Antivírus tradicional protege o que roda no dispositivo. A maior parte dos ataques ao Microsoft 365 acontece em SharePoint, Teams, Exchange Online e Entra ID, camadas onde o antivírus de endpoint não tem presença. A pergunta certa é se ele está posicionado para ver o ataque, não se detecta bem.
Essa pergunta já foi respondida várias vezes, inclusive aqui no blog da InfoB, do ângulo “antivírus sozinho não basta mais”. Esse argumento é verdadeiro e continua valendo, mas responde à pergunta errada para quem já sabe disso e quer o próximo nível de detalhe: não onde o antivírus é fraco, e sim onde ele simplesmente não está presente. Este artigo mapeia isso camada por camada do Microsoft 365, sem repetir a comparação entre antivírus e EDR já detalhada no artigo sobre tipos de antivírus.
Onde Exatamente o Antivírus Tem Presença no Microsoft 365?
Só num lugar: no sistema operacional do dispositivo gerenciado. Um antivírus examina arquivos, processos e memória da máquina onde está instalado. Quando um usuário abre um documento direto no navegador via SharePoint Online, participa de uma conversa no Teams, ou recebe um e-mail que nunca chega a baixar um anexo, essas ações acontecem majoritariamente do lado do serviço em nuvem, fora do alcance de qualquer exame local. O antivírus não ignora esse tráfego por falha de detecção, ele nunca chega a vê-lo.
Qual é o Mapa Real de Cobertura, Camada por Camada?
A leitura desse mapa é direta: cinco das seis linhas dependem de uma ferramenta que não é antivírus. Isso não desqualifica o antivírus, ele continua sendo a camada certa para a única linha onde ele efetivamente atua. O problema é tratar essa uma linha como se fosse a proteção do ambiente inteiro.
Por Que Isso Importa Mais do que a Taxa de Detecção do Antivírus?
Porque taxa de detecção é uma pergunta sobre qualidade, e cobertura é uma pergunta sobre alcance, e a segunda decide se a primeira chega a importar. Um antivírus com 99% de detecção contra ameaças conhecidas não ajuda em nada contra um ataque que acontece inteiramente dentro do Entra ID ou do SharePoint, porque a questão nunca chegou a ser “ele detectou ou não”, foi “ele estava olhando para aquele lugar”. O artigo antivírus protege contra ransomware? já detalha os números de taxa de detecção e a lacuna específica de ransomware fileless; aqui o ponto é anterior a esse, é sobre alcance, não sobre precisão.
O Que Fazer com Esse Mapa na Prática?
- Ativar Defender for Office 365 — Safe Links e Safe Attachments cobrem a camada de e-mail que o antivírus nunca alcança.
- Configurar Defender for Cloud Apps — visibilidade sobre comportamento anômalo em SharePoint, OneDrive e Teams.
- Estabelecer uma linha de base de Purview DLP — para dado sensível saindo por qualquer um desses canais, não só por e-mail.
- Aplicar Conditional Access no Entra ID — a camada de identidade decide quem entra antes de qualquer conteúdo ser tocado. O artigo sobre phishing que burla o MFA no Microsoft 365 detalha essa configuração.
- Auditar consentimentos OAuth periodicamente — aplicativos de terceiros com acesso amplo raramente aparecem no radar de um antivírus.
Descobrir quais dessas cinco camadas estão realmente ativas no seu ambiente hoje, e não só instaladas ou disponíveis na licença, é o tipo de diagnóstico que costuma revelar lacunas que ninguém sabia que existiam. A InfoB é parceira certificada Microsoft e Kaspersky e ajuda a mapear essa cobertura completa, não só a parte que já tem antivírus. Fale com um especialista da InfoB.
Conclusão
Antivírus é suficiente para o que ele foi construído para fazer: examinar o que roda no dispositivo. O Microsoft 365 espalhou boa parte do trabalho de uma empresa para fora desse dispositivo, em serviços de nuvem que respondem a lógicas de proteção diferentes. Cinco camadas de seis não passam nem perto de um antivírus, e nenhuma quantidade de investimento em detecção de endpoint fecha essa lacuna, porque ela não é sobre detecção, é sobre onde a ferramenta consegue olhar.
Perguntas Frequentes
O antivírus protege o SharePoint e o Teams?
Não diretamente. Antivírus de endpoint examina arquivos e processos no dispositivo. Um documento acessado direto no navegador via SharePoint Online, ou uma mensagem maliciosa dentro do Teams, não passa necessariamente por esse exame, porque a ação acontece no lado do serviço em nuvem, não no disco do computador.
Por que um ataque ao Microsoft 365 pode passar batido pelo antivírus?
Porque boa parte desses ataques não usa arquivo malicioso nenhum: uma credencial roubada, uma regra de caixa postal criada depois de um phishing, ou um aplicativo OAuth com permissão excessiva. Nenhum desses elementos aciona uma varredura de antivírus, porque nenhum deles é um arquivo executando no dispositivo.
O que cobre o que o antivírus não cobre no Microsoft 365?
Defender for Office 365 cobre e-mail e anexos, Defender for Cloud Apps cobre comportamento em SharePoint, OneDrive e Teams, Purview DLP cobre vazamento de dados sensíveis, e o Entra ID com Conditional Access cobre a camada de identidade e login.
EDR resolve a lacuna de cobertura no Microsoft 365?
Resolve a parte que acontece no endpoint, com visibilidade comportamental que o antivírus tradicional não tem. Não cobre, sozinho, o que acontece dentro do Exchange Online, do SharePoint ou do Entra ID, que dependem das ferramentas nativas de segurança do próprio Microsoft 365.
Preciso trocar de antivírus para proteger o Microsoft 365?
Trocar de antivírus resolve, no máximo, a fatia do problema que já está no dispositivo. A parte que falta normalmente não é um antivírus melhor, é ativar e configurar as camadas nativas do próprio Microsoft 365 que cobrem identidade, e-mail e colaboração.