Pontos principais
- “Navegador seguro” e “navegador corporativo” não são a mesma coisa, e escolher o option errado para suas necessidades desperdiça o orçamento e gera brechas de segurança.
- O navegador é hoje a principal superfície de ataque nas empresas, mas a maioria das organizações ainda não possui controles de segurança no nível da sessão.
- Existem quatro abordagens de segurança para navegadores (gerenciamento de navegadores existentes, extensões, RBI e navegadores corporativos), e a maioria das organizações precisa de mais de uma.
- A política de segurança do seu navegador deve definir o problema antes de você avaliar qualquer fornecedor ou produto.
- A estratégia correta consiste em adequar cada ferramenta a um público-alvo específico e a um nível de risco específico, em vez de oferecer uma solução única para todos.
Você provavelmente já ouviu os termos “navegador seguro do ” e “navegador corporativo” serem mencionados em suas reuniões de TI ou com fornecedores e se perguntou se eles significam a mesma coisa. Afinal, todas as empresas devem estar usando um navegador seguro, certo?
Bem, não exatamente. Há algumas nuances a serem consideradas e, neste guia, explicamos o que é um navegador seguro, como ele difere de um navegador corporativo e como determinar qual deles (ou qual combinação) sua organização realmente precisa.
Por que o navegador se tornou um problema de segurança
Não faz muito tempo (ou há cerca de 40 anos, segundo o CERN), a World Wide Web surgiu e, com ela, o navegador, que era basicamente apenas uma “janela” para a internet. Hoje, é lá que a maioria dos seus funcionários realiza a maior parte do trabalho. Eles fazem login em aplicativos SaaS, lidam com informações de identificação pessoal (PII), utilizam ferramentas de IA e se autenticam em sistemas financeiros, tudo isso dentro de uma aba do navegador.
Essa mudança transformou o navegador no aplicativo mais importante e menos protegido da empresa. , analista sênior principal da Gartner, chegou a descrever os navegadores da web como o “principal método de acesso para a maioria dos aplicativos corporativos modernos”; no entanto, muitas organizações ainda os tratam como ferramentas passivas, sem aplicação de políticas no nível da sessão. Os firewalls tradicionais e as primeiras VPNs, por exemplo, nunca foram projetados para monitorar o que ocorre dentro de uma sessão do navegador. É esse ponto cego que os agentes mal-intencionados têm como alvo.
Os ataques baseados em navegadores estão aumentando rapidamente. Só neste ano, cerca de 48% dos incidentes analisados envolveram atividades realizadas em navegadores, , de acordo com a Palo Alto Networks. Pior ainda, especialistas em TI estão constatando que os cibercriminosos agora são quatro vezes mais rápidos na infiltração em organizações do que no ano passado.
É óbvio que o navegador é o novo perímetro. A questão é como garantir isso.
O que é uma política de segurança do navegador?
Antes de comparar produtos, é importante compreender o conceito que deve orientar sua decisão: uma política de segurança do navegador.
Essencialmente, uma política de segurança de navegadores é simplesmente um conjunto de regras que define como os navegadores são configurados, monitorados e utilizados em toda a sua organização. A política abrange aspectos como quais navegadores são aprovados, como as extensões são gerenciadas, quais sites os usuários podem visitar, se a sincronização pessoal é permitida, como os downloads e uploads são tratados e o que acontece quando um usuário tenta acessar um aplicativo confidencial a partir de um dispositivo não gerenciado.
Sem essa política, as equipes de TI muitas vezes acabam adquirindo ferramentas antes mesmo de terem definido o problema. O resultado é ou um excesso de engenharia (como implantar um navegador corporativo completo quando configurações mais restritas do Chrome já teriam resolvido a questão) ou uma falta de engenharia (como presumir que o navegador integrado está adequado porque “é gerenciado pela TI”).
Navegador seguro x navegador corporativo
Apesar de os termos serem usados de forma intercambiável, um “navegador seguro” não é a mesma coisa que um “navegador corporativo”.
O que é um navegador seguro?
Um navegador seguro é, em essência, um navegador protegido contra os perigos da internet aberta. A filosofia por trás disso é simples: A internet é um ambiente hostil, e a maioria dos navegadores voltados para o consumidor não foi desenvolvida levando em conta a exposição a ameaças de tipo “ ” no âmbito corporativo. Um navegador seguro resolve essa questão ao incorporar camadas de proteção na experiência de navegação ou ao redor dela, no dia a dia.
Na prática, isso pode ficar assim:
- Filtragem de URLs e de conteúdo para bloquear o acesso a sites conhecidos como maliciosos ou inadequados.
- Proteções contra phishing para alertar sobre diversos tipos de ataques a credenciais, tais como (dumping de credenciais), ou (credential stuffing) e.
- Proteção contra malware para evitar downloads automáticos.
- Restrições de download e upload para limitar a entrada e saída de arquivos em uma sessão do navegador.
- Controles da área de transferência para impedir que conteúdo confidencial seja colado em destinos não confiáveis.
É importante ressaltar que um navegador seguro não precisa necessariamente ser um produto separado. Pode ser um navegador já existente, como o Chrome ou o Edge, configurado e restrito por políticas de segurança, e cuja aplicação seja garantida por meio de uma das melhores ferramentas de gerenciamento de terminais do site . Mesmo assim, o principal diferencial é que os controles de segurança do navegador são voltados principalmente para o exterior. Elas protegem os usuários do conteúdo da internet e se concentram menos em controlar o que os usuários fazem nos aplicativos que acessam.
O que é um navegador corporativo?
Um navegador corporativo é um conceito muito mais ambicioso. Em vez de simplesmente proteger os usuários contra ameaças da web, ele transforma o próprio navegador em um espaço de trabalho corporativo totalmente gerenciado, no qual as equipes de TI têm controle centralizado sobre o acesso, a movimentação de dados, o comportamento das sessões, a disponibilização de aplicativos e a atividade dos usuários.
Concretamente, os navegadores corporativos podem:
- Restringir ou permitir a função copiar e colar em cada aplicativo individualmente.
- Bloquear capturas de tela de forma obrigatória no nível do sistema operacional (e não apenas como uma recomendação de política).
- O conteúdo é exibido com marca d’água para impedir capturas não autorizadas.
- Controle os downloads e uploads de arquivos por meio de regras detalhadas e sensíveis ao contexto.
- Controle a impressão.
- Gerenciar extensões.
- Implemente aplicativos internos sem a necessidade de uma VPN do tipo “ ”.
- Integre-se a provedores de identidade corporativos, como o Okta, para oferecer suporte ao SSO e à autenticação multifatorial (MFA) do tipo “ ”.
- Atuar como camada de controle de acesso para prestadores de serviços e usuários BYOD que, de outra forma, precisariam de uma sessão de VDI ou de uma conexão VPN.
Esse nível de controle é realmente poderoso, mas traz (compreensivelmente) algumas desvantagens significativas. A Gartner estima, em, que menos de 10% das organizações utilizam atualmente um navegador corporativo seguro por diversos motivos, incluindo a necessidade de fazer com que os usuários deixem de usar o Chrome ou o Edge, navegadores que já são amplamente utilizados por muitos funcionários. Isso gera não apenas dificuldades na adoção, mas também um grande investimento financeiro inicial, uma vez que as organizações precisam substituir, em grande escala, os navegadores gratuitos destinados ao consumidor por navegadores licenciados.
Por que essa distinção é importante na prática
Compreender essas diferenças afeta diretamente seu orçamento de TI ,, sua eficiência e seu fluxo de trabalho. Uma empresa que implanta um navegador corporativo quando, na verdade, precisa de configurações de segurança no navegador acabou complicando demais a situação e criando dificuldades desnecessárias para os usuários. Por outro lado, uma empresa que se contenta em apenas tornar mais rígidas suas políticas do Chrome quando precisa de um navegador corporativo para sua força de trabalho terceirizada , subestimou a gravidade do problema e deixou a exposição real de dados sem solução.
Na prática, isso significa que a pergunta certa é e não “Devo adotar um navegador seguro ou um navegador corporativo?”, mas sim “Qual é o problema real que estou tentando resolver?”
Se a resposta for “Nossos usuários clicam em links maliciosos e não temos visibilidade da atividade na web”, uma abordagem baseada em navegador seguro pode ser a melhor opção. Por outro lado, se a sua resposta for: “Temos 500 prestadores de serviços acessando dados de clientes por meio de laptops não gerenciados e não temos controle no nível da sessão sobre o que eles fazem”, um navegador corporativo é a opção mais adequada.
Dito isso, na maioria das organizações, independentemente do tamanho, a resposta sincera é que ambos os problemas ocorrem em diferentes usuários, dispositivos e aplicativos. É por isso que as estratégias de segurança de navegadores mais maduras tendem a combinar diferentes abordagens, em vez de optar por uma única solução para todos.
Comparação lado a lado
Navegador seguro | Navegador corporativo | |
| Objetivo principal | Reduz a exposição a ameaças na web | Controle o navegador como um espaço de trabalho gerenciado |
| Foco | Acesso mais seguro à internet | Governança de SaaS, proteção de dados, controle de sessões |
| Usuários típicos | Usuários da internet de alto risco, pesquisadores | Prestadores de serviços, usuários do modelo BYOD, equipes sujeitas a regulamentação, centrais de atendimento |
| Controles principais | Filtragem de URLs, bloqueio de malware, proteção contra phishing e restrições de download | Regras de copiar/colar, bloqueio de capturas de tela, marca d’água, distribuição de aplicativos, DLP |
| Impacto na experiência do usuário | Moderado; navegar na internet costuma parecer mais seguro, mas familiar. | Mais alto; pode ser necessário mudar para um novo navegador. |
| Substitui o navegador atual? | Não necessariamente | É muito provável que sim, especialmente para a população-alvo |
| Melhor ajuste | Quando o principal problema é um comportamento de navegação inseguro | Quando o navegador se torna o principal ambiente de trabalho |
Quatro abordagens de segurança para navegadores
Existem quatro abordagens principais para a segurança do navegador, e entender qual delas se adapta melhor ao seu caso de uso específico na empresa ajuda você a escolher a opção certa.
Gerenciamento dos navegadores existentes
Muitas organizações podem melhorar significativamente a segurança de seus navegadores sem precisar substituir o Chrome ou o Edge. Se seus dispositivos já forem gerenciados por meio de um MDM ( ) ou de uma Política de Grupo, você pode exigir atualizações automáticas, bloquear versões de navegadores não compatíveis, controlar extensões, restringir a sincronização pessoal, exigir perfis corporativos e definir regras de download, tudo isso sem precisar de um novo produto.
Isso funciona bem quando os dispositivos são totalmente gerenciados, o acesso condicional já está em vigor para aplicativos confidenciais e as equipes de segurança têm visibilidade suficiente sobre a atividade do navegador. Isso costuma apresentar o menor obstáculo à adoção, pois os funcionários continuam usando os navegadores com os quais já estão familiarizados. O único “problema” é que é preciso haver uma aplicação disciplinada das políticas, relatórios e fluxos de trabalho de correção para que isso funcione de fato.
Extensões de segurança para navegadores
As extensões de segurança para navegadores funcionam em conjunto com os navegadores existentes e adicionam uma camada de segurança sem obrigar a troca de navegador. Essas extensões podem oferecer detecção de phishing em tempo real, controles de DLP, visibilidade de SaaS oculto, análise do uso de IA, monitoramento e telemetria do navegador para equipes de segurança.
O que os destaca é a rapidez e a flexibilidade. As extensões são implementadas mais rapidamente do que uma substituição completa do navegador e podem abranger dispositivos BYOD e dispositivos não gerenciados sem a necessidade de agentes nos terminais.
No entanto, as extensões não devem ser consideradas como um substituto universal para os navegadores corporativos. Eles têm limitações em relação aos controles no nível do sistema operacional, como a inserção de marcas d’água ou o bloqueio de capturas de tela.
Isolamento remoto do navegador (RBI)
O isolamento remoto do navegador transfere totalmente a atividade de navegação para fora do dispositivo. Quando um usuário acessa um site, a página é executada em um contêiner baseado na nuvem. Só então um fluxo de imagens seguro é exibido na tela do usuário. O código da web propriamente dito nunca é exibido na tela local.
Isso torna o RBI altamente eficaz contra explorações de dia zero, downloads automáticos e outras ameaças de segurança cibernética do tipo “ ” que dependem da execução local de código malicioso. É particularmente adequado para usuários de alto risco com dispositivos não gerenciados.
A desvantagem, no entanto, é que o RBI pode aumentar a latência, causar problemas de compatibilidade com aplicativos web complexos e pode ter um custo maior para ser dimensionado. Dessa forma, a maioria dos especialistas em TI concorda que o RBI funciona melhor como um controle direcionado, aplicado apenas a sessões de risco, em vez de uma solução abrangente para todo o tráfego da web.
Navegadores corporativos
Os navegadores corporativos controlam a camada de renderização (a parte do navegador que realmente exibe o conteúdo na tela), o que lhes permite exercer um controle mais profundo sem interferir no aplicativo subjacente.
Isso torna os navegadores corporativos extremamente úteis para prestadores de serviços e fornecedores terceirizados, equipes que utilizam dispositivos pessoais (BYOD), ambientes de call center e BPO, bem como usuários sujeitos a regulamentações que lidam com dados confidenciais da área financeira ou da saúde.
Mesmo assim, o desafio está na adaptação. A substituição dos navegadores dos usuários envolve um planejamento complexo de implantação, testes de compatibilidade, aumento do volume de solicitações ao suporte técnico e resistência por parte dos usuários. O custo das licenças corporativas completas também pode representar um desafio significativo para as empresas de menor porte.
Configurações de segurança do navegador que toda organização deveria padronizar
Independentemente da arquitetura escolhida, há configurações básicas de segurança do navegador que todas as organizações são fortemente recomendadas a adotar.
Essas configurações incluem:
- Atualizações automáticas do navegador
- Verificação da versão mínima
- Listas de permissão e de bloqueio de extensões
- Configurações de navegação segura e antiphishing
- Isolamento do local, quando for o caso
- Requisitos do perfil gerenciado
- Restrições à sincronização do navegador
- Regras para armazenamento de senhas e preenchimento automático
- Restrições de download
- Permissões para câmera, microfone, localização e área de transferência
- Controles de janelas pop-up e redirecionamento
- Configurações de DNS e segurança de rede
- Políticas de login no navegador
- Controles contra perda de dados para aplicativos confidenciais
- Requisitos de registro e prestação de contas
Essas configurações parecem básicas, mas a maioria das empresas descobre lacunas significativas quando as verifica de fato.
A importância das verificações de integridade do navegador
Um conceito que não recebe atenção suficiente é a verificação de integridade do navegador, um processo que verifica se um navegador atende aos requisitos de segurança antes de conceder acesso a um aplicativo confidencial.
Pense nisso como um acesso condicional, , mas no nível do navegador. Antes que um usuário acesse seu sistema financeiro ou o portal de prontuários médicos, o sistema verifica se ele está usando um navegador aprovado ou se a configuração do dispositivo atende aos requisitos.
Essas verificações também podem validar:
- Versão do navegador
- Atualizar status
- Status do perfil gerenciado
- Tipo de navegador aprovado
- Inventário de extensões
- Extensões arriscadas ou desconhecidas
- Status das configurações de segurança
- Política de armazenamento de senhas
- Estado da sincronização do navegador
- Posição do dispositivo
- Identidade do usuário
- Risco da sessão
- Conformidade com as políticas
- Se o navegador é gerenciado, minimamente gerenciado ou não gerenciado
As verificações de integridade do navegador são especialmente úteis na interface entre a verificação de identidade e a gestão efetiva da sessão. As arquiteturas de confiança zero, que validam a identidade do usuário, mas não inspecionam a sessão do navegador, deixam uma lacuna significativa, que essas verificações de integridade preenchem.
O resultado de uma verificação de integridade pode variar entre acesso total, acesso restrito somente para leitura, encaminhamento da sessão pelo RBI e bloqueio total do acesso, dependendo do que for constatado na verificação. (As equipes de TI devem definir esses resultados antecipadamente em sua política de segurança de navegadores.)
Como escolher a abordagem certa
A “melhor” arquitetura de segurança para navegadores geralmente não se resume a uma única ferramenta, mas sim a uma combinação adaptada ao seu perfil de risco e ao seu público-alvo.
Recomendamos começar pelos usuários de dispositivos gerenciados. Se os dispositivos estiverem cadastrados, as políticas forem aplicadas e o acesso condicional estiver em vigor, configurações robustas do navegador e uma extensão de segurança podem ser suficientes para a maior parte da força de trabalho.
No entanto, caso comece a trabalhar com prestadores de serviços, fornecedores e usuários do BYOD, talvez seja necessário adaptar sua política. Esses usuários acessam aplicativos corporativos a partir de dispositivos não gerenciados, nos quais não é possível instalar agentes de endpoint nem garantir a conformidade adequada dos dispositivos. Um navegador corporativo, implantado especificamente para esse público-alvo, oferece à equipe de TI controles no nível da sessão sem exigir o gerenciamento completo dos dispositivos.
Para usuários de alto risco ou sessões que envolvam conteúdo da web desconhecido, o RBI oferece uma proteção significativa. Da mesma forma, equipes sujeitas a regulamentação (como as dos setores financeiro ou de saúde) podem se beneficiar de controles corporativos de navegador ou de políticas rigorosas de DLP baseadas em extensões.
A abordagem mais madura combina essas opções. Uma empresa pode gerenciar o Chrome e o Edge para a maioria dos funcionários, utilizar uma extensão de segurança do navegador para detecção de phishing e visibilidade do uso de IA em toda a força de trabalho, implantar o RBI para sites não categorizados e utilizar um navegador corporativo especificamente para grupos regulamentados. O ponto principal é que cada ferramenta corresponde a um caso de uso definido na política de segurança do navegador.
Lista de verificação de referência rápida para equipes corporativas
Lembre-se de que garantir a segurança do seu navegador é um processo contínuo. Certifique-se de revisar regularmente esta lista de verificação, mas você pode usá-la como ponto de partida.
- Faça um levantamento dos navegadores utilizados nos dispositivos gerenciados.
- Defina os navegadores aprovados por grupo de usuários e caso de uso.
- Exigir atualizações automáticas e bloquear versões sem suporte.
- Verifique todas as extensões instaladas em relação a uma lista de permissões bem definida.
- Desative a sincronização pessoal sempre que ela representar um risco de vazamento de dados.
- Gerenciar o armazenamento de senhas nativo do navegador. (Uma abordagem recomendada é proibir o armazenamento de credenciais corporativas nos perfis pessoais dos navegadores. A gestão adequada de credenciais exige que os perfis gerenciados pela empresa sejam utilizados exclusivamente para fins comerciais.)
- Aplique acesso condicional a aplicativos SaaS confidenciais.
- Defina os requisitos de verificação de integridade do navegador para seus fluxos de trabalho de maior risco.
- Encaminhe sites desconhecidos ou não categorizados pelo RBI para usuários de alto risco.
- Utilize controles de navegador corporativos para prestadores de serviços e usuários sujeitos a regulamentação.
Erros comuns a evitar
- Escolher uma ferramenta antes de definir uma política: Adquirir um navegador corporativo sem antes identificar quais usuários, aplicativos e fluxos de trabalho de dados realmente precisam desse nível de controle geralmente resulta em uma implantação que abrange apenas uma fração da força de trabalho, mas custa o preço de uma plataforma completa.
- Considerar “navegador seguro” e “navegador corporativo” como a mesma coisa: Elas resolvem problemas diferentes para usuários diferentes. Confundi-los leva a uma solução excessivamente complexa ou a deixar lacunas reais.
- Aplicar os mesmos controles a todos os usuários: Um desenvolvedor, um atendente de atendimento ao cliente, um analista financeiro e um prestador de serviços têm perfis de risco distintos e necessidades diferentes em termos de segurança do navegador.
- Ignorando extensões do navegador e perfis pessoais: Muitas equipes de TI investem pesadamente em segurança de rede e de terminais, mas deixam as extensões sem verificação e permitem que perfis pessoais do Google ou da Microsoft sincronizem senhas corporativas com dispositivos domésticos.
- Confiar nas configurações do navegador sem imposição de regras nem geração de relatórios: Sem uma maneira de verificar se essas configurações são realmente aplicadas, monitoradas e corrigidas quando ocorrem desvios, a política existe no papel, mas não na prática.
- Esquecendo os prestadores de serviços, os usuários do BYOD e os trabalhadores temporários: Essas populações costumam ser as que apresentam maior exposição ao risco e menor visibilidade.
- Uso do RBI em casos de tráfego excessivo: O isolamento remoto do navegador é uma ferramenta poderosa para sessões de alto risco, mas apresenta problemas reais de latência e compatibilidade quando aplicado de forma generalizada à navegação cotidiana.
- Não associar os alertas do navegador aos fluxos de trabalho de segurança: A telemetria do navegador só é útil se alguém tomar medidas com base nela. Os sinais gerados pelo navegador devem ser integrados ao seu SIEM da , ao SOAR da ou aos fluxos de trabalho de operações de segurança, e não ficar em um painel separado que ninguém consulta.
- Não testar aplicativos de negócios antes de aplicar configurações rigorosas: Aplicar restrições mais rígidas aos navegadores sem antes verificar a compatibilidade com os aplicativos web dos quais suas equipes dependem é uma maneira infalível de gerar tickets de suporte técnico e minar a confiança na equipe de segurança.
Avaliando o melhor tipo de navegador para sua organização
Não há uma resposta definitiva para a pergunta: “O que é melhor: um navegador seguro ou um navegador corporativo?” E isso, na verdade, é uma boa notícia, pois significa que você não precisa necessariamente investir na implantação completa de um navegador corporativo para melhorar significativamente seu nível de segurança.
A abordagem mais inteligente é, em primeiro lugar, criar e implementar uma política de segurança para navegadores que defina claramente como os navegadores devem se comportar, quem precisa de qual nível de controle e o que acontece quando algo dá errado. Uma vez que essa política esteja definida, fica muito mais fácil identificar a ferramenta certa (ou uma combinação delas).
Tópicos relacionados:
