firewall do Windows 11 tem falha. Corrija-a assim

O firewall do Windows 11 protege bem a entrada, mas há um detalhe que muitos utilizadores desconhecem: por defeito, grande parte das aplicações pode comunicar para fora sem grande controlo. Isso abre espaço a telemetria excessiva, fugas de dados e até contactos silenciosos com servidores maliciosos.

A boa notícia é que há várias alterações simples que reforçam a segurança do sistema sem transformar o PC num quebra-cabeças. Do controlo das ligações de saída ao DNS encriptado, estes ajustes podem tornar o Windows 11 muito mais fechado a ameaças reais.

Porque é que o firewall do Windows 11 deixa uma porta entreaberta

No modo padrão, o Windows analisa sobretudo as ligações recebidas. Já as ligações de saída costumam ser permitidas, o que significa que uma app pode enviar dados para a internet sem levantar suspeitas.

Na prática, isto importa por duas razões. Primeiro, porque muitas aplicações recolhem informação de utilização e enviam-na para os seus servidores. Segundo, porque malware e ransomware dependem frequentemente dessas comunicações para receber instruções ou enviar dados roubados.

Primeiro passo: confirmar o perfil de rede certo

Antes de mexer em definições mais avançadas, vale a pena abrir a área de segurança do Windows e confirmar o perfil de rede activo.

• Privado: usar apenas em casa ou em redes de confiança.
• Público: essencial em hotspots, cafés, hotéis ou redes desconhecidas.

Este passo parece básico, mas faz diferença. Um perfil mal definido pode expor o PC a tentativas de ligação a partir de outros dispositivos na mesma rede.

Como bloquear ligações de saída sem complicações

O Windows inclui regras avançadas de firewall, mas a interface não é amigável para a maioria das pessoas. É aqui que entra uma ferramenta como o Simplewall, que funciona como uma camada mais simples para gerir a plataforma de filtragem do próprio Windows.

Depois de activado, o princípio é claro: uma aplicação só acede à rede se o utilizador autorizar. Em vez de assumir que tudo é seguro, o sistema passa a funcionar numa lógica de lista branca.

O que muda na prática

• Apps que nunca imaginaria podem tentar ligar-se à internet.
• É possível travar telemetria desnecessária.
• Malware tem mais dificuldade em contactar servidores externos.
• Se algo correr mal, basta desactivar o filtro e o comportamento normal do firewall volta de imediato.

Para evitar problemas, convém manter autorizados serviços essenciais do sistema, como o cliente DNS.

DNS sobre HTTPS: a mudança discreta que protege mais do que parece

Sempre que abre um site, o PC faz um pedido DNS para descobrir o endereço do servidor. O problema é que, em muitos casos, esse pedido segue sem encriptação.

Isso significa que o operador de internet, administradores de rede ou até atacantes na mesma ligação podem perceber que sites está a tentar visitar. No Windows 11, a solução passa por activar DNS over HTTPS, também conhecido como DoH.

Como activar no Windows 11

Nas definições de Rede e internet, escolha o adaptador activo, entre nas propriedades de hardware e edite a atribuição do servidor DNS manualmente para IPv4 e IPv6.

Entre os serviços mais populares estão:

• Quad9: 9.9.9.9 e 2620:fe::fe
• Cloudflare: 1.1.1.1 e 2606:4700:4700::1111

Depois, active o modo manual de DNS sobre HTTPS e use o modelo correspondente do fornecedor escolhido. Também é importante desactivar o retorno a texto simples, para impedir que o Windows volte a pedidos não encriptados quando há falhas.

Defender Network Protection: a camada extra que quase ninguém activa

Outra função útil do Windows 11 é a protecção de rede do Microsoft Defender. Esta funcionalidade bloqueia o acesso a sites de phishing e servidores ligados a malware, mesmo que uma aplicação tente fazer a ligação directamente.

No Windows 11 Pro, pode ser activada através do Editor de Política de Grupo. No Windows Home, o mesmo resultado pode ser obtido por PowerShell com permissões de administrador.

É uma daquelas opções que passa despercebida, mas que pode travar contactos perigosos antes de causarem danos.

Modo furtivo: tornar o PC menos visível na rede

O chamado stealth mode faz com que o firewall ignore pedidos não autorizados sem responder. Em vez de dizer que o dispositivo existe, simplesmente fica calado.

Esse comportamento reduz a visibilidade do computador para varrimentos de portas, pings e tentativas automáticas de detecção. Em redes públicas, é uma vantagem clara.

O Windows já aplica este comportamento em muitos cenários, mas há formas de o reforçar através do registo para impedir que outras apps ou alterações o desactivem nos perfis de domínio, privado e público.

Desactivar NetBIOS e LLMNR ainda faz sentido em 2026

Sim. Embora sejam protocolos antigos, ainda aparecem activos em muitos sistemas. O problema é que podem ser explorados em ataques de falsificação de nomes dentro da rede local.

Em termos simples, um atacante pode aproveitar estas tecnologias para se fazer passar por outro dispositivo e tentar capturar credenciais de acesso.

O que convém desligar

• LLMNR: pode ser desactivado no registo, criando o valor adequado em DNSClient.
• NetBIOS sobre TCP/IP: pode ser desligado nas definições avançadas do adaptador de rede, no separador WINS.

São ajustes pouco conhecidos, mas ajudam a fechar brechas antigas que continuam a ser úteis para atacantes.

Verificar partilhas SMB é mais importante do que parece

As partilhas de rede esquecidas são um risco clássico. O protocolo SMB continua a ser um alvo apetecível para ransomware e para ataques dentro de redes domésticas ou empresariais.

Uma verificação rápida com o comando net share permite perceber que pastas ou recursos estão expostos. Vale a pena prestar atenção especial a partilhas administrativas como C$ ou ADMIN$.

Também é possível impedir que algumas destas partilhas voltem a ser criadas automaticamente no arranque, através de uma alteração no registo. Ainda assim, este passo deve ser feito com cautela, porque pode interferir com software de cópias de segurança ou manutenção remota.

O que ganha com estes ajustes no Windows 11

Ao reforçar o firewall do Windows 11, activar DNS sobre HTTPS, usar a protecção de rede do Defender e desligar protocolos antigos, o sistema fica mais difícil de detectar, explorar e monitorizar.

O resultado não é apenas mais segurança em teoria. É menos telemetria desnecessária, menos hipóteses de fuga de dados e uma barreira extra contra malware que depende de comunicar com o exterior.

Não é preciso transformar o Windows num laboratório técnico. Mas estes pequenos ajustes podem fazer uma diferença muito maior do que parece.

Fonte: PCWorld