Antivírus não basta: como o EDR da Acronis detecta, responde e recupera um ataque, e como a Forte implanta (com o checklist)

Sexta-feira, dez da noite. Um computador do financeiro começa a renomear arquivos numa pasta compartilhada. Na segunda, a equipe encontra planilhas ilegíveis e um pedido de resgate. O antivírus estava instalado, atualizado e com o ícone verde. Não reconheceu aquilo como ameaça.

A primeira pergunta da diretoria é sempre a mesma: "como isso entrou, e o que foi afetado?" Sem registro do que aconteceu na máquina, ninguém sabe responder, nem dizer se o problema acabou.

Na série sobre governança de dispositivos, falei de inventário, políticas e smartphones. Este artigo trata dos computadores e servidores. Segundo o relatório de ameaças da própria Acronis, do segundo semestre de 2025, 80% dos fornecedores de ransomware como serviço anunciam recursos de inteligência artificial ou automação aos seus clientes criminosos. O ataque ficou mais fácil de montar e de repetir. Esse é um caminho sem volta.

A pergunta certa não é "temos antivírus em todas as máquinas?". A pergunta certa é: se um ataque passar pelo antivírus hoje, alguém vai enxergar, responder e colocar a empresa para operar de novo?

Neste artigo, mostro os 6 riscos de proteger endpoints só com antivírus, o que o EDR da Acronis faz, como a Forte Security implanta e opera essa proteção e um checklist em 5 frentes, para agir antes de um problema.

Antivírus e EDR: qual é a diferença

Endpoint é todo equipamento que processa dados na rede da empresa: computadores, notebooks e servidores.

O antivírus tradicional trabalha como uma lista de procurados: compara o que chega à máquina com ameaças já conhecidas e bloqueia o que reconhece. Continua indispensável, mas o que ainda não está na lista pode passar.

O EDR, sigla em inglês para detecção e resposta em endpoints, trabalha como uma câmera com um vigia treinado. Observa o comportamento na máquina (um processo que começa a criptografar arquivos em massa, um programa legítimo usado de forma estranha), registra a sequência de eventos, prioriza o que é suspeito e permite agir: isolar a máquina, interromper o ataque, reverter o estrago e investigar como tudo começou.

O antivírus pergunta "isso é conhecido?". O EDR pergunta "isso está se comportando como ataque?", e depois ajuda a responder.

Os 6 riscos de proteger endpoints só com antivírus

Para cada um, mostro o fato, o que a gestão prevê e o que isso preserva para a empresa.

1. Ameaça nova que o antivírus não reconhece

O fato. O ataque usa uma variante recente ou a falha de um programa legítimo. O antivírus não tem com o que comparar.

O que a gestão prevê. Detecção por comportamento, prevenção de exploits (o uso de falhas de programas para executar código malicioso), filtragem web e inteligência sobre ameaças em tempo real.

O que preserva. A proteção deixa de depender só do que já é conhecido.

2. Ninguém sabe como o ataque entrou

O fato. A máquina é limpa, mas ninguém sabe qual foi a porta de entrada nem se outros equipamentos foram atingidos. O problema pode voltar.

O que a gestão prevê. Registro dos eventos, coleta de dados forenses, busca de IoCs (indicadores de comprometimento, os rastros que um ataque deixa) e visualização da cadeia do ataque.

O que preserva. A empresa fecha a porta de entrada, e não só limpa a sala.

3. Demora para isolar a máquina atacada

O fato. Entre perceber o problema e desconectar o computador, passam horas, e o ataque tenta alcançar pastas compartilhadas e servidores.

O que a gestão prevê. Isolamento e quarentena do endpoint pelo console, resposta com um clique e ações de resposta automatizadas para os casos já previstos.

O que preserva. O incidente fica restrito a uma máquina.

4. Recuperação lenta depois do ransomware

O fato. O ataque foi contido, mas os arquivos estão criptografados. O backup fica em outra ferramenta, com outra equipe, e ninguém sabe se a cópia está limpa.

O que a gestão prevê. Anti-ransomware com reversão automática, reversão do que o ataque alterou, restauração completa da máquina e recuperação a partir de uma cópia verificada.

O que preserva. A empresa volta a operar sem reinstalar o problema junto com os dados.

5. Alertas demais, sem prioridade

O fato. O console mostra avisos demais, e o alerta verdadeiro se perde no meio do ruído.

O que a gestão prevê. Correlação automática de eventos, priorização do que é suspeito, resumos de incidentes por inteligência artificial e lista de permissões ajustada ao ambiente.

O que preserva. A equipe gasta tempo com o que é ataque, e não com ruído.

6. Falhas conhecidas sem correção

O fato. A falha já tem correção do fabricante, mas a atualização não foi aplicada. Segundo o mesmo relatório da Acronis, do segundo semestre de 2025, nos ataques de ransomware contra provedores de serviços e operadoras, vulnerabilidades sem correção foram a porta de entrada em 27% dos casos, atrás apenas do phishing.

O que a gestão prevê. Avaliação de vulnerabilidades, correções aplicadas com cópia de segurança antes, para reverter se algo der errado, e correção das máquinas afetadas depois de um incidente.

O que preserva. A empresa fecha a porta antes de alguém usá-la.

A base da solução: detectar, responder e recuperar no mesmo lugar

Os seis riscos têm uma base comum: detecção, resposta e recuperação juntas, na mesma plataforma, com alguém responsável por operar.

Nos ambientes dos nossos clientes, a ferramenta que usamos para isso é o pacote Advanced Security + EDR do Acronis Cyber Protect Cloud, que reúne segurança cibernética, proteção de dados e gerenciamento de endpoints com um único agente e um único console. A evolução é o Advanced Security + XDR, a detecção e resposta estendida, que soma os sinais do e-mail, da identidade e dos aplicativos de produtividade em nuvem.

O ponto que mais pesa para a gestão: a resposta ao incidente e o backup estão no mesmo lugar. A plataforma faz cópias em nível de arquivo e de sistema, guarda backups forenses para investigação, reverte o ataque e restaura a máquina inteira, quando é preciso. Quem contém o ataque é o mesmo que coloca a empresa para operar de novo.

O que importa é a arquitetura: a mesma equipe, no mesmo console, vê o ataque, interrompe, investiga e recupera.

O que o EDR da Acronis faz

A plataforma cobre computadores e servidores com Windows, macOS e Linux, físicos e virtuais. Correção de falhas e conexão remota entram pelo módulo de gerenciamento, e a continuidade em nuvem, pelo de recuperação de desastres, no mesmo console. A mesma lógica vale para os smartphones, como mostrei no artigo sobre backup e continuidade.

Como ele atua no dia a dia

1. Proteção contínua. O agente observa cada endpoint, aplica as políticas e bloqueia o que é claramente malicioso.
2. Detecção e correlação. Os eventos suspeitos viram um incidente, com prioridade e resumo.
3. Investigação. Quem opera vê a cadeia do ataque: por onde entrou, o que executou, o que alterou.
4. Resposta. A máquina é isolada, o ataque é interrompido e os arquivos alterados são revertidos. Nos casos previstos, a ação é automática.
5. Recuperação. Se o estrago for maior, a máquina volta a partir de uma cópia verificada, e a falha que permitiu a entrada é corrigida. Tudo com registro.

A solução foi desenhada para ser operada por provedores de serviços, com console multiempresa e acesso por função. É o modelo que a Forte aplica.

O que a plataforma não faz sozinha

Um EDR entrega capacidade, não resultado. Ele não decide sozinho:

• quais máquinas recebem resposta automática e quais pedem avaliação antes;
• quem trata o alerta de sexta à noite, e em quanto tempo;
• com que frequência o backup é feito e se a restauração já foi testada;
• qual prazo a empresa aceita para aplicar uma correção crítica;
• quando o incidente vai ao encarregado de dados e à diretoria.

Sem política, processo e operação, o console fica cheio de alertas que ninguém lê, e a ferramenta vira proteção reativa. É essa parte que a Forte Security assume.

O que a LGPD espera da empresa

A Lei Geral de Proteção de Dados (LGPD) não fala em EDR, mas fala em segurança:

• Princípios de segurança e prevenção (art. 6º).
• Medidas técnicas e administrativas contra acessos não autorizados e situações acidentais ou ilícitas (art. 46).
• Comunicação à ANPD e aos titulares dos incidentes que possam trazer risco ou dano relevante, no prazo geral de três dias úteis (art. 48).

A comunicação de um incidente pede que a empresa descreva os dados afetados e as medidas adotadas. Sem registro, isso vira suposição. Com EDR operado, a empresa responde com base em fatos: a cadeia do ataque, as máquinas atingidas e o que foi feito em cada uma. A legislação trabalhista também recomenda política clara sobre o uso dos equipamentos.

Checklist de prontidão contra ataques em endpoints em 5 frentes

São 20 itens em 5 frentes: inventário e cobertura, prevenção e correção de falhas, detecção e investigação, resposta e recuperação, e pessoas, LGPD e evidência. Cada item tem a sua severidade. Responda "Sim", "Não" ou "Não sei" e receba na hora a nota, as pendências por prioridade e o que precisa ser verificado.

Fazer o checklist de endpoints

Como a Forte implanta: o roteiro em 6 etapas

1. Diagnóstico. Endpoints, máquinas críticas, proteção atual e backup. Daí sai o pacote adequado.
2. Desenho das políticas. Proteção, correção de falhas, backup e regras de resposta por grupo de máquinas.
3. Piloto. Um grupo pequeno de máquinas para validar políticas, isolamento e reversão.
4. Implantação em ondas. O agente chega ao restante do parque por grupos, com a proteção anterior retirada de forma controlada.
5. Resposta e recuperação testadas. Procedimento de incidente documentado e restauração completa testada em uma máquina real.
6. Operação contínua. Monitoramento, tratamento de alertas, correção de falhas e relatório periódico, que serve de evidência para auditorias e para o jurídico.

Como calibrar para a sua realidade

• Poucos computadores e nenhum servidor local: comece pelas frentes 1 e 2.
• Servidores com sistemas críticos: a frente 4 é prioridade, com restauração testada.
• Equipe de TI enxuta, sem plantão: a frente 3 é o ponto fraco. Defina quem trata o alerta fora do horário.
• Empresa que já usa backup da Acronis: somar o EDR à mesma plataforma aproxima a resposta da recuperação.

Forte Security: proteção de endpoints do diagnóstico à operação

Um checklist mostra onde a empresa está. Transformar isso em rotina é outro trabalho, e é esse que a Forte Security assume.

A Forte atua em cibersegurança, TI e compliance e, nos ambientes que protege, bloqueia mais de 100 milhões de ataques por mês, já atendeu mais de 1.000 empresas e gerencia mais de 2.000 dispositivos. Somos Acronis Platinum Service Provider, o nível mais alto de parceria que a Acronis concede, com suporte direto do fabricante e uma equipe que conhece a plataforma de ponta a ponta. Somamos a política, a operação e o apoio em proteção de dados, com o nosso DPO as a Service.

O que a sua empresa recebe

• Diagnóstico dos endpoints: cobertura, máquinas críticas, falhas e backup, com base nas 5 frentes do checklist.
• Implantação do EDR da Acronis: pacote adequado, políticas, piloto e agente em todo o parque.
• Resposta e recuperação integradas: isolamento, reversão e restauração definidos e testados.
• Correção de falhas: avaliação de vulnerabilidades e correções com prazo e cópia antes.
• Operação contínua: alertas tratados, incidentes investigados e relatório para a diretoria.
• Apoio em LGPD: avaliação de incidentes e registro dos fatos junto com o DPO.

A diferença está na integração. A plataforma dá o controle. A Forte faz esse controle funcionar, com tecnologia, processo e evidência.

Conclusão

O antivírus continua necessário, mas não responde à pergunta que a diretoria faz depois de um ataque. Proteger um endpoint hoje é enxergar, interromper rápido, entender como tudo começou e voltar a operar com dados limpos. Com detecção, resposta e recuperação na mesma plataforma e uma equipe responsável por operar, o ataque de sexta à noite vira um incidente contido, investigado e registrado.

Este artigo complementa a série sobre governança de dispositivos. Leia também o artigo sobre proteção reativa e proativa.

A hora de proteger os computadores e servidores da empresa é agora, antes de um problema. A Forte Security conduz o diagnóstico com você, implanta o EDR da Acronis e opera a detecção, a resposta e a recuperação dos seus endpoints, com regras documentadas e relatório periódico. Conheça a Proteção de endpoint e EDR gerenciado da Forte. Fale com os nossos especialistas: contato@fortesecurity.com.br | (55) 3347-1831.

Não existe 100% de segurança e não existe risco zero. Mas existe a Forte, com metodologia, experiência e tecnologia.