Porque é que o antivírus tradicional já não o salva

A ciberização empresarial avança mais depressa do que a atualização das bases de dados de assinaturas. Enquanto o seu antivírus descarrega o próximo pacote de definições uma vez por dia, o malware já vive dentro da rede há semanas: a ler emails, a recolher credenciais, a preparar o movimento lateral. E não dispara um único alerta, porque a abordagem baseada em assinaturas, por princípio, não vê o comportamento. Vê apenas hashes.

A crowdstrike foi concebida especificamente para estes cenários, uma plataforma na cloud que não espera por atualizações de assinaturas, mas analisa o comportamento dos processos em tempo real. O Falcon não pergunta «este ficheiro está na base de dados de ameaças». Pergunta: «o que está este processo a fazer neste momento, com o que está a interagir e até que ponto isto se assemelha a um ataque».

No Cazaquistão, o parceiro oficial da CrowdStrike é a IIT Digital. Fornecem o ciclo completo: desde a consultoria e seleção de módulos até à implementação, formação da equipa e monitorização contínua. Sem a necessidade de manter uma equipa própria de cibersegurança nos quadros.

💡 Visão geral rápida:

• Instale o agente leve do Falcon em todos os endpoints: Windows, macOS, Linux, servidores e máquinas virtuais. O agente ocupa menos de 10 MB e não requer reinicialização.
• Configure as políticas de segurança através da consola de gestão na cloud, sem adquirir servidores locais, VPN ou atualizações manuais de bases de dados. Tudo se atualiza automaticamente do lado da plataforma.
• Ative a monitorização 24/7: os analistas do OverWatch reveem alertas 24 horas por dia, filtram falsos positivos e escalam ameaças reais com contexto pronto para a resposta.

Como funciona o Falcon: cloud em vez de assinaturas

A arquitetura do CrowdStrike Falcon assenta em três pilares. Primeiro, um agente leve no endpoint que consome menos de 1% do tempo de CPU e não interfere com o trabalho do utilizador. Segundo, a plataforma na cloud Threat Graph, para onde flui a telemetria de todos os dispositivos e onde opera um modelo de IA para classificação de processos. Terceiro, uma consola de administração centralizada através da qual se configuram políticas, exclusões e níveis de resposta.

O agente funciona de forma autónoma: mesmo que o dispositivo esteja desligado da internet, continua a análise e bloqueia atividades suspeitas. Quando a conectividade é restabelecida, todos os eventos acumulados são transmitidos para a cloud e passam a fazer parte do quadro geral. Sem VPNs, servidores intermediários ou atualizações manuais, tudo se atualiza automaticamente do lado da plataforma.

Diferenças-chave em relação ao antivírus clássico

Que módulos do Falcon estão disponíveis através da IIT Digital

A plataforma Falcon é modular, a empresa seleciona um conjunto de componentes para a infraestrutura específica do cliente. A solução da IIT Digital inclui:

• Falcon Prevent, antivírus de nova geração (NGAV) sem assinaturas. Bloqueia ameaças conhecidas e desconhecidas com base na análise comportamental, não na comparação de hashes com uma base de dados.

• Falcon Insight, deteção e resposta alargadas (EDR). Proporciona visibilidade total de todos os processos no endpoint: o que foi lançado, com que ficheiros interagiu, para onde enviou dados. Permite investigar um incidente em minutos, não em horas.

• Falcon OverWatch, monitorização 24/7 por analistas da CrowdStrike. Especialistas humanos reveem alertas, filtram falsos positivos e escalam ameaças reais. A equipa OverWatch processa biliões de eventos por semana e encontra ataques que a automação pode não detetar.

• Falcon Device Control, controlo granular de dispositivos USB e suportes externos. O administrador define listas de dispositivos permitidos por classe, fabricante e número de série. Todo o resto é bloqueado com registo da tentativa.

• Falcon Firewall Management, gestão centralizada da firewall integrada do Windows diretamente a partir da consola Falcon. Sem necessidade de configurar regras em cada host individualmente.

• Falcon X, um módulo de Threat Intelligence com análise automatizada de incidentes. Contratado opcionalmente para empresas que necessitam de inteligência de ameaças aprofundada e contexto para cada alerta.

Comparação de componentes na oferta da IIT Digital

Onde e em que sistemas o agente Falcon é executado

O agente Falcon é instalado em qualquer endpoint da infraestrutura:

• Estações de trabalho e portáteis (Windows, macOS, Linux)
• Servidores físicos e máquinas virtuais (VMware, Hyper-V, KVM)
• Servidores de terminal e farms de VDI (Citrix, VMware Horizon)
• Instâncias na cloud (AWS EC2, Azure VM, Google Compute Engine)
• Ambientes híbridos, parte da carga em bare-metal, parte na cloud

A arquitetura da plataforma não requer a instalação de servidores coletores ou proxies separados. Cada agente comunica diretamente com a cloud da CrowdStrike através de um canal encriptado. Isto significa que uma sucursal noutra cidade ou um colaborador remoto num portátil pessoal recebe o mesmo nível de proteção que uma estação de trabalho no escritório, sem VPN e sem configuração adicional.

Que ameaças o Falcon bloqueia na prática

A análise comportamental permite à plataforma detetar ataques invisíveis para o antivírus baseado em assinaturas:

• Disfarce (mascaramento de processos). O malware é executado disfarçado de processo legítimo, por exemplo, svchost.exe com um caminho ou assinatura digital atípicos. O Falcon deteta a anomalia na árvore de processos e bloqueia a execução.

• Ataques PowerShell sem ficheiro. O atacante não guarda um ficheiro malicioso em disco, mas executa um script diretamente na memória via PowerShell. Um antivírus baseado em assinaturas não verá isto. O Falcon analisa o conteúdo da linha de comandos e a cadeia de chamadas, e para o ataque antes de o script ser executado.

• Força bruta RDP e movimento lateral. Após comprometer uma estação de trabalho, o atacante tenta ligar-se via RDP a hosts vizinhos. O Falcon deteta uma vaga de tentativas de login falhadas e isola a máquina afetada.

• Prevenção de exploits. O módulo Falcon Prevent bloqueia tentativas de explorar vulnerabilidades conhecidas ao nível da memória do processo, sem a necessidade de aplicar patches urgentes em todo o hardware (embora a aplicação de patches continue, claro, a ser necessária).

• Carregamento suspeito de drivers. A instalação de um driver de kernel-mode não assinado ou raramente visto aciona um alerta com bloqueio imediato.

Como é a implementação do Falcon através da IIT Digital

O processo de onboarding é deliberadamente isento de passos complexos:

• Pedido e consultoria. Contacta a IIT Digital, através do formulário no site ou por telefone. Os especialistas clarificam o número de dispositivos, os tipos de sistema (Windows, Linux, macOS), a arquitetura cloud ou híbrida, e selecionam o conjunto de módulos Falcon.

• Licenciamento. A IIT Digital calcula o custo da subscrição com base no número de endpoints e nos componentes selecionados. A subscrição anual inclui todas as atualizações da plataforma e o acesso à cloud Threat Graph.

• Instalação do agente. Um instalador leve (menos de 10 MB) é distribuído pelas estações de trabalho e servidores via políticas de grupo, SCCM, Ansible ou manualmente. A instalação demora minutos e não requer reinicialização.

• Configuração de políticas. O administrador acede à consola cloud do Falcon e define regras: que ações bloquear automaticamente, quais apenas registar, para que hosts relaxar o controlo, que dispositivos USB permitir.

• Arranque da monitorização. A partir deste ponto, os agentes transmitem telemetria para a cloud. Os analistas do OverWatch iniciam a revisão de alertas 24/7. Em caso de incidente, o administrador recebe uma notificação com o contexto completo: qual o processo, em que host, a que horas e o que fez exatamente.

Importante: não é necessária a compra de servidores, contratação de pessoal adicional ou integração complexa com sistemas existentes. O Falcon funciona out of the box e é compatível com a maioria das soluções SIEM (Splunk, QRadar, Elastic) via API.

Para que cenários o Falcon é mais adequado

⁉️🤔 Perguntas frequentes

Em que é que o Falcon é fundamentalmente diferente de um antivírus?

O Falcon é uma plataforma de análise comportamental na cloud, não um scanner de assinaturas. Não compara ficheiros com uma base de dados de hashes; analisa o que um processo está a fazer neste momento: que chamadas de sistema faz, com que ficheiros e endereços de rede interage. Isto permite bloquear ataques antes de serem executados, e não a posteriori.

Que sistemas operativos são suportados?

O agente Falcon é executado em Windows (7 e mais recentes, incluindo Windows Server), macOS (10.15 Catalina e mais recentes) e todas as principais distribuições Linux (RHEL, CentOS, Ubuntu, Debian, Amazon Linux, SUSE). Máquinas virtuais, servidores de terminal e ambientes VDI também são suportados.

O Falcon pode funcionar num dispositivo sem ligação constante à internet?

Sim. O agente funciona de forma totalmente autónoma: continua a analisar o comportamento dos processos e a bloquear ameaças mesmo sem ligação à cloud. Quando a conectividade é restabelecida, todos os eventos acumulados são sincronizados com a plataforma.

Onde são fisicamente armazenados os dados de telemetria?

Na infraestrutura de cloud da CrowdStrike, que cumpre as normas SOC 2 Type II, ISO 27001 e o Federal Risk and Authorization Management Program (FedRAMP). Os dados são encriptados em trânsito e em repouso. Para clientes no Cazaquistão, a IIT Digital clarifica a região específica de armazenamento na fase de licenciamento.

Quanto é que o agente sobrecarrega o sistema?

Menos de 1% do tempo de CPU em modo normal, esta é a especificação oficial da CrowdStrike, confirmada por testes independentes. O agente não realiza um scan completo do disco de forma programada; analisa apenas processos ativos e operações de I/O em tempo real. O utilizador não nota a sua presença.

O que está incluído no OverWatch e porque é necessário?

O OverWatch é uma equipa de analistas humanos da CrowdStrike que reveem os alertas da sua infraestrutura 24 horas por dia. Filtram falsos positivos, identificam cadeias de ataque complexas que a automação pode não detetar e enviam ao administrador um relatório pronto com contexto: o que aconteceu, em que host, que processos estiveram envolvidos e o que fazer. Isto substitui a contratação de uma equipa própria de segurança informática de prevenção.

O Falcon pode ser implementado sem a ajuda de um parceiro?

Tecnicamente, sim, uma licença pode ser adquirida diretamente à CrowdStrike. Mas a IIT Digital acrescenta à oferta consultoria na seleção de módulos, assistência na implementação, formação de administradores e suporte local em russo. Para as empresas cazaques, isto reduz o tempo desde a compra até à proteção operacional de semanas para alguns dias.

O agente nos endpoints é atualizado?

Sim, as atualizações ocorrem automaticamente do lado da plataforma na cloud. O agente recebe novas versões de forma transparente, sem reinicialização ou intervenção do utilizador. As políticas de atualização são configuradas pelo administrador; pode definir janelas de manutenção e faseamento da distribuição (grupo de teste primeiro, depois produção).

Resumo final: comprar ou continuar a procurar

O CrowdStrike Falcon resolve as duas principais lacunas do antivírus tradicional: a cegueira ao comportamento e o desfasamento das assinaturas. A arquitetura de cloud, a classificação de processos baseada em IA e a monitorização 24/7 pelos analistas do OverWatch transformam a proteção do endpoint de reativa em preventiva. O agente não interfere com o trabalho, a consola não requer servidores e as atualizações não requerem atenção do administrador.

A parceria com a IIT Digital remove a última barreira, a complexidade da implementação. Consultoria em russo, seleção de módulos para uma infraestrutura específica, ajuda na instalação e formação, suporte local. Do pedido à proteção operacional demora alguns dias, não meses.

Se a sua proteção atual se baseia em antivírus de assinaturas e monitorização manual, o Falcon através da IIT Digital proporciona uma atualização em ordens de grandeza sem despesas de capital em servidores e expansão de pessoal. Se a infraestrutura já utiliza uma solução EDR, vale a pena comparar a profundidade da análise, a usabilidade da consola e a qualidade da investigação de incidentes através de um piloto num grupo de teste de hosts. A IIT Digital oferece esta oportunidade.