Antivírus corporativo vs EDR: quando migrar

Limitações do antivírus corporativo tradicional

Antivírus é importante, mas insuficiente contra ameaças modernas:

• Assinatura conhecida apenas: malware novo (variants, zero-day) não tem assinatura — antivírus não reconhece. EDR usa análise comportamental — se processo tenta acesso anômalo a arquivo, alerta independente se assinatura existe.
• Sem visibilidade de movimento lateral: antivírus detecta infecção no PC original, mas não vê quando atacante se move para servidor crítico via pass-the-hash. EDR monitora rede entre endpoints — detecta movimento incomum.
• Alerta, não resposta: antivírus alerta que malware foi encontrado, pessoa tem que responder. EDR permite resposta automatizada ou guiada — isolamento de endpoint em segundos reduz dano.
• Sem contexto de ameaça: antivírus detecta arquivo malicioso, EDR detecta arquivo malicioso E contexto — que usuário, que hora, que origem, que destino. Contexto permite decisão de resposta melhor.
• Sem detecção de ataque sem malware: ataques modernos usam ferramentas legítimas (PowerShell, WMI, registo Windows) para mover-se — antivírus não alerta porque é "normal". EDR vê sequência anômala de comandos legítimos e detecta ataque.

O que EDR monitora e detecta

EDR coleta telemetria contínua em 5 áreas:

1. Processos: cada processo que executa (nome, caminho, argumentos, usuário), relações entre processos (pai-filho). Detecta: processo incomum, execução a partir de local inusitado, chains de execução anômalo.
2. Rede: conexões saídas de endpoint (destino, porta, protocolo, volume de dados). Detecta: conexão a C&C (comando e controle), exfiltração de dados, conexão a IP de reputação conhecida como malicioso.
3. Acesso a arquivo: leitura/escrita/exclusão de arquivo (qual arquivo, por qual processo, qual usuário). Detecta: acesso massivo a dados sensíveis (indicador de roubo), criptografia em massa (indicador de ransomware).
4. Registro (Windows): modificações a registro do SO (chaves que controlam comportamento, startup, privilégios). Detecta: persistência (malware se registra para executar ao boot), escalação de privilégio.
5. Comportamento anômalo: análise de baseline — qual é comportamento normal de usuário/processo/endpoint? Desvios disparam alerta. Detecta: mudança em hábitos de acesso, horário incomum de atividade, privilégio incomum.

Quando migrar de antivírus para EDR

Custo e ROI de EDR

Custo varia por tamanho e funcionalidade:

• EDR entry-level: Microsoft Defender for Endpoint (integrado com Microsoft 365) ~$2-5/mês por endpoint. BeyondTrust ou SentinelOne basic ~$5-10/mês.
• EDR mid-range: CrowdStrike Falcon, Sentinel One advanced ~$10-30/mês por endpoint.
• EDR enterprise: deployment customizado com suporte 24/7 ~$30-50+/mês por endpoint.
• Custo operacional: Analyst para monitorar e responder — 0.5-1 FTE por 500 endpoints. Se usar managed service, adiciona 30-50% ao custo da ferramenta.

ROI típico: se EDR reduz tempo de detecção de 100 dias para 1 dia, dano reduz de $1M para $100k — ROI é positivo em primeiros meses se dado crítico for comprometido.

Antivírus + EDR ou apenas EDR?

Resposta: ambos. EDR não substituiu antivírus porque:

• Antivírus é barreira primeira: bloqueia malware conhecido em escala — reduz volume que EDR precisa processar.
• EDR é detecção segunda camada: pega malware novo e ataques sem malware que antivírus não vê.
• Performance: antivírus é leve (scanning local), EDR é telemetria (usa mais CPU/rede) — combinar é mais eficiente que EDR puro.

Estratégia prática: antivírus robusto (Eset, Kaspersky, ou Defender) + EDR (Defender for Endpoint ou SentinelOne) = cobertura completa.