Segurança de endpoints para técnicos de suporte

Um computador lento e um documento bloqueado podem ser sinais de malware, software criado para danificar dispositivos, roubar ou bloquear dados ou usar recursos sem consentimento informado. Identifique como ele chegou separadamente do que ele faz. Um instalador falso pode ser um cavalo de Troia que instala ransomware.

Acompanhe o caminho de entrada

Um cavalo de Troia de acesso remoto (RAT) dá a um invasor o controle remoto. Um conversor falso de PDF pode instalar um RAT e ainda converter um documento, portanto sua aparente utilidade não o torna seguro.

Reconheça os danos

O ransomware criptografa arquivos e exige pagamento por uma chave. Os invasores muitas vezes roubam dados primeiro. Arquivos terminados em .locked e uma nota de resgate como HOW_TO_RECOVER.txt são sinais de alerta urgentes. Compartilhamentos mapeados e pastas sincronizadas na nuvem também podem ser afetados. Desconecte prontamente um dispositivo afetado; a recuperação depende de limpá-lo ou reinstalá-lo e restaurar dados de um backup íntegro. O pagamento não garante a recuperação.

O spyware coleta informações secretamente. Um keylogger registra as teclas pressionadas e pode ser um software ou um adaptador de hardware na conexão do teclado. Verifique as conexões físicas de computadores compartilhados, além do software instalado. O stalkerware acompanha as mensagens ou a localização de uma pessoa para alguém que ela conhece. Sua remoção pode alertar essa pessoa; deixe que o proprietário do dispositivo decida quando é seguro removê-lo.

Um minerador malicioso de criptomoedas usa o processador ou o processador gráfico para minerar criptomoedas. Aquecimento, ventoinhas barulhentas e descarga da bateria enquanto o dispositivo está ocioso podem corresponder a esse padrão. Verifique os processos em execução antes de decidir o que o causou.

Entenda infecções ocultas

Um rootkit altera as interfaces ou os componentes que informam a atividade do sistema. Ele pode atuar por meio de interfaces de aplicativos, do kernel, do código de inicialização ou do firmware. O sistema operacional infectado pode fornecer uma visão falsa a uma ferramenta de verificação. Uma verificação offline examina o dispositivo enquanto esse sistema não está em execução. Muitas vezes é necessária uma reinstalação; uma infecção no firmware também pode exigir a recuperação do firmware a partir de uma fonte confiável.

O malware sem arquivo atua na memória e pode usar indevidamente o PowerShell ou a Instrumentação de Gerenciamento do Windows (WMI). Tarefas agendadas ou entradas no Registro podem fazê-lo voltar após uma reinicialização. Ferramentas baseadas em comportamento podem reconhecer suas ações mesmo quando há pouco no disco para comparar com uma assinatura conhecida.

Diferencie software indesejado de software malicioso

O adware exibe anúncios indesejados ou altera resultados de pesquisa. Um programa potencialmente indesejado (PUP) pode ter sido incluído em um instalador como uma oferta previamente selecionada. Ele pode ser indesejado sem ser malicioso. Revise os aplicativos instalados e as extensões do navegador, remova os adicionais indesejados e use as opções de instalação personalizada para recusar extras incluídos.

O malware atinge Macs e celulares, assim como PCs Windows. Uma verificação sem ameaças detectadas é uma evidência útil, mas sintomas não explicados ainda precisam ser investigados, pois malware oculto ou novo pode escapar da detecção.

A engenharia social manipula pessoas para que forneçam acesso ou informações ou realizem uma ação. O invasor pode criar um senso de urgência, alegar autoridade ou apelar à disposição de ajudar. Um computador bem configurado não consegue impedir que uma pessoa autorize um pagamento fraudulento.

Reconheça a mensagem e seu alvo

O phishing imita um remetente confiável para obter credenciais ou levar alguém a clicar em links ou abrir anexos. O vishing usa chamadas de voz; o smishing usa mensagens de texto; o phishing por código QR esconde um destino em um código que pode ser lido. Visualize o destino de um código QR antes de abri-lo. Um código em um cartaz conhecido pode ter sido substituído.

O spear phishing usa detalhes sobre uma pessoa ou equipe específica. O whaling visa altos executivos. Esses nomes descrevem o alvo, portanto uma mensagem de texto cuidadosamente pesquisada pode ser tanto smishing quanto spear phishing.

O comprometimento de e-mail corporativo (BEC) solicita dinheiro, cartões-presente ou alterações de dados bancários por meio de uma caixa de correio falsificada ou comprometida. A mensagem pode não conter link nem anexo. Confirme uma solicitação de alteração de pagamento usando um número já cadastrado. Ligar para o número da mensagem suspeita significa apenas seguir as instruções do invasor.

Leia um destino corretamente

Suponha que os funcionários normalmente usem northwind.example. Uma mensagem chega de helpdesk@northwind-support.example com o assunto “Caixa de correio cheia: confirme sua conta em até 2 horas”. O link exibido diz https://portal.northwind.example, mas seu destino é https://northwind.example.login-verify.net/reset.

1. Verifique o endereço completo do remetente. A palavra adicional altera o domínio.
2. Inspecione o destino real sem abri-lo. O texto do link pode ser escolhido livremente.
3. Leia o nome do host entre https:// e a próxima barra simples. Seu domínio registrado é login-verify.net; as palavras conhecidas à esquerda são subdomínios controlados pelo proprietário desse domínio.
4. Trate o prazo como uma pressão para que você deixe de verificar. Abra o serviço por um favorito conhecido para investigar por conta própria.

O HTTPS criptografa a conexão com o domínio indicado. Um site de phishing também pode ter um certificado válido.

Responda sem ampliar o ataque

Denuncie uma mensagem suspeita pelo botão de denúncia da organização ou à central de atendimento. Não responda, não abra anexos nem teste o link para ver o que acontece. Uma denúncia rápida permite que o suporte remova cópias de outras caixas de entrada.

Se um usuário inseriu uma senha, use um dispositivo comprovadamente limpo para alterá-la, encerre as sessões ativas e verifique se há métodos de MFA ou regras de encaminhamento desconhecidos. Registre o ocorrido em um chamado. Alterar apenas a senha deixa outras vias de acesso que também precisam ser verificadas.

Verifique pessoas com o mesmo cuidado que mensagens

A personificação usa um papel ou uma história convincente. A entrada não autorizada por acompanhamento ocorre quando alguém segue outra pessoa por uma porta protegida sem autorização própria. A espionagem por observação direta consiste em observar uma tela ou teclado; proteger visualmente o PIN e usar um filtro de privacidade ajudam. A busca de informações no lixo procura documentos ou unidades úteis no descarte.

Uma pessoa que liga alegando ser diretora pode exigir uma redefinição urgente. Siga as verificações de identidade aprovadas, como retornar a ligação para um número do diretório ou obter confirmação pelo processo de chamados. Cargo e urgência não substituem a verificação. Funcionários treinados também podem ser enganados por uma abordagem convincente; denunciar rapidamente ajuda mais do que procurar culpados.

Uma vulnerabilidade é uma fraqueza, como um aplicativo sem uma correção disponível. Uma ameaça é algo que pode explorá-la, como uma pessoa mal-intencionada dentro da organização. Um ataque é a tentativa de usar essa fraqueza. Essas palavras identificam partes diferentes do problema.

Entenda as tentativas de adivinhar senhas

Um ataque de força bruta testa combinações possíveis. Para um conjunto fixo de caracteres, o espaço de busca é:

Aqui, $a$ é o número de caracteres permitidos e $n$ é o comprimento da senha. Com 26 letras minúsculas, 8 caracteres geram cerca de 209 bilhões de combinações. A uma taxa ilustrativa offline de 10 bilhões de tentativas por segundo, testar todas leva cerca de 21 segundos. Oito caracteres escolhidos entre 94 símbolos levam cerca de 7,1 dias nessa taxa; 16 letras minúsculas levam cerca de 138.000 anos. Esses valores comparam espaços de busca completos para escolhas aleatórias. A velocidade real do ataque depende do sistema que gera os resumos de senhas e do hardware; frases previsíveis podem ser descobertas muito antes.

Um ataque online envia tentativas a um serviço de entrada ativo, onde bloqueios e limites de frequência o desaceleram. Um ataque offline usa resumos de senhas roubados, sem esses controles. Um ataque de dicionário prioriza palavras comuns, senhas vazadas e variações como “Summer2026!”. Um ataque com reutilização de credenciais vazadas testa pares de nome de usuário e senha já vazados em outros serviços. Senhas longas e exclusivas e MFA tratam de diferentes partes desses riscos.

Reconheça interceptação e identidades falsas

Um ataque de interceptação no caminho coloca um invasor entre as partes que se comunicam. Um ponto de acesso gêmeo malicioso copia o nome de uma rede Wi-Fi legítima para atrair conexões. Não se conecte automaticamente a redes abertas; verifique a identidade da rede, use HTTPS, observe avisos de certificado e use a VPN aprovada em Wi-Fi público. Uma VPN protege seu caminho de tráfego, mas não torna confiável uma página de entrada falsa.

A falsificação de identidade forja uma identidade, como um endereço de remetente, uma identificação de chamada ou um endereço MAC. Um ataque de dia zero usa uma vulnerabilidade para a qual ainda não há correção disponível ou que o fornecedor ainda não conhece. Detecção de comportamento, contas com restrições e firewalls ajudam a limitar a exposição antes da chegada de uma correção.

Reconheça ataques a serviços e aplicativos

Uma negação de serviço (DoS) sobrecarrega um serviço; uma negação de serviço distribuída (DDoS) usa muitas fontes, geralmente uma rede de dispositivos comprometidos. Uma ameaça interna usa indevidamente um acesso legítimo, de propósito ou por descuido.

A injeção de SQL faz com que um aplicativo inseguro trate dados de entrada como comandos de banco de dados. A injeção de script entre sites (XSS) faz um site executar nos navegadores dos visitantes um script fornecido pelo invasor. Um ataque à cadeia de suprimentos compromete um produto ou atualização confiável; o comprometimento do SolarWinds Orion em 2020 é um exemplo. A equipe de suporte mantém os softwares atualizados e relata sinais de comprometimento; os desenvolvedores corrigem o tratamento inseguro de dados de entrada nos aplicativos.

Identifique o endpoint exposto

Um dispositivo sem correções não recebeu correções disponíveis. Um dispositivo desprotegido não tem antivírus ou firewall funcionando. Um dispositivo em desconformidade viola a política, talvez por não ter criptografia. BYOD significa o uso de dispositivos pessoais no trabalho, cuja segurança também precisa ser verificada.

Um software em fim de vida útil (EOL) não recebe mais as correções normais de segurança. O suporte ao Windows 10 Home e Pro terminou em 14 de outubro de 2025; dispositivos inscritos podem receber atualizações limitadas pelo Extended Security Updates. Substitua ou isole sistemas sem suporte. Priorize correções de vulnerabilidades que os invasores já estejam explorando.

Uma senha forte precisa ter comprimento e ser exclusiva. Adicionar caracteres amplia o espaço de busca, mas reutilizar uma senha forte permite que um vazamento afete várias contas. Tipos de caracteres, requisitos de complexidade e expiração são configurações de política distintas.

Aplique a política entendendo sua finalidade

A orientação do NIST de 2025 exige pelo menos 15 caracteres para uma senha usada sozinha. Quando a senha é usada com MFA, o mínimo pode ser 8. Ela recomenda aceitar pelo menos 64 caracteres e rejeita combinações obrigatórias de tipos de caracteres e alterações periódicas de rotina. Uma alteração é exigida quando há indícios de comprometimento, e senhas comuns, previsíveis ou comprometidas devem ser bloqueadas.

Muitos empregadores ainda exigem tipos mistos de caracteres, histórico ou expiração de senhas. Aplique a política da organização e explique suas configurações com precisão. Cumprir uma regra de complexidade não torna uma palavra conhecida imprevisível: “P@ssw0rd!” é um alvo comum de tentativas de adivinhação.

Uma frase-senha combina palavras aleatórias e sem relação entre si. “Violeta porto trator cantou” tem 27 caracteres, incluindo espaços. Uma citação famosa, um trecho de música ou um dado pessoal é mais fácil de prever. Mantenha qualquer frase-senha real em segredo e use-a em apenas uma conta.

Use um gerenciador para facilitar o uso de senhas exclusivas

Um gerenciador de senhas armazena senhas em um cofre criptografado e gera valores longos e aleatórios para sites diferentes. Proteja o cofre com uma senha mestra forte e MFA. Gerenciadores de navegadores e sistemas operacionais podem oferecer essa função, assim como aplicativos separados.

O preenchimento automático também é uma verificação útil. Um gerenciador normalmente associa uma credencial salva ao respectivo site, portanto uma página aparentemente conhecida na qual a senha salva não é oferecida merece investigação. Abra o serviço verdadeiro por um caminho conhecido em vez de copiar as credenciais para a página para forçar o funcionamento.

Saiba o que as configurações do Windows controlam

No Windows Pro e em edições superiores, abra a Política de Segurança Local com secpol.msc e examine Políticas de Conta. A política de domínio pode gerenciar essas configurações centralmente.

O bloqueio desacelera tentativas contra o serviço de entrada ativo. Ele não desacelera um invasor que testa resumos roubados offline. Um limite de falhas muito baixo também permite que um invasor bloqueie muitas contas deliberadamente e gera chamados de suporte evitáveis.

Para um exemplo simples de limite de frequência, suponha que um serviço permita 5 tentativas em cada intervalo de 15 minutos. Há 96 intervalos em um dia, portanto ele permite 480 tentativas por dia. Esgotar os 10.000 PINs possíveis de quatro dígitos levaria cerca de 21 dias nesse limite. O comportamento real do bloqueio depende do limite configurado, do período para zerar o contador e da duração.

Redefina sem expor o segredo

Verifique a identidade de quem liga pelo processo aprovado antes de alterar qualquer coisa. Quando senhas temporárias forem usadas, configure “O usuário deve alterar a senha no próximo logon” e forneça a senha temporária pelo canal seguro aprovado. Nunca peça a senha atual nem registre uma senha em um chamado, chat comum ou e-mail. Registre as verificações de identidade e a ação, sem registrar a senha.

A autenticação verifica uma identidade declarada. Suas principais categorias de fatores são algo que você sabe, como uma senha; algo que você possui, como uma chave de segurança; e algo que você é, como uma impressão digital. Localização e comportamento de digitação podem fornecer sinais adicionais.

Conte categorias, não telas

A autenticação multifator (MFA) combina pelo menos duas categorias de fatores. Uma senha mais um código gerado no celular combinam conhecimento e posse. Uma senha mais uma pergunta de segurança usam conhecimento duas vezes, mesmo quando o serviço mostra duas telas.

Uma senha e uma verificação biométrica também podem combinar categorias quando implementadas como verificações independentes. Em celulares e dispositivos com Windows Hello, uma verificação local de impressão digital ou rosto geralmente desbloqueia uma chave protegida no dispositivo.

Dê suporte adequado a códigos e solicitações

Uma senha de uso único baseada em tempo (TOTP) usa um segredo compartilhado registrado no aplicativo, normalmente pela leitura de um código QR. O aplicativo combina esse segredo com o horário para gerar um código, muitas vezes de seis dígitos que mudam a cada 30 segundos. Não é necessária uma rede para calculá-lo, mas um relógio incorreto no dispositivo pode causar falhas. Uma OTP é válida para um único uso; um código de seis dígitos tem um milhão de valores possíveis.

A fadiga de autenticação multifator envia solicitações repetidas até que alguém aprove. Os usuários devem negar e denunciar solicitações que não iniciaram. A correspondência de números pede que digitem o número da própria tela de entrada e reduz aprovações sem atenção. Ela não torna um processo digitado ou retransmitido equivalente a uma chave resistente a phishing.

Chaves de segurança FIDO2 e chaves de acesso resistem à retransmissão por sites falsos porque autenticam no serviço correto. Códigos inseridos em uma página falsa podem ser encaminhados ao serviço verdadeiro enquanto ainda estão válidos.

Planeje a perda sem contornar as verificações de identidade

Quando um celular com autenticador for perdido, verifique a identidade, revogue o método perdido, use um método alternativo aprovado ou código de recuperação e registre o substituto. Incentive o registro de dois métodos para que uma única perda não bloqueie o acesso. Não registre um novo celular apenas porque quem liga conhece o nome de usuário.

Leitores biométricos podem aceitar incorretamente a pessoa errada ou rejeitar a pessoa certa. O hardware protegido guarda o modelo local, e um PIN ou senha permanece disponível como alternativa. Uma característica biométrica é mais difícil de substituir do que uma senha comprometida.

Reconheça o serviço por trás da solicitação

O Kerberos fornece tíquetes de duração limitada para entrada no Windows Active Directory; sua tolerância padrão de diferença entre relógios é de cinco minutos, portanto investigue a sincronização de horário quando a autenticação no domínio falhar. O RADIUS verifica o acesso ao Wi-Fi e à VPN. O logon único (SSO) permite que uma entrada abra vários aplicativos, muitas vezes por meio de declarações SAML. Proteger essa entrada central com MFA protege uma via importante de acesso aos aplicativos conectados.

O Windows separa a quem a conta pertence do que ela pode alterar. Uma conta local, Microsoft ou de trabalho pode ter direitos diferentes. Escolher a identidade adequada não justifica, por si só, o acesso de administrador.

Escolha a identidade

Um usuário padrão pode executar aplicativos instalados e alterar configurações pessoais. Um administrador também pode fazer alterações em todo o sistema e gerenciar outras contas. Use direitos de usuário padrão no trabalho diário e uma identidade de administrador separada para a manutenção aprovada. Isso limita o que um software iniciado em uma sessão comum pode alterar.

Mantenha a conta Convidado desativada. O grupo legado Usuários avançados permanece por compatibilidade e, por padrão, não concede direitos adicionais em relação a um usuário padrão.

Eleve os privilégios de uma tarefa sem promover uma pessoa

O Controle de Conta de Usuário (UAC) mantém os aplicativos com direitos comuns até que a elevação seja solicitada. Um administrador normalmente vê uma solicitação de consentimento; um usuário padrão deve fornecer credenciais de administrador. A área de trabalho segura escurecida ajuda a proteger a solicitação contra outros aplicativos.

Um escudo indica as configurações que precisam de elevação. Clicar com o botão direito em um programa e escolher Executar como administrador eleva os privilégios desse programa. Por exemplo, um reparo aprovado com sfc /scannow precisa de uma janela de comando com privilégios elevados. Confirme o programa e o motivo antes de aprovar. Um programa malicioso com privilégios elevados também pode alterar o sistema.

Não torne um funcionário administrador apenas para instalar um programa aprovado. Forneça credenciais autorizadas na solicitação do UAC para essa tarefa. Mantenha o UAC ativado; “Nunca notificar” remove uma verificação útil.

Entenda o Windows Hello

O Windows Hello oferece PIN do dispositivo, impressão digital ou reconhecimento facial. O reconhecimento facial precisa de hardware infravermelho adequado. As configurações de entrada sem senha podem ocultar a opção de entrada por senha.

Um PIN do Hello desbloqueia uma chave protegida pelo Módulo de Plataforma Confiável (TPM) do dispositivo, com defesas contra tentativas repetidas. Ele não é a senha reutilizável enviada a uma conta online. Saber o PIN sem ter o dispositivo não oferece o mesmo acesso remoto que conhecer a senha dessa conta. Isso explica por que um PIN local curto e uma senha online longa têm funções de segurança diferentes.

Prepare e mantenha o notebook de um funcionário

1. Registre ou associe o dispositivo usando o processo de conta de trabalho aprovado pela organização.
2. Confirme que o funcionário tem direitos de usuário padrão e que o técnico tem uma identidade separada para manutenção.
3. Configure o Hello e mantenha o UAC no nível aprovado.
4. Desative contas locais não utilizadas e confirme que Convidado permanece desativada.
5. Verifique se as configurações de gerenciamento necessárias estão sendo aplicadas.

Um domínio do Active Directory centraliza contas e configurações. A Política de Grupo pode aplicar regras de senha, firewall e criptografia, scripts de logon, mapeamentos de pastas base e redirecionamento de pastas. Os alvos da política dependem das unidades organizacionais e dos grupos de segurança. gpresult /r mostra a política aplicada; gpupdate /force solicita uma atualização. Se uma configuração local continuar voltando ao valor anterior, verifique a política que a gerencia antes de alterá-la novamente.

Abra Segurança do Windows para examinar Proteção contra vírus e ameaças, Proteção de conta, Firewall e proteção de rede, Controle de aplicativos e navegador e Segurança do dispositivo. O SmartScreen alerta sobre downloads suspeitos e phishing. Segurança do dispositivo apresenta recursos como TPM e Inicialização Segura.

Mantenha o antivírus ativo

O Microsoft Defender Antivírus oferece verificações em tempo real, verificações fornecidas pela nuvem e proteção contra adulterações. Suas atualizações de inteligência de segurança contêm informações atuais de detecção e chegam pelo Windows Update. Verifique Atualizações de proteção quando as definições precisarem ser atualizadas manualmente.

Desativar a proteção em tempo real pela interface é temporário; o Windows normalmente volta a ativá-la. Um antivírus registrado de outro fornecedor passa a ser o principal mecanismo em tempo real. O Defender pode ser desativado ou funcionar em modo passivo gerenciado, dependendo da configuração. Verifique qual produto é responsável antes de tratar uma tela inativa do Defender como falha. Dois mecanismos em tempo real concorrentes podem entrar em conflito e deixar o computador lento.

Escolha a verificação que responde ao problema

O Defender Offline oferece suporte a PCs Windows 11 x64; ele não está disponível no Windows 11 baseado em ARM. Salve o trabalho do usuário antes de uma verificação offline. Ela leva cerca de 15 minutos e ajuda a encontrar malware que se esconde enquanto o Windows está em execução. Depois, revise os resultados e os sintomas ainda não explicados.

Uma exclusão instrui o Defender a ignorar um local ou processo especificado. Use-a apenas para uma necessidade verificada de um aplicativo, com o menor escopo aprovado. Excluir Downloads ou uma unidade inteira cria uma grande área sem verificação. Um instalador bloqueado precisa ser investigado; desativar o antivírus para executá-lo remove a verificação que gerou o aviso.

Ajuste as regras de firewall à rede

O Firewall do Windows Defender é um firewall do dispositivo, que protege este computador. Seus perfis são Domínio para uma conexão de domínio reconhecida, Privado para uma rede doméstica ou de escritório confiável e Público para redes desconhecidas. Escolha Público em uma rede que você não controle. Mantenha a proteção ativada em todos os perfis.

Por padrão, o firewall bloqueia conexões de entrada não solicitadas, a menos que uma regra as permita, e permite o tráfego de saída. Uma regra de aplicativo permite um programa nos perfis selecionados. Regras avançadas em wf.msc também podem restringir protocolo, porta e endereços remotos.

Corrija o acesso com uma alteração restrita

Suponha que a central de atendimento não consiga acessar um PC do domínio pela Área de Trabalho Remota:

1. Confirme que a Área de Trabalho Remota está aprovada e ativada no destino.
2. Inspecione sua regra de entrada existente para TCP 3389.
3. Permita o perfil Domínio e a faixa de endereços aprovada da central de atendimento.
4. Teste a partir de uma origem autorizada e registre a alteração da regra.

Abrir a mesma porta em todos os perfis para todas as origens cria exposição desnecessária. Desativar todo o firewall também remove proteções não relacionadas. Uma regra deve descrever o tráfego necessário com a maior precisão que a tarefa permitir.

O acesso de um usuário depende do caminho até o arquivo e das permissões nesse caminho. As permissões NTFS se aplicam localmente e pela rede. As permissões de compartilhamento se aplicam apenas quando alguém acessa uma pasta compartilhada pela rede.

Combine os controles adequados

O NTFS oferece Controle total, Modificar, Ler e executar, Listar conteúdo da pasta, Leitura e Gravação. As permissões de compartilhamento oferecem Controle total, Alteração e Leitura. Para acesso pela rede, a ação solicitada pelo usuário precisa ser permitida pelas duas camadas.

Suponha que o compartilhamento Relatórios conceda Leitura a Todos, enquanto o NTFS concede Modificar ao grupo Vendas. Ana pertence a Vendas:

1. Pelo compartilhamento, a camada de compartilhamento permite apenas leitura.
2. O NTFS permite modificação, mas não pode acrescentar um direito bloqueado pela camada de compartilhamento.
3. Portanto, Ana pode ler pela rede. Quando ela entra localmente, o limite do compartilhamento não se aplica, então sua permissão NTFS Modificar é aplicada.

Um modelo comum mantém as permissões de compartilhamento amplas o suficiente para o trabalho previsto e gerencia o acesso detalhado por meio de grupos NTFS.

Entenda vários grupos e a herança

As permissões Permitir obtidas pela participação em grupos geralmente se somam. Leitura de um grupo e Modificar de outro permitem Modificar. Uma entrada Negar no mesmo nível de precedência prevalece sobre a entrada Permitir correspondente, mas entradas explícitas têm precedência sobre entradas herdadas. Portanto, uma entrada explícita Permitir pode prevalecer sobre uma entrada herdada Negar. A regra simplificada “Negar sempre prevalece” oculta essa distinção.

Novos arquivos e subpastas normalmente herdam as entradas da pasta de destino. As entradas herdadas aparecem esmaecidas. Ao desativar a herança, você pode convertê-las em entradas explícitas ou removê-las. Para uma subpasta privada de RH, examine o acesso herdado do departamento antes de decidir quais entradas devem permanecer.

Conceda direitos a grupos sempre que possível e use Negar com moderação. A guia Acesso Efetivo das Configurações de Segurança Avançadas ajuda a examinar o acesso NTFS de um usuário específico. Verifique separadamente as permissões de compartilhamento quando houver um problema de acesso pela rede.

Preveja cópias e movimentações

Por exemplo, mover um arquivo restrito entre pastas no mesmo volume pode mantê-lo restrito mesmo quando os arquivos ao seu lado podem ser lidos. Uma cópia no destino normalmente recebe as permissões dessa pasta. Ferramentas com opções especiais de preservação podem deliberadamente agir de outro modo, portanto verifique a operação usada ao diagnosticar um resultado inesperado.

Diferencie os atributos

Somente leitura, Oculto, Sistema e Arquivo são atributos, não um substituto para permissões de acesso. attrib +r +h notes.txt marca um arquivo como somente leitura e oculto. Um usuário com os direitos adequados pode alterar atributos, e a exibição de arquivos ocultos revela nomes ocultos. Os atributos avançados também incluem compactação e criptografia EFS.

Evite conceder Controle total a Todos para corrigir uma falha de acesso; isso pode expor os dados a contas que não precisam deles.

O fortalecimento da segurança reduz a superfície de ataque: as contas, os serviços, os programas e as conexões que podem fornecer uma via de entrada. Mantenha o que o trabalho precisa, proteja esses recursos e remova acessos não utilizados.

Restrinja o acesso às contas

Substitua as credenciais de administrador de fábrica por credenciais exclusivas, renomeie as contas de administrador padrão quando a política exigir e desative contas não utilizadas e a conta Convidado. Renomear a conta não altera a senha e não oferece proteção suficiente. Use direitos de usuário padrão no trabalho diário.

Defina datas de expiração para trabalhadores temporários e restrinja horários de logon quando adequado. Para uma conta local, net user jdoe /times:M-F,08:00-18:00 define horários de logon em dias úteis; contas de domínio podem ter horários gerenciados centralmente. Configure o bloqueio por tentativas malsucedidas por meio de política. Verifique o trabalho planejado e as necessidades de suporte antes de restringir os horários.

Configure um bloqueio curto por inatividade, como cinco minutos em um PC de escritório, e exija entrada ao retornar. Os usuários podem pressionar a tecla Windows + L antes de se afastar e sair da conta ao fim do dia. O Bloqueio Dinâmico usa a presença Bluetooth do celular pareado para ajudar a bloquear o computador quando o usuário se afasta.

Proteja as configurações de inicialização e os dados armazenados

Uma senha de administrador ou supervisor do firmware protege as configurações de BIOS/UEFI. Uma senha de usuário ou ao ligar é solicitada antes da inicialização. Elas têm finalidades diferentes.

Uma senha de administrador sozinha pode deixar disponível o menu de inicialização temporário por USB. Coloque a unidade interna em primeiro lugar, desative ou proteja por senha a inicialização externa e o menu temporário e mantenha a Inicialização Segura. A criptografia de disco protege os dados se alguém remover a unidade por completo. Armazene as credenciais de firmware com segurança; a perda de uma senha de notebook corporativo pode exigir assistência do fabricante.

Remova formas desnecessárias de executar software

O Windows atual não executa automaticamente programas de unidades USB comuns por meio de autorun.inf, mas a Reprodução Automática ainda pode oferecer ações quando uma mídia é inserida. Em Configurações > Bluetooth e dispositivos > Reprodução Automática, desative-a ou exija uma escolha a cada vez. A Política de Grupo pode gerenciar essas opções.

Desinstale softwares de avaliação não utilizados, plug-ins obsoletos e aplicativos desnecessários. Desative serviços não utilizados somente depois de verificar as dependências em services.msc. Desativar a Área de Trabalho Remota é adequado em um PC que não tem necessidade aprovada de acesso remoto; desativar um serviço necessário, por sua vez, pode interromper o trabalho do usuário.

Mantenha as correções em dia

Instale prontamente as atualizações de segurança do sistema operacional, dos aplicativos e dos drivers. Priorize uma falha que já esteja sendo explorada. Uma correção só ajuda depois de instalada e de concluída qualquer reinicialização necessária. Substitua ou isole produtos sem suporte que não recebem mais correções.

Para um notebook de escritório de reserva, uma sequência útil é remover contas e softwares obsoletos, aplicar as atualizações atuais, verificar o estado do antivírus e do firewall, verificar o bloqueio por inatividade e a criptografia e depois testar os aplicativos necessários. Isso confirma que o dispositivo com segurança reforçada continua utilizável.

Proteja também o hardware e as informações ao redor dele. Proteja um notebook quando estiver sem supervisão, evite deixá-lo em um carro, guarde impressos sensíveis trancados, mantenha a mesa limpa e use filtros de privacidade onde outras pessoas possam observar a tela. Informações de identificação pessoal (PII) são dados que identificam uma pessoa e precisam de proteção durante o trabalho cotidiano de suporte.

Dados em repouso são armazenados em um dispositivo; dados em trânsito trafegam por uma rede. A criptografia de disco protege dados armazenados se um dispositivo desligado for roubado ou se sua unidade for removida. Depois que o usuário desbloqueia uma sessão, aplicativos e malware nessa sessão podem ler os arquivos acessíveis. Mantenha também os bloqueios de tela e o antimalware funcionando.

Selecione a ferramenta do Windows

O BitLocker normalmente usa um Módulo de Plataforma Confiável (TPM) para proteger o material de chave e verificar a integridade da inicialização. Ele oferece suporte ao TPM 1.2 ou posterior; o Windows 11 exige TPM 2.0. Um PIN de inicialização adiciona uma verificação antes do desbloqueio automático. Sem TPM, configurações compatíveis usam uma chave de inicialização USB. Execute manage-bde -status para examinar o estado de criptografia e proteção.

A versão 24H2 do Windows 11 ampliou a qualificação para criptografia automática de dispositivo. Em uma instalação limpa qualificada, a criptografia pode ser inicializada antes de a proteção ser ativada. Entrar com uma conta Microsoft ou de trabalho salva a chave de recuperação e ativa a proteção. Uma configuração apenas com conta local pode deixar uma chave desprotegida, equivalente à proteção suspensa. Verifique o Status de proteção, e não apenas a porcentagem criptografada. Unidades externas precisam de proteção própria.

Recupere o acesso após uma mudança na inicialização

A chave de recuperação do BitLocker é uma senha de recuperação de 48 dígitos em oito grupos de seis dígitos. Uma ID de chave identifica o registro correspondente. Alterações de firmware, configurações de inicialização modificadas, transferência da unidade ou PINs de inicialização incorretos repetidos podem acionar a recuperação.

Para uma tela de recuperação após uma atualização de firmware:

1. Localize o registro que corresponde à ID de chave no diretório da organização ou na conta Microsoft do proprietário.
2. Obtenha o valor autorizado de 48 dígitos e desbloqueie a unidade.
3. Verifique se a alteração de inicialização era esperada e se a proteção está ativa depois.

Armazene as informações de recuperação fora da unidade criptografada: no diretório ou na conta aprovada, em um arquivo em outro local ou em uma cópia impressa protegida. A Microsoft não pode criar uma chave perdida. Antes de um trabalho planejado no firmware ou hardware, siga o processo de suspensão aprovado. A suspensão mantém os dados criptografados, mas deixa uma chave acessível temporariamente; retome a proteção após a alteração e verifique-a.

Proteja arquivos e outras plataformas

O EFS usa um certificado de usuário e uma chave privada para criptografar arquivos NTFS selecionados. O proprietário os abre normalmente; outros usuários, incluindo administradores por padrão, não podem descriptografá-los apenas por terem direitos de administrador. Faça backup do certificado com sua chave privada, normalmente como um arquivo .pfx protegido, ou garanta que exista uma chave de agente de recuperação autorizado. Caso contrário, a perda do perfil ou a redefinição da senha local por um administrador pode deixar os arquivos inacessíveis. Copiar para FAT32 ou exFAT remove a proteção EFS.

O BitLocker protege contra quem está de posse da unidade; o EFS protege arquivos selecionados contra o acesso de outros usuários. O FileVault oferece criptografia de disco do Mac com opções de recuperação configuradas. iPhones e iPads usam criptografia e Proteção de Dados vinculada ao código de acesso. Celulares Android atuais usam criptografia de armazenamento protegida pelo bloqueio de tela. Bloqueios fortes e meios de recuperação testados continuam necessários em todas as plataformas.

Excluir um arquivo não é um método confiável de sanitização. Em um HDD, a referência é removida, mas os dados podem permanecer até serem sobrescritos. O TRIM e a coleta de lixo do SSD podem apagar blocos excluídos, mas o momento em que isso ocorre não constitui um procedimento confiável de descarte.

Escolha o resultado necessário

A estrutura de sanitização de mídias do NIST distingue três resultados:

Escolha o nível conforme a sensibilidade dos dados, a política da organização e o destino do dispositivo. Confirme que há backup dos dados importantes e que o apagamento está autorizado antes de começar.

Uma formatação rápida cria um sistema de arquivos vazio. Em um HDD, grande parte do conteúdo anterior ainda pode permanecer. A formatação completa do Windows atual também sobrescreve a partição selecionada, mas não sanitiza áreas fora dela nem blocos de reserva do SSD. Uma verdadeira formatação de baixo nível faz parte da fabricação; utilitários que usam esse nome geralmente sobrescrevem o armazenamento.

Escolha o método adequado à mídia

Uma sobrescrita completa aprovada pode limpar um HDD; uma passagem é suficiente para unidades modernas nesse nível. Passagens repetidas acrescentam tempo sem uma melhoria útil na resistência à recuperação comum. A 150 MB/s, gravar 1 TB significa gravar 1.000.000 MB. A divisão resulta em cerca de 6.667 segundos, ou 1 hora e 51 minutos; três passagens levam cerca de 5,6 horas.

Um SSD distribui gravações por meio do nivelamento de desgaste e de blocos de reserva. Sobrescritas pelo sistema operacional podem não alcançar dados antigos. Use um processo de sanitização ou apagamento seguro aprovado pelo fabricante e adequado à unidade, ou um processo validado de apagamento criptográfico, e verifique sua conclusão.

O apagamento criptográfico torna dados criptografados inacessíveis ao destruir o material de chave necessário para descriptografá-los. Os dados devem ter sido criptografados adequadamente, e todas as cópias utilizáveis do material de chave relevante devem ser eliminadas. Excluir um arquivo de chave de recuperação ou remover um protetor do BitLocker não é suficiente. Um processo aprovado de sanitização do dispositivo cuida do ciclo de vida necessário das chaves. Processos de restauração de celulares modernos criptografados podem apagar chaves; saia da conta Apple ou Google do proprietário antes de uma transferência autorizada para que o Bloqueio de Ativação ou a Proteção contra redefinição de fábrica não bloqueie o próximo usuário.

Saiba quando a destruição é necessária

Uma unidade com defeito ainda pode conter dados legíveis. Use um método de destruição aprovado quando o apagamento não puder ser concluído ou a política o exigir. A trituração industrial quebra a mídia em pedaços suficientemente pequenos. Fazer alguns furos pode deixar fragmentos legíveis dos pratos ou chips. A desmagnetização afeta mídias magnéticas, como HDDs e fitas, e não os chips flash de SSDs. Instalações licenciadas também podem usar incineração.

Para transferir um notebook a outro funcionário, limpe-o com o método aprovado e depois instale a imagem da empresa. Para um SSD com dados sensíveis que sairá da organização, use um método de expurgo aprovado e verifique o resultado. A reinstalação por imagem, sozinha, pode deixar dados antigos.

Conclua o registro de descarte

Acompanhe os dispositivos por meio de uma cadeia de custódia documentada. O certificado de um fornecedor de descarte deve identificar os números de série, a data e o método e informar se a mídia foi destruída ou reciclada. Registre as evidências de verificação, além da ação solicitada. Siga os requisitos aplicáveis de proteção de dados e de resíduos eletroeletrônicos e encaminhe dispositivos e baterias a canais de reciclagem aprovados.

Uma rede Wi-Fi precisa de criptografia moderna e de um método de autenticação adequado aos usuários. Uma senha compartilhada forte ajuda uma equipe pequena, mas identidades individuais facilitam a revogação de acesso à medida que a organização cresce.

Escolha uma geração de segurança compatível

O TKIP foi uma solução provisória para hardware antigo. Ele é mais fraco e impede as altas taxas de dados do Wi-Fi moderno. Evite “WPA/WPA2 misto TKIP+AES”. O AES é a cifra moderna usada pelo WPA2 e pelo WPA3. O WPA3-Enterprise também oferece um modo de segurança opcional mais forte de 192 bits.

Escolha WPA3 quando todos os dispositivos forem compatíveis. O modo de transição WPA2/WPA3 acomoda dispositivos antigos, mas esses dispositivos continuam usando a proteção WPA2. Mantenha o AES ativado e planeje substituir equipamentos incompatíveis.

O modo pessoal compartilha um segredo

No modo pessoal, todos usam uma frase-senha compartilhada, normalmente de 8 a 63 caracteres. O WPA2-Pessoal usa uma chave pré-compartilhada (PSK). O tráfego de conexão capturado permite que um invasor teste frases-senha offline, o que torna valiosa uma frase-senha longa e aleatória.

O WPA3-Pessoal usa a Autenticação Simultânea de Iguais (SAE) para resistir a tentativas offline passivas e oferecer sigilo futuro: um vazamento posterior da senha não revela o tráfego capturado anteriormente. A operação somente com WPA3 exige quadros de gerenciamento protegidos (PMF), que protegem determinadas mensagens de gerenciamento contra falsificação. O modo de transição mantém um comportamento de compatibilidade mais fraco para clientes WPA2.

Quem conhece o segredo compartilhado pode continuar se conectando até que ele seja alterado. Separe os convidados e altere o segredo da equipe quando ele tiver sido exposto ou quando um antigo usuário precisar perder o acesso.

O modo empresarial verifica cada usuário

O modo empresarial, que usa 802.1X, fornece credenciais ou certificados individuais aos usuários. O ponto de acesso encaminha a autenticação a um servidor, geralmente RADIUS, conectado ao diretório da organização. Desative a conta de um funcionário que sai sem alterar a senha de todos os dispositivos. Configure os clientes para validar o certificado do servidor de autenticação aprovado; um nome de rede correspondente, por si só, não é suficiente para confiar em uma solicitação de entrada.

Um consultório odontológico com 12 funcionários pode usar WPA3-Pessoal e uma rede de convidados isolada para pacientes. Uma empresa com 300 pessoas e mudanças frequentes na equipe se beneficia do modo empresarial e do controle central de contas. A decisão envolve tanto o gerenciamento de acesso quanto a força da criptografia.

Reconheça as funções dos protocolos

O RADIUS costuma oferecer suporte a Wi-Fi, VPN e acesso remoto. O RADIUS tradicional usa UDP 1812 para autenticação e UDP 1813 para contabilização; sua proteção tradicional de pacotes criptografa a senha, e não o pacote inteiro. O TACACS+ usa TCP 49, protege o corpo da mensagem e separa autenticação, autorização e contabilização; ele gerencia principalmente o acesso de administradores a roteadores e switches. O Kerberos fornece tíquetes para entrada em domínios Windows. A MFA também pode ser integrada a sistemas de acesso RADIUS compatíveis.

Um roteador controla a fronteira entre os dispositivos locais e a internet. Sua senha de administrador protege a configuração; sua frase-senha Wi-Fi permite que os clientes se conectem. São segredos diferentes, e ambos devem ser fortes e exclusivos.

Proteja primeiro o caminho de gerenciamento

Substitua as credenciais de administrador de fábrica compartilhadas, incluindo o nome de usuário quando houver suporte. Se a configuração solicitar a criação de uma senha, crie uma exclusiva. Instale o firmware atual e ative as atualizações automáticas quando disponíveis. Substitua roteadores que não recebem mais correções.

Use HTTPS na página de administração. Desative o gerenciamento pela internet (WAN), a menos que exista uma necessidade específica aprovada, e restrinja o gerenciamento a clientes da LAN cabeada ou a endereços designados. Uma pessoa que acessa a interface com credenciais válidas pode alterar as configurações da rede.

Configure o acesso sem fio

Altere o SSID de fábrica, o nome da rede, para um nome neutro que não revele o endereço do proprietário nem o modelo do roteador. Configure WPA3 ou o modo de transição WPA2/WPA3 baseado em AES para clientes antigos. Desative a Configuração Protegida de Wi-Fi (WPS). O método de PIN verifica duas partes separadamente, reduzindo a busca teórica do espaço completo de oito dígitos para no máximo 11.000 combinações, antes de considerar as defesas de bloqueio.

Ocultar o SSID o remove das listas comuns, mas o tráfego de conexão ainda o revela. A filtragem de endereços MAC também oferece proteção limitada, pois um invasor pode copiar um endereço autorizado. Nenhuma das duas substitui criptografia e autenticação forte.

Separe convidados e serviços expostos

Crie um SSID de convidados com sua própria frase-senha. Confirme que os clientes convidados têm acesso à internet, mas não conseguem acessar computadores ou impressoras do escritório. O isolamento de clientes também pode impedir que os convidados acessem uns aos outros. Separe os dispositivos da Internet das Coisas quando houver suporte, pois eles podem ter opções de atualização e gerenciamento mais limitadas.

O Universal Plug and Play (UPnP) permite que dispositivos locais solicitem automaticamente mapeamentos de entrada. Desative-o, a menos que uma necessidade compatível justifique seu uso. Malware em um dispositivo local também pode usar essa facilidade indevidamente.

O encaminhamento de portas envia o tráfego de uma porta externa a um dispositivo interno específico. Para um servidor web aprovado, encaminhar TCP 443 a um endereço interno reservado expõe esse serviço web. Registre a finalidade e remova o mapeamento quando o serviço terminar. O host ainda precisa de suas próprias atualizações e proteção de firewall.

A opção de host DMZ do roteador SOHO não é uma sub-rede protegida e isolada. Use um mapeamento de porta específico quando um serviço for necessário; encaminhar portas não relacionadas amplia a exposição.

Conclua as verificações

Mantenha o firewall do roteador ativado. A filtragem de IP permite ou bloqueia endereços especificados, enquanto a filtragem de conteúdo bloqueia categorias de sites ou domínios maliciosos. Desative aberturas não utilizadas no firewall e portas físicas não utilizadas quando o equipamento gerenciado permitir.

Coloque o roteador onde visitantes não possam pressionar o botão de redefinição nem substituir cabos. Uma redefinição pode restaurar as configurações padrão. Um posicionamento central e uma potência de transmissão adequada podem reduzir o sinal fora do espaço de trabalho, mas a criptografia continua essencial em qualquer lugar alcançado pelo sinal.

Antes de encerrar a tarefa de configuração, teste o acesso da equipe, o isolamento de convidados e qualquer mapeamento de serviço necessário a partir da rede correta. Salve a configuração aprovada e documente as credenciais no repositório de segredos autorizado.

Celulares, tablets e notebooks contêm arquivos armazenados e também acesso ativo a contas. Combine um bloqueio de tela forte com criptografia, atualizações e um plano de recuperação antes que o dispositivo desapareça.

Configure um bloqueio efetivo

Deslizar não oferece proteção. Padrões são fáceis de observar e podem deixar marcas reconhecíveis na tela. Um PIN ganha possibilidades com o comprimento: quatro dígitos oferecem 10.000 combinações, enquanto seis dígitos oferecem um milhão. Uma senha longa oferece um espaço de busca maior quando escolhida de modo imprevisível.

O desbloqueio por impressão digital e rosto é prático, mas a qualidade do hardware importa. O desbloqueio facial apenas por câmera pode ser mais fraco que um PIN adequado. O PIN ou a senha alternativos ainda precisam ser fortes. Configure um bloqueio automático curto, como um minuto, e ative as restrições de tentativas malsucedidas da organização.

Os tempos de espera desaceleram tentativas incorretas repetidas. No iPhone, a configuração opcional Apagar Dados remove os dados do dispositivo após dez tentativas consecutivas malsucedidas de código de acesso. Verifique os meios de backup antes de ativar uma política de apagamento aprovada. O MDM pode impor configurações de código de acesso e de tentativas.

Mantenha intactas as proteções da plataforma

iPhones e celulares Android modernos usam criptografia de armazenamento protegida por código de acesso ou bloqueio de tela. Notebooks usam BitLocker ou FileVault. Instale prontamente as atualizações do sistema operacional e dos aplicativos e substitua, para uso no trabalho, celulares que não recebem mais atualizações de segurança.

Instale aplicativos de lojas oficiais e evite a obtenção de acesso root no Android ou a remoção das restrições do iOS, que elimina restrições integradas importantes. Revise permissões de aplicativos que concedem amplo acesso. Aplicativos de segurança para Android podem verificar outros aplicativos instalados dentro dos limites da plataforma. No iOS e no iPadOS, o isolamento de aplicativos impede que um antivírus de terceiros verifique outros aplicativos ou arquivos do sistema; as ferramentas de segurança se concentram em funções como filtragem de sites maliciosos e verificação de configurações.

Prepare e use ferramentas de recuperação

O Buscar da Apple e o Find Hub do Google podem localizar um dispositivo perdido compatível, reproduzir um som, protegê-lo e solicitar o apagamento. Confirme antecipadamente o registro no serviço de localização. Um apagamento remoto exige que o dispositivo receba o comando, portanto, se estiver offline, a solicitação pode ficar pendente. A criptografia protege os dados armazenados enquanto as ações de recuperação aguardam.

Faça backup dos dados importantes pelo serviço aprovado, como iCloud, backup do Google ou OneDrive. Após uma perda, bloqueie o dispositivo ou marque-o como perdido, siga a política de apagamento remoto, revogue sessões ou credenciais expostas e registre o ocorrido. Restaure os dados em um dispositivo substituto a partir de um backup confiável.

Aplique o escopo de gerenciamento adequado

O gerenciamento de dispositivos móveis (MDM) registra dispositivos para controles centrais. Um perfil de configuração pode fornecer configurações de Wi-Fi, VPN e e-mail ou exigir criptografia, uma versão mínima do sistema operacional e um código de acesso. Dispositivos em desconformidade podem ter o acesso aos serviços de trabalho bloqueado.

Um apagamento seletivo remove os dados da organização preservando as fotos e os aplicativos pessoais do proprietário dentro do modelo de gerenciamento compatível. Explique esse escopo durante o registro. Quando um funcionário que usa um celular pessoal sair da organização, verifique se o perfil de trabalho foi removido e se as sessões da conta foram revogadas; não selecione o apagamento completo do dispositivo quando apenas a remoção dos dados de trabalho estiver autorizada.

Um sintoma é uma pista a ser investigada, não um nome de malware. Procure padrões, determine quando começaram e verifique explicações comuns junto com possíveis causas de segurança.

Identifique o padrão

Os sinais de alerta em PCs incluem redes inacessíveis, alertas ou notificações inesperados, arquivos alterados, falhas de atualização, software de segurança desativado e alto uso de processador, disco ou rede durante a inatividade. Os sinais no navegador incluem pop-ups repetidos, redirecionamentos, barras de ferramentas ou extensões desconhecidas, configurações de pesquisa alteradas, avisos de certificado e baixo desempenho.

Em dispositivos móveis, observe uso de dados incomumente alto, superaquecimento, descarga da bateria, resposta lenta, aplicativos desconhecidos, excesso de anúncios, avisos falsos, arquivos vazados e perda de conectividade. Fontes não oficiais de aplicativos, acesso root ou jailbreak e configurações desnecessárias de desenvolvedor aumentam o risco. A falsificação de aplicativo faz um aplicativo falso parecer confiável.

Um celular quente, por si só, pode estar atualizando ou executando um aplicativo exigente. O aquecimento combinado com um aplicativo desconhecido e uso de rede sem explicação dá mais motivos para investigar esse aplicativo.

Descarte falhas comuns com verificações úteis

Pergunte o que o usuário viu, quando começou e o que ele instalou ou abriu pouco antes. O Gerenciador de Tarefas mostra processos e itens de inicialização. Revise os aplicativos instalados, as extensões do navegador e as entradas relevantes do Visualizador de Eventos. O arquivo hosts em C:\Windows\System32\drivers\etc\hosts pode redirecionar nomes se for modificado; compare entradas inesperadas com a configuração aprovada antes de alterá-las.

Se o relógio estiver errado, corrija-o pelas configurações de horário aprovadas e teste o site novamente. Não ignore um aviso de certificado contornando-o. Se uma unidade estiver falhando, uma verificação de malware sozinha não reparará seu hardware.

Responda a padrões reconhecíveis

Resultados de pesquisa alterados, uma nova barra de ferramentas e anúncios em sites sem relação entre si apontam para adware ou um sequestrador de navegador. Siga o processo de remoção e examine as extensões e os aplicativos instalados. Arquivos subitamente criptografados ou renomeados junto com pedidos de resgate exigem isolamento imediato da rede, pois o armazenamento compartilhado também pode ser afetado.

Uma página do navegador que anuncia “Seu PC está infectado! Ligue agora para o Suporte da Microsoft” é scareware. Mensagens autênticas de erro e aviso da Microsoft não fornecem um número de telefone de suporte. Feche a página; use o Gerenciador de Tarefas para fechar o navegador, se necessário. Não ligue nem instale a ferramenta oferecida. Execute as verificações adequadas depois.

Se o usuário já permitiu que um desconhecido se conectasse remotamente, trate o dispositivo como comprometido e altere as senhas expostas usando um dispositivo limpo. Registre o acesso remoto e siga o processo de escalonamento da organização. Uma página do navegador que alega uma infecção e um comprometimento confirmado exigem conclusões diferentes, mesmo quando começaram com o mesmo aviso.

Um processo estruturado de remoção controla a propagação, limpa o dispositivo e verifica se é seguro devolvê-lo. Siga as regras de escalonamento de segurança da organização em dispositivos gerenciados. A sequência padrão para estações de trabalho inclui tarefas da Restauração do Sistema em PCs Windows que a utilizam.

Investigue e depois coloque em quarentena

Registre os sintomas, o horário de início e as ações recentes do usuário. Verifique causas alternativas evidentes, como relógio incorreto ou disco cheio. Diante de sinais de ransomware ativo, desconecte rapidamente o dispositivo enquanto continua a investigação.

Quarentena significa separar o dispositivo afetado da rede: desconecte o cabo Ethernet e desative o Wi-Fi. Evite conectar unidades removíveis que possam levar a infecção para outros dispositivos. Identifique qualquer mídia usada para transferências para que seja verificada ou sanitizada depois. O isolamento limita a propagação e novas transferências de dados; ele não remove o malware já presente.

Remova pontos de restauração contaminados

Antes da limpeza, desative a Restauração do Sistema em um PC Windows que a utilize, conforme a política. Os pontos de restauração existentes são excluídos porque podem conter malware. A Restauração do Sistema registra estados selecionados do sistema; ela não é o serviço separado de backup dos dados do usuário. Registre essa ação para que a proteção possa ser restaurada no momento adequado.

Corrija o sistema com ferramentas atualizadas

1. Atualize o mecanismo e as definições do antimalware. Para um PC isolado, use um pacote de atualização confiável obtido em um dispositivo limpo e uma mídia de transferência aprovada.
2. Verifique e remova o malware usando um ambiente adequado. O Modo de Segurança inicia um conjunto limitado de componentes do Windows. Um ambiente de pré-instalação, uma mídia inicializável confiável ou o Defender Offline funciona fora da sessão normal infectada.
3. Examine entradas de inicialização, tarefas agendadas e extensões do navegador em busca de persistência, ou seja, configurações que reiniciam código indesejado.
4. Verifique novamente e teste os sintomas originais. Investigue uma infecção que volta em vez de tratar cada novo alerta como um evento sem relação.

Um rootkit pode se esconder de ferramentas executadas dentro do Windows normal. Uma verificação rápida sem ameaças detectadas, sozinha, não explica sinais persistentes.

Reinstale quando a confiança não puder ser restaurada

Se um rootkit, ransomware ou infecção recorrente não puder ser removido com segurança, apague os dados e reinstale a partir de uma fonte limpa do sistema operacional ou de uma imagem aprovada da empresa. Restaure os dados do usuário a partir de um backup verificado quanto a infecções. Um comprometimento do firmware também pode exigir recuperação do firmware aprovada pelo fabricante; reinstalar o Windows não substitui o firmware.

A reinstalação por imagem é um método de recuperação, mas o apagamento seguro continua necessário quando dados antigos precisam ser sanitizados. Mantenha backups íntegros separados do sistema infectado para que a cópia de recuperação não seja criptografada ou alterada junto com os arquivos em uso.

Restaure a proteção e conclua a entrega

Agende verificações regulares e instale atualizações do sistema operacional, dos aplicativos e das definições. Reative a Restauração do Sistema e crie um novo ponto de restauração limpo após a limpeza. Criá-lo cedo demais pode preservar a infecção novamente.

Se houver spyware, keylogger ou roubo de credenciais, altere as senhas afetadas usando um dispositivo limpo e cuide do acesso às contas. Ensine ao usuário a medida de prevenção relevante, como obter atualizações na página verdadeira do fornecedor em vez de uma janela pop-up. Documente no chamado os achados, o isolamento, as ferramentas, os resultados, a fonte de recuperação e as verificações finais antes de devolver o dispositivo.

A prevenção combina ferramentas que detectam diferentes etapas de um ataque. O antivírus verifica softwares, a filtragem de e-mail examina as mensagens recebidas, o firewall do dispositivo limita conexões e os usuários podem reconhecer solicitações suspeitas. Mantenha cada controle atualizado para que uma ameaça não detectada enfrente outra verificação.

Reconheça as funções das ferramentas

A detecção por assinatura compara padrões conhecidos de ameaças e precisa de atualizações de definições. A detecção heurística ou baseada em comportamento procura ações suspeitas, como a criptografia rápida de muitos documentos, incluindo ameaças sem uma assinatura de arquivo conhecida.

A detecção e resposta em endpoints (EDR) registra atividades nos dispositivos, detecta comportamentos suspeitos e oferece suporte a ações como o isolamento remoto. A detecção e resposta gerenciadas (MDR) fornece uma equipe externa para executar a detecção e a resposta. A detecção e resposta estendidas (XDR) conecta informações de endpoints, e-mail, redes e identidades na nuvem. São recursos e serviços relacionados, e não três nomes intercambiáveis para antivírus.

Um gateway de segurança de e-mail verifica spam, phishing, anexos e links antes da entrega, às vezes testando arquivos em um ambiente isolado. A filtragem pode deixar passar solicitações convincentes, especialmente fraudes de pagamento sem links. O treinamento dos usuários e a denúncia rápida continuam úteis.

Confie na origem do download e verifique o arquivo

Obtenha software do fornecedor ou de uma loja oficial de aplicativos. Uma janela pop-up que anuncia uma atualização do navegador não é um canal de distribuição confiável. Se um fornecedor publicar um hash SHA-256, calcule o hash do arquivo baixado no PowerShell:

Get-FileHash .\setup.exe -Algorithm SHA256

Como alternativa, use certutil -hashfile setup.exe SHA256. Compare todos os 64 caracteres hexadecimais com o valor obtido pelo canal confiável do fornecedor. Uma diferença significa que o arquivo é diferente ou está danificado: não o execute. Um hash correspondente de uma página controlada por um invasor apenas confirmaria a correspondência com aquela página, portanto a origem da referência importa.

Faça a manutenção do navegador

Mantenha as atualizações automáticas ativadas e reinicie o navegador quando necessário para concluí-las. Instale apenas as extensões necessárias de lojas oficiais e publicadores confiáveis. Examine as permissões solicitadas: “Ler e alterar todos os seus dados em todos os sites” concede amplo acesso. Remova extensões desconhecidas ou não utilizadas. As organizações podem controlar centralmente as configurações de extensões e recursos.

Mantenha o bloqueio de pop-ups ativado. Um bloqueador de anúncios aprovado também pode reduzir a exposição a anúncios maliciosos. Limpar o cache e os dados de navegação pode corrigir problemas de exibição e remover dados armazenados localmente em computadores compartilhados. Verifique as configurações de proxy quando redirecionamentos sem explicação sugerirem que o tráfego está sendo desviado.

O DNS seguro, geralmente DNS sobre HTTPS, criptografa consultas de nomes. Um provedor DNS com filtragem também pode bloquear domínios prejudiciais conhecidos. A criptografia da consulta e a filtragem da resposta são funções separadas.

Interprete indicadores de privacidade e conexão

O HTTPS com um certificado válido protege uma conexão com o domínio indicado; o proprietário ainda pode operar um site fraudulento. Um aviso de certificado pode indicar nome incorreto, certificado expirado, emissor não confiável ou interceptação. Investigue-o, especialmente antes de entrar em uma conta ou fazer um pagamento.

A navegação privada limita o histórico, os cookies e os dados de formulários mantidos localmente após o fechamento da sessão privada. Sites, empregadores, operadores de rede e provedores de internet ainda podem observar a atividade; downloads podem permanecer no disco. Ela não oferece proteção contra malware.

A sincronização do navegador pode copiar senhas, favoritos e histórico para outros dispositivos conectados. Proteja a conta de sincronização com MFA e evite a sincronização pessoal em computadores compartilhados ou públicos.