Funcionalidades
O que o RoamSwitch deteta, como bloqueia ameaças e o que controla, agrupado pelo que protege.
Ransomware 4
Deteta e trava a cifragem maliciosa e oferece uma forma de regressar ao estado anterior ao dano.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Deteção de cifragem em massa T1486 | Monitoriza as escritas e, se em pouco tempo surgirem muitos ficheiros com conteúdo cifrado, corta a comunicação para travar o dano. | AçãoDetetar Isolar | PredefiniçãoAtivado com Pro Resposta automática | ProdutosMac Linux |
| Deteção com ficheiros isco T1486 | Coloca ficheiros isco em pastas importantes e avisa se forem alterados, eliminados ou cifrados. No Mac corta também a comunicação de forma automática. | AçãoDetetar Isolar | PredefiniçãoAtivado com Pro Apenas notificar | ProdutosMac Linux Linux Server |
| Restauro de ficheiros anteriores ao dano | Permite recuperar um a um os ficheiros anteriores ao dano a partir de instantâneos periódicos. | AçãoControlar Registar | PredefiniçãoAtivado Resposta manual | ProdutosMac Linux |
| Diagnóstico da atualidade da cópia de segurança | Verifica se a última cópia de segurança é recente e avisa quando é antiga. | AçãoAuditar | PredefiniçãoAtivado Apenas notificar | ProdutosMac Linux Linux Server |
Roubo de credenciais 5
Deteta no momento da leitura as tentativas de roubar palavras-passe, chaves e tokens.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Credenciais isco T1552.001 | Coloca na pasta pessoal credenciais isco (AWS, chaves SSH, Docker, etc.) e avisa no instante em que são lidas. A notificação inclui o programa que as leu, o comando e o processo pai. Não substitui os ficheiros reais. | AçãoDetetar | PredefiniçãoAtivado com Pro Apenas notificar | ProdutosMac Linux Linux Server |
| Vigilância da leitura de ficheiros de credenciais T1552.001 | Avisa quando um programa inesperado abre chaves privadas SSH, credenciais AWS e gcloud, palavras-passe guardadas no navegador ou dados de início de sessão de agentes de IA. | AçãoDetetar | PredefiniçãoAtivado Apenas notificar | ProdutosLinux |
| Vigilância dos dados guardados no navegador T1555.003 | Avisa quando algo que não é o navegador abre os ficheiros de palavras-passe e cookies guardados do Chrome, Firefox e outros. | AçãoDetetar | PredefiniçãoOpcional Apenas notificar | ProdutosMac |
| Deteção de chaves de API e chaves privadas T1204.004 | Encontra chaves de API e chaves privadas em texto, ficheiros, pastas e na área de transferência. Os resultados são apresentados ocultados. | AçãoAuditar | PredefiniçãoAtivado Resposta manual | ProdutosMac Linux Linux Server |
| Diagnóstico das credenciais de agentes de IA T1552.001 | Verifica as permissões e o proprietário dos ficheiros onde o Claude Code, o Codex e outros guardam o início de sessão, e se estão em pastas sincronizadas ou sob git. Não lê o conteúdo. | AçãoAuditar | PredefiniçãoAtivado Apenas notificar | ProdutosMac |
Execução suspeita e malware 10
Deteta a sequência de programas e comandos executada por um atacante e analisa os ficheiros transferidos.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Registo de execução de processos e deteção de técnicas de ataque T1059.004 T1027 T1105 T1553.001 | Regista programas, argumentos e relações pai-filho com proteção contra adulteração. Avisa de cadeias como lançar uma shell a partir do navegador, transferir e executar, execução ofuscada ou executar logo após remover o atributo de quarentena. Oculta a informação secreta. | AçãoDetetar Registar | PredefiniçãoOpcional Apenas notificar | ProdutosMac Linux Linux Server |
| Importação de regras Sigma | Ao colocar as suas próprias regras Sigma (criação de processos), são aplicadas ao registo de execução e somam-se à deteção. As regras que não podem ser carregadas aparecem numa lista com o motivo. | AçãoDetetar | PredefiniçãoOpcional Apenas notificar | ProdutosMac Linux Linux Server |
| Deteção de shell inversa T1059.004 | Deteta e avisa quando a entrada e a saída de uma shell ou de um interpretador estão ligadas a uma ligação externa. Deteta também a forma do comando. | AçãoDetetar | PredefiniçãoAtivado com Pro Apenas notificar | ProdutosMac Linux Linux Server |
| Análise de malware após a transferência T1204.002 T1027 | Analisa automaticamente os ficheiros transferidos e coloca em quarentena os que encontra. Os ficheiros em quarentena podem ser restaurados ou eliminados definitivamente. | AçãoDetetar Bloquear | PredefiniçãoAtivado Resposta automática | ProdutosMac Linux |
| Correspondência de padrões no conteúdo dos ficheiros | Compara o conteúdo dos ficheiros transferidos com padrões conhecidos. No Linux fá-lo também no momento em que o ficheiro é escrito. | AçãoDetetar | PredefiniçãoAtivado Apenas notificar | ProdutosMac Linux Linux Server |
| Integração com a deteção de malware da Apple | Corta a comunicação no instante em que o XProtect deteta efetivamente malware. | AçãoIsolar | PredefiniçãoAtivado com Pro Resposta automática | ProdutosMac |
| Deteção de ClickFix T1204.004 | Deteta, no histórico da shell e na área de transferência, os ataques que levam o próprio utilizador a colar um comando através de um falso ecrã de verificação. | AçãoDetetar Bloquear | PredefiniçãoOpcional Resposta automática | ProdutosMac Linux |
| Bloqueio prévio de execuções perigosas | Avalia a ameaça no momento da execução e recusa executar as ameaças reais. | AçãoBloquear | PredefiniçãoAtivado Resposta automática | ProdutosLinux |
| Deteção de intrusões no kernel e isolamento autónomo T1562.006 | Deteta shells inversas, escalada de privilégios e execução de binários não autorizados a partir de eventos do kernel. Congela ou termina processos e isola o anfitrião em poucos milissegundos. | AçãoDetetar Isolar | PredefiniçãoAtivado Resposta automática | ProdutosLinux Server |
| Deteção de terminações anómalas de workers do servidor web | Deteta no error.log e avisa quando os workers do nginx e do Apache terminam de forma anómala repetidamente em pouco tempo. | AçãoDetetar | PredefiniçãoAtivado com Pro Apenas notificar | ProdutosMac Linux Server |
Persistência e adulteração 7
Deteta as técnicas para permanecer após o reinício e a alteração de ficheiros críticos.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Vigilância dos registos de arranque automático T1543.001 T1543.002 T1053.003 T1546.004 | Avisa de novos registos ou alterações de arranque automático e de linhas suspeitas em ficheiros de arranque da shell. Deteta shells inversas e a forma de transferir e executar diretamente. | AçãoDetetar | PredefiniçãoAtivado Apenas notificar | ProdutosMac Linux |
| Vigilância da integridade de ficheiros críticos do sistema T1098.004 T1548.003 | Regista o hash de ficheiros que só o root pode alterar (sudoers, PAM, configuração do sshd, authorized_keys do root, etc.) e avisa de alterações, adições e remoções. No Server acrescenta o processo que fez a alteração e os dados do respetivo início de sessão. | AçãoDetetar Registar | PredefiniçãoAtivado com Pro Apenas notificar | ProdutosMac Linux Server |
| Vigilância da adulteração de ficheiros de bloqueio T1195.001 | Regista package-lock.json e semelhantes dos projetos registados e continua a avisar das alterações até uma pessoa as confirmar. | AçãoDetetar | PredefiniçãoAtivado com Pro Apenas notificar | ProdutosMac |
| Vigilância de alterações SUID e SGID T1548.001 | Avisa de adições e alterações em ficheiros setuid e setgid. | AçãoDetetar | PredefiniçãoAtivado Apenas notificar | ProdutosLinux Server |
| Vigilância da eliminação de registos T1070.002 | Avisa quando os registos de autenticação e outros são esvaziados ou truncados. | AçãoDetetar | PredefiniçãoAtivado Apenas notificar | ProdutosLinux Server |
| Reforço do kernel T1055 | Reduz os pontos de apoio para a escalada de privilégios e a execução com restrições de ptrace, noexec em /tmp e /dev/shm e limitação de espaços de nomes de utilizador sem privilégios. | AçãoBloquear | PredefiniçãoAtivado | ProdutosLinux Linux Server |
| Verificação de módulos do kernel usados para escalar privilégios | Verifica se é possível carregar módulos que serviram para a escalada local de privilégios, como Copy Fail e Dirty Frag. Os módulos sem uso podem ser proibidos. | AçãoAuditar Controlar | PredefiniçãoExecução manual Resposta manual | ProdutosLinux Linux Server |
Defesa da rede 18
Adapta a proteção à rede a que se liga e trava ligações e exposições suspeitas.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Mudança do nível de proteção consoante a rede | Distingue automaticamente o Wi-Fi de casa, do trabalho ou público e muda a firewall e os serviços partilhados. Também pode ser forçado manualmente. | AçãoControlar Bloquear | PredefiniçãoAtivado Resposta automática | ProdutosMac Linux |
| Paragem e restauro automáticos de serviços partilhados | Em redes não fiáveis, pára o SSH, a partilha de ecrã, a partilha de ficheiros, etc., e restabelece-os ao voltar a uma rede segura. | AçãoControlar Bloquear | PredefiniçãoAtivado Resposta automática | ProdutosMac Linux |
| Auditoria de portas expostas | Encontra as portas abertas para o exterior e avalia os serviços perigosos e os servidores de inferência de IA locais. | AçãoAuditar | PredefiniçãoAtivado Apenas notificar | ProdutosMac Linux Linux Server |
| Bloqueio automático de portas desconhecidas expostas T1562.004 | Bloqueia no instante em que um programa nunca visto abre uma porta para o exterior. Funciona contra novas backdoors mesmo sem assinatura. | AçãoDetetar Bloquear | PredefiniçãoAtivado com Pro Resposta automática | ProdutosMac Linux |
| Bloqueio da exposição externa de servidores de desenvolvimento | Isola da LAN externa os servidores de desenvolvimento e de IA local que escutam em todas as interfaces. Continuam utilizáveis a partir de localhost. | AçãoBloquear | PredefiniçãoAtivado com Pro Resposta automática | ProdutosMac Linux |
| Deteção e bloqueio de análises de portas externas T1046 | Deteta as origens que se ligam a muitas portas em pouco tempo e bloqueia-as durante algum tempo. Não bloqueia o gateway, o DNS nem o próprio endereço. | AçãoDetetar Bloquear | PredefiniçãoAtivado com Pro Resposta automática | ProdutosMac Linux Linux Server |
| Deteção e bloqueio automático de ARP spoofing T1557.002 | Deteta alterações suspeitas do endereço MAC do gateway e corta a comunicação de emergência. Em Wi-Fi não fiável fixa o ARP do gateway. | AçãoDetetar Isolar | PredefiniçãoAtivado com Pro Resposta automática | ProdutosMac Linux |
| Diagnóstico da segurança do Wi-Fi | Avisa de ligações a Wi-Fi sem cifragem ou com cifragem fraca. Um nome novo muito parecido com o de uma rede vista antes é assinalado como ponto de acesso falso. | AçãoDetetar Auditar | PredefiniçãoAtivado Apenas notificar | ProdutosMac Linux |
| Vigilância de alterações na configuração de rede T1557.003 | Compara com a vez anterior os servidores DNS, o router e a configuração automática do proxy (PAC e WPAD) distribuídos pela rede e avisa se surgir um valor nunca visto. É uma pista de um servidor DHCP falso. | AçãoDetetar | PredefiniçãoAtivado com Pro Apenas notificar | ProdutosMac Linux |
| Proteção contra ameaças DNS | Bloqueia na fase DNS a resolução de nomes de servidores C2 e de sites de phishing. Repõe-se ao voltar a uma rede fiável. | AçãoBloquear | PredefiniçãoAtivado Resposta automática | ProdutosMac Linux |
| Proteção de ligações T1566.002 T1071.004 | Deteta pelo destino da ligação os acessos a sites de phishing e de fraude e bloqueia-os ou avisa. Funciona também com navegadores que usam DoH. | AçãoDetetar Bloquear | PredefiniçãoAtivado Resposta automática | ProdutosMac Linux |
| Diagnóstico da segurança de URL | Expande URL encurtados, segue redirecionamentos e avalia carateres que imitam outros, domínios de marcas falsas e domínios perigosos, tudo dentro do equipamento. | AçãoAuditar | PredefiniçãoExecução manual Resposta manual | ProdutosMac Linux |
| VPN e kill switch em redes não fiáveis | Liga automaticamente a VPN em redes não fiáveis e bloqueia as fugas para fora do túnel. Pode escolher-se WireGuard ou Tailscale. | AçãoControlar Bloquear | PredefiniçãoOpcional Resposta automática | ProdutosMac Linux |
| Air-Gap (corte total de emergência) | Corta de imediato todas as comunicações externas e coloca em primeiro plano o procedimento para reverter. É também usado pelo isolamento automático por deteção. | AçãoIsolar | PredefiniçãoExecução manual Resposta manual | ProdutosMac Linux |
| Desligar o Wi-Fi durante o Air-Gap | Ao isolar com o Air-Gap, desliga também o sinal Wi-Fi. | AçãoIsolar | PredefiniçãoAtivado Resposta automática | ProdutosMac |
| Recusa predefinida de entrada e proteção contra o bloqueio do SSH | Recusa a entrada por predefinição e não corta o SSH de administração que está ligado nesse momento. | AçãoBloquear | PredefiniçãoAtivado Resposta automática | ProdutosLinux Server |
| Bloqueio de comunicações de saída para IP maliciosos | Bloqueia as comunicações de saída para IP maliciosos e de C2 conhecidos. Existe também uma definição para encaminhar o DNS para um fornecedor com filtragem. | AçãoBloquear | PredefiniçãoAtivado Resposta automática | ProdutosLinux Server |
| Deteção de túneis DNS T1071.004 | Deteta e avisa de indícios de exfiltração ou C2 através de DNS. | AçãoDetetar | PredefiniçãoAtivado Apenas notificar | ProdutosLinux Server |
Web e correio eletrónico 4
Deteta código malicioso colocado em sites e ataques contra o servidor web.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Deteção de web shells e código malicioso T1505.003 | Encontra web shells e código injetado ofuscado nos ficheiros escritos em pastas públicas. Coloca em quarentena por predefinição os casos graves. As pastas públicas são encontradas automaticamente a partir da configuração do Apache, nginx e Caddy e das montagens do Docker. | AçãoDetetar Bloquear | PredefiniçãoAtivado com Pro Resposta automática | ProdutosMac Linux Server |
| Deteção de enumeração de identificadores (Web Access Guard) | Encontra nos registos de acesso os pedidos que vão trocando por ordem números de pedido ou de encomenda. Cobre também ataques distribuídos por muitos IP. Com a definição adequada pode bloquear as origens detetadas. | AçãoDetetar Bloquear | PredefiniçãoOpcional Apenas notificar | ProdutosLinux Server |
| Web Gate | Integra-se com o nginx e protege apenas os pontos que recebem números, com um orçamento de pedidos por ponto. Trava os ataques que mudam constantemente de IP. | AçãoBloquear | PredefiniçãoOpcional Resposta automática | ProdutosLinux Server |
| File Scan Guard | Analisa com YARA e ClamAV os ficheiros colocados em retransmissores de correio ou pastas partilhadas e coloca-os em quarentena. | AçãoDetetar Bloquear | PredefiniçãoOpcional Resposta automática | ProdutosLinux Server |
SSH e acesso remoto 2
Deteta e trava a força bruta nos inícios de sessão e diagnostica pontos fracos da configuração.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Deteção e bloqueio de força bruta SSH T1110.001 | Deteta e avisa das origens que falham o início de sessão muitas vezes em pouco tempo e bloqueia as novas ligações à porta SSH. Não corta as sessões em curso nem bloqueia o gateway nem o próprio endereço. | AçãoDetetar Bloquear | PredefiniçãoAtivado com Pro Resposta automática | ProdutosMac Linux Linux Server |
| Diagnóstico da configuração de SSH e sudo T1548.003 | Diagnostica a configuração de início de sessão remoto por SSH e o sudo sem palavra-passe, e indica como corrigir. | AçãoAuditar | PredefiniçãoAtivado Apenas notificar | ProdutosMac Linux Linux Server |
Contentores e servidores 6
Deteta arranques perigosos de contentores e sinais próprios de servidores.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Deteção de arranques perigosos de contentores T1610 | Avisa do arranque de contentores privilegiados ou com docker.sock montado. Vigia também a execução dentro dos contentores. | AçãoDetetar | PredefiniçãoOpcional Apenas notificar | ProdutosMac Linux Server |
| Prevenção do contorno da firewall pelo Docker | Impede que o Docker contorne as regras de recusa predefinida e abra portas que não se pretendia publicar. | AçãoBloquear | PredefiniçãoAtivado Resposta automática | ProdutosLinux Server |
| Deteção de esgotamento de recursos e falhas | Deteta e avisa do crescimento contínuo de memória (fugas ou DoS) de serviços expostos à rede e de falhas repetidas. | AçãoDetetar | PredefiniçãoAtivado Apenas notificar | ProdutosLinux Server |
| Vigilância das ligações aos metadados da nuvem T1552.005 | Avisa quando um programa ou contentor que não é root se liga a uma API de metadados como 169.254.169.254. Vigia o último passo de um SSRF. | AçãoDetetar | PredefiniçãoAtivado Apenas notificar | ProdutosLinux Server |
| Proteção de contas dedicadas a agentes de IA | Quando o agente é executado com uma conta dedicada, limita as comunicações de saída a uma lista de permitidos, coloca credenciais isco e compara a alteração dos ficheiros de instruções com uma linha de base pertencente ao root. | AçãoControlar Detetar | PredefiniçãoOpcional Apenas notificar | ProdutosLinux Server |
| Processos que a contenção não pára | Podem acrescentar-se processos que a contenção automática não pára, além da lista integrada. Só valem os executáveis que estão em caminhos do sistema. | AçãoControlar | Predefinição— | ProdutosLinux Server |
Cadeia de fornecimento 7
Deteta, antes e depois de os importar, as intrusões através de bibliotecas e ambientes de desenvolvimento.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Cruzamento com vulnerabilidades conhecidas de pacotes | Compara os pacotes instalados e os ficheiros de bloqueio dos projetos com os dados de vulnerabilidades do próprio equipamento. Não comunica. As CVE com probabilidade de exploração (EPSS) são ordenadas da mais alta para a mais baixa. | AçãoAuditar | PredefiniçãoExecução manual Resposta manual | ProdutosMac Linux Linux Server |
| Aceitação de vulnerabilidades | As CVE que não afetam podem ser aceites com um motivo e um prazo. Ao expirar, voltam à deteção normal. | AçãoControlar Registar | PredefiniçãoExecução manual Resposta manual | ProdutosMac Linux |
| Verificação do código executado na instalação T1195.001 | Lista os scripts executados na instalação. Avisa se, desde o estado confirmado, forem acrescentados ou alterados scripts ou acrescentado código compilado. | AçãoAuditar | PredefiniçãoExecução manual Resposta manual | ProdutosMac Linux |
| Inspeção da origem das dependências | Assinala configurações que facilitam ataques de confusão de dependências, como o extra-index-url do pip ou âmbitos npm sem registo fixado. | AçãoAuditar | PredefiniçãoExecução manual Resposta manual | ProdutosMac |
| Deteção de pacotes com nome parecido | Avalia com a distância de edição se o nome de uma dependência é demasiado parecido com o de um pacote conhecido. | AçãoAuditar | PredefiniçãoExecução manual Resposta manual | ProdutosMac Linux |
| Verificação das assinaturas de pacotes npm | Verifica no registo npm a assinatura e a proveniência dos pacotes instalados. | AçãoAuditar | PredefiniçãoOpcional Resposta manual | ProdutosMac Linux Server |
| Cruzamento com vulnerabilidades do kernel | Compara a versão do kernel em execução com as vulnerabilidades conhecidas e apresenta-o no diagnóstico. | AçãoAuditar | PredefiniçãoAtivado Apenas notificar | ProdutosLinux Linux Server |
Agentes de IA e MCP 6
Protege a configuração dos agentes de IA e a segurança da informação entregue à IA.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Auditoria da configuração de agentes de IA | Verifica ficheiros de instruções, skills e ficheiros de configuração. Assinala carateres invisíveis, substituição de instruções, descrições de transferir e executar e envio externo de ficheiros secretos. Avisa se mudarem em relação ao estado aprovado e o resultado também pode ser obtido em SARIF. | AçãoAuditar Detetar | PredefiniçãoExecução manual Apenas notificar | ProdutosMac Linux Linux Server |
| Verificação da configuração MCP | Assinala práticas perigosas nas configurações MCP do Claude Desktop, Claude Code, Cursor e outros, como a aprovação automática, http em texto simples, o arranque com uma só linha e os contentores privilegiados. | AçãoAuditar | PredefiniçãoExecução manual Resposta manual | ProdutosMac Linux |
| Aviso de instruções misturadas para a IA | Se nas cadeias vindas do exterior, como scripts de pacotes, registos, nomes de Wi-Fi ou linhas de comandos, houver instruções dirigidas à IA, avisa no fim do resultado. Mostra apenas o tipo e o número de ocorrências. | AçãoDetetar | PredefiniçãoAtivado Apenas notificar | ProdutosMac Linux Linux Server |
| Servidor MCP para consultar o estado a partir de assistentes de IA | Permite que o Claude e outros leiam o estado dos diagnósticos e das deteções. Não existem ferramentas que alterem a configuração. Também não comunica. | AçãoComunicar | PredefiniçãoAtivado | ProdutosMac Linux Linux Server |
| Autoverificação do âmbito de deteção | Para cada técnica do ATT&CK, lista se é detetada, o que fica fora da vista e se a função responsável está ativa. Também pode ser obtida como camada do ATT&CK Navigator. | AçãoComunicar Auditar | PredefiniçãoAtivado | ProdutosMac Linux Linux Server |
| Identificação de ambientes de execução de IA locais | Determina, com um grau de certeza, se uma porta exposta é um ambiente de execução de IA local como o Ollama, o vLLM ou o LiteLLM. | AçãoAuditar | PredefiniçãoAtivado Apenas notificar | ProdutosMac Linux |
Periféricos 3
Trava no momento da ligação as intrusões através de USB e Bluetooth.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Controlo do armazenamento USB T1091 | O armazenamento USB não permitido é ligado só de leitura ou a ligação fica retida até ser confirmada. Mesmo o permitido é montado só de leitura logo após a ligação e recupera as permissões após a análise. | AçãoBloquear Controlar | PredefiniçãoOpcional Resposta manual | ProdutosMac Linux |
| Prevenção de BadUSB T1200 | Bloqueia até à aprovação a entrada de teclados não aprovados ou de cabos USB modificados. As anomalias no intervalo entre teclas servem como pista adicional. | AçãoBloquear | PredefiniçãoOpcional Resposta manual | ProdutosMac Linux |
| Controlo e verificação do Bluetooth | Em redes não fiáveis torna o Bluetooth não detetável. Verifica também as definições que admitem dispositivos antes do emparelhamento. | AçãoControlar Auditar | PredefiniçãoOpcional Resposta automática | ProdutosMac Linux |
Diagnóstico e vulnerabilidades 5
Deteta pontos fracos de configuração e vulnerabilidades realmente alcançáveis.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Diagnóstico geral de segurança | Diagnostica numerosos itens, como a cifragem do disco, a firewall, as atualizações do sistema, o SSH, as portas expostas e a proteção do navegador, e apresenta uma pontuação e como corrigir. Permite voltar a verificar se os itens diagnosticados continuam presentes. | AçãoAuditar Comunicar | PredefiniçãoAtivado Apenas notificar | ProdutosMac Linux Linux Server |
| Diagnóstico de vulnerabilidades com verificação real | Apenas em 127.0.0.1 deste equipamento, verifica sem causar dano a exposição sem autenticação, erros de configuração de CORS, path traversal e semelhantes. Em cada verificação indica o que deixa registo e a solidez da prova. | AçãoAuditar | PredefiniçãoOpcional Resposta manual | ProdutosMac Linux |
| Diagnóstico das respostas LLMNR e NBNS T1557.001 | Verifica se este equipamento participa numa resolução de nomes a que qualquer pessoa da mesma rede pode responder. | AçãoAuditar | PredefiniçãoAtivado Apenas notificar | ProdutosLinux Linux Server |
| Análise de caminhos de escalada de privilégios | Mostra num gráfico e numa lista os caminhos que chegam ao root ou a dados sensíveis a partir do grupo docker, SUID, executáveis de serviços modificáveis, sudo sem palavra-passe, cron e as permissões de privacidade do macOS. Permite também analisar, em hipótese, os caminhos após a correção. | AçãoAuditar | PredefiniçãoExecução manual Resposta manual | ProdutosPathScope |
| Auditoria de vulnerabilidades a partir do exterior da LAN | A partir de um nó dedicado na LAN, verifica sem causar dano as portas expostas e os serviços vulneráveis dos equipamentos emparelhados. Mostra como se veem a partir de outro equipamento da mesma LAN, algo que o diagnóstico do próprio anfitrião não vê. | AçãoAuditar | PredefiniçãoExecução manual Resposta manual | ProdutosSensor |
Análise de registos e investigação 22
Deteta tentativas de ataque, com provas, a partir dos registos e da informação da LAN.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Auditoria de registos de segurança | Agrega a partir dos registos as falhas de sudo, SSH, os bloqueios do Gatekeeper, a autenticação, etc. Deteta como anomalias os tipos de registo que aparecem pela primeira vez e os aumentos bruscos de frequência. Oculta a informação secreta. | AçãoDetetar Auditar | PredefiniçãoAtivado com Pro Apenas notificar | ProdutosMac Linux Linux Server |
| Diagnóstico de registos de acesso (AccessScope) | Encontra tentativas de ataque nos registos do servidor web e do SSH, com as linhas que as comprovam. Procura os registos automaticamente e mostra as cadeias que abrangem vários registos e as diferenças em relação ao habitual. O relatório indica os intervalos que não foi possível ler. | AçãoDetetar Comunicar | PredefiniçãoExecução manual | ProdutosAccessScope |
| Verificação do estado com um botão (PersonalSOC) | Verifica, apenas em leitura, a autenticação SSH, o auditd, a web, o DNS, o registo unificado do macOS, a configuração MCP e o histórico de deteções do RoamSwitch. Resume tudo num painel e num relatório com IOC. | AçãoComunicar Auditar | PredefiniçãoExecução manual | ProdutosPersonalSOC |
| Investigação autónoma com LLM (PersonalSOC, opcional) | Se ativada, o LLM investiga apenas com as ferramentas de leitura permitidas e redige o relatório. Não lhe são entregues shell nem ficheiros. Os valores escritos pelo LLM que não constam do material recolhido são assinalados como possível invenção. | AçãoComunicar | PredefiniçãoOpcional | ProdutosPersonalSOC |
| Execução periódica (PersonalSOC, opcional) | Regista uma execução periódica com permissões de utilizador e só notifica o número de itens quando há deteções que não existiam da vez anterior. | AçãoComunicar | PredefiniçãoOpcional Apenas notificar | ProdutosPersonalSOC |
| Pontos de correção e propostas (PathScope) | Mostra por prioridade os pontos cuja correção é mais eficaz e acrescenta exemplos de comandos de correção e a correspondência com o ATT&CK. Não executa os comandos automaticamente. | AçãoComunicar | PredefiniçãoExecução manual | ProdutosPathScope |
| Cruzamento com vulnerabilidades conhecidas do software instalado (PathScope) | Compara as versões do software instalado com os dados de vulnerabilidades conhecidas incluídos (CISA KEV, etc.). Indica as que têm um módulo de ataque público. | AçãoAuditar | PredefiniçãoExecução manual | ProdutosPathScope |
| Comparação com o histórico e verificação contínua (PathScope) | Guarda os resultados da análise como histórico no equipamento e compara-os com a vez anterior. Se os caminhos aumentarem, avisa com o código de saída 1, pelo que serve também para execuções periódicas. | AçãoRegistar Comunicar | PredefiniçãoExecução manual | ProdutosPathScope |
| Explicação e leitura de configurações com LLM (PathScope, opcional) | Pode confiar-se ao LLM a explicação dos resultados e a interpretação de configurações difíceis de ler, como sudoers e cron. Não são enviados valores de chaves privadas nem de chaves de API. Os valores da explicação que não constem do material são assinalados como possível invenção. | AçãoComunicar | PredefiniçãoOpcional | ProdutosPathScope |
| Redução dos itens a analisar (AccessScope) | Permite excluir com um motivo os IP próprios e semelhantes e, comparando com o diagnóstico anterior, avisa apenas das novas deteções. | AçãoControlar | PredefiniçãoExecução manual | ProdutosAccessScope |
| Exportação de resultados (AccessScope) | O relatório pode ser exportado em Markdown, JSON, SARIF e CSV. Também pode exportar-se uma lista de bloqueio dos IP detetados. Apenas exporta: não bloqueia nada. | AçãoComunicar | PredefiniçãoExecução manual | ProdutosAccessScope |
| Análise com LLM (AccessScope, opcional) | Se ativada, entrega ao LLM o resumo e as linhas de prova para que redija o relatório. Os segredos vão ocultados. Os valores escritos pelo LLM que não constem do material entregue são assinalados como possível invenção. | AçãoComunicar | PredefiniçãoOpcional | ProdutosAccessScope |
| Deteção de tráfego suspeito na LAN (Sensor, captura passiva) | Com captura passiva, por exemplo numa porta espelho, mostra como informação de referência as ligações a IP maliciosos conhecidos ou a portas de administração, os indícios de botnet e os túneis DNS. Não bloqueia o tráfego. | AçãoDetetar | PredefiniçãoOpcional Apenas notificar | ProdutosSensor |
| Auditoria periódica e diferenças em relação à anterior (Sensor) | Audita periodicamente os equipamentos emparelhados e mostra as novas deteções, as resolvidas e as portas recém-abertas. | AçãoAuditar Comunicar | PredefiniçãoOpcional Apenas notificar | ProdutosSensor |
| Relatórios de auditoria e notificações (Sensor) | Os resultados da auditoria, o inventário de dispositivos e o registo de operações podem ser exportados em CSV, JSON e HTML. Podem ser notificados por Webhook e syslog os dispositivos novos, o ARP spoofing e semelhantes. O registo de operações tem proteção contra adulteração. | AçãoComunicar Registar | PredefiniçãoOpcional Apenas notificar | ProdutosSensor |
| Inventário de dispositivos da LAN e vigilância ARP | Localiza os dispositivos da LAN e regista-os num inventário. Avisa de dispositivos novos e de mudanças de MAC para um IP conhecido (ARP spoofing). | AçãoDetetar Registar | PredefiniçãoAtivado Apenas notificar | ProdutosSensor |
| Deteção de servidores DHCP e routers IPv6 não autorizados | Envia um único pacote de descoberta a partir de um MAC aleatório e conta os servidores DHCP e os routers IPv6 que respondem. Avisa de servidores que surgem depois e de servidores que distribuem um gateway diferente do legítimo. | AçãoDetetar | PredefiniçãoAtivado Apenas notificar | ProdutosSensor |
| Aprendizagem do comportamento habitual de cada dispositivo | Aprende os hábitos de comunicação de cada dispositivo e avisa de comportamentos diferentes do habitual. | AçãoDetetar | PredefiniçãoAtivado Apenas notificar | ProdutosSensor |
| Auditoria leve de dispositivos não instalados | Verifica impressoras, câmaras e outros dispositivos não emparelhados, apenas dentro do intervalo permitido e só com um teste de ligação e a leitura do banner do serviço. | AçãoAuditar | PredefiniçãoOpcional Resposta manual | ProdutosSensor |
| Cronologia de incidentes | Reúne numa única linha cronológica os registos de contenção e de deteção. Inclui a linhagem dos processos e as etiquetas do ATT&CK. | AçãoComunicar Registar | PredefiniçãoAtivado | ProdutosMac Linux |
| Lista de dispositivos USB ligados | Mostra os dispositivos USB externos ligados neste momento. | AçãoAuditar | PredefiniçãoAtivado | ProdutosMac |
| Proteção no arranque (experimental) | Desde uma fase inicial do arranque e até estar tudo pronto, bloqueia toda a comunicação exceto o ARP e o cliente DHCP. | AçãoBloquear | PredefiniçãoOpcional Resposta automática | ProdutosLinux Linux Server |
Provas, notificações e operação 14
Conserva as provas das deteções, avisa quem deve ser avisado e integra-se na operação.
| Funcionalidade | O que faz | Ação | Predefinição | Produtos |
|---|---|---|---|---|
| Autovigilância e reinício automático T1562.001 | Se o próprio RoamSwitch terminar de forma anómala, reinicia-se e avisa. | AçãoControlar Detetar | PredefiniçãoAtivado Resposta automática | ProdutosMac Linux |
| Atualização automática de dados de ameaças assinados | Recebe feeds de ameaças, dados de vulnerabilidades e regras verificando a assinatura. Não envia informação do equipamento. | AçãoControlar | PredefiniçãoAtivado | ProdutosMac Linux Linux Server |
| Desinstalação reversível | Antes de remover, repõe a configuração de rede e retira os ficheiros isco e as definições acrescentadas. | AçãoControlar | PredefiniçãoExecução manual Resposta manual | ProdutosMac Linux Linux Server |
| Gestão centralizada pela organização (Fleet) | Regista os equipamentos na organização e recebe e aplica políticas assinadas. No equipamento é possível verificar o estado do registo e das políticas. | AçãoControlar Comunicar | PredefiniçãoOpcional | ProdutosLinux Linux Server |
| Ronda autónoma periódica | Executa periodicamente em segundo plano o diagnóstico geral. | AçãoAuditar | PredefiniçãoAtivado Apenas notificar | ProdutosMac |
| Recolha automática de provas na contenção | Quando a contenção começa, reúne automaticamente as provas desse momento. A integridade pode ser verificada com o SHA-256 de cada ficheiro. | AçãoRegistar | PredefiniçãoAtivado Resposta automática | ProdutosMac Linux |
| Histórico de notificações | Permite consultar as notificações recentes com o programa de origem, o comando e o caminho. Se não for possível identificar a origem, indica-o. | AçãoRegistar Comunicar | PredefiniçãoAtivado | ProdutosMac Linux Linux Server |
| Notificações urgentes (Telegram, LINE, Webhook) | Envia as deteções graves para o Telegram, o LINE e o Webhook. O Slack, o Discord e o Teams podem usar-se através do URL de um Webhook de entrada. | AçãoComunicar | PredefiniçãoOpcional Apenas notificar | ProdutosLinux Server |
| Reencaminhamento de eventos (SIEM, syslog, Webhook) | Reencaminha deteções e notificações para um syslog, para ficheiros JSON Lines ou para um Webhook assinado que indicar. O que não foi possível enviar é reenviado. | AçãoComunicar | PredefiniçãoOpcional | ProdutosMac Linux Server |
| Registo com proteção contra adulteração | Encadeia com hashes o registo de execução para que possa ser verificado depois. O troço em escrita também recebe pontos de controlo a intervalos regulares. | AçãoRegistar | PredefiniçãoAtivado | ProdutosMac Linux Linux Server |
| Todas as funções a partir do terminal | Todas as funções do Server Edition utilizam-se apenas com o teclado num ecrã de 80x24 por SSH. A configuração mostra as diferenças antes de guardar e faz uma cópia de segurança. | AçãoControlar | PredefiniçãoAtivado | ProdutosLinux Server |
| Receber auditorias do Sensor | Emparelha o Server Edition com o Sensor para receber auditorias a partir do exterior da LAN. | AçãoControlar Auditar | PredefiniçãoOpcional Resposta manual | ProdutosLinux Server |
| Emparelhamento e revogação | Com um código de utilização única, o equipamento e o Sensor confiam mutuamente. Em caso de perda ou roubo, revoga-se a partir do coletor e esse Sensor pára por si. | AçãoControlar | Predefinição— Resposta manual | ProdutosSensor |
| Agregação de várias instalações (coletor) | Reúne com assinatura os resumos de vários Sensor. Permite ver o estado por instalação num painel e exportá-lo para CSV. | AçãoComunicar | PredefiniçãoOpcional | ProdutosSensor |
Nenhuma funcionalidade correspondente
O que para automaticamente e o que apenas notifica
As funcionalidades que atuam sozinhas após uma deteção e as que apenas notificam.
Bloqueio ou isolamento automático 27
| Funcionalidade | Ação | Predefinição | Produtos |
|---|---|---|---|
| Deteção de cifragem em massa | AçãoDetetar Isolar | PredefiniçãoAtivado com Pro | ProdutosMac Linux |
| Análise de malware após a transferência | AçãoDetetar Bloquear | PredefiniçãoAtivado | ProdutosMac Linux |
| Integração com a deteção de malware da Apple | AçãoIsolar | PredefiniçãoAtivado com Pro | ProdutosMac |
| Deteção de ClickFix | AçãoDetetar Bloquear | PredefiniçãoOpcional | ProdutosMac Linux |
| Bloqueio prévio de execuções perigosas | AçãoBloquear | PredefiniçãoAtivado | ProdutosLinux |
| Deteção de intrusões no kernel e isolamento autónomo | AçãoDetetar Isolar | PredefiniçãoAtivado | ProdutosLinux Server |
| Mudança do nível de proteção consoante a rede | AçãoControlar Bloquear | PredefiniçãoAtivado | ProdutosMac Linux |
| Paragem e restauro automáticos de serviços partilhados | AçãoControlar Bloquear | PredefiniçãoAtivado | ProdutosMac Linux |
| Bloqueio automático de portas desconhecidas expostas | AçãoDetetar Bloquear | PredefiniçãoAtivado com Pro | ProdutosMac Linux |
| Bloqueio da exposição externa de servidores de desenvolvimento | AçãoBloquear | PredefiniçãoAtivado com Pro | ProdutosMac Linux |
| Deteção e bloqueio de análises de portas externas | AçãoDetetar Bloquear | PredefiniçãoAtivado com Pro | ProdutosMac Linux Linux Server |
| Deteção e bloqueio automático de ARP spoofing | AçãoDetetar Isolar | PredefiniçãoAtivado com Pro | ProdutosMac Linux |
| Proteção contra ameaças DNS | AçãoBloquear | PredefiniçãoAtivado | ProdutosMac Linux |
| Proteção de ligações | AçãoDetetar Bloquear | PredefiniçãoAtivado | ProdutosMac Linux |
| VPN e kill switch em redes não fiáveis | AçãoControlar Bloquear | PredefiniçãoOpcional | ProdutosMac Linux |
| Desligar o Wi-Fi durante o Air-Gap | AçãoIsolar | PredefiniçãoAtivado | ProdutosMac |
| Recusa predefinida de entrada e proteção contra o bloqueio do SSH | AçãoBloquear | PredefiniçãoAtivado | ProdutosLinux Server |
| Bloqueio de comunicações de saída para IP maliciosos | AçãoBloquear | PredefiniçãoAtivado | ProdutosLinux Server |
| Deteção de web shells e código malicioso | AçãoDetetar Bloquear | PredefiniçãoAtivado com Pro | ProdutosMac Linux Server |
| Web Gate | AçãoBloquear | PredefiniçãoOpcional | ProdutosLinux Server |
| File Scan Guard | AçãoDetetar Bloquear | PredefiniçãoOpcional | ProdutosLinux Server |
| Deteção e bloqueio de força bruta SSH | AçãoDetetar Bloquear | PredefiniçãoAtivado com Pro | ProdutosMac Linux Linux Server |
| Prevenção do contorno da firewall pelo Docker | AçãoBloquear | PredefiniçãoAtivado | ProdutosLinux Server |
| Controlo e verificação do Bluetooth | AçãoControlar Auditar | PredefiniçãoOpcional | ProdutosMac Linux |
| Proteção no arranque (experimental) | AçãoBloquear | PredefiniçãoOpcional | ProdutosLinux Linux Server |
| Autovigilância e reinício automático | AçãoControlar Detetar | PredefiniçãoAtivado | ProdutosMac Linux |
| Recolha automática de provas na contenção | AçãoRegistar | PredefiniçãoAtivado | ProdutosMac Linux |
Apenas notificar 42
| Funcionalidade | Ação | Predefinição | Produtos |
|---|---|---|---|
| Deteção com ficheiros isco | AçãoDetetar Isolar | PredefiniçãoAtivado com Pro | ProdutosMac Linux Linux Server |
| Diagnóstico da atualidade da cópia de segurança | AçãoAuditar | PredefiniçãoAtivado | ProdutosMac Linux Linux Server |
| Credenciais isco | AçãoDetetar | PredefiniçãoAtivado com Pro | ProdutosMac Linux Linux Server |
| Vigilância da leitura de ficheiros de credenciais | AçãoDetetar | PredefiniçãoAtivado | ProdutosLinux |
| Vigilância dos dados guardados no navegador | AçãoDetetar | PredefiniçãoOpcional | ProdutosMac |
| Diagnóstico das credenciais de agentes de IA | AçãoAuditar | PredefiniçãoAtivado | ProdutosMac |
| Registo de execução de processos e deteção de técnicas de ataque | AçãoDetetar Registar | PredefiniçãoOpcional | ProdutosMac Linux Linux Server |
| Importação de regras Sigma | AçãoDetetar | PredefiniçãoOpcional | ProdutosMac Linux Linux Server |
| Deteção de shell inversa | AçãoDetetar | PredefiniçãoAtivado com Pro | ProdutosMac Linux Linux Server |
| Correspondência de padrões no conteúdo dos ficheiros | AçãoDetetar | PredefiniçãoAtivado | ProdutosMac Linux Linux Server |
| Deteção de terminações anómalas de workers do servidor web | AçãoDetetar | PredefiniçãoAtivado com Pro | ProdutosMac Linux Server |
| Vigilância dos registos de arranque automático | AçãoDetetar | PredefiniçãoAtivado | ProdutosMac Linux |
| Vigilância da integridade de ficheiros críticos do sistema | AçãoDetetar Registar | PredefiniçãoAtivado com Pro | ProdutosMac Linux Server |
| Vigilância da adulteração de ficheiros de bloqueio | AçãoDetetar | PredefiniçãoAtivado com Pro | ProdutosMac |
| Vigilância de alterações SUID e SGID | AçãoDetetar | PredefiniçãoAtivado | ProdutosLinux Server |
| Vigilância da eliminação de registos | AçãoDetetar | PredefiniçãoAtivado | ProdutosLinux Server |
| Auditoria de portas expostas | AçãoAuditar | PredefiniçãoAtivado | ProdutosMac Linux Linux Server |
| Diagnóstico da segurança do Wi-Fi | AçãoDetetar Auditar | PredefiniçãoAtivado | ProdutosMac Linux |
| Vigilância de alterações na configuração de rede | AçãoDetetar | PredefiniçãoAtivado com Pro | ProdutosMac Linux |
| Deteção de túneis DNS | AçãoDetetar | PredefiniçãoAtivado | ProdutosLinux Server |
| Deteção de enumeração de identificadores (Web Access Guard) | AçãoDetetar Bloquear | PredefiniçãoOpcional | ProdutosLinux Server |
| Diagnóstico da configuração de SSH e sudo | AçãoAuditar | PredefiniçãoAtivado | ProdutosMac Linux Linux Server |
| Deteção de arranques perigosos de contentores | AçãoDetetar | PredefiniçãoOpcional | ProdutosMac Linux Server |
| Deteção de esgotamento de recursos e falhas | AçãoDetetar | PredefiniçãoAtivado | ProdutosLinux Server |
| Vigilância das ligações aos metadados da nuvem | AçãoDetetar | PredefiniçãoAtivado | ProdutosLinux Server |
| Proteção de contas dedicadas a agentes de IA | AçãoControlar Detetar | PredefiniçãoOpcional | ProdutosLinux Server |
| Cruzamento com vulnerabilidades do kernel | AçãoAuditar | PredefiniçãoAtivado | ProdutosLinux Linux Server |
| Auditoria da configuração de agentes de IA | AçãoAuditar Detetar | PredefiniçãoExecução manual | ProdutosMac Linux Linux Server |
| Aviso de instruções misturadas para a IA | AçãoDetetar | PredefiniçãoAtivado | ProdutosMac Linux Linux Server |
| Identificação de ambientes de execução de IA locais | AçãoAuditar | PredefiniçãoAtivado | ProdutosMac Linux |
| Diagnóstico geral de segurança | AçãoAuditar Comunicar | PredefiniçãoAtivado | ProdutosMac Linux Linux Server |
| Diagnóstico das respostas LLMNR e NBNS | AçãoAuditar | PredefiniçãoAtivado | ProdutosLinux Linux Server |
| Auditoria de registos de segurança | AçãoDetetar Auditar | PredefiniçãoAtivado com Pro | ProdutosMac Linux Linux Server |
| Execução periódica (PersonalSOC, opcional) | AçãoComunicar | PredefiniçãoOpcional | ProdutosPersonalSOC |
| Deteção de tráfego suspeito na LAN (Sensor, captura passiva) | AçãoDetetar | PredefiniçãoOpcional | ProdutosSensor |
| Auditoria periódica e diferenças em relação à anterior (Sensor) | AçãoAuditar Comunicar | PredefiniçãoOpcional | ProdutosSensor |
| Relatórios de auditoria e notificações (Sensor) | AçãoComunicar Registar | PredefiniçãoOpcional | ProdutosSensor |
| Inventário de dispositivos da LAN e vigilância ARP | AçãoDetetar Registar | PredefiniçãoAtivado | ProdutosSensor |
| Deteção de servidores DHCP e routers IPv6 não autorizados | AçãoDetetar | PredefiniçãoAtivado | ProdutosSensor |
| Aprendizagem do comportamento habitual de cada dispositivo | AçãoDetetar | PredefiniçãoAtivado | ProdutosSensor |
| Ronda autónoma periódica | AçãoAuditar | PredefiniçãoAtivado | ProdutosMac |
| Notificações urgentes (Telegram, LINE, Webhook) | AçãoComunicar | PredefiniçãoOpcional | ProdutosLinux Server |
Resposta manual 21
| Funcionalidade | Ação | Predefinição | Produtos |
|---|---|---|---|
| Restauro de ficheiros anteriores ao dano | AçãoControlar Registar | PredefiniçãoAtivado | ProdutosMac Linux |
| Deteção de chaves de API e chaves privadas | AçãoAuditar | PredefiniçãoAtivado | ProdutosMac Linux Linux Server |
| Verificação de módulos do kernel usados para escalar privilégios | AçãoAuditar Controlar | PredefiniçãoExecução manual | ProdutosLinux Linux Server |
| Diagnóstico da segurança de URL | AçãoAuditar | PredefiniçãoExecução manual | ProdutosMac Linux |
| Air-Gap (corte total de emergência) | AçãoIsolar | PredefiniçãoExecução manual | ProdutosMac Linux |
| Cruzamento com vulnerabilidades conhecidas de pacotes | AçãoAuditar | PredefiniçãoExecução manual | ProdutosMac Linux Linux Server |
| Aceitação de vulnerabilidades | AçãoControlar Registar | PredefiniçãoExecução manual | ProdutosMac Linux |
| Verificação do código executado na instalação | AçãoAuditar | PredefiniçãoExecução manual | ProdutosMac Linux |
| Inspeção da origem das dependências | AçãoAuditar | PredefiniçãoExecução manual | ProdutosMac |
| Deteção de pacotes com nome parecido | AçãoAuditar | PredefiniçãoExecução manual | ProdutosMac Linux |
| Verificação das assinaturas de pacotes npm | AçãoAuditar | PredefiniçãoOpcional | ProdutosMac Linux Server |
| Verificação da configuração MCP | AçãoAuditar | PredefiniçãoExecução manual | ProdutosMac Linux |
| Controlo do armazenamento USB | AçãoBloquear Controlar | PredefiniçãoOpcional | ProdutosMac Linux |
| Prevenção de BadUSB | AçãoBloquear | PredefiniçãoOpcional | ProdutosMac Linux |
| Diagnóstico de vulnerabilidades com verificação real | AçãoAuditar | PredefiniçãoOpcional | ProdutosMac Linux |
| Análise de caminhos de escalada de privilégios | AçãoAuditar | PredefiniçãoExecução manual | ProdutosPathScope |
| Auditoria de vulnerabilidades a partir do exterior da LAN | AçãoAuditar | PredefiniçãoExecução manual | ProdutosSensor |
| Auditoria leve de dispositivos não instalados | AçãoAuditar | PredefiniçãoOpcional | ProdutosSensor |
| Desinstalação reversível | AçãoControlar | PredefiniçãoExecução manual | ProdutosMac Linux Linux Server |
| Receber auditorias do Sensor | AçãoControlar Auditar | PredefiniçãoOpcional | ProdutosLinux Server |
| Emparelhamento e revogação | AçãoControlar | Predefinição— | ProdutosSensor |
O que cobre e o que não cobre 52
Para cada técnica de ataque (MITRE ATT&CK): detetada, parcialmente detetada ou não coberta.
| Técnica | Mac | Linux | Linux Server |
|---|---|---|---|
| T1027 Obfuscated Files or Information | Mac— | LinuxParcial | Linux ServerParcial |
| T1027.010 Obfuscated Files or Information: Command Obfuscation | MacParcial | Linux— | Linux Server— |
| T1036 Masquerading | MacNão coberta | LinuxNão coberta | Linux ServerNão coberta |
| T1037.004 Boot or Logon Initialization Scripts: RC Scripts | Mac— | LinuxParcial | Linux ServerNão coberta |
| T1046 Network Service Discovery | MacParcial | Linux— | Linux Server— |
| T1053.003 Scheduled Task/Job: Cron | Mac— | LinuxParcial | Linux ServerParcial |
| T1055 Process Injection | MacNão coberta | LinuxParcial | Linux ServerParcial |
| T1055.008 Process Injection: Ptrace System Calls | Mac— | LinuxParcial | Linux ServerParcial |
| T1059.002 Command and Scripting Interpreter: AppleScript | MacParcial | Linux— | Linux Server— |
| T1059.004 Command and Scripting Interpreter: Unix Shell | MacParcial | LinuxParcial | Linux ServerParcial |
| T1068 Exploitation for Privilege Escalation | Mac— | LinuxParcial | Linux ServerParcial |
| T1070.002 Indicator Removal: Clear Linux or Mac System Logs | MacNão coberta | LinuxNão coberta | Linux ServerParcial |
| T1070.003 Indicator Removal: Clear Command History | MacNão coberta | LinuxNão coberta | Linux ServerNão coberta |
| T1070.004 Indicator Removal: File Deletion | Mac— | LinuxParcial | Linux ServerParcial |
| T1071.004 Application Layer Protocol: DNS | Mac— | LinuxParcial | Linux ServerParcial |
| T1091 Replication Through Removable Media | MacParcial | Linux— | Linux Server— |
| T1098.004 Account Manipulation: SSH Authorized Keys | MacParcial | LinuxParcial | Linux ServerParcial |
| T1105 Ingress Tool Transfer | Mac— | LinuxParcial | Linux ServerParcial |
| T1110.001 Brute Force: Password Guessing | MacDetetada | LinuxParcial | Linux ServerParcial |
| T1195.001 Supply Chain Compromise: Compromise Software Dependencies and Development Tools | MacParcial | Linux— | Linux Server— |
| T1200 Hardware Additions | MacParcial | Linux— | Linux Server— |
| T1204.002 User Execution: Malicious File | MacParcial | Linux— | Linux Server— |
| T1204.004 User Execution: Malicious Copy and Paste | MacParcial | Linux— | Linux Server— |
| T1486 Data Encrypted for Impact | MacParcial | LinuxParcial | Linux ServerParcial |
| T1490 Inhibit System Recovery | MacParcial | LinuxParcial | Linux ServerParcial |
| T1505.003 Server Software Component: Web Shell | MacParcial | LinuxParcial | Linux ServerParcial |
| T1543.001 Create or Modify System Process: Launch Agent | MacDetetada | Linux— | Linux Server— |
| T1543.002 Create or Modify System Process: Systemd Service | Mac— | LinuxParcial | Linux ServerParcial |
| T1543.004 Create or Modify System Process: Launch Daemon | MacDetetada | Linux— | Linux Server— |
| T1546.004 Event Triggered Execution: Unix Shell Configuration Modification | MacParcial | LinuxParcial | Linux ServerParcial |
| T1546.016 Event Triggered Execution: Installer Packages | Mac— | LinuxParcial | Linux ServerNão coberta |
| T1546.017 Event Triggered Execution: Udev Rules | Mac— | LinuxParcial | Linux ServerNão coberta |
| T1547.015 Boot or Logon Autostart Execution: Login Items | MacNão coberta | Linux— | Linux Server— |
| T1548.001 Abuse Elevation Control Mechanism: Setuid and Setgid | Mac— | LinuxNão coberta | Linux ServerParcial |
| T1548.003 Abuse Elevation Control Mechanism: Sudo and Sudo Caching | MacParcial | Linux— | Linux Server— |
| T1552.001 Unsecured Credentials: Credentials In Files | MacParcial | LinuxParcial | Linux ServerParcial |
| T1552.005 Unsecured Credentials: Cloud Instance Metadata API | Mac— | LinuxNão coberta | Linux ServerParcial |
| T1553.001 Subvert Trust Controls: Gatekeeper Bypass | MacParcial | Linux— | Linux Server— |
| T1555.001 Credentials from Password Stores: Keychain | MacParcial | Linux— | Linux Server— |
| T1555.003 Credentials from Password Stores: Credentials from Web Browsers | MacParcial | Linux— | Linux Server— |
| T1557.001 Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay | MacNão coberta | LinuxParcial | Linux ServerNão coberta |
| T1557.002 Adversary-in-the-Middle: ARP Cache Poisoning | MacParcial | LinuxParcial | Linux ServerNão coberta |
| T1557.003 Adversary-in-the-Middle: DHCP Spoofing | MacParcial | LinuxParcial | Linux ServerNão coberta |
| T1562.001 Impair Defenses: Disable or Modify Tools | MacParcial | LinuxParcial | Linux ServerParcial |
| T1562.004 Impair Defenses: Disable or Modify System Firewall | MacNão coberta | LinuxParcial | Linux ServerNão coberta |
| T1562.006 Impair Defenses: Indicator Blocking | MacNão coberta | LinuxNão coberta | Linux ServerParcial |
| T1562.012 Impair Defenses: Disable or Modify Linux Audit System | Mac— | LinuxNão coberta | Linux ServerNão coberta |
| T1566.002 Phishing: Spearphishing Link | MacParcial | Linux— | Linux Server— |
| T1574.004 Hijack Execution Flow: Dylib Hijacking | MacNão coberta | Linux— | Linux Server— |
| T1574.006 Hijack Execution Flow: Dynamic Linker Hijacking | MacParcial | LinuxParcial | Linux ServerParcial |
| T1610 Deploy Container | MacParcial | Linux— | Linux Server— |
| T1620 Reflective Code Loading | Mac— | LinuxParcial | Linux ServerParcial |
«Não coberta» significa que não existe nenhum mecanismo que detete essa técnica.