Sumário

Aula prática que retoma os conceitos da aula 09 e prepara para a aula 11 (pragas virtuais). Aqui você domina backup (tipos, estratégia 3-2-1, RPO/RTO) e antivírus (assinatura, heurística, comportamento, EDR/XDR). É a defesa concreta contra ransomware e perda de dados.

1. Conceitos de backup e RPO/RTO

   Por que backup é inegociável. Indicadores de continuidade
   p. 04
2. Tipos de backup

   Completo, incremental, diferencial, sintético, espelhado, snapshot
   p. 08
3. Estratégia 3-2-1 e mídias

   3 cópias, 2 mídias, 1 offsite. HDD, fita LTO, óptico, nuvem
   p. 12
4. Backup no Windows e Linux

   Histórico de arquivos, imagem, rsync, tar, Bacula, Restic, Borg
   p. 16
5. Antivírus: como funciona

   Assinatura, heurística, comportamento, machine learning
   p. 20
6. Soluções e EDR/XDR

   Microsoft Defender, Kaspersky, Bitdefender, ESET. Evolução para EDR
   p. 24
7. Operação: varredura, quarentena, atualização

   Tipos de scan, falsos positivos, listas, atualização de motor
   p. 27
8. Mapa mental, revisão e questões comentadas

   10 questões fechando a aula
   p. 31

Meta desta aula

Distinguir os 5 tipos de backup. Operar a estratégia 3-2-1. Compreender RPO × RTO. Conhecer mídias e ferramentas (Windows, Linux, nuvem). Distinguir antivírus por método (assinatura, heurística, comportamento, IA). Evolução para EDR/XDR.

O que você vai aprender

Dica do Fuffu

Em prova, três pontos rendem 60%: 1) os 3 tipos clássicos de backup (completo, incremental, diferencial) e suas relações de tempo de backup × tempo de restore; 2) estratégia 3-2-1; 3) métodos de detecção de antivírus (assinatura, heurística, comportamento). Decora esses 3 e fica bem.

Prof. Affonsinho explica, Módulo 01

1 Por que backup importa

Definição

O backup é a cópia de segurança de dados, mantida em local distinto do original, com o propósito de permitir restauração após:

• Falha de hardware (HDD/SSD com defeito).
• Erro humano (deleção acidental, sobrescrita).
• Ataque de malware (especialmente ransomware, que cripta dados).
• Corrupção de software (falha de aplicação, banco de dados).
• Desastre físico (incêndio, enchente, roubo, queda de raio).
• Ataque malicioso interno (insider).

Pilar da CIA Triad

Backup é o controle corretivo que protege diretamente a disponibilidade (D da CIA). Sem backup, qualquer perda de dado vira incidente catastrófico.

RPO - Recovery Point Objective

O RPO é a quantidade máxima de dados (medida em tempo) que a organização aceita perder em caso de incidente. É o intervalo entre o último backup e o momento da falha.

• RPO de 24h: backup uma vez ao dia. Em pior caso, perde-se 23h59 de dados.
• RPO de 1h: backup horário. Pior caso: 59 min.
• RPO de 0 (ou quase): replicação contínua, CDP (Continuous Data Protection).

Quanto menor o RPO, mais frequente o backup, e mais caro o custo. Bancos exigem RPO próximo de zero; um arquivo pessoal aceita RPO de 24h ou mais.

RTO - Recovery Time Objective

O RTO é o tempo máximo que a organização aceita ficar com o serviço indisponível antes de retomar a operação.

• RTO de 24h: aceito ficar um dia parado enquanto restauro.
• RTO de 1h: o serviço deve voltar em 1h.
• RTO próximo de 0: alta disponibilidade ativa-ativa, failover automático.

RTO baixo exige infraestrutura redundante, testes frequentes e automação. Aplicações críticas (sistemas financeiros, hospitalares) exigem RTO de minutos.

RPO + RTO: visão integrada

Imagine um banco com RPO = 5 min e RTO = 1h. Significa: pode-se perder até 5 min de transações; o sistema deve voltar em até 1h.

Para alcançar isso: replicação contínua de banco de dados (RPO baixo) + servidor de contingência pronto + automação de failover (RTO baixo). Custa caro, mas é necessário em sistemas críticos.

MTBF, MTTR, MTPD

• MTBF (Mean Time Between Failures): tempo médio entre falhas. Indica confiabilidade do equipamento.
• MTTR (Mean Time To Repair/Recovery): tempo médio para reparo. Indica eficiência operacional.
• MTPD (Maximum Tolerable Period of Disruption): período máximo tolerável de interrupção. Definido em plano de continuidade.

Plano de Continuidade de Negócios e DRP

Backup é uma peça do BCP (Business Continuity Plan, Plano de Continuidade de Negócios) e do DRP (Disaster Recovery Plan, Plano de Recuperação de Desastres):

• BCP: estratégia ampla para manter a operação durante e após eventos disruptivos.
• DRP: foco em recuperação técnica de TI após desastre.

Normas: ABNT NBR ISO 22301 (continuidade de negócios), ABNT NBR ISO/IEC 27031 (continuidade dos serviços de TI), ABNT NBR ISO/IEC 27035 (gestão de incidentes).

Boas práticas iniciais

1. Identificar os ativos críticos (priorizar).
2. Definir RPO e RTO para cada ativo.
3. Escolher tipos de backup adequados (completo, incremental, diferencial).
4. Selecionar mídias e armazenamento (3-2-1).
5. Automatizar a execução (sem depender de operador humano).
6. Testar restore periodicamente. Backup que nunca foi testado não é backup, é desejo.
7. Documentar procedimentos.
8. Monitorar logs e alertas de falha.
9. Proteger backups contra ransomware (imutabilidade, ar-gap).

Bate-papo com o Seu Teoffilo

Em prova federal, RPO e RTO são cobrados sempre. Mnemônico: RPO mede o passado (quanto dado vou perder); RTO mede o futuro (quanto tempo até voltar). RPO = ponto no tempo (point in time); RTO = duração da paralisação. Decora esse mnemônico e não confunde.

Prof. Affonsinho explica, Módulo 02

2 Os 5 tipos de backup

Backup Completo (Full)

Cópia integral de todos os dados selecionados. É a base. Características:

• Mais lento de fazer.
• Ocupa mais espaço.
• Mais simples de restaurar (basta um único arquivo de backup).
• Marca todos os arquivos como "feito o backup" (limpa o flag de archive).

Backup Incremental

Copia apenas o que foi alterado desde o último backup de qualquer tipo (completo ou incremental). Características:

• Mais rápido de fazer.
• Ocupa pouco espaço.
• Mais lento de restaurar: precisa do último completo + todos os incrementais sequenciais até o ponto desejado.
• Marca arquivos como "feito o backup".
• Sequência típica: dom (full) - seg (inc1) - ter (inc2) - qua (inc3) - qui (inc4) - sex (inc5) - sáb (full).

Backup Diferencial

Copia o que foi alterado desde o último backup completo. Características:

• Velocidade intermediária (cresce ao longo da semana, pois acumula).
• Ocupa espaço intermediário (cresce diariamente).
• Restauração rápida: precisa só do último completo + último diferencial.
• NÃO marca arquivos como "feito o backup" (mantém o flag para o próximo diferencial).
• Sequência típica: dom (full) - seg (dif: alterações desde dom) - ter (dif: alterações desde dom) - ... - sáb (dif: tudo desde dom; quase tão grande quanto o full).

Comparativo dos 3 tipos clássicos

Backup Sintético (Synthetic Full)

O completo sintético é um backup completo construído sem precisar copiar todos os dados originais novamente. O software combina o último completo + os incrementais subsequentes em um novo "completo virtual". Vantagens:

• Reduz o tempo do completo periódico.
• Não sobrecarrega a fonte de dados.
• Restauração rápida (mesmo benefício do completo).

Comum em soluções modernas (Veeam, Commvault, Acronis).

Backup Espelhado (Mirror)

Cópia exata e em tempo real dos dados. Características:

• Reflete o estado atual da fonte (sem versionamento).
• Se algo é deletado na origem, é deletado no espelho.
• Não protege contra deleção acidental ou ransomware: a alteração se replica.
• Útil para alta disponibilidade, não para proteção contra erro/ataque.
• RAID 1 é uma forma de espelhamento em nível de hardware (não é backup).

Snapshot

O snapshot é uma "fotografia" do estado de um sistema em um instante. Pode ser feito em filesystem (ZFS, Btrfs, NTFS Shadow Copies, APFS) ou em armazenamento (NetApp, ESXi). Características:

• Quase instantâneo (copy-on-write).
• Ocupa pouco espaço inicial; cresce com mudanças.
• Ótimo para rollback rápido.
• Não substitui backup: snapshot fica no mesmo armazenamento; se o disco morre, o snapshot vai junto.

CDP - Continuous Data Protection

Replicação contínua, em tempo real ou quase. Cada gravação é registrada. Permite restaurar a qualquer ponto no tempo (RPO próximo de zero). Caro, complexo, usado em transações financeiras e bancos de dados críticos.

Backup quente, frio, online, offline

• Backup quente (hot): feito com sistema em uso (banco de dados rodando). Exige consistência via mecanismos como snapshot, journaling.
• Backup frio (cold): feito com sistema parado. Mais simples, mas exige downtime.
• Backup morno (warm): sistema em modo restrito.
• Online: armazenamento sempre acessível (NAS, nuvem). Vulnerável a ransomware.
• Offline / ar-gap: mídia desconectada após backup. Imune a ransomware. Padrão de segurança máxima.

Pegadinha da Dotôra Soffya

Memorize a relação chave: incremental rápido de backup, lento de restore; diferencial intermediário em backup, rápido em restore. Outra: RAID e espelhamento NÃO são backup: replicam falha (deletei aqui, deletou lá; ransomware aqui, ransomware lá). Backup precisa de versionamento e isolamento.

Prof. Affonsinho explica, Módulo 03

3 Estratégia e mídias

A regra 3-2-1

Padrão consagrado pelo US-CERT (CISA) e adotado mundialmente:

• 3 cópias dos dados (1 original + 2 backups).
• 2 mídias diferentes (HDD + nuvem; SSD + fita; etc.).
• 1 cópia offsite (em local físico distinto, para proteger contra desastre local).

Versão moderna: 3-2-1-1-0

Em 2020+, a indústria refinou para enfrentar ransomware:

• 3 cópias.
• 2 mídias diferentes.
• 1 offsite.
• 1 imutável ou ar-gap (não pode ser alterada/apagada por malware).
• 0 erros em testes de restore (validação periódica obrigatória).

Mídias de backup

Fita LTO em detalhe

A fita LTO é o padrão para arquivamento de longo prazo. Gerações:

• LTO-1 (2000): 100 GB nativo.
• LTO-5 (2010): 1,5 TB.
• LTO-7 (2015): 6 TB.
• LTO-8 (2017): 12 TB.
• LTO-9 (2021): 18 TB nativo, 45 TB comprimido.
• LTO-10 (planejado 2025-2026): 36 TB nativo.

Fita é usada em data centers, bibliotecas digitais, conformidade regulatória. Imune a ransomware quando offline. Continua viva em 2026.

Imutabilidade (WORM)

WORM (Write Once Read Many) significa que, depois de gravado, o conteúdo não pode ser alterado nem apagado por um período definido. Implementado em:

• S3 Object Lock (AWS): bloqueia exclusão até data definida.
• Mídias ópticas: BD-R, M-DISC.
• Fita: WORM tape.
• Storage corporativo: NetApp SnapLock, Dell PowerScale SmartLock.

Imutabilidade é a defesa mais forte contra ransomware: mesmo que o invasor tenha credenciais de admin, não consegue apagar o backup.

Air-gap

O ar-gap é a separação física da mídia de backup da rede. Uma fita guardada em cofre, um HD externo armazenado em outra sala. Imune a ataques remotos. Padrão "ouro" de proteção, mas exige rotação manual.

Onsite × Offsite × Cloud

• Onsite: no mesmo prédio. Rápido para restaurar, vulnerável a desastre local.
• Offsite: em local físico distinto. Pode ser outra filial, casa de funcionário, cofre bancário, data center secundário.
• Cloud: nuvem pública. Forma moderna de offsite, com SLA do provedor.

Frequência de backup

• Contínuo: CDP, replicação em tempo real.
• Horário: para sistemas transacionais.
• Diário: padrão corporativo.
• Semanal: completo aos domingos, incremental ou diferencial nos dias úteis.
• Mensal/Trimestral: arquivamento de longo prazo.
• Anual: para conformidade regulatória.

O esquema clássico GFS (Grandfather-Father-Son) combina: backup completo mensal (avô), semanal (pai), diário (filho). Garante várias gerações de restauração.

Retenção

Quanto tempo manter cada backup? Política depende de:

• Conformidade regulatória (Marco Civil: 1 ano para conexão; LGPD; receita federal: 5 anos para fiscal).
• Necessidade do negócio.
• Custo de armazenamento.

Política comum: diários por 1 mês, semanais por 6 meses, mensais por 5-10 anos, anuais por 30+ anos.

Alerta do Examinador

Decore o 3-2-1 como mantra: 3 cópias, 2 mídias, 1 offsite. Banca cobra essa numerologia em quase toda prova de informática. E a versão 3-2-1-1-0 (acrescenta imutável + 0 erros) é tendência atual contra ransomware. Se aparecer "3-2-1-1-0", está atualizado para 2026.

Prof. Affonsinho explica, Módulo 04

4 Ferramentas práticas

Backup nativo do Windows

• Histórico de Arquivos (File History): a partir do Windows 8. Backup periódico de pastas selecionadas (Documentos, Imagens, etc.) para drive externo. Versionamento automático.
• Imagem do Sistema (System Image Backup): imagem completa do disco. Permite restaurar máquina inteira. Acessível via Configurações > Sistema > Recuperação ou Painel de Controle clássico.
• Ponto de Restauração (System Restore): snapshot dos arquivos do sistema. Não é backup de dados; reverte configurações.
• Backup do Windows (novo, Win 11 23H2+): backup integrado a OneDrive de configurações, apps, credenciais.
• Cópias de Sombra (Shadow Copies / VSS): snapshots de versões anteriores de arquivos. Acessível no menu de propriedades de pasta. Server-grade.
• wbadmin: ferramenta de linha de comando.
• robocopy: copiador robusto, usado em scripts de backup. Suporta múltiplos modos (espelhamento, incremental, multi-thread).

Backup nativo do Linux

• tar: arquivamento clássico. tar -czf backup.tar.gz /home compacta home com gzip.
• rsync: cópia incremental eficiente, local ou remota via SSH. rsync -avz --delete /origem/ user@host:/destino/ espelha pasta. Usa delta encoding (só envia o que mudou).
• dd: cópia bit-a-bit, para imagem de disco. Usar com cuidado.
• cpio: arquivamento alternativo ao tar.
• cron: agendador para automação.
• btrfs/zfs send: snapshots e replicação nativos do filesystem.
• LVM snapshots: para imagens consistentes em sistemas com LVM.

Ferramentas de terceiros (multiplataforma)

• Veeam: padrão corporativo Windows/VMware. Backup, replicação, DR.
• Acronis Cyber Protect: backup + segurança integrados.
• Commvault: enterprise.
• Bacula / Bareos: open source enterprise.
• Restic: open source moderno, criptografia integrada, dedup, multiplataforma.
• BorgBackup: open source com criptografia, dedup, compressão.
• Duplicati: open source, foco em nuvem.
• Time Machine: nativo do macOS.
• Cobian Backup, Macrium Reflect, EaseUS Todo Backup: para Windows.

Backup em nuvem

Hoje (2026) o backup em nuvem é padrão para muitos cenários. Provedores e serviços:

• AWS S3: object storage. S3 Glacier e Deep Archive: arquivamento longo prazo, custo muito baixo, recuperação lenta.
• Azure Blob Storage + Cool/Archive tiers.
• Google Cloud Storage + Coldline/Archive.
• Backblaze B2: alternativa barata para object storage.
• Wasabi: object storage de baixo custo.
• OneDrive, Google Drive, Dropbox, iCloud: para usuário final (mas note que sincronização ≠ backup).
• Azure Backup, AWS Backup, Google Backup and DR: serviços gerenciados de backup.

Cuidados em nuvem

• Criptografia: dados em trânsito (TLS) e em repouso (server-side encryption).
• Imutabilidade: object lock (S3, Azure Immutable Blob) para proteção contra ransomware.
• Versionamento: ative.
• Geo-redundância: cópias em múltiplas regiões.
• MFA na conta do provedor.
• IAM (Identity and Access Management): privilégios mínimos para usuários.
• Logs e alertas de operações de exclusão.

Sincronização versus backup

Atenção em prova: OneDrive, Google Drive, Dropbox são serviços de sincronização, não de backup. Características da sincronização:

• Mantém origem e destino iguais.
• Se você deleta no PC, deleta na nuvem (após retenção curta na lixeira).
• Versionamento limitado (geralmente 30 dias).
• Não atende a estratégia 3-2-1 sozinho.

Para uso doméstico até dá; para corporativo, é insuficiente. Sempre combine com backup tradicional.

Teste de restore: a parte que ninguém faz

Backup que nunca foi restaurado é apenas potencial backup. A maioria das organizações descobre problema só na hora do desastre. Política mínima:

• Restore de amostra mensal.
• Simulação de desastre trimestral.
• Documentação atualizada.
• Treinamento da equipe.

Dica do Raffinha

Em prova, banca diferencia sincronização (OneDrive, Drive, Dropbox) de backup (versionado, isolado, restaurável a um ponto no tempo). Sincronização replica deleções; backup permite voltar. Para concursos, decore: OneDrive sozinho não cumpre 3-2-1.

Prof. Affonsinho explica, Módulo 05

5 Como o antivírus pega malware

O que é antivírus

O antivírus (AV) é software que detecta, neutraliza e remove malware (vírus, worm, trojan, ransomware, spyware, rootkit, adware). Inicialmente focado em vírus de arquivo (anos 1980), hoje é mais amplo (anti-malware). Em prova, "antivírus" cobre toda a categoria.

Componentes típicos de um antivírus

• Motor de varredura (scan engine): lê arquivos e compara com padrões/regras.
• Base de assinaturas: catálogo de hashes/regras de malware conhecido.
• Módulo de heurística: analisa estrutura e comportamento.
• Monitor em tempo real: hook em operações de arquivo, processo, rede.
• Quarentena: armazenamento isolado de arquivos suspeitos.
• Atualizador: baixa novas assinaturas e atualizações do motor.
• Console de gerência: interface de configuração e relatório.
• Telemetria: envia dados ao fabricante (cloud-based detection).

Métodos de detecção

Antivírus modernos combinam vários métodos. Os principais:

1. Detecção por assinatura (signature-based): a forma clássica. O motor compara o hash ou padrão de byte do arquivo com uma base de assinaturas conhecidas. Se bate, é malware. Vantagens: rápido, baixo falso positivo. Desvantagens: só pega malware conhecido; ineficaz contra zero-day e variantes.
2. Heurística (heuristic-based): regras inteligentes. Analisa código suspeito (uso de chamadas perigosas, código ofuscado, padrões de propagação). Detecta variantes e malware não catalogado. Mais falsos positivos.
3. Análise de comportamento (behavior-based): monitora ações em execução. Se um processo tenta cifrar massivamente arquivos, lê senhas, escreve no setor de boot ou se replica via rede, é alertado. Eficaz contra ransomware e rootkits.
4. Sandbox: executa o arquivo em ambiente isolado (VM ou container) e observa comportamento antes de liberar. Usado em soluções avançadas.
5. Reputação (cloud-based): cruza informação com nuvem do fabricante. Se um arquivo é raro globalmente e veio de origem suspeita, é tratado com mais cautela.
6. Machine Learning / IA: modelos treinados com milhões de amostras detectam anomalias. Tendência atual (Microsoft Defender, CrowdStrike, SentinelOne).
7. Análise estática: examina o arquivo sem executar (cabeçalhos PE, strings, imports).
8. Análise dinâmica: executa em sandbox.

Tabela de comparação

Falsos positivos × falsos negativos

• Falso positivo: AV identifica como malware um arquivo legítimo. Solução: liberar (whitelist), reportar ao fabricante.
• Falso negativo: AV deixa passar um malware real. Pior cenário. Solução: combinar métodos, atualizar, monitorar comportamento.

Antivírus de boot e disco

• Antivírus de boot: roda antes do SO (a partir de pen drive ou ISO), permite limpar malware que tomou o sistema.
• Discos de resgate: Kaspersky Rescue Disk, Bitdefender Rescue CD, Microsoft Defender Offline.

Limitações dos antivírus

• Não substitui boas práticas (não abrir anexo suspeito, não clicar em link estranho, MFA, atualização).
• Não protege contra engenharia social.
• Pode ser desabilitado por malware com privilégios altos.
• Pode gerar falso positivo em software legítimo (ferramentas de pentest, software corporativo customizado).
• Consome recursos (CPU, RAM, disco).
• Sozinho, é insuficiente em ambientes corporativos: precisa de EDR, SIEM, política, treinamento.

Bate-papo com o Seu Teoffilo

Em prova, banca cobra os 3 métodos clássicos de detecção: assinatura (conhecido), heurística (regras), comportamento (em execução). E a evolução: machine learning. Decora os 4. E lembra: assinatura sozinha é insuficiente em 2026; precisa combinar com heurística e comportamento. Cloud-based threat intelligence é o padrão atual.

Prof. Affonsinho explica, Módulo 06

6 Soluções no mercado

Antivírus para Windows

• Microsoft Defender (Windows Defender, agora Microsoft Defender Antivirus): integrado ao Windows desde o Win 7 (Microsoft Security Essentials separado) e Win 8 (integrado de fato). Em 2026, é uma das melhores soluções gratuitas e padrão do Windows 11.
• Bitdefender: consistentemente bem avaliado (AV-TEST, AV-Comparatives).
• Kaspersky: russo, alta reputação técnica. Banido em órgãos do governo dos EUA e parte da Europa por questões geopolíticas.
• ESET NOD32: leve, eslovaco.
• Norton (Symantec): tradicional.
• McAfee: tradicional.
• Trend Micro: japonês, forte em corporate.
• AVG / Avast: foram populares em gratuito; em 2024-2025 acumularam controvérsias sobre venda de dados.
• Sophos: forte em corporate.
• F-Secure: finlandês.

Para macOS

O macOS tem proteção integrada (XProtect, Gatekeeper, Notarization). Antivírus de terceiros são usados em corporativo. Bitdefender, Sophos, Kaspersky, ESET para Mac.

Para Linux

Linux tem menos malware direcionado, mas servidores Linux são alvos. Soluções: ClamAV (open source, comum em servidores de e-mail para escanear anexos), Sophos for Linux, ESET, McAfee.

Para mobile

• Android: Google Play Protect integrado; Bitdefender, Kaspersky, Avast Mobile Security disponíveis.
• iOS: a Apple restringe o que apps podem fazer; "antivírus" para iOS é mais privacy/firewall do que detecção tradicional.

EDR - Endpoint Detection and Response

O EDR é a evolução natural do antivírus. Surgiu por volta de 2013 (Anton Chuvakin, Gartner). Diferenças do antivírus tradicional:

• Coleta contínua de telemetria do endpoint (processos, arquivos, rede, registro, drivers).
• Análise comportamental avançada com ML.
• Histórico forense: você pode investigar o que aconteceu nas últimas semanas.
• Resposta integrada: isolar host, matar processo, deletar arquivo, deletar entrada de registro.
• Threat hunting: caça ativa por sinais de comprometimento.
• Integração com SIEM e SOC.

Soluções EDR: CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint, Carbon Black, Symantec/Broadcom EDR, Sophos Intercept X, Kaspersky EDR.

XDR - Extended Detection and Response

O XDR estende o EDR para múltiplos vetores: rede, e-mail, identidade, nuvem. Correlaciona eventos entre essas fontes, oferecendo visão unificada.

Componentes típicos:

• EDR em endpoints.
• NDR (Network Detection and Response) em rede.
• Cloud Detection em recursos cloud.
• Identity Detection em sistemas de identidade (Active Directory, Azure AD).
• Email Security: análise de anexos, links, headers.

Vendors: Microsoft Defender XDR, Palo Alto Cortex XDR, CrowdStrike Falcon XDR, Trend Micro Vision One, SentinelOne Singularity XDR.

MDR - Managed Detection and Response

Quando a organização não tem time interno, contrata-se serviço gerenciado de detecção e resposta. Provedores monitoram 24/7 e respondem a incidentes.

Camada de segurança em ambiente corporativo

Pilha típica em 2026:

1. Antivírus / EPP (Endpoint Protection Platform): proteção tradicional + ML em endpoint.
2. EDR/XDR: telemetria + resposta.
3. SIEM: agregação e correlação de logs.
4. SOAR: orquestração e automação.
5. Firewall e WAF.
6. DLP: proteção contra vazamento.
7. CASB: controle de cloud.
8. NAC: controle de acesso à rede.
9. Sandbox: detonação segura.
10. Threat Intelligence: informações sobre adversários.

Microsoft Defender no Windows 11

O Microsoft Defender é gratuito, integrado e em 2026 figura entre os melhores em testes independentes (AV-TEST). Recursos:

• Antivírus em tempo real.
• Firewall integrado.
• Proteção contra ransomware (Acesso Controlado a Pastas).
• SmartScreen (filtragem de URL/arquivo).
• Application Guard (sandbox para Office, Edge).
• Device Guard, Credential Guard.
• Exploit Protection.
• Versão paga (Defender for Endpoint, antes Defender ATP) tem EDR completo.

Pegadinha da Dotôra Soffya

Banca pode tentar te confundir: antivírus protege endpoint (computador, notebook); firewall filtra tráfego de rede. IDS/IPS detecta intrusão na rede; EDR detecta no endpoint. XDR integra tudo. Mantenha as funções de cada um separadas.

Prof. Affonsinho explica, Módulo 07

7 Operando o antivírus

Tipos de varredura (scan)

• Em tempo real (on-access): o antivírus monitora continuamente. Cada arquivo aberto, gravado ou executado é checado. Recurso essencial.
• Sob demanda (on-demand): o usuário inicia. Pode escolher pasta, arquivo, drive.
• Agendada: roda em horário pré-definido (ex: madrugada).
• Rápida: verifica áreas críticas (memória, processos em execução, áreas de boot, registro). Demora minutos.
• Completa / Profunda: todo o disco. Demora horas.
• Personalizada: você escolhe o que escanear.
• Inicial / Boot: na inicialização do sistema.
• De memória: somente o que está em RAM.

Quarentena

Ao detectar um arquivo malicioso, o antivírus tem três ações possíveis:

• Limpar/Desinfetar: remove o código malicioso, mantém o arquivo.
• Quarentena: move para área isolada, criptografada. Não executa, não dá acesso, mas pode ser restaurado se for falso positivo.
• Excluir: deleta o arquivo permanentemente.

A quarentena é a opção padrão e mais segura: permite recuperar arquivo legítimo erroneamente identificado. Configurável: alguns AVs deixam tempo de retenção (30 dias, 90 dias).

Listas branca, negra, exceções

• Lista branca (allowlist/whitelist): o que é permitido. Útil para liberar software corporativo customizado.
• Lista negra (blocklist/blacklist): o que é bloqueado.
• Exceções/exclusões: pastas/arquivos não verificados (uso com cuidado, vira ponto cego).

Atualização: motor + assinaturas

Antivírus precisa de duas atualizações:

• Motor (engine): atualização do software em si. Algumas vezes por mês ou ano. Adiciona métodos novos de detecção.
• Base de assinaturas (definitions): catálogo de malware conhecido. Atualizado várias vezes ao dia. Sem atualização recente, o antivírus fica cego para malware novo.

Recomendação: atualização automática, sem intervenção do usuário. Em ambiente corporativo: servidor central distribui atualizações para reduzir banda.

Configuração de exclusões: cuidados

Excluir pastas do scan acelera o sistema, mas cria pontos cegos. Atacantes sabem disso. Recomendações:

• Só excluir o estritamente necessário (ex: pastas de banco de dados, máquinas virtuais).
• Documentar o motivo.
• Revisar periodicamente.
• Não excluir pastas comuns (Downloads, Documentos, Desktop).

Política de senha forte para configuração do AV

Em ambiente corporativo, configurações do antivírus devem ser bloqueadas por senha de admin para evitar que usuário (ou malware com privilégios baixos) desabilite a proteção. Padrão em soluções enterprise.

Segurança do próprio antivírus

O AV é alvo prioritário de atacantes. Padrões modernos:

• Self-protection: o processo do AV não pode ser morto, modificado, ou desabilitado por código não autorizado.
• Atualização assinada: pacotes verificados criptograficamente.
• Comunicação criptografada com servidor central.
• Logs imutáveis: histórico não pode ser apagado por usuário.
• Tamper protection (Microsoft Defender): impede mudanças não autorizadas.

Boas práticas para o usuário

1. Mantenha apenas um antivírus ativo (dois disputam recursos, conflitam).
2. Atualize automaticamente.
3. Realize varredura completa pelo menos uma vez por mês.
4. Não desabilite mesmo "para instalar um software". Isso é vetor de malware.
5. Combine com backup (3-2-1).
6. Combine com MFA em contas críticas.
7. Atualize sistema operacional e aplicativos regularmente (Windows Update, atualizações Linux).
8. Cuidado com e-mails, links, anexos, USB de origem desconhecida.
9. Use conta de usuário comum para tarefas do dia a dia, admin só para instalar.
10. Habilite firewall do sistema operacional.

Boas práticas em ambiente corporativo

• Solução EDR/XDR centralizada com console de gerência.
• Implementação por GPO (Active Directory).
• Atualizações via servidor interno (WSUS, SCCM).
• Patch management (correção de vulnerabilidades).
• Segregação de redes (VLANs).
• Treinamento contínuo (phishing, engenharia social).
• Política de uso aceitável.
• Plano de resposta a incidentes.
• Backup robusto (3-2-1-1-0).
• Auditorias regulares.

Coach Jeff manda a real

Em prova federal, lembra de duas regras práticas. Primeira: nunca dois antivírus rodando no mesmo sistema (conflitam). Segunda: backup é o último recurso contra ransomware: se AV e EDR falharem, backup salva a operação. Por isso 3-2-1-1-0 com cópia imutável é essencial em 2026.

! Encontro com o vilão

O Professor de Cursinho é o vilão desta aula. Ensina a tese boa em sala mas repete material de 2015. Em informática, ele jura que SHA-1 ainda é seguro (errado), que sincronização em nuvem é backup (errado), que basta o antivírus para se proteger (errado), que existe diferença entre incremental e diferencial só na ordem dos arquivos (errado, é nas relações de tempo). Ele acha que detecção por assinatura é suficiente, ignora EDR e XDR.

O vilão da aula: Professor de Cursinho

Ele troca incremental × diferencial, sincronização × backup, antivírus × EDR, RPO × RTO, completo × espelhado. Atenção redobrada nas questões.

Como derrotar o Professor:

1. Memorize: incremental rápido p/ backup, lento p/ restore (precisa full + todos inc); diferencial intermediário (precisa só full + último dif).
2. Memorize: 3-2-1 (3 cópias, 2 mídias, 1 offsite); 3-2-1-1-0 versão moderna (+ imutável + 0 erros).
3. Memorize: RPO = passado (perda de dado); RTO = futuro (tempo de retomada).
4. Memorize: sincronização ≠ backup; OneDrive sozinho não cumpre 3-2-1.
5. Memorize: 3 métodos clássicos de detecção (assinatura, heurística, comportamento) + ML moderno.
6. Memorize: EDR/XDR são evolução do antivírus tradicional, com telemetria e resposta.

◆ Mapa mental

↻ Revisão relâmpago

5 minutos antes da prova, leia só isto.

1. Backup: cópia para restauração após perda. Pilar da Disponibilidade (CIA).
2. RPO: ponto no passado, quanto dado se aceita perder. RTO: tempo no futuro, quanto tempo de paralisação se aceita.
3. Backup completo: tudo, lento de fazer, rápido de restaurar (1 arquivo).
4. Backup incremental: alterado desde o último (qualquer tipo). Rápido de fazer, lento de restaurar (full + todos inc).
5. Backup diferencial: alterado desde o último completo. Intermediário, restaurar = full + último dif.
6. Sintético: completo construído de incrementais. Espelhado: cópia exata, sem versão.
7. Snapshot: foto instantânea, no mesmo storage. Não substitui backup.
8. CDP: contínuo, RPO próximo de zero.
9. Estratégia 3-2-1: 3 cópias, 2 mídias diferentes, 1 offsite. 3-2-1-1-0: + imutável + 0 erros (atual).
10. Mídias: HDD, SSD, NAS, fita LTO (offline natural), óptico WORM, nuvem.
11. Imutabilidade: WORM, S3 Object Lock, M-DISC. Defesa contra ransomware.
12. Air-gap: mídia desconectada da rede.
13. Sincronização ≠ Backup: OneDrive, Drive, Dropbox sincronizam (replicam deleção). Não bastam para 3-2-1.
14. Frequência: contínuo (CDP), horário, diário, semanal, mensal. GFS = Grandfather-Father-Son.
15. Backup quente, frio, online, offline: estado da fonte e da mídia.
16. Teste de restore: backup nunca testado é desejo, não backup.
17. Antivírus: detecta, neutraliza, remove malware. Pilar do EPP.
18. Métodos: assinatura (hash conhecido), heurística (regras), comportamento (em execução), ML/IA, sandbox, cloud reputation.
19. Falso positivo: legítimo classificado como malware. Falso negativo: malware passa despercebido.
20. Atualização: motor (mensal) + assinaturas (várias por dia).
21. Tipos de scan: tempo real, sob demanda, agendada, rápida, completa, boot.
22. Quarentena: isolamento. Exclusão: deleção definitiva. Limpeza: remove código malicioso.
23. EDR: evolução com telemetria, histórico, resposta. XDR: estende para rede, e-mail, identidade, cloud.
24. Microsoft Defender: integrado ao Windows 11; entre os melhores em 2026. Bitdefender, Kaspersky, ESET, Norton, Trend Micro.
25. Boas práticas: 1 antivírus, atualização auto, scan completo mensal, não desabilitar, conta sem privilégio, MFA, backup robusto.

Você está pronto

25 pontos densos sobre backup e antivírus. Bora para as questões.

? 10 questões comentadas

Foco em tipos de backup, 3-2-1, RPO/RTO, sincronização × backup, métodos de antivírus, EDR/XDR.

Dica do Fuffu

Decora primeiro incremental × diferencial: ambos copiam só o alterado, mas o incremental conta desde o último backup (qualquer tipo); o diferencial conta desde o último completo. Restore: incremental precisa do full + todos os incrementais; diferencial precisa só do full + último diferencial. É o ponto que mais cai.