Qual é a diferença entre o antivírus tradicional e o EDR?
A multiplicidade de dispositivos e a necessidade de aceder a recursos de rede a partir de qualquer lugar esbateu o perímetro de segurança tradicional e alargou-o para além do escritório, tornando a segurança dos endpoints um pilar essencial da estratégia de cibersegurança de uma empresa.
Tanto as soluções antivírus (AV), como as soluções de deteção e resposta de endpoints (EDR) foram concebidas para proteger os dispositivos. No entanto, estas soluções oferecem níveis de proteção muito diferentes.
6 principais diferenças entre AV e EDR
O software antivírus tradicional é instalado diretamente num dispositivo ou servidor para o proteger de programas maliciosos. Um sistema EDR, por outro lado, é um software que deteta e trava as ciberameaças, proporcionando visibilidade e controlo sobre os dispositivos numa rede.
Embora exista uma ligeira sobreposição entre as funções das duas soluções, estas diferem da seguinte forma:
- Abordagem de segurança: os sistemas AV são reativos, pelo que esta ferramenta só atua quando existe uma ameaça. Em contrapartida, as soluções EDR são proactivas, pelo que podem detetar e travar ameaças que, de alguma forma, tenham conseguido aceder aos dispositivos e também bloquear o acesso, tal como fazem os AV.
- Âmbito da proteção: o antivírus tradicional é um sistema de segurança descentralizado com um âmbito limitado e é mais simples do que as soluções de deteção e resposta, ao passo que o EDR fornece uma segurança centralizada e monitoriza continuamente as ameaças em todos os endpoints da rede, fornecendo uma proteção mais abrangente e holística.
- Método de deteção: os sistemas AV baseiam-se em assinaturas e padrões de ameaças estáticas, pelo que apenas reconhecem ameaças conhecidas. O EDR, que se baseia no comportamento, monitoriza e deteta ameaças conhecidas ou desconhecidas em tempo real, identificando comportamentos anómalos nos endpoints da rede.
- Automação e visibilidade: Os EDR recolhem e analisam constantemente os dados. Graças à inteligência artificial (IA) e à automatização, o EDR converte esses dados em inteligência acionável e fornece visibilidade total dos dispositivos numa rede empresarial. Isto significa que os padrões de dados podem ser isolados rapidamente, proporcionando às equipas de segurança avaliações rápidas e precisas de qualquer comportamento anómalo que indique uma potencial ameaça. Isto reduz o tempo de deteção e diminui a necessidade de recorrer a pessoal de segurança altamente qualificado, cuja contratação é dispendiosa e escassa.
O sistema AV, pelo contrário, depende dos programadores de antivírus que adicionam vírus ou variantes à lista de malware sempre que é identificado um novo. Caso contrário, qualquer novo malware permanecerá indetetável.
- Método de resposta: o antivírus toma medidas quando uma ameaça entra no sistema, antes de começar a executar ações maliciosas, geralmente impedindo a sua execução, eliminando o ficheiro e quaisquer vestígios que possa ter deixado pelo caminho, tudo de forma automatizada. O EDR responde de forma automatizada com ações como o bloqueio da execução e o isolamento de endpoints para evitar que o malware se espalhe, dando ao analista tempo para investigar a potencial ameaça, o seu impacto e a forma de a recuperar.
- Tempo de resposta: o tempo de resposta dos AVs é imediato e automatizado, mas a sua capacidade de deteção é limitada a ameaças conhecidas. Os sistemas EDR são capazes de detetar ameaças sofisticadas e desconhecidas que, de outra forma, passariam despercebidas. O tempo de deteção e resposta depende da deteção automatizada, da visibilidade, da contenção e da correção que os sistemas EDR proporcionam. Algumas soluções delegam a responsabilidade nos analistas, por exemplo, ao classificar ficheiros que são executados e que realizaram acções suspeitas. Idealmente, uma solução EDR deve detetar, investigar e tomar medidas automatizadas o mais cedo possível para reduzir o tempo de resposta, mas também deve ter uma tendência para zero falsos positivos.
Qual é a melhor opção?
A deteção tradicional de antivírus baseada em assinaturas e padrões pode ser ineficaz na identificação e proteção contra malware avançado e novas variantes. Atualmente, os criadores de malware utilizam técnicas, como o malware sem ficheiro, para evitar a deteção por parte das soluções antivírus tradicionais.
A deteção eficaz nestes casos requer mais informação e contexto. As funções de segurança integradas numa solução EDR identificam com êxito os comportamentos e indicadores de ataque e comprometimento e, ao automatizar as capacidades de resposta, os analistas de segurança podem delegar a resposta no sistema ou atuar mais rapidamente, proporcionando ganhos de eficiência no tratamento de potenciais incidentes de segurança.
No entanto, o software antivírus pode ser a solução certa para uma empresa com um orçamento reduzido, sem um gestor de segurança para configurar e monitorizar as ações automatizadas para a proteção selecionada. O EDR é mais adequado se a solução de segurança de endpoints puder ser monitorizada de um ponto de vista mais amplo, protegendo um maior número de dispositivos expostos a ameaças avançadas, como os trabalhadores remotos.
Se optar por uma solução AV, certifique-se de que esta solução é avançada ou da próxima geração, abrangendo um maior número de ameaças avançadas, incluindo as que utilizam técnicas sem malware.
A utilização de uma solução de deteção e resposta de endpoints, como o WatchGuard EPDR, garante a proteção contra ameaças conhecidas e desconhecidas, automatizando a prevenção, a deteção, a contenção e a resposta. A WatchGuard é um fornecedor de segurança unificado numa única plataforma cloud, o que significa que todas as soluções de segurança são controladas a partir de um único painel de controlo.
Mais do que um produto de segurança autónomo, é uma solução de valor acrescentado no âmbito de uma estratégia abrangente de cibersegurança, que reduz os custos de infraestrutura e simplifica a administração das equipas de cibersegurança, mantendo um elevado nível de proteção.
