Antivírus de borda e controle de aplicação: o que a porta não conta

Antivírus na estação é necessário, mas chega tarde: quando ele age, o arquivo malicioso já está no disco do usuário. Antivírus na borda age antes — o arquivo é inspecionado enquanto trafega e nem chega a ser gravado. As duas camadas se somam, e é exatamente assim que devem ser tratadas.

Junto com o antivírus, o controle de aplicação resolve o outro lado do problema: não o arquivo perigoso, mas o programa que não deveria estar rodando na rede da empresa.

Antivírus na borda: como funciona

O FortiGate inspeciona arquivos em trânsito nos protocolos que você habilitar — HTTP, HTTPS, FTP, SMTP, POP3, IMAP e compartilhamentos SMB. A verificação acontece em camadas:

• Assinaturas — comparação com a base do FortiGuard, atualizada continuamente;
• Heurística — reconhecimento de características típicas de malware, mesmo sem assinatura exata;
• Sandbox — arquivos desconhecidos são executados em ambiente isolado para observar o comportamento antes de liberar;
• Inspeção de arquivos compactados, olhando dentro de ZIP e RAR até a profundidade configurada.

config antivirus profile
    edit "corporativo"
        set feature-set proxy
        config http
            set av-scan block
            set archive-block encrypted
            set outbreak-prevention block
        end
        config smtp
            set av-scan block
            set outbreak-prevention block
        end
        set analytics-db enable
    next
end

O archive-block encrypted merece destaque: ele bloqueia arquivos compactados protegidos por senha. É uma técnica antiga e ainda muito eficaz para burlar antivírus — se o inspetor não consegue abrir, não consegue examinar. Bloquear por padrão e liberar exceções pontuais é a postura correta.

Flow ou proxy: a escolha que muda o resultado

O FortiOS oferece dois modos de inspeção, e a diferença é relevante:

A recomendação prática: proxy para e-mail e para download de arquivos, onde a detecção importa mais que a velocidade; flow para o tráfego geral de navegação, onde a latência é percebida pelo usuário.

Controle de aplicação: o que a porta não conta

Bloquear porta parou de funcionar como estratégia. Praticamente toda aplicação moderna passa por 443, exatamente para atravessar firewalls. Torrent, VPN de terceiros, jogos, ferramentas de acesso remoto — tudo se disfarça de tráfego web comum.

O controle de aplicação identifica a aplicação pelo comportamento e pela assinatura do protocolo, independentemente da porta. Isso permite políticas que antes eram impossíveis:

• permitir o Google Drive corporativo e bloquear contas pessoais de armazenamento;
• liberar Teams e Zoom com prioridade, e limitar streaming de vídeo em horário comercial;
• bloquear ferramentas de acesso remoto não homologadas — vetor frequente de fraude e de suporte falso;
• impedir túneis e proxies que existem justamente para burlar a política de navegação;
• barrar mineração de criptomoeda, que costuma aparecer em máquina comprometida.

config application list
    edit "corporativo"
        set other-application-action pass
        config entries
            edit 1
                set category 2 6
                set action block
                set log enable
            next
            edit 2
                set application 15832
                set action block
            next
            edit 3
                set category 5
                set action pass
                set per-ip-shaper "limite-streaming"
            next
        end
    next
end

Note o terceiro bloco: em vez de bloquear streaming — o que gera atrito e reclamação —, aplica-se um limitador de banda por IP. O vídeo continua funcionando, mas deixa de competir com o sistema de gestão.

O ponto cego: HTTPS sem inspeção

Vale repetir porque é onde a maioria das implantações falha. Sem inspeção do tráfego criptografado, o antivírus de borda só enxerga o pouco que ainda trafega em claro, e o controle de aplicação fica limitado ao que consegue deduzir do certificado.

Com certificate inspection, dá para categorizar e bloquear por domínio. Só com deep inspection o antivírus realmente examina o arquivo baixado por HTTPS — que é, hoje, praticamente todo download.

Como isso conversa com o antivírus da estação

Não é redundância, é profundidade. Cada camada pega o que a outra não pega:

• a borda examina o que atravessa a rede, protege todos os dispositivos de uma vez e alcança até o que não tem agente instalado — impressora, câmera, celular de visitante;
• a estação examina o que chega por pen drive, o que já está no disco e o que roda em memória. E continua protegendo o notebook quando ele sai da empresa.

Empresa que confia só na borda fica exposta ao notebook que trabalha em casa. Empresa que confia só na estação deixa passar tudo o que atinge dispositivos sem agente.

Comece pelo que já existe

Antes de escrever qualquer regra, deixe o controle de aplicação em modo de monitoramento por duas semanas e leia o relatório. Ele quase sempre revela coisas que ninguém imaginava: uma ferramenta de acesso remoto instalada em cinco máquinas, um cliente de torrent ativo, um serviço de armazenamento pessoal sincronizando pastas da empresa.

Essa lista, discutida com a diretoria, é o que define a política — em vez de um bloqueio genérico que gera atrito e acaba sendo desligado. O ajuste é o mesmo recomendado para o IPS: observar, revisar, bloquear por etapas.

A TRIAT implanta antivírus de borda e controle de aplicação Fortinet com esse processo, incluindo a distribuição do certificado e a construção das exceções antes de qualquer bloqueio entrar em vigor.