Ainda precisa de antivírus com uma VPN ativa?

Comece pelo download que você está prestes a executar. Você abriu uma página, um arquivo caiu na pasta de downloads, e a pergunta é qual dos seus dois produtos de segurança olhou para ele. O túnel transportou os bytes; algo no dispositivo precisa decidir se o arquivo é seguro para executar. São tarefas diferentes, feitas por componentes diferentes.

Percorrer um único arquivo é mais rápido do que comparar listas de recursos, então acompanhe-o do clique até o aviso de instalação.

Comece pelo que o túnel transporta

Quando você pede um arquivo por uma VPN, o cliente criptografa seu tráfego e o envia a um endpoint, que o encaminha para o site. O site devolve bytes que viajam de volta pelo mesmo caminho. Em nenhum momento o túnel abre o arquivo compactado, inspeciona o instalador ou pergunta o que o executável fará, porque isso não é o que um transporte faz.

A criptografia em trânsito resolve um problema mais estreito: mantém o conteúdo legível apenas para os endpoints daquela conexão. Um arquivo malicioso continua sendo um arquivo malicioso depois de uma viagem perfeitamente criptografada. Se o site que o hospeda for o atacante, o túnel protege o download do atacante da observação em vez de proteger você da carga útil.

Verifique para onde vai seu tráfego antes de confiar no download. Uma página que parece o site de um fornecedor pode ser um anúncio ou um domínio parecido, e o túnel vai transportar isso com a mesma fidelidade.

Onde o malware fica em relação ao túnel

O malware precisa ser executado em algo. Um instalador com trojan roda com suas permissões e, depois de iniciado, pode ler arquivos antes de um aplicativo criptografá-los ou depois que ele os descriptografa, o que o coloca completamente fora da visão do túnel. O túnel pode proteger o caminho de exfiltração que vem depois, e não pode impedir o roubo que aconteceu antes de um único pacote sair do dispositivo.

É por isso que a proteção do endpoint existe como um controle separado. Ela inspeciona arquivos em repouso após o download, observa o comportamento de processos e bloqueia indicadores ruins conhecidos, com a ressalva de sempre de que a detecção depende de assinaturas, heurística, consultas na nuvem e configuração. Nenhum scanner reconhece tudo, e é por isso que backups, higiene de contas e downloads cuidadosos ainda pesam.

Abra a lista de downloads do navegador e olhe o nome e a origem reais do arquivo antes de executar qualquer coisa. Extensões duplicadas, arquivos compactados que contêm um executável e instaladores obtidos por uma cadeia de redirecionamentos são todos visíveis naquele momento, e nenhum deles exige que você raciocine sobre criptografia.

Leia a lista de recursos do produto que você instalou

Algumas suítes agrupam um cliente de túnel, um filtro de domínios maliciosos e um scanner local em um único instalador. Isso é um produto que combina ferramentas, não a prova de que uma ferramenta faça o trabalho da outra. Leia qual componente faz o quê antes de cancelar uma assinatura ou desinstalar um scanner que ainda faz alguma coisa.

O filtro de domínios é o que mais costuma ser confundido com a proteção do endpoint. Ele bloqueia a resolução de nomes para domínios ruins conhecidos, o que pode deter um download antes que comece, e não faz nada com um arquivo que já está no disco. O scanner local lê o arquivo; o filtro remoto nunca o vê. Um perfil de túnel simples importado em um cliente genérico não contém nenhum desses recursos.

As verificações de permissão estão na mesma camada da decisão de download. Se um instalador pede direitos de administrador para mudar configurações de rede, esse pedido merece ser lido, e o fato de o download ter sido criptografado não o torna mais seguro.

Resolva um conflito sem desativar a proteção

Quando os dois produtos interferem, identifique a camada que falhou antes de adicionar uma exclusão. Um instalador em quarentena, um túnel que não se estabelece e um certificado rejeitado são três eventos diferentes com três correções diferentes, e só o terceiro tem relação com criptografia.

Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled
Get-MpThreatDetection | Select-Object -Last 5
Get-NetConnectionProfile | Select-Object Name, InterfaceAlias

Não dê uma exclusão a uma pasta de downloads inteira só para que um arquivo de instalação abra. Onde a máquina é gerenciada, um administrador decide se um único componente verificado merece uma exceção estreita, e o que você afrouxou é restaurado quando o teste termina. Se uma mudança não explicou a falha, reverta-a em vez de deixar o dispositivo mais fraco do que o encontrou.

Nenhum dos dois produtos substitui o outro. O túnel cuida do caminho e do endereço que o outro lado vê, a proteção do endpoint cuida do arquivo e do comportamento dele, e as perguntas frequentes da Microsoft sobre software antivírus e antimalware são um ponto de partida razoável para o que se espera que o segundo cubra.