Antivírus baseado em assinatura detecta hashes ruins conhecidos. Malware adaptativo, que agora muda regularmente sua assinatura de arquivo entre infecções, passa por isso facilmente. Relatórios de pesquisa recentes sobre cargas úteis polimórficas que se reescrevem por host confirmam o que os defensores já sabem: correspondência de hash é um piso, não um teto. Detecção comportamental observa o que o código faz, não como parece.
Nós avaliamos sete ferramentas que adicionam camadas de detecção comportamental, EDR ou baseadas em anomalias além (ou em vez de) antivírus de assinatura. Algumas são plataformas EDR corporativas com níveis gratuitos generosos. Algumas são pilhas de código aberto que um entusiasta de laboratório caseiro pode executar. Abaixo está o que cada uma detecta, onde falha e como combiná-las.
O que procurar em uma ferramenta de detecção comportamental
Escolher uma ferramenta de detecção comportamental significa definir cinco coisas.
- Modelo de detecção. Baseado em regras (Sigma, YARA), classificador de aprendizado de máquina ou heurística refinada manualmente. Cada uma tem diferentes perfis de falsos positivos.
- Ações de resposta. Apenas detectar, alertar, matar processo, colocar arquivo em quarentena ou isolar rede completa. Combina a agressividade com sua tolerância ao risco.
- Fonte de telemetria. Sysmon, ETW, eBPF ou driver do kernel. Mais profundidade significa mais visibilidade e mais overhead.
- Armazenamento de log. Local, encaminhado para SIEM ou nuvem do fornecedor. Restrições regulatórias geralmente decidem este.
- Cadência de atualização. Pacotes de regras e modelos de ML derivam. Semanal ou melhor é a meta.
Comparação rápida
| Aplicativo | Melhor para | Plataformas | Plano gratuito | Preço inicial/mês | Classificação |
|---|---|---|---|---|---|
| Wazuh | XDR de código aberto completa | Linux, Windows, macOS | Totalmente gratuito | Auto-hospedado grátis | 4.7 |
| Sysmon + Sigma | Detecção baseada em regras personalizadas | Windows | Totalmente gratuito | Gratuito | 4.6 |
| Bitdefender GravityZone | EDR gerenciado com heurística forte | Multiplataforma | Avaliação de 30 dias | Cerca de $8/endpoint/mês | 4.6 |
| Malwarebytes Anti-Malware | Verificador de comportamento do consumidor | Windows, macOS | Verificador gratuito | Cerca de $4/mês Premium | 4.5 |
| ESET Endpoint Security | AV heurístico leve | Windows, macOS, Linux | Avaliação de 30 dias | Cerca de $5/endpoint/mês | 4.6 |
| CrowdStrike Falcon Go | EDR para pequenas empresas | Windows, macOS, Linux | Avaliação | Cerca de $10/endpoint/mês | 4.7 |
| Elastic Security | SIEM DIY + agente de endpoint | Multiplataforma | Básico gratuito | Cerca de $95/mês Cloud | 4.5 |
Os aplicativos
1. Wazuh — Melhor XDR de código aberto
Wazuh é uma plataforma de segurança de código aberto completa: agente de endpoint, agregação de log, mecanismo de regras e painel de controle, todos auto-hospedados. O agente é executado no Windows, macOS e Linux e coleta eventos do sistema, atividade de processo, alterações de integridade de arquivo e (no Linux) eventos de contêiner.
As regras de detecção são enviadas prontas para ameaças comuns além do mapeamento MITRE ATT&CK. Regras Sigma personalizadas importam sem problemas. O teto de escala é alto; clusters Wazuh de produção executam dezenas de milhares de endpoints.
Onde falta: Auto-hospedado significa auto-gerenciado. Configurar os componentes do gerenciador, indexador e painel de controle leva um fim de semana para um administrador pela primeira vez.
Preços:
- Gratuito: Código aberto, totalmente funcional
- Pago: Cerca de $2000/mês Wazuh Cloud (gerenciado) para equipes que desejam que o fornecedor execute
Plataformas: Agentes Windows, macOS, Linux; servidor Linux
Baixar: Wazuh
Resumo: A escolha padrão para laboratórios caseiros, pequenas equipes e qualquer pessoa que deseje propriedade completa de dados. Esforço de configuração é real, mas sem limite de licença.
2. Sysmon + Sigma — Melhor para regras Windows personalizadas
Sysmon da Microsoft registra criação de processo, conexões de rede, carregamentos de DLL e alterações de arquivo no Windows Event Log com contexto útil (processo pai, linha de comando, hashes). Combine com regras Sigma (sintaxe de regra portátil com milhares de contribuições da comunidade) e Windows Event Viewer integrado ou SIEM para construir detecção comportamental do zero.
A combinação é o que a maioria dos SOCs corporativos usa como base de telemetria do Windows. É gratuito, bem documentado e infinitamente ajustável.
Onde falta: Sem alerta por si só. Você precisa do Windows Event Forwarding para um SIEM, ou uma ferramenta como Chainsaw para correspondência Sigma local.
Preços:
- Gratuito: Ambos são gratuitos
- Pago: Nenhum (mas um SIEM para consumir os logs é separado)
Plataformas: Windows (Sysmon); regras Sigma multiplataforma via tradutores
Baixar: Sysmon, Regras Sigma
Resumo: Melhor escolha para qualquer pessoa que queira ver exatamente o que acionou uma detecção e editar a regra que disparou. Alimenta naturalmente Wazuh, Elastic ou Splunk.
3. Bitdefender GravityZone — Melhor EDR gerenciado com heurística forte
Bitdefender GravityZone é o produto corporativo do mesmo mecanismo que alimenta o antivírus do consumidor da Bitdefender. Varredura comportamental (Advanced Threat Control), análise em sandbox e telemetria EDR executam a partir de um único agente com baixo overhead de RAM.
O nível de pequena empresa começa em 3 endpoints. O console trata alertas, reversão de alterações de arquivo e ações de morte de processo.
Onde falta: Nuvem do fornecedor. Os dados saem de seu ambiente. Complementos de SOC gerenciado custam significativamente mais.
Preços:
- Gratuito: Avaliação de 30 dias
- Pago: Cerca de $8/endpoint/mês Business Security; camadas superiores para EDR/XDR completo
Plataformas: Windows, macOS, Linux, mobile
Baixar: GravityZone
Resumo: Melhor escolha comercial para pequenas equipes que desejam detecção comportamental gerenciada sem ajuste in-house profundo.
4. Malwarebytes Anti-Malware — Melhor verificador de comportamento do consumidor
Malwarebytes construiu sua reputação pegando adware, PUPs e ameaças comportamentais que os mecanismos AV perderam. A versão atual executa um mecanismo baseado em anomalias (Katana) junto com assinaturas e monitoramento de comportamento para ransomware, exploit e proteção web.
A versão gratuita é apenas varredura, sem proteção em tempo real. Premium adiciona camadas de proteção em tempo real.
Onde falta: A versão gratuita não pode prevenir, apenas limpar. Sobrepõe-se ao Windows Defender no Windows 11.
Preços:
- Gratuito: Verificador sob demanda
- Pago: Cerca de $4/mês Premium, cerca de $6/mês Premium + VPN
Plataformas: Windows, macOS
Baixar: Malwarebytes
Resumo: Combine com Defender em máquinas pessoais. O verificador gratuito detecta PUPs que Defender perde; Premium adiciona proteção comportamental em tempo real.
5. ESET Endpoint Security — Melhor AV heurístico leve
ESET sempre se apoiou em heurística em vez de volume de assinatura. O produto de endpoint inclui HIPS (Host Intrusion Prevention), verificador de memória, bloqueador de exploração e escudo de ransomware, tudo com pegada de CPU inusualmente baixa.
Para PMEs que desejam AV+comportamento em um único agente leve, ESET é uma escolha comum.
Onde falta: Nenhuma plataforma XDR no nível gratuito. EDR completo precisa do nível Inspect com custo mais alto.
Preços:
- Gratuito: Avaliação de 30 dias
- Pago: Cerca de $5/endpoint/mês Endpoint Security; mais para Inspect
Plataformas: Windows, macOS, Linux
Baixar: ESET Endpoint Security
Resumo: Melhor escolha para equipes que priorizam baixo uso de recursos e desejam uma alternativa de fornecedor europeia.
6. CrowdStrike Falcon Go — Melhor EDR para pequenas empresas
CrowdStrike Falcon Go traz a plataforma Falcon EDR corporativa para um preço de pequena empresa. Análise comportamental, detecção de aprendizado de máquina e feeds de inteligência de ameaças executam a partir de um agente leve de nível de kernel.
O painel de controle agrega a atividade de cada endpoint em uma visualização com mapeamento MITRE ATT&CK.
Onde falta: Nuvem de fornecedor apenas. Preços pós-2024 no Falcon Go começam mais altos que Bitdefender ou ESET. O ajuste de alerta sem suporte de SOC deles tem uma curva de aprendizado.
Preços:
- Gratuito: Avaliação
- Pago: Cerca de $10/endpoint/mês Falcon Go, para cima
Plataformas: Windows, macOS, Linux
Baixar: Falcon Go
Resumo: Melhor escolha comercial quando você deseja EDR de nível corporativo com preço de pequena empresa e fornecedor respeitável.
7. Elastic Security — Melhor SIEM DIY mais agente de endpoint
Elastic Security combina Elastic Stack (Elasticsearch, Kibana) com agente de endpoint completo, mecanismo de detecção de ameaças e biblioteca de regras pré-construída. Auto-hospedado ou use Elastic Cloud.
Regras de detecção são enviadas prontas, e o construtor de consultas visual (KQL e EQL) permite que você escreva detecções personalizadas contra qualquer campo coletado.
Onde falta: Preço do Elastic Cloud escala com volume de log, o que pode surpreender equipes que fazem log verboso. Elastic Stack auto-hospedado precisa de hardware significativo para retenção completa.
Preços:
- Gratuito: Nível básico auto-hospedado (recursos Elastic Security inclusos)
- Pago: Cerca de $95/mês Elastic Cloud para o menor deployment; dimensiona para cima
Plataformas: Agentes Windows, macOS, Linux; servidor Linux
Baixar: Elastic Security
Resumo: Melhor escolha para um laboratório caseiro que deseja SIEM mais EDR na mesma interface. Auto-hospedado gratuito cobre o conjunto de recursos completo.
Como escolher o certo
Se você quer a pilha gratuita mais forte: Wazuh como núcleo com Sysmon + Sigma alimentando sua telemetria do Windows. Gratuito para sempre, teto alto.
Se você é uma pequena equipe sem equipe de segurança: Bitdefender GravityZone ou ESET Endpoint Security. Mecanismos gerenciados, baixo overhead, um console.
Se você deseja EDR de nível corporativo com preço de pequena empresa: CrowdStrike Falcon Go.
Se você já executa Elastic Stack: Elastic Security. Estende o que você tem.
Se uso pessoal: Windows Defender plus Malwarebytes Premium. Defender gratuito trata assinaturas; Malwarebytes trata comportamento e limpeza.
FAQ
A detecção comportamental é melhor que antivírus baseado em assinatura? Empregos diferentes. Assinaturas pegam ameaças conhecidas rápido e barato. Detecção comportamental pega ameaças desconhecidas ou polimórficas, mas tem taxas de falsos positivos mais altas e precisa de ajuste. Configurações modernas executam ambas.
Posso executar Wazuh em casa? Sim. A instalação all-in-one cabe em um Raspberry Pi 4 para alguns endpoints, e um pequeno VPS trata um pequeno negócio. A documentação é completa.
A detecção comportamental detecta malware sem arquivo? É a melhor resposta que temos. AV baseado em assinatura não consegue ver ataques sem arquivo (nada para fazer hash), mas um mecanismo comportamental observa desova de processo, execução de script e injeção de memória onde malware sem arquivo aparece.
Qual é a melhor ferramenta gratuita de detecção de malware comportamental? Wazuh para plataforma XDR completa, Sysmon + Sigma para regras do Windows personalizadas, verificador gratuito do Malwarebytes para limpeza. Todos os três não custam nada.
Quanto overhead de CPU devo esperar? Agentes ESET e Bitdefender executam em média 1 a 3% de CPU. Wazuh, CrowdStrike e Elastic executam 2 a 5%. Sysmon sozinho está bem abaixo de 1%.
Essas ferramentas funcionam em servidores Linux? Wazuh, Elastic, CrowdStrike, Bitdefender e ESET todos têm agentes Linux. Sysmon tem uma porta Linux. Malwarebytes é apenas Windows e macOS.