Pontos principais
- Por que escolher SFTP ou FTPS: a escolha entre SFTP e FTPS afeta o alinhamento do modelo de segurança, a postura de conformidade e a compatibilidade com a rede e o firewall.
- Etapas para implementar SFTP ou FTPS:
- Decida com uma matriz simples.
- Configure o SFTP com segurança (Windows e appliances).
- Configure o FTPS com segurança (Windows e appliances).
- Reforce acessos, chaves e certificados.
- Monitore, investigue e comprove a conformidade.
- Como NinjaOne apoia a implementação de SFTP e FTPS:
- Implantação de políticas e scripts
- Monitoramento e alertas
- Coleta de evidências
- Relatórios
- Os MSPs precisam escolher um protocolo seguro de transferência de arquivos (SFTP ou FTPS) e, depois, garantir conformidade contínua e controle verificável com etapas de reforço, rotação periódica de credenciais e relatórios das principais métricas de transferência.
Os ciberataques vieram para ficar, e as ameaças estão cada vez mais sofisticadas. Por isso, transferências de arquivos seguras são essenciais nas operações de TI, especialmente para provedores de serviços gerenciados (MSPs) que lidam diariamente com dados sensíveis de clientes. Garantir o compartilhamento protegido de informações costuma se resumir a dois protocolos que se destacam: SFTP e FTPS.
Tanto o Secure File Transfer Protocol (SFTP) quanto o File Transfer Protocol Secure (FTPS) oferecem canais seguros para a troca de dados. Mas há diferenças em arquitetura, autenticação e comportamento no firewall. Os MSPs precisam avaliar esses fatores na hora de escolher entre os dois protocolos de compartilhamento de arquivos — o que nem sempre é simples.
Neste guia, apresentamos um modelo prático para decidir entre SFTP e FTPS, configurar os protocolos corretamente e montar operações com evidências prontas, que simplificam auditorias e reduzem riscos.
Para ajudar na decisão, assista ao nosso vídeo: Como escolher entre SFTP e FTPS.
Resumo das melhores práticas
| Tarefa | Objetivo e valor |
| Tarefa 1: decida com uma matriz simples | Garante que o protocolo de transferência escolhido corresponda à realidade do negócio e da rede. |
| Tarefa 2: configure o SFTP com segurança (Windows e appliances) | Garante um serviço SFTP compatível com firewalls (uma única porta), usa chaves, limita a exposição e gera logs adequados para auditoria, com SFTP implantado sob privilégio mínimo e auditoria clara. |
| Tarefa 3: configure o FTPS com segurança (Windows e appliances) | Garante um serviço FTPS centrado em certificados, que atende requisitos de auditoria, suporta clientes legados e usa regras documentadas de portas passivas para prever as regras de firewall. |
| Tarefa 4: reforce acessos, chaves e certificados | Mantém a autenticação forte e sustentável, com controle de acesso restrito e opções rápidas de recuperação. |
| Tarefa 5: monitore, investigue e comprove a conformidade | Transforma as transferências de arquivos em registros confiáveis, com visibilidade operacional e evidências prontas para auditoria. |
Tarefa 1: decida com uma matriz simples
📌 Caso de uso:
esta tarefa garante que o protocolo de transferência escolhido corresponda à realidade do negócio e da rede. Também favorece uma escolha respaldada por política, com motivos e exceções documentados.
Comece levantando as seguintes informações:
- Qual tecnologia e configuração de firewall o cliente usa?
- Quais são as restrições de rede dos seus clientes?
- Qual nível de conformidade os seus clientes precisam atender?
- Quais são os requisitos de parceiros e sistemas legados?
Depois disso, a escolha entre SFTP e FTPS depende das informações reunidas. Considere os seguintes parâmetros:
- O SFTP é uma boa opção padrão quando:
- você precisa de mudanças mínimas no firewall e de uma única porta de escuta;
- os parceiros suportam chaves SSH e você quer autenticação por chave ou com MFA;
- você prefere jaulas no estilo chroot e isolamento de pastas direto.
- O FTPS é uma boa opção padrão quando:
- auditores ou parceiros exigem TLS com certificados X.509;
- é preciso integrar com ferramentas FTP legadas que já falam FTPS;
- é possível reservar e documentar uma faixa restrita de portas passivas nos firewalls.
Documente como política a escolha de protocolo para cada perfil de cliente (veja a Tarefa 5).
Tarefa 2: configure o SFTP com segurança (Windows e appliances)
📌 Caso de uso:
esta tarefa garante um serviço SFTP compatível com firewalls (uma única porta), que usa chaves, limita a exposição e gera logs adequados para auditoria, com SFTP implantado sob privilégio mínimo e auditoria clara.
Ao optar pelo SFTP, é preciso configurá-lo corretamente. Veja o que fazer:
- Instale e configure um servidor SSH, restrinja-o a uma porta fixa, desative o login por senha e exija chaves SSH.
- Crie contas para cada parceiro ou cliente, com diretórios em chroot e privilégios mínimos no sistema operacional.
- Limite cifras e MACs a opções modernas e desative o agente SSH e o encaminhamento de portas, a menos que sejam necessários.
- Encaminhe os logs de autenticação SSH e a atividade de arquivos para um coletor central.
Tarefa 3: configure o FTPS com segurança (Windows e appliances)
📌 Caso de uso:
esta tarefa garante um serviço FTPS centrado em certificados, que atende requisitos de auditoria, suporta clientes legados e usa regras documentadas de portas passivas para prever as regras de firewall.
Assim como no SFTP, ao escolher o FTPS é preciso primeiro garantir que haja um servidor FTP com suporte a SSL/TLS instalado e ativado no sistema (por exemplo, o FTP do IIS no Windows ou um serviço FTP em appliance). Com o serviço compatível com FTPS no lugar, configure-o com segurança:
- Instale um certificado de servidor confiável, desative o acesso FTP sem criptografia e exija TLS nos canais de controle e de dados.
- Defina uma faixa estreita de portas passivas de dados e divulgue-a aos firewalls e parceiros.
- Exija versões mínimas de TLS e suítes de cifras modernas, prefira FTPS explícito e exija autenticação forte do cliente sempre que possível.
- Registre em log os eventos dos canais de controle e de dados, incluindo nomes de usuário, IPs de origem, atividade de transferência de arquivos e detalhes da sessão TLS.
Tarefa 4: reforce acessos, chaves e certificados
📌 Caso de uso:
esta tarefa mantém a autenticação forte e sustentável, com controle de acesso restrito e opções rápidas de recuperação.
Reduzir o risco de ameaças é essencial na governança de autenticação e credenciais, seja com SFTP ou FTPS. Veja o que fazer:
- Rotacione chaves e certificados com regularidade: troque as chaves SSH e os certificados de cliente FTPS seguindo um cronograma e expire credenciais antigas.
- Aplique o privilégio mínimo: use contas de serviço de curta duração e diretórios delimitados por parceiro.
- Implemente restrições de conexão: use listas de IPs permitidos e limites de banda para parceiros com SLAs rígidos.
- Defina procedimentos de emergência: documente as etapas de desativação e revogação emergenciais.
Tarefa 5: monitore, investigue e comprove a conformidade
📌 Caso de uso:
esta tarefa transforma as transferências de arquivos em registros confiáveis, com visibilidade operacional e evidências prontas para auditoria.
Comprovar o controle é fundamental na entrega de um serviço crítico de MSP, como as operações com SFTP e FTPS. Por isso, vale manter um registro de monitoramento que resista a auditorias e investigações. Veja as tarefas necessárias:
- Sinalize anomalias: crie alertas para logins com falha, picos repentinos de volume e transferências vindas de regiões inesperadas.
- Cruze os logs: correlacione os logs de transferência com eventos de antivírus ou EDR nos endpoints e de DLP para clientes de alto risco.
- Defina a retenção dos registros: estabeleça, aplique e documente políticas de retenção de logs alinhadas às obrigações regulatórias de cada cliente, como HIPAA ou PCI DSS.
- Publique relatórios com regularidade: gere um relatório mensal com os parceiros ativos, a quantidade de transferências, as falhas e as exceções.
Plano de implantação
Como MSP, é importante ter um plano de implantação padronizado e enxuto para levar essa operação a vários parceiros ou clientes. Veja o que ele deve cobrir:
- Faça um piloto com dois parceiros no protocolo escolhido, valide as transferências e os logs e ajuste as regras de firewall.
- Documente a faixa passiva ou a porta do SFTP, os processos de chaves ou certificados e os fluxos de exceção.
- Expanda para os demais parceiros e agende revisões trimestrais de chaves, certificados e logs.
Integrações com NinjaOne
NinjaOne tem ferramentas e recursos que ajudam a simplificar a complexidade da implementação de SFTP e FTPS.
| Serviço NinjaOne | O que é | Como ajuda na implementação de SFTP e FTPS |
| Implantação de políticas e scripts | Recurso de automação centralizada que permite aos MSPs enviar configurações, aplicar políticas e executar scripts em todos os endpoints gerenciados. | Envia a configuração do servidor, cria ou rotaciona chaves SSH e certificados FTPS e define permissões de pastas em escala. |
| Monitoramento e alertas | Sistema de monitoramento e alertas em tempo real que acompanha condições configuradas nos endpoints e métricas de serviço personalizadas, disparando alertas ou tickets quando os limites definidos são atingidos. | Acompanha serviços e portas de SFTP ou FTPS, coleta logs de autenticação ou de transferência e abre tickets em falhas ou anomalias. |
| Coleta de evidências | Recurso de documentação e apoio a auditorias que anexa logs, configurações e relatórios a registros de serviço ou tickets. | Anexa saídas de configuração, detalhes de certificados e amostras de logs de transferência aos tickets de mudança para auditorias |
| Relatórios | Recurso de relatórios e visualização que oferece painéis e relatórios exportáveis com o status dos endpoints, as condições de alerta e resumos de conformidade com as políticas. | Publica painéis e relatórios com base nos dados de monitoramento coletados e em verificações por script, como status do serviço, logins com falha e chaves ou certificados próximos do vencimento. |
Como escolher e implementar SFTP e FTPS
Implementar transferências de arquivos seguras em um ambiente gerenciado é uma operação central para os MSPs. Tudo começa pela escolha entre SFTP e FTPS, conforme o protocolo padrão que melhor atende aos requisitos de conformidade, ao desenho da rede e às preferências de autenticação de cada cliente.
Principais conclusões:
- Escolha o SFTP pela simplicidade de uma única porta e pelo controle por chaves, ou o FTPS pela conformidade baseada em certificados e pelo suporte a ferramentas legadas.
- Restrinja cifras, portas e diretórios e centralize os logs antes de ir para produção.
- Rotacione chaves e certificados seguindo um cronograma e documente as revogações.
- Reporte mensalmente um conjunto enxuto de métricas de transferência e falhas para comprovar o controle.
Seguir essas práticas ajuda os clientes a ter uma infraestrutura segura para mover arquivos e também garante conformidade contínua, consistência operacional e controle verificável sobre cada transferência de dados nos ambientes gerenciados.
Temas relacionados:
