Realizamos o benchmark do Acronis DeviceLock DLP e do ManageEngine DLP Plus em VMs idênticas com Windows Server 2022 com 28 cenários: 23 testes de fuga de dados (incluindo 12 arquivos de evasão adversária), 3 testes de segurança do agente e 2 testes sob alto consumo de CPU e memória.
Para os outros produtos DLP, Netwrix Endpoint Protector, Sophos Intercept X, Teramind DLP e Trellix DLP, revisamos as suas funcionalidades.
Resultados do benchmark DLP
Implementámos cada produto em infraestrutura idêntica: 3 instâncias Contabo Cloud VPS 10 (4 vCPU, 8 GB RAM, 150 GB SSD) a executar Windows Server 2022 Datacenter com Active Directory.
- O Acronis vence no geral com uma vantagem de 10 pontos impulsionada por uma inspeção de conteúdo mais profunda, integração SIEM completa, preservação de evidências por shadow copy e uma biblioteca de modelos de política mais rica.
- Um utilizador que copia dados SSN de uma folha de cálculo e os cola em qualquer formulário web (Pastebin, Google Translate) contorna completamente o ManageEngine. Alterar o formato SSN de 578-12-3364 para 578 12 3364 também o contorna. O Acronis bloqueia ambos.
- Ambos os produtos passaram em todos os testes de adulteração do agente. O agente DLP não pode ser parado, terminado ou desinstalado por uma conta de utilizador padrão.
- Ambos os produtos continuaram a bloquear envios sob 100% de carga de CPU e durante transferências de ficheiros em massa. Esta categoria está documentada mas não pontuada, uma vez que o desempenho sob carga não foi um diferenciador.
- Nenhum dos produtos detetou dados SSN codificados em base64. Ambos bloquearam a falsificação de extensão, arquivos encriptados e a deteção de SSN único em documentos grandes.
A pontuação geral é uma soma ponderada de 8 categorias. Consulte a nossa metodologia de benchmark DLP para obter os pesos e a justificação da pontuação.
Testes de prevenção de fuga de dados
✓: DLP bloqueou a tentativa, ✗: DLP permitiu a passagem
ManageEngine bloqueou 16 de 23 cenários (70%). Acronis bloqueou 19 de 23 cenários (83%). Ambos os produtos bloqueiam os canais de exfiltração padrão (envios de ficheiros, e-mail, transferências web). As diferenças surgem na colagem do clipboard, variantes de formato SSN, exfiltração entre clientes e canais de impressão.
Mapeamento para o OWASP top 10
Os nossos cenários de fuga mapeiam para categorias de vulnerabilidade bem documentadas. A referência principal é A02:2021 Cryptographic Failures, anteriormente denominada “Sensitive Data Exposure”. Esta categoria abrange SSN e PII, deixando o endpoint em texto simples sem encriptação ou tokenização, que é o modo de falha visado por todos os cenários de exfiltração no nosso conjunto de testes. A04:2021 Insecure Design cobre lacunas arquitetónicas como a falta de inspeção do clipboard ou indexação entre clientes que não podem ser corrigidas apenas por configuração.
Os nossos testes adversários (codificação base64, variantes de formato SSN, texto oculto em HTML, divisão por fórmula entre células) alinham-se com as técnicas de injeção codificada e evasão de filtros documentadas no OWASP Web Security Testing Guide e na XSS Filter Evasion Cheat Sheet. As técnicas diferem no propósito (exfiltração de dados vs injeção de payload) mas partilham o mesmo padrão subjacente: ofuscar conteúdo sensível para que filtros baseados em assinatura e regex não o reconheçam.
Testes de segurança do agente DLP
Ambos os produtos protegeram contra as três tentativas de adulteração. Parar o serviço a partir do PowerShell foi recusado. O processo do agente não pôde ser terminado a partir do Gestor de Tarefas. A desinstalação a partir de Programas e Funcionalidades falhou sem privilégios administrativos. Os utilizadores padrão não podem desativar o agente DLP em nenhum dos produtos.
Comportamento sob alto consumo de CPU e memória
Ambos os produtos continuaram a bloquear sob 100% de carga de CPU sem degradação. Os envios em massa também foram bloqueados corretamente. Esta categoria está documentada para referência, mas excluída pontuação, uma vez que nenhum dos produtos mostrou degradação e não produziu diferenciação entre eles.
Produtos DLP avaliados em benchmark
As duas secções de produto abaixo documentam o benchmark prático completo. Ambos foram instalados em VMs idênticas com Windows Server 2022 e testados com os mesmos 23 cenários de fuga, 3 testes de segurança do agente e 2 cenários de alto consumo de CPU e memória.
1. Acronis DeviceLock DLP
Instalação
O Acronis DeviceLock exigiu um servidor SQL como pré-requisito para instalação, e instalámos o SQL Server 2022 Express.
Após a base de dados estar pronta, a configuração do DeviceLock foi retomada com um certificado autoassinado e configuração de ligação à base de dados. A implementação do agente utilizou um ficheiro MSI de 164 MB copiado via partilha de rede.
Painel & IU
O DeviceLock é administrado através de aplicações Windows nativas em vez de uma consola web. A interface principal é um snap-in MMC (Microsoft Management Console) com uma navegação em árvore. A Acronis também fornece um snap-in DeviceLock Group Policy Manager para ambientes geridos por AD e um DeviceLock Enterprise Manager separado para redes sem AD, todos partilhando as mesmas convenções de IU.
O painel esquerdo tem três ramos: DeviceLock Service (configurações do agente), Enterprise Server (gestão central) e Content Security Server (motor de análise de conteúdo). A consola MMC conecta-se a um cliente de cada vez, mas o módulo DeviceLock Reports fornece relatórios gráficos em toda a frota, incluindo Gráficos de Atividade do Utilizador, Gráficos de Relações, Dossiês de Utilizador e relatórios de dispositivos plug-and-play.1
A vantagem arquitetónica: cada dispositivo e protocolo divide-se em perfis Regular (online) e Offline (desconectado). Um portátil pode ter regras rigorosas no escritório e regras relaxadas na estrada. O ManageEngine não oferece esta distinção.
Configuração de políticas
A Base de Dados de Conteúdo DeviceLock contém 50+ grupos de conteúdo pré-construídos com 90+ modelos regex e 160+ dicionários de palavras-chave. A análise morfológica suporta 7 idiomas para correspondência de palavras-chave.
O grupo integrado “Social Security” é do tipo Palavras-chave (procura a frase “social security”), não do tipo Padrão. A abordagem correta: Adicionar Grupo > Padrão com a validação integrada “US Social Security Number”, que usa verificação de estilo Luhn. Este padrão validado é a razão pela qual o Acronis detetou todas as 8 variantes de formato SSN enquanto o ManageEngine detetou apenas o formato hifenizado.
O Acronis suporta dois caminhos de distribuição centralizada: Active Directory Group Policy (o snap-in GPO do DeviceLock) e DeviceLock Enterprise Server, que entrega políticas aos agentes através de modos push (iniciado pelo servidor) ou pull (agendado pelo agente ou sob demanda). No nosso laboratório, usámos exportação de ficheiro .dls por cliente através da Consola de Gestão, que é o caminho manual; a abordagem de produção é a entrega via GPO ou Enterprise Server.
Testes de fuga
O Acronis bloqueou 19 de 23 cenários (taxa de bloqueio de 83%). Os resultados de destaque:
Colagem do clipboard bloqueada: Dados SSN colados no pastebin.com e submetidos via “Create New Paste” retornaram ERR_CONNECTION_RESET. O DeviceLock inspecionou o corpo do HTTP POST, encontrou conteúdo SSN e terminou a ligação. O mesmo teste no Google Translate: colar um SSN completo (212-64-6345) acionou “Translation error.” Remover os últimos quatro dígitos permitiu a tradução. A regra dispara em padrões SSN válidos, não no site em si.
Variantes de formato SSN detetadas: O Acronis bloqueou todas as 8 representações: espaçado (578 12 3364), pontuado (612.34.8876), sem separadores (334721198), grupos invertidos e formatos mistos. O motor de validação integrado reconhece o número independentemente da formatação.
Exfiltração entre clientes bloqueada: ssn_data.xlsx retirado da pasta partilhada e enviado via WeTransfer de uma máquina diferente foi bloqueado. O Acronis analisa o conteúdo no ponto de exfiltração, não no ponto de criação.
Eliminação de ficheiro bloqueada: O ManageEngine permitiu que os utilizadores eliminassem ficheiros sensíveis do ambiente de trabalho. O Acronis impediu-o. Isto significa que o Acronis protege contra a destruição de dados, não apenas contra a exfiltração de dados.
Desvio de impressão: Impressão não bloqueada no nosso teste (limitação de configuração). Imprimir confidential_report.docx do WordPad foi bem-sucedido porque as Regras de Consciência de Conteúdo foram configuradas em Protocolos. A arquitetura de duas camadas do DeviceLock exige uma regra separada em Dispositivos > Regras de Consciência de Conteúdo para impressoras; com a regra do lado dos Dispositivos ativada, o bloqueio de impressão também seria acionado. Isto não é uma capacidade em falta, mas é um passo extra que os administradores precisam de se lembrar ao cobrir canais de rede e físicos.
Controlo de acesso & AD
O DeviceLock oferece integração nativa com Active Directory baseada em GPO. Adiciona o seu próprio snap-in (DeviceLock Group Policy Manager) à Consola de Gestão de Políticas de Grupo, permitindo a distribuição de políticas através da infraestrutura AD padrão. A diferenciação baseada em UO é tecnicamente suportada: UOs diferentes podem receber políticas DeviceLock diferentes.
No nosso laboratório, usámos distribuição de ficheiro .dls em vez dos caminhos de produção GPO/Enterprise Server. Também vimos a consola solicitar reautenticação ao vincular utilizadores/grupos AD a Regras de Consciência de Conteúdo em clientes remotos, o que tratámos como um artefacto de cache de credenciais do nosso pequeno ambiente de teste. Como alternativa ao AD GPO, o DeviceLock Enterprise Server entrega políticas através de modos push ou pull, que se adequam a ambientes sem AD e implementações ad-hoc.
Integração
O Acronis lidera na integração com três canais de exportação SIEM (Syslog, SNMP, SMTP) suportando formatos de log CEF e JSON. A shadow copy preserva uma cópia completa de cada ficheiro bloqueado ou monitorizado no servidor para resposta a incidentes. O Content Security Server inclui um módulo Discovery que analisa endpoints, NAS e partilhas de ficheiros em busca de dados sensíveis extraviados.
O RBAC tem três níveis (Acesso Total, Alteração, Somente Leitura) com uma opção separada de Acesso a Dados Sombra em cada nível. A integração programática é construída em torno do encaminhamento SIEM (Syslog/SNMP/SMTP) e entrega de log sombra para um servidor central em vez de uma API REST pública.
Segurança do agente
O Acronis protegeu contra todos os três testes de adulteração como utilizador padrão. Stop-Service no DeviceLock Service retornou acesso negado. O Gestor de Tarefas recusou terminar o processo do agente. A desinstalação a partir de Programas e Funcionalidades exigiu elevação administrativa e foi bloqueada sem ela.
Para defesa contra adulteração a nível de administrador, o Acronis oferece a lista de Administradores do DeviceLock. Quando configurada, as contas na lista podem desinstalar, modificar ou parar o agente. Mesmo os administradores locais fora da lista são bloqueados.
Comportamento sob alto consumo de CPU e memória
Sob 100% de carga de CPU (4 tarefas PowerShell de ciclo infinito), o Acronis continuou a bloquear envios sem degradação. 100 ficheiros enviados consecutivamente foram todos analisados e bloqueados corretamente. Esta categoria não foi pontuada.
Análise de conteúdo
A análise de conteúdo é a área mais forte do Acronis. O padrão SSN validado com deteção independente de formato é a funcionalidade de maior impacto que testámos. Além de regex, o Acronis documenta várias capacidades2
Registo & alertas
O DeviceLock fornece três visualizadores de log separados: Audit Log (todas as tentativas de acesso e alterações de política), Shadow Log (cópias de ficheiros bloqueados/monitorizados) e UAM Log (monitorização da atividade do utilizador com capturas de ecrã e utilização de aplicações).
Os canais de alerta incluem SMTP, SNMP Traps e Syslog. Quatro categorias de alerta são configuráveis: acesso a dispositivos/protocolos, violações de Regras de Consciência de Conteúdo, regras de firewall e alterações administrativas. A exportação de relatórios suporta HTML, PDF e RTF.
A shadow copy é a funcionalidade de destaque para resposta a incidentes. Quando uma transferência de ficheiro é bloqueada, o conteúdo completo do ficheiro é preservado no servidor. O ManageEngine regista o evento, mas descarta o ficheiro. Nenhum dos produtos tem um fluxo de trabalho de incidentes completo (atribuição, escalonamento, rastreamento de estado).
Escolha o Acronis DeviceLock DLP para uma solução integrada, incluindo backup, recuperação de desastres e gestão de endpoints.
Visite o site2. ManageEngine DLP Plus
Instalação
O ManageEngine DLP Plus instala-se a partir de um assistente Windows padrão. Sem base de dados externa necessária. Todo o processo, servidor mais dois agentes cliente, demorou cerca de 15 minutos.
O instalador do agente falhou silenciosamente no Cliente 1 com um conflito na porta 8383 que não produziu nenhuma mensagem de erro visível. O problema foi descoberto verificando manualmente o estado do serviço. A instalação da extensão do navegador também é necessária para o bloqueio de envio e deve ser configurada separadamente para cada navegador (Chrome, Edge, Firefox, Brave).
Painel & IU
O ManageEngine abre num navegador web. O painel exibe o estado da política, incidentes recentes e visão geral do dispositivo com tabelas e gráficos. A navegação usa uma barra lateral esquerda. A criação de políticas, gestão de dispositivos e relatórios são acessíveis em 2-3 cliques.
Todos os clientes são visíveis num único ecrã. Comparado com a consola MMC do Acronis, a interface parece moderna e funcional. O ManageEngine não oferece modo de perfil duplo Offline/Regular.
Configuração de políticas
O ManageEngine fornece uma Base de Dados de Conteúdo com regras pré-construídas para PCI-DSS, HIPAA, GDPR e padrões específicos de países. As categorias incluem números de cartão de crédito (Visa, Mastercard, Amex), SSN, NIF para 20+ países, IBAN, números de passaporte e dados de seguro de saúde. Podem ser criadas regras regex personalizadas.
Um problema operacional: cada alteração de política requer um reinício do PC cliente antes de ter efeito. A primeira tentativa custou 30 minutos de resolução de problemas até que o requisito de reinício fosse descoberto na documentação. O estado de implementação da política permaneceu em 0% até o cliente ser reiniciado manualmente. Num ambiente de produção com centenas de endpoints, este é um sério fardo operacional.
Testes de fuga
O ManageEngine bloqueou 16 de 23 cenários (taxa de bloqueio de 70%). As principais conclusões:
Impressão bloqueada automaticamente: A impressão de confidential_report.docx do WordPad foi bloqueada. A impressão para PDF também foi bloqueada. Ao contrário do Acronis, o ManageEngine cobre a impressão sob a mesma política que os envios. Sem necessidade de regra de dispositivo separada.
Desvio de colagem do clipboard: Dados SSN copiados de uma folha de cálculo e colados no pastebin.com foram enviados com sucesso. O ManageEngine não inspeciona texto colado em formulários web. A colagem no Google Translate também foi contornada.
Depois de mudar o Acesso a Ficheiros para o modo “Allow Within Trusted Applications”, o desvio do clipboard foi fechado porque os utilizadores já não podiam abrir ficheiros sensíveis com aplicações não confiáveis. Esta é uma mitigação indireta que limita os fluxos de trabalho legítimos, não uma inspeção de clipboard direcionada.
Variantes de formato SSN contornadas: O ManageEngine detetou o formato hifenizado padrão (XXX-XX-XXXX). As variantes espaçadas, pontuadas e sem separadores passaram.
Captura de ecrã bloqueada: O ManageEngine detetou e bloqueou a captura de ecrã enquanto um ficheiro sensível estava aberto.
Envio de imagem SSN bloqueado: ssn_image.png (um ficheiro de imagem contendo números SSN) foi bloqueado durante o envio. Isto é deteção baseada em metadados/classificação, não OCR.
Desvio de eliminação de ficheiro: Ficheiros sensíveis podiam ser eliminados do ambiente de trabalho do cliente sem qualquer intervenção do DLP. O Acronis bloqueou a eliminação de ficheiros.
Desvio de exfiltração entre clientes: Uma captura de ecrã tirada no Cliente 1, copiada para a partilha de rede e enviada do Cliente 2 via WeTransfer passou. O agente do Cliente 2 nunca tinha indexado este ficheiro.
Controlo de acesso & AD
A integração AD funciona: a consola descobriu o domínio dlptest.local e sincronizou utilizadores e UOs automaticamente após introduzir as credenciais. Políticas baseadas em grupos foram testadas criando dois grupos de computadores manuais (Finance-Clients e IT-Clients) com regras diferentes. O Cliente 1 (Finanças) tinha restrições rigorosas de acesso a ficheiros enquanto o Cliente 2 (TI) não tinha bloqueio. A diferenciação funcionou corretamente.
Os grupos de utilizadores AD não podiam ser mapeados diretamente para grupos de computadores. O sistema espera grupos de computadores AD, não grupos de utilizadores. Isto significa que a atribuição de políticas baseada em grupos requer agrupamento manual de computadores em vez de extrair grupos do Active Directory.
Integração
O ManageEngine Endpoint DLP Plus não tem integração SIEM nativa. A documentação de ajuda oficial3 , a página de funcionalidades e o guia do utilizador não mencionam Syslog, CEF ou encaminhamento SIEM. Outros produtos ManageEngine (DataSecurity Plus, ADAudit Plus, Endpoint Central) suportam Syslog, mas o DLP Plus como produto autónomo não.
O RBAC está disponível e é mais granular que o do Acronis: 4 funções predefinidas (Administrator, Endpoint DLP Manager, Technician, Guest), funções personalizadas com permissões a nível de módulo (Full Control, Write, Read, No Access), atribuição baseada em âmbito (restringir administradores a grupos de computadores específicos) e suporte a 2FA (Email OTP ou Google Authenticator). Apesar do melhor RBAC, a pontuação geral de integração é mais baixa porque SIEM e shadow copy estão ausentes.
Segurança do agente
O ManageEngine protegeu contra todos os três testes de adulteração como utilizador padrão. Stop-Service no serviço do agente DLP retornou acesso negado. O Gestor de Tarefas não terminou o processo do agente. A desinstalação a partir de Programas e Funcionalidades exigiu elevação administrativa e foi recusada sem ela.
Ao contrário do Acronis, o ManageEngine não oferece uma lista de administradores nomeados para restringir a desinstalação a nível de administrador. Qualquer conta com direitos de administrador local pode desinstalar o agente a partir de Programas e Funcionalidades. Para implementações de produção, isto significa que os direitos de administrador de endpoint devem ser rigidamente controlados através da associação a grupos do Active Directory e política de administrador local, uma vez que não há restrição a nível de produto.
Comportamento sob alto consumo de CPU e memória
Sob 100% de carga de CPU, o ManageEngine continuou a bloquear envios sem degradação. Todos os 100 ficheiros num teste de envio em massa foram analisados e bloqueados corretamente.
Análise de conteúdo
A análise de conteúdo ManageEngine é baseada em regex e palavras-chave. Analisa corretamente múltiplos formatos de ficheiro (xlsx, docx, csv, json, html, py, log) e analisa dentro de comentários de código, entradas de log e campos de dados estruturados. A falsificação de extensão não o engana. Ficheiros ZIP encriptados são bloqueados a partir da análise de metadados/cabeçalho.
As limitações: o formato SSN hifenizado padrão (XXX-XX-XXXX) é detetado. Sem descodificação base64, sem análise de PDF encriptado. O ManageEngine oferece impressão digital de documentos e OCR via Endpoint Central, mas o motor regex não inclui validação SSN independente de formato como o Acronis. A biblioteca de regras é rica (20+ países, múltiplas estruturas de conformidade).
Registo & alertas
A página Sensitive File Audit regista eventos com detalhe útil: nome do computador, utilizador com sessão iniciada, tipo de evento, nome do ficheiro, domínio web, aplicação empresarial, estado do evento e a regra de classificação específica que acionou. Este nível de detalhe é suficiente para investigação.
O ManageEngine tem uma funcionalidade útil de reporte de falsos positivos: quando um ficheiro é bloqueado, o utilizador vê uma opção “Report this block as false positive”. O relatório aparece na página Override Audit da consola de administração. O Acronis lida com exceções através de regras do lado do administrador e âmbito de utilizador/grupo na Consola de Gestão, em vez de um botão voltado para o utilizador final.
Os canais de alerta estão limitados a email SMTP. Não há encaminhamento SNMP ou Syslog. A exportação de relatórios suporta apenas CSV e PDF. Relatórios agendados estão disponíveis. Não há shadow copy ou recolha de evidências. Sem fluxo de trabalho de incidentes.
Metodologia e ambiente do benchmark DLP
Provisionámos 3 instâncias Contabo Cloud VPS 10 a executar Windows Server 2022 Datacenter.
Active Directory: Domínio dlptest.local com duas UOs (Finanças, TI), quatro utilizadores de teste (user.finance1, user.finance2, user.it1, user.it2) e uma pasta partilhada em \vmi3184661\share.
Teste sequencial: O ManageEngine foi instalado primeiro, testado em todas as 8 categorias pontuadas e depois totalmente desinstalado. O Acronis foi instalado nas mesmas VMs e testado com cenários e ficheiros idênticos. Ambos os produtos enfrentaram o mesmo ambiente. Todos os testes foram realizados pela mesma pessoa.
Conjunto de dados de teste
8 ficheiros base e 12 ficheiros de evasão adversária, todos contendo Números de Segurança Social dos EUA (SSN) como o tipo de dados sensíveis primário:
Ficheiros base: ssn_data.xlsx (folha de cálculo SSN), credit_cards.csv (números de cartão de crédito), confidential_report.docx (SSN com palavra-chave “CONFIDENTIAL”), health_records.docx (dados HIPAA), source_code.py (credenciais em código), ssn_image.png (SSN em imagem para OCR), confidential_archive.zip (arquivo encriptado), normal_file.docx (ficheiro limpo para controlo de falsos positivos).
Ficheiros adversários (12): Ficheiro de log com SSN incorporado, CSV com nome de ficheiro inócuo com coluna SSN oculta, JSON com SSN em campos de dados, comentários Python com SSN, 8 variantes de formato SSN (espaçado/pontuado/sem separador), SSN codificado em base64, HTML com SSN em texto oculto, SSN dividido por fórmula em células de folha de cálculo, falsificação de extensão (.txt para .jpg, .xlsx para .png), ZIP protegido por palavra-passe, agulha no palheiro (1 SSN em 80 linhas de texto limpo).
Exemplos de teste de fuga
Cada teste segue o mesmo padrão: tentar exfiltrar um ficheiro sensível através de um canal específico e registar se o agente DLP bloqueia ou permite.
Teste de fuga básico (envio): Abrir um navegador no cliente, navegar para WeTransfer, selecionar ssn_data.xlsx do ambiente de trabalho, clicar em enviar. Se o agente DLP bloquear o envio, o navegador exibe um erro ou a ligação é reiniciada. Se permitir, o ficheiro é enviado com sucesso para WeTransfer.
Teste de evasão de canal (clipboard): Abrir ssn_data.xlsx no Notepad, selecionar todo o texto, copiar (Ctrl+C). Abrir um navegador, navegar para pastebin.com, colar (Ctrl+V) na área de texto, clicar em “Create New Paste.” Um produto DLP com inspeção de clipboard termina o HTTP POST antes de ser concluído. Um produto sem inspeção de clipboard permite a colagem porque os dados nunca saíram como um ficheiro.
Teste de evasão de conteúdo (variantes de formato): Criar um ficheiro de texto contendo 8 representações SSN diferentes: padrão (578-12-3364), espaçado (578 12 3364), pontuado (578.12.3364), sem separador (578123364), invertido (3364-12-578) e formatos mistos. Enviar o ficheiro para WeTransfer. Um produto DLP com padrões SSN validados reconhece todos os formatos. Um produto apenas regex deteta os formatos que o seu regex cobre.
Teste de fuga indireta (entre clientes): No Cliente 1, tirar uma captura de ecrã de dados sensíveis exibidos no ecrã. Guardar a captura de ecrã. Copiá-la para a partilha de rede (\server\share). No Cliente 2, obter o ficheiro da partilha e enviá-lo para WeTransfer. Um produto que analisa no momento do envio bloqueia independentemente da origem do ficheiro. Um produto que depende de pré-indexação não deteta ficheiros que nunca viu.
Teste de carga de CPU: Executar 4 tarefas PowerShell de ciclo infinito para saturar todos os 4 vCPUs: 1..4 | ForEach-Object { Start-Job { while($true){} } }. Confirmar que a CPU está a 99-100% no Gestor de Tarefas. Enquanto a CPU está no máximo, tentar enviar ssn_data.xlsx para WeTransfer. Se o agente DLP ainda bloquear o envio sob carga total, o comportamento sob carga é aceitável. Limpar com Get-Job | Stop-Job; Get-Job | Remove-Job.
Pontuações das categorias do benchmark DLP
Cada categoria tem uma pontuação máxima igual ao seu peso atribuído. Os pesos somam 50 e o total bruto é escalado para 100 para a pontuação final. As pontuações são números inteiros diretamente ligados a resultados medidos ou funcionalidades documentadas, não classificações subjetivas.
Registo e alertas contribui com a maior diferença individual (+6). O Acronis exporta para SMTP, SNMP e Syslog, executa três visualizadores de log (Audit, Shadow, UAM) e preserva o conteúdo completo do ficheiro via shadow copy. O ManageEngine tem SMTP, um único log de auditoria e sem shadow copy. Integração adiciona outro +3 através do suporte SIEM do Acronis, módulo de descoberta e perfil duplo offline, nenhum dos quais existe no ManageEngine DLP Plus autónomo. Configuração de políticas adiciona +2 através dos 90+ modelos pré-construídos do Acronis e análise morfológica de palavras-chave em 9 idiomas. Testes de fuga adicionam +1, refletindo diretamente a taxa de bloqueio de 83% vs 70%.
ManageEngine recupera +2 da instalação, +4 do painel (IU web moderna com gráficos vs snap-in MMC sem painel) e +1 do controlo de acesso (2FA, funções personalizadas, administração baseada em âmbito). Segurança do agente empatou em 6 cada após todos os três testes de adulteração terem sido aprovados.
Metodologia de pontuação (justificação dos pesos)
8 categorias pontuadas em escalas inteiras proporcionais ao seu peso. A pontuação máxima possível de cada categoria é igual ao seu valor de peso. Os pesos somam 50 e o total bruto é escalado para 100 para a pontuação final. Os pesos foram atribuídos pelo revisor sénior com base em quais categorias produzem diferenciação significativa e quais se correlacionam diretamente com as operações diárias de DLP.
Cada pontuação é derivada de resultados medidos (taxas de bloqueio do teste de fuga) ou da matriz de funcionalidades documentada na secção de Comparação de Funcionalidades, não de avaliação subjetiva. O comportamento sob alto consumo de CPU e memória foi testado separadamente, mas excluído da pontuação, uma vez que ambos os produtos tiveram desempenho idêntico sob carga.
Comparação de funcionalidades
Configuração e implementação
ManageEngine implementa 6x mais rápido e não requer dependências externas. O Acronis requer SQL Server e um certificado, mas fornece um kit de ferramentas de implementação mais amplo (snap-in de Política de Grupo, push/pull do Enterprise Server, exportação manual .dls).
Registo e evidências
A shadow copy é a maior lacuna. Quando o Acronis bloqueia uma transferência de ficheiro, o conteúdo completo do ficheiro é preservado no servidor para revisão forense. O ManageEngine regista os metadados do evento, mas descarta o ficheiro real. Nenhum dos produtos tem um fluxo de trabalho de incidentes completo (atribuição, escalonamento, rastreamento de estado).
Capacidades de análise de conteúdo
O Acronis tem uma análise de conteúdo mais profunda em todos os métodos. Os 90+ modelos regex e 160+ dicionários de palavras-chave com análise morfológica em 9 idiomas proporcionam uma superfície de deteção mais ampla. O ManageEngine oferece OCR via plataforma Endpoint Central e impressão digital de documentos através do seu módulo de classificação, mas o Acronis publica números específicos (33 idiomas de OCR, 5.300+ tipos de ficheiro) enquanto o ManageEngine não. Nenhum dos produtos usa machine learning ou NLP para classificação.2 4 5 6
Limitações
Dois produtos avaliados em benchmark prático: O benchmark abrange ManageEngine DLP Plus e Acronis DeviceLock DLP. Os outros quatro produtos abordados (Netwrix, Sophos, Teramind, Trellix) não foram testados novamente sob a mesma metodologia de 28 cenários; as suas secções refletem análises de funcionalidades anteriores. As pontuações comparativas (76/100 e 66/100) são, portanto, entre os dois produtos testados na prática, não entre todos os seis.
Sem testes de USB ou mídia amovível: O controlo de dispositivos USB é um dos casos de uso mais comuns de DLP. Ambos os produtos suportam-no, mas a nossa infraestrutura (instâncias VPS na cloud) não tem portas USB físicas. Bloqueio USB, aplicação de encriptação e listas de permissões de dispositivos não foram testados.
Apenas padrões SSN testados: Todos os testes de fuga usaram o Número de Segurança Social dos EUA como tipo de dados sensíveis. A deteção de cartão de crédito (validação Luhn), padrões HIPAA e regras específicas do GDPR não foram testadas separadamente, embora ambos os produtos incluam modelos pré-construídos para estes.
Produtos DLP analisados anteriormente
Tivemos acesso de avaliação aos quatro produtos abaixo num ciclo de pesquisa anterior. As conclusões refletem a cobertura de funcionalidades e os testes dessa altura, não um novo teste de 2026. As capturas de ecrã são do ambiente de análise original. Onde os fornecedores lançaram atualizações após a análise original, estas são sinalizadas em linha.
Netwrix Endpoint Protector
O Netwrix Endpoint Protector é uma solução DLP centrada em canais, construída em torno do controlo de dispositivos, Inspeção Profunda de Pacotes e eDiscovery. A análise abrangeu o seu fluxo de trabalho de criação de políticas, cobertura de periféricos e funcionalidades administrativas.
Funcionalidades eficazes: Controlo granular sobre 30+ tipos de dispositivos, Inspeção Profunda de Pacotes para transferências de ficheiros de rede, políticas predefinidas e personalizadas, direitos efetivos para criação de políticas, eDiscovery para dados em repouso, encriptação USB, notificações e alertas para ações bloqueadas, notificações de cliente personalizáveis, trilha de auditoria e proteção contra adulteração.
Funcionalidades ineficazes: Sem gestão de dispositivos (MDM é oferecido como um complemento, não incluído na avaliação base).
Cobertura de canais: O Endpoint Protector permite controlo granular sobre 30+ tipos de dispositivos, incluindo dispositivos USB, dispositivos Bluetooth, smartphones e mais. Os administradores podem configurar controlo de acesso para dispositivos específicos para permitir ou bloquear a sua ligação a computadores cliente. A Inspeção Profunda de Pacotes permite ao administrador gerir transferências de ficheiros de rede através de webmail, drives e aplicações de terceiros. Quando ativada, as definições de Proteção Consciente de Conteúdo (CAP) e controlo de dispositivos funcionam em conformidade com as análises DPI.
Classificação de dados: A Proteção Consciente de Conteúdo inclui políticas predefinidas em três grupos com base no sistema operativo do cliente (Windows, Mac, Linux). Existem 86 políticas predefinidas para Windows cobrindo transferências de ficheiros por tipo de conteúdo (gráficos, arquivos, programação), conformidade HIPAA e conformidade GDPR. Políticas personalizadas podem ser definidas com base em pontos de saída política, utilizadores e ação de política escolhida. O eDiscovery deteta dados sensíveis em repouso e permite encriptação, desencriptação e eliminação no destino.
Administração: Os direitos efetivos permitem a criação de políticas com base num utilizador, dispositivo ou tipo de ficheiro específico. Os direitos globais são direitos de controlo de dispositivos que se aplicam em geral, e os administradores podem definir diferentes direitos de acesso para diferentes dispositivos. Para criar uma política, o administrador seleciona entre opções predefinidas ou personalizadas, e as políticas podem ser ordenadas por prioridade. Classes personalizadas permitem atribuir um “Trusted Device (TD)” com base em informações do dispositivo, como número de série e tipo.
Notificações e alertas: Quando um administrador tenta anexar um ficheiro .xlsx com o nome “Confidential” contendo informação de número de segurança social no WhatsApp, o Endpoint Protector bloqueia a ação e notifica o administrador. Os logs de eventos são visíveis na janela de Relatório Consciente de Conteúdo com detalhes incluindo evento, hora, utilizador, dispositivo, destino e ficheiro.
Outras funcionalidades: A sincronização com Microsoft AD e Microsoft Entra ID é suportada. As notificações do cliente podem ser personalizadas. Listas de negação e permissão ajudam a definir conteúdo sensível através de tipos de ficheiro, conteúdo personalizado, localizações de ficheiros, localizações de análise, padrões regex, domínios, URLs e domínios de e-mail. A encriptação de dispositivos USB pode ser automatizada.
Escolha Netwrix Endpoint Protector para uma solução DLP abrangente com capacidades robustas de controlo de dispositivos
Visite o siteSophos Intercept X
O Sophos Intercept X fornece capacidades DLP como parte de uma suite de segurança de endpoint mais ampla. A análise focou-se na configuração de políticas personalizadas, proteção contra adulteração e na experiência administrativa através do Sophos Central.
Funcionalidades eficazes: Proteção eficaz de e-mail, periféricos e aplicações, proteção contra adulteração funcional, integração com Active Directory, classificação de dados personalizável, pesquisa de ficheiros e tags com hashes, trilha de auditoria abrangente.
Funcionalidades ineficazes: Algumas funcionalidades como proteção de periféricos requerem políticas personalizadas em vez de funcionarem de imediato. Sem análise de comportamento do utilizador e sem gestão de dispositivos.
Cobertura de canais: Tanto em periféricos como em e-mail, as políticas base padrão não impediram as transferências de ficheiros. A equipa de análise conseguiu bloqueá-las usando políticas personalizadas. A funcionalidade de controlo de aplicações restringiu a transferência de ficheiros para outras plataformas como Google Drive. Os utilizadores podem ser incluídos ou excluídos diretamente das políticas através de exceções baseadas em e-mail ou IP. Nove tipos de dispositivos amovíveis podem ser monitorizados e controlados, menos que os concorrentes como o Endpoint Protector.
Classificação de dados: A classificação automatizada de dados foi ineficaz, classificando e-mails de risco como de baixa gravidade. Os parâmetros de personalização estão disponíveis e são detalhados. Os dados classificados são verificáveis através de uma lista abrangente de ficheiros com estado de classificação.
Administração: A proteção contra adulteração impediu que dispositivos adulterassem o software do agente e exigiu uma palavra-passe para desinstalar o ficheiro do agente. Esta funcionalidade funcionou durante os testes de análise. O Sophos Central registou com sucesso logs de auditoria das atividades dos utilizadores. Hashes de ficheiros são oferecidos através da funcionalidade de descoberta para identificar ficheiros de risco.
Nota sobre Shadow IA: Desde janeiro de 2026, a Sophos adicionou Proteção de Espaço de Trabalho para governação de Shadow IT e Shadow IA. A Proteção de Espaço de Trabalho é adjacente às funcionalidades DLP de endpoint aqui abordadas, não um substituto para elas.7
Teramind DLP
O Teramind DLP é uma solução DLP orientada por políticas com um forte posicionamento em análise comportamental. A análise focou-se na cobertura de canais, profundidade de personalização e sobrecarga administrativa.
Funcionalidades eficazes: Proteção eficaz para periféricos, e-mail e aplicações, personalização detalhada da classificação de dados, trilha de auditoria abrangente, integração com Active Directory, pesquisa de ficheiros.
Funcionalidades ineficazes: A classificação de dados teve dificuldade em distinguir dados confidenciais de não confidenciais. As políticas personalizadas são difíceis de gerir. Sem proteção contra adulteração, sem OCR na avaliação gratuita.
Cobertura de canais: As políticas de bloqueio USB foram eficazes, mas também bloquearam ficheiros não confidenciais de serem copiados para dispositivos periféricos. Os tipos de dispositivos não foram mencionados nas políticas de dispositivos amovíveis. As políticas de e-mail são eficazes, mas impedem que utilizadores internos enviem e-mails como efeito colateral. A política de proteção de aplicações restringe todas as transferências de dados para aplicações como Google Drive. E-mails ou domínios específicos podem ser excluídos das políticas.
Classificação de dados: A classificação de dados foi ineficaz porque não conseguiu distinguir entre dados confidenciais e não confidenciais nos testes da avaliação. As opções de personalização são detalhadas, mas requerem familiaridade com a plataforma. Os dados classificados são verificáveis.
Administração: A proteção contra adulteração foi ineficaz, pois os utilizadores podiam adulterar o ficheiro do agente. A atividade de cada utilizador foi monitorizada com alertas enviados para o e-mail do administrador. A identificação de dados por OCR não está incluída na avaliação gratuita.
Atualização do agente Mac. A partir de janeiro de 2026, o agente Mac do Teramind suporta gravação de ecrã apenas quando uma regra de comportamento é violada, reduzindo o uso de armazenamento e melhorando a privacidade enquanto captura evidências relevantes.8
Trellix DLP
O Trellix DLP (anteriormente McAfee Total Protection for DLP) cobre uma ampla gama de canais de endpoint e rede, mas mostra inconsistência em certas áreas. A análise focou-se na cobertura de canais, políticas predefinidas vs personalizadas e capacidades administrativas.
Funcionalidades eficazes: Ampla cobertura de canais, proteção abrangente de e-mail e aplicações, regras de dados personalizáveis, trilha de auditoria, proteção contra adulteração, filtragem web.
Funcionalidades ineficazes: Sem integração com Active Directory na avaliação, sem pesquisa de ficheiros, sem análise de comportamento do utilizador, sem suporte total de OCR para deteção e prevenção web.
Cobertura de canais: O Trellix pode detetar quando um utilizador configura o Outlook para enviar ficheiros sensíveis através de contas de e-mail pessoais e pode colocar em quarentena e-mails contendo informações sensíveis. A libertação de e-mails em quarentena pode ser complicada, exigindo aprovação manual do remetente, do gestor do remetente ou do proprietário dos dados através de notificações por e-mail, em vez de um fluxo de trabalho automatizado. O Trellix não suporta totalmente a filtragem de dados sensíveis sincronizados para dispositivos móveis através do ActiveSync para determinados grupos de utilizadores.
A monitorização e controlo de dispositivos periféricos são possíveis, mas o Trellix não suporta uma política unificada em todos os canais, o que limita a flexibilidade em ambientes com múltiplos tipos de dispositivos periféricos. Os administradores podem configurar controlos de acesso para dispositivos USB e outros periféricos, mas a implementação de políticas pode ser inconsistente em canais mais recentes, como dispositivos móveis.
O suporte avançado, como encriptação de dispositivos USB, requer subscrições adicionais. Para aplicações, o Chrome não é totalmente suportado e os utilizadores podem contornar as políticas DLP em certos cenários, como ao enviar ficheiros de uma rede Wi-Fi pública.
Classificação de dados: As políticas predefinidas do Trellix cobrem estruturas regulatórias comuns, incluindo PCI DSS e GDPR, embora os modelos de política sejam menos abrangentes e precisos do que os dos concorrentes, criando potenciais lacunas de deteção.
O administrador pode criar políticas personalizadas usando palavras-chave, expressões regulares e impressão digital de ficheiros. O Trellix não suporta funcionalidades avançadas como machine learning ou proteção baseada em risco comportamental. O OCR está limitado a documentos gráficos para descoberta, não para prevenção.
Administração: Os administradores podem atribuir direitos com base em utilizadores ou grupos, mas o Trellix carece de administração delegada baseada em funções, limitando a capacidade de atribuir funções específicas para gestão de políticas e tratamento de incidentes. A encriptação USB e a aplicação de políticas DLP de endpoint são padrão, mas opções avançadas como proteção adaptativa ao risco e análise comportamental nativa são limitadas ou requerem integração de terceiros.
Alertas são gerados para transferências de dados sensíveis via e-mail, mas as capacidades limitadas de personalização de relatórios e gestão de incidentes podem exigir supervisão manual adicional.
Adicionar como fonte preferencialO que faz o software DLP?
O software DLP monitoriza e controla o fluxo de dados sensíveis através dos endpoints, rede e serviços de cloud de uma organização. Impede transferências de dados não autorizadas através de canais como envios de ficheiros, anexos de e-mail, cópia e colagem do clipboard, impressão, unidades USB e captura de ecrã.
Os produtos DLP normalmente combinam três métodos de deteção: inspeção de conteúdo (análise do conteúdo ficheiro em busca de padrões como SSN ou números de cartão de crédito), análise de contexto (avaliação do canal, utilizador e destino) e aplicação de políticas (bloqueio, alerta ou registo com base em regras).
Capacidades comuns de DLP
Conclusão
Para equipas que precisam de integração SIEM, evidências de shadow copy ou deteção SSN em múltiplos formatos, o Acronis é o produto mais forte. Bloqueou 83% dos cenários de fuga, impede a eliminação de ficheiros, encaminha eventos para Syslog/CEF e preserva o conteúdo completo do ficheiro para revisão forense através de shadow copy.
Para equipas que priorizam implementação rápida e IU utilizável, o ManageEngine instala-se em 15 minutos sem dependências. O custo: sem integração SIEM, sem shadow copy, sem inspeção do clipboard e taxa de bloqueio 13 pontos percentuais mais baixa.
Perguntas frequentes
O Acronis DeviceLock detetou dados SSN colados no Pastebin e no Google Translate inspecionando corpos de HTTP POST. O ManageEngine DLP Plus não inspeciona a colagem do clipboard. Ativar o modo “Allow Within Trusted Applications” fecha indiretamente esta lacuna, restringindo quais aplicações podem abrir ficheiros sensíveis.
Não. Ambos os produtos protegem contra tentativas de paragem de serviço, terminação de processo e desinstalação por utilizadores padrão. Todos os três testes de adulteração foram aprovados em ambos. Para defesa contra contas de administrador local, o Acronis oferece a lista de Administradores do DeviceLock para restringir quem pode desinstalar, parar ou modificar o agente. O ManageEngine não tem mecanismo equivalente a nível de produto, pelo que os direitos de administrador devem ser controlados através do Active Directory.
O Acronis detetou SSNs com espaços, pontos e sem separadores. O ManageEngine detetou apenas o formato hifenizado padrão (XXX-XX-XXXX).
Disponibilidade de avaliação do fornecedor. O ManageEngine e o Acronis DeviceLock DLP forneceram avaliações funcionais no Windows Server 2022 dentro da nossa janela de pesquisa. Os outros quatro produtos (Netwrix, Sophos, Teramind, Trellix) exigiram aprovações de demonstração lideradas por vendas que não foram concluídas a tempo, pelo que dependemos das análises de funcionalidades anteriores para esses. À medida que novas avaliações estiverem disponíveis, re-executaremos o benchmark completo de 28 cenários nesses produtos e atualizaremos as conclusões abaixo.
Cite este benchmark
Escolha o formato adequado ao local onde você vai publicar. Colar a versão com link no seu CMS preserva o backlink.
@misc{sari2026,
author = {Sarı, Ekrem},
title = {{Benchmark de Software DLP}},
year = {2026},
month = apr,
howpublished = {\url{https://aimultiple.com/dlp-review}},
note = {AIMultiple. Acessado em 30 Abril 2026}
}Links de referência
Seja o primeiro a comentar
Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios. Os comentários são deixados em seu idioma original.