Um vigia que mora dentro dos seus servidores Windows: mede o quanto sua rede está exposta a ransomware, percebe quando a criptografia começa — inclusive a que vem pela rede e passa despercebida pelo antivírus — e corta o acesso do atacante em segundos.

A watchman that lives inside your Windows servers: it measures how exposed your network is to ransomware, notices when encryption starts — including the kind that comes over the network and slips past antivirus — and cuts off the attacker's access in seconds.

Para o administrador de rede de uma empresa que tem servidores de arquivos Windows e não tem orçamento para plataforma enterprise, licença E5 ou um time de segurança dedicado. Se você é a pessoa que atende o telefone quando "os arquivos da rede sumiram", o produto foi desenhado para você.

For the network administrator of a company that has Windows file servers and doesn't have the budget for an enterprise platform, an E5 license or a dedicated security team. If you're the person who answers the phone when "the network files are gone", this product was designed for you.

Não. E desconfie de quem disser que substitui. Antivírus e EDR olham o processo rodando na máquina; o RansomGuard olha o efeito nos arquivos do servidor. São camadas diferentes, e a segunda existe justamente porque a primeira tem um ponto cego: quando a criptografia vem de outra máquina, pela rede, nenhum processo malicioso roda no servidor para o EDR ver.

Mantenha o que você já tem. O RansomGuard é a camada de baixo — a que fica junto do dano.

No. And be suspicious of anyone who says it does. Antivirus and EDR watch the process running on the machine; RansomGuard watches the effect on the server's files. They're different layers, and the second exists precisely because the first has a blind spot: when encryption comes from another machine, over the network, no malicious process runs on the server for the EDR to see.

Keep what you already have. RansomGuard is the layer underneath — the one next to the damage.

Windows Server (2016 ou mais novo) nos servidores que você quer proteger, e uma máquina qualquer que fique ligada para hospedar o painel — pode ser uma VM modesta. Não precisa instalar .NET, banco de dados nem nada mais: já vem tudo embutido.

O papel de File Server com o FSRM disponível é o que destrava a proteção mais forte. Domínio Active Directory é necessário só para a contenção que desabilita a conta do atacante.

Windows Server (2016 or newer) on the servers you want to protect, plus any machine that stays on to host the dashboard — a modest VM will do. No need to install .NET, a database or anything else: it's all bundled.

The File Server role with FSRM available is what unlocks the strongest protection. Active Directory is only required for the containment step that disables the attacker's account.

Ele não procura o vírus — procura o comportamento. Quatro sinais, vindos de recursos que já existem no Windows:

• Arquivos-canário — iscas invisíveis para o usuário. Ninguém legítimo mexe nelas; quem mexeu está varrendo a pasta.
• FSRM — o Windows avisa quando aparece um arquivo com extensão ou nome típico de ransomware.
• Volume e ritmo — centenas de arquivos reescritos ou renomeados em segundos não é gente trabalhando.
• Sinais do servidor — apagar as cópias de sombra (VSS), por exemplo, é o passo clássico antes de pedir resgate.

Cada sinal sozinho pode ser inocente. O produto correlaciona por usuário, IP de origem e pasta antes de chamar de ataque.

It doesn't look for the virus — it looks for the behaviour. Four signals, from features Windows already has:

• Canary files — decoys invisible to users. No legitimate person touches them; whoever did is sweeping the folder.
• FSRM — Windows reports when a file appears with an extension or name typical of ransomware.
• Volume and pace — hundreds of files rewritten or renamed in seconds isn't people working.
• Host signals — deleting shadow copies (VSS), for instance, is the classic step before the ransom demand.

Any single signal can be innocent. The product correlates by user, source IP and folder before calling it an attack.

Uma nota de 0 a 100 que responde "quão convidativa está a minha rede para um ransomware hoje?". Ele varre a configuração dos seus servidores — SMBv1 ligado, assinatura SMB desligada, pastas abertas para todo mundo, backup desprotegido, cópias de sombra desativadas, e mais uma dúzia de pontos — e devolve o que corrigir, em ordem de impacto.

Cada item cita a premissa de ataque que ele fecha. É diagnóstico, não relatório de vaidade — e é grátis, para sempre.

A 0-to-100 score answering "how inviting is my network to ransomware today?". It scans your servers' configuration — SMBv1 enabled, SMB signing off, shares open to everyone, unprotected backups, shadow copies disabled, and a dozen more — and returns what to fix, in order of impact.

Each item cites the attack premise it closes. It's a diagnosis, not a vanity report — and it's free, forever.

Essa é a preocupação certa — um produto de contenção que erra causa mais estrago que o ataque. Três defesas:

• Ele começa desligado. O padrão é Monitor: só observa. Você promove para Alerta e depois para Bloqueio quando você estiver convencido.
• Allowlist — a conta do backup, o antivírus e as ferramentas que mexem em muitos arquivos são conhecidas e não disparam contenção.
• A contenção exige alta confiança — volume alto sozinho gera alerta, não bloqueio. Para agir, o produto quer um sinal que gente legítima não produz, como um canário tocado.

Isso é verificado a cada mudança: um dos nossos testes automatizados simula 5.000 gravações de backup em modo Bloqueio e exige zero contenções.

That's the right worry — a containment product that gets it wrong does more damage than the attack. Three defences:

• It starts switched off. The default is Monitor: observe only. You promote it to Alert and then Block when you are convinced.
• Allowlist — the backup account, antivirus and tools that legitimately touch many files are known and never trigger containment.
• Containment requires high confidence — high volume alone raises an alert, not a block. To act, the product wants a signal legitimate users don't produce, such as a touched canary.

This is verified on every change: one of our automated tests simulates 5,000 backup writes in Block mode and requires zero containments.

Sobe uma escada, do mais leve ao mais drástico — e para no degrau que resolver:

• 1. Derruba a sessão SMB do atacante. Interrompe a criptografia na hora e afeta só aquela conexão.
• 2. Bloqueia o IP de origem no firewall do servidor, para ele não reconectar.
• 3. Desabilita a conta no Active Directory, se o ataque continuar por outro caminho.

Cada degrau é registrado com o motivo. A escada completa é do plano pago; no grátis você recebe o alerta e decide.

It climbs a ladder, from lightest to most drastic — and stops at the rung that works:

• 1. Kills the attacker's SMB session. Stops the encryption immediately and affects only that connection.
• 2. Blocks the source IP on the server firewall, so it can't reconnect.
• 3. Disables the Active Directory account, if the attack continues by another route.

Every rung is logged with its reason. The full ladder belongs to the paid plan; on the free tier you get the alert and decide.

Tudo que ele faz é reversível por você, em segundos, sem nossa ajuda: sessão derrubada é só reconectar, IP bloqueado sai da regra do firewall, conta desabilitada é reabilitada no AD. Nada é apagado, nada é criptografado, nada é enviado para lugar nenhum.

O painel mostra o incidente com o motivo de cada degrau — você entende o que aconteceu antes de decidir se foi engano.

Everything it does you can reverse in seconds, without our help: a killed session just reconnects, a blocked IP comes off the firewall rule, a disabled account is re-enabled in AD. Nothing is deleted, nothing encrypted, nothing sent anywhere.

The dashboard shows the incident with the reason for each rung — you understand what happened before deciding whether it was a mistake.

Não. O painel é seu, roda na sua rede, e o agente conversa só com ele. Não existe nuvem nossa no caminho, nem telemetria, nem "envio anônimo para melhorar o produto".

E o que trafega é metadado, nunca conteúdo: quem acessou, de qual IP, qual pasta, quantos arquivos, a que horas. O produto não lê os seus arquivos — nem para detectar, nem para relatar.

No. The dashboard is yours, runs on your network, and the agent talks only to it. There's no cloud of ours in the path, no telemetry, no "anonymous upload to improve the product".

And what travels is metadata, never content: who accessed, from which IP, which folder, how many files, at what time. The product does not read your files — not to detect, not to report.

Ele roda como serviço do Windows no servidor, com permissão local para ler os eventos de auditoria de arquivo, orquestrar o FSRM e encerrar sessões SMB.

Para o degrau que desabilita conta no Active Directory, é preciso uma credencial de domínio com essa permissão específica e nada mais — a recomendação é uma conta gerenciada (gMSA) delegada só para isso. Não peça, nem nos dê, um Domain Admin.

It runs as a Windows service on the server, with local permission to read file audit events, orchestrate FSRM and close SMB sessions.

For the rung that disables an AD account, a domain credential with that specific permission and nothing else is required — the recommendation is a managed account (gMSA) delegated only for that. Don't use, and don't give us, a Domain Admin.

Porque, nesta fase de testes, os instaladores ainda não têm certificado de assinatura de código — ele será adquirido antes do lançamento comercial. Então o SmartScreen mostra o aviso, e isso é esperado.

Enquanto isso, confira o SHA-256 publicado junto de cada arquivo na página de download antes de instalar. É a verificação que realmente prova que o arquivo não foi trocado no caminho.

Because, during this test phase, the installers don't yet carry a code-signing certificate — one will be purchased before commercial launch. So SmartScreen shows the warning, and that's expected.

In the meantime, check the SHA-256 published alongside each file on the download page before installing. That's the check that actually proves the file wasn't swapped in transit.

Sim — é o caminho previsto. O agente vem como MSI e aceita os parâmetros na linha de comando (endereço do painel, nome do servidor, modo de operação), o que permite distribuir por GPO sem tocar em máquina nenhuma. O passo a passo está na documentação.

Yes — that's the intended path. The agent ships as an MSI and accepts command-line parameters (dashboard address, server name, operating mode), so you can deploy it by GPO without touching a single machine. Step by step in the documentation.

O agente não fica lendo arquivos nem interceptando gravação — ele lê eventos que o Windows já gera e conversa com o FSRM, que é um componente nativo. É um serviço leve, de verificação periódica, não um filtro no caminho do disco.

Dito isso: número honesto para o seu ambiente só sai medindo. É exatamente uma das coisas que o piloto serve para mostrar.

The agent doesn't read your files or intercept writes — it reads events Windows already generates and talks to FSRM, a native component. It's a light, periodic service, not a filter in the disk path.

That said: an honest number for your environment only comes from measuring. That's exactly one of the things the pilot is for.

Só o caminho interno do agente até o painel. Nenhum acesso à internet é necessário para detectar, alertar ou conter — inclusive a validação da licença, que é offline. Rede isolada funciona.

Only the internal path from agent to dashboard. No internet access is required to detect, alert or contain — including license validation, which is offline. Air-gapped networks work.

Pelo painel e por um canal de alerta à sua escolha — push no celular, mensagem no Teams ou Slack, Telegram ou e-mail. Todos gratuitos, configurados por você, e o push pode ser hospedado dentro da sua rede para o alerta também não sair de casa.

O produto prefere silêncio a ruído: por padrão só avisa incidentes de alta confiança, e agrupa repetição do mesmo ataque num alerta só.

Through the dashboard and an alert channel of your choice — mobile push, a message in Teams or Slack, Telegram or e-mail. All free, configured by you, and push can be hosted inside your network so alerts don't leave home either.

The product prefers silence to noise: by default it only reports high-confidence incidents, and groups repeats of the same attack into a single alert.

Grátis, sem prazo: o Score de Risco com o relatório do que corrigir, e o monitoramento — canários, FSRM, detecção e alerta. Você enxerga tudo.

Pago: a contenção automática — a escada que derruba a sessão, bloqueia o IP e desabilita a conta sozinha, de madrugada, sem você.

A divisão é essa porque ver o problema é o que faz você confiar no produto; agir por você é o que vale dinheiro.

Free, no time limit: the Risk Score with its report of what to fix, and monitoring — canaries, FSRM, detection and alerting. You see everything.

Paid: automatic containment — the ladder that kills the session, blocks the IP and disables the account on its own, at 3 a.m., without you.

The split is that way because seeing the problem is what earns your trust; acting for you is what's worth paying for.

Seu painel exibe um número de instalação. Você o informa na contratação e recebe por e-mail um token assinado, que cola na tela Licença. Pronto — a contenção liga.

A verificação é criptográfica e offline: nada de "ligar em casa", nenhum servidor nosso precisa estar no ar para o seu produto funcionar, e a licença continua valendo se a sua rede ficar isolada.

Your dashboard shows an installation number. You provide it at purchase and receive a signed token by e-mail, which you paste on the License screen. Done — containment turns on.

Verification is cryptographic and offline: no phoning home, no server of ours needs to be up for your product to work, and the license keeps working if your network goes air-gapped.

Não. O token é amarrado ao número daquela instalação — colado em outro painel, ele é recusado. Vale tanto para repassar a chave a outra empresa quanto para rodar um segundo painel na sua.

Se você precisa de mais de um painel (matriz e filial, por exemplo), fale com a gente: são licenças distintas, e isso é conversa de contrato, não de contorno técnico.

No. The token is bound to that installation's number — pasted into another dashboard, it's rejected. That applies both to passing the key to another company and to running a second dashboard in yours.

If you need more than one dashboard (head office and branch, say), talk to us: those are separate licenses, and it's a contract conversation, not a technical workaround.

O painel novo terá um número de instalação novo, então a licença antiga não serve nele — por desenho. Você nos avisa e reemitimos o token para a instalação nova, sem custo e dentro do prazo que você já pagou. É procedimento normal, não exceção.

The new dashboard gets a new installation number, so the old license won't work there — by design. You tell us and we reissue the token for the new installation, free of charge and within the period you already paid for. That's standard procedure, not an exception.

Você não fica desprotegido de repente. Há um período de tolerância após o vencimento, em que a contenção continua funcionando — porque desligar a defesa de quem só atrasou um boleto seria um jeito ruim de cobrar.

Passado esse período, o produto volta ao modo grátis: continua pontuando, monitorando e alertando. Você perde a ação automática, não a visão.

You don't suddenly go unprotected. There's a grace period after expiry in which containment keeps working — because switching off someone's defence over a late invoice would be a poor way to collect.

After that, the product returns to free mode: it keeps scoring, monitoring and alerting. You lose the automatic action, not the visibility.

Está em fase de testes com administradores convidados. A lógica de detecção, correlação, contenção e licenciamento é coberta por testes automatizados e por simuladores que reproduzem ataques e falsos positivos a cada mudança — mas número de piloto em ambiente real é o que ainda estamos coletando.

Se você instalar agora, instale em modo Monitor, e trate como avaliação. Preferimos você chegando com expectativa calibrada a você descobrindo sozinho.

It's in a test phase with invited administrators. The detection, correlation, containment and licensing logic is covered by automated tests and by simulators that replay attacks and false positives on every change — but real-environment pilot data is still being collected.

If you install now, install it in Monitor mode, and treat it as an evaluation. We'd rather you arrive with calibrated expectations than find out on your own.

Sim, e é justamente o que estamos procurando. Baixe pela página de download, rode em modo Monitor e nos conte o que viu — o que confundiu, o que faltou, o que alertou à toa. Feedback de ambiente real vale mais para nós agora do que qualquer coisa.

Yes, and it's exactly what we're looking for. Download it from the download page, run it in Monitor mode and tell us what you saw — what confused you, what was missing, what alerted for nothing. Real-environment feedback is worth more to us right now than anything else.