EDR x antivírus: o que muda para uma PME

Sua empresa já tem antivírus instalado nos computadores. Isso é suficiente?

A resposta depende do ambiente, do tipo de proteção contratada e, principalmente, de quem acompanha e trata os problemas identificados.

A comparação entre EDR e antivírus costuma ser apresentada como uma escolha simples entre duas ferramentas. Na prática, as funções podem se complementar e até estar reunidas no mesmo produto.

Entender as diferenças ajuda o gestor a fazer perguntas melhores antes de contratar ou renovar uma solução.

O que um antivírus faz

O antivírus busca identificar e bloquear programas maliciosos. Dependendo do produto, pode utilizar assinaturas de ameaças conhecidas, análise de comportamento e outros métodos de proteção.

Soluções empresariais também costumam oferecer administração centralizada, políticas e visibilidade sobre os dispositivos protegidos.

Isso não significa que todos os antivírus tenham os mesmos recursos. A cobertura muda conforme produto, configuração, sistema operacional e licença.

Uma ferramenta desatualizada, com proteção desativada ou instalada em apenas parte dos computadores deixa lacunas que o gestor precisa conhecer.

Antes de comparar nomes comerciais, peça uma relação dos equipamentos protegidos, a data da última atualização e as políticas em uso. Confirme também quais servidores, notebooks e dispositivos de trabalho estão fora do escopo.

Esse levantamento revela o ponto de partida da empresa.

O que é EDR

EDR significa detecção e resposta em endpoints. Endpoints são dispositivos como computadores e servidores usados na operação.

Uma solução EDR coleta e correlaciona informações sobre atividades nesses dispositivos para apoiar a identificação e a investigação de comportamentos suspeitos.

Conforme o produto e a licença, o EDR pode apresentar a sequência de eventos associada a um alerta e oferecer ações de resposta, como isolamento de um equipamento. Os recursos, a profundidade dos registros e as integrações variam.

Por isso, a presença da sigla na proposta não substitui a análise do que será efetivamente entregue.

Um exemplo: uma ferramenta pode apontar que um processo iniciou outro processo incomum e se conectou a um destino suspeito. A equipe de segurança precisa avaliar o contexto, investigar o que aconteceu e decidir se aquela atividade é legítima ou exige contenção.

O alerta é um ponto de partida, não uma conclusão automática para todos os casos.

Prevenção, investigação e resposta

O antivírus é frequentemente associado à prevenção e ao bloqueio de ameaças. O EDR amplia a visibilidade e o apoio à investigação e à resposta.

Em muitos produtos atuais, porém, recursos preventivos e de detecção aparecem combinados. Por isso, compare funcionalidades e operação, não apenas o rótulo comercial.

Pergunte ao fornecedor como a solução recebe atualizações, quais eventos registra e quais ações permite. Confirme se as funções necessárias estão incluídas na licença proposta e se funcionam nos sistemas da sua empresa.

Não presuma que um recurso anunciado na página do fabricante esteja disponível em qualquer plano.

Quem pode executar a resposta

Uma capacidade de resposta também precisa de regras. Isolar um computador pode reduzir o impacto de um incidente.

Mas pode interromper uma atividade importante. Combine previamente quem pode tomar essa decisão, como ela será comunicada e como o equipamento voltará à operação.

Quem acompanha os alertas?

Essa é uma das perguntas mais importantes para uma PME. Se uma ferramenta gerar um alerta fora do horário de trabalho e ninguém o analisar até o dia seguinte, a empresa precisa conhecer essa limitação e decidir se ela é aceitável para seus riscos.

Defina responsáveis por receber avisos, avaliar prioridade, investigar e comunicar decisões. Uma equipe interna, um fornecedor ou um modelo combinado podem executar essas tarefas.

Em qualquer cenário, documente horários, canais de contato, responsabilidades e procedimento de escalonamento.

Também vale entender o que acontece quando há um falso positivo, isto é, quando uma atividade legítima é identificada como suspeita. A equipe precisa corrigir o impacto, aprender com a ocorrência e ajustar políticas quando necessário, sem abrir exceções amplas apenas para eliminar alertas.

Como avaliar a necessidade da empresa

Comece pelos dados e processos importantes. Identifique se existem acessos remotos, equipamentos fora do escritório, servidores críticos e exigências de clientes ou contratos.

Quanto maior o impacto de uma interrupção ou exposição, mais importante é ter visibilidade e um processo de resposta adequado.

Em seguida, compare a proteção atual com a capacidade de operação. Uma empresa com poucos equipamentos pode precisar de suporte externo para investigar eventos.

Outra pode contar com uma equipe interna que precise apenas de apoio em casos mais complexos. Não existe uma quantidade universal de dispositivos que determine automaticamente a escolha.

O custo deve considerar licença, implantação, ajustes, acompanhamento e resposta. Um produto sem responsável pela operação pode gerar uma falsa sensação de segurança.

Por outro lado, um serviço bem definido precisa deixar claro o que não está coberto e como atividades adicionais serão tratadas.

Perguntas para incluir na proposta

• Quais dispositivos, sistemas e locais estarão cobertos?
• O que a licença inclui em prevenção, detecção e resposta?
• Quem analisa alertas, em quais horários e por quais canais?
• Quais ações podem ser executadas sem autorização prévia?
• Como são registrados incidentes, decisões e pendências?
• Como equipamentos sem comunicação são identificados?
• Que relatórios e revisões estão previstos no contrato?

Peça exemplos de entregáveis e um processo de escalonamento compatível com sua operação. Se houver promessa de atendimento contínuo, confirme se ela abrange monitoramento, suporte e resposta ou apenas um canal para abertura de chamados.

A tecnologia precisa de contexto

Proteção de endpoints faz parte de uma estratégia maior. A empresa também precisa cuidar de acessos, atualizações, backup e plano de resposta.

A escolha deve considerar como essas frentes se conectam e quem administra cada uma delas.

A AETRI apoia a avaliação, a implantação e a gestão de segurança conforme a necessidade do ambiente. Conheça os serviços de segurança e use a lista acima para organizar a conversa com sua equipe ou fornecedor.