SabeTudo · Protect · requisitos do ambiente

Para instalar, basta rodar um comando no servidor do banco de dados.

Windows ou Linux. Postgres, SQL Server, IBM Db2, Oracle, MySQL ou outro banco. Se não quiser ou não puder rodar, nos dê o acesso e a gente roda. Em minutos o SabeTudo está disponível para uso; no dia seguinte, o banco já está protegido pelo PowerDBA Protect.

Ver como é Quero ver a parte técnica

Como é

Três momentos, nenhuma mudança na sua operação

Um agente pequeno passa a rodar no servidor do banco e conversa com a nuvem PowerDBA. Toda conexão sai do servidor; nada entra na sua rede.

1 · Instalação

Um comando, e pronto

A PowerDBA envia um comando de uso único. Alguém com acesso de administrador no servidor cola e executa. Leva de 1 a 5 minutos.

Prefere não rodar? Nos dê o acesso ao servidor e nossa equipe roda por você, com acompanhamento.

2 · Em minutos

SabeTudo disponível

O agente se registra na nuvem, reconhecemos os bancos e liberamos o acesso ao SabeTudo. A primeira carga dos dados começa em seguida.

3 · No dia seguinte

Banco protegido pelo Protect

Backup, cópia em nuvem e rotinas de DBA ativados e verificados. A partir daí, tudo é acompanhado pelo nosso painel, sem mais nada no servidor.

Bancos e sistemas

Funciona com o que você já tem

O mesmo agente atende os dois produtos e roda ao lado do banco, no servidor onde ele já está.

Sistema operacional

Linux Windows Server

Debian, Ubuntu, Red Hat e derivados. Windows Server 2016 ou mais novo.

Banco de dados

PostgreSQL SQL Server IBM Db2 Oracle MySQL / MariaDB outros

Acesso local, pelo mecanismo nativo de cada banco. A porta do banco não precisa ser aberta para fora.

Para quem quiser ver

A parte técnica

Na maioria dos ambientes já está tudo pronto. Se a sua rede é mais fechada ou você cuida do servidor, aqui está o que o comando precisa encontrar.

Firewall: liberações de saída

Conexões iniciadas pelo servidor. Nenhuma porta de entrada, nenhum redirecionamento no roteador, nenhuma VPN.

Para quê	Destino	Porta
Canal do agente (conexão permanente, TLS mútuo)	`mqtt.powerdba.com.br` · `216.238.126.107`	TCP 41883	obrigatório
Instalação, atualizações e envio dos dados	`tom.powerdba.com.br` e `.r2.cloudflarestorage.com` liberar por nome*: são serviços atrás de Cloudflare, com endereço rotativo	TCP 443	obrigatório
Repositórios de atualização do sistema operacional	Debian, Ubuntu, Red Hat ou Windows Update	TCP 80 / 443	obrigatório
Suporte remoto por túnel de saída	`216.238.126.107` · `187.60.212.28` · `177.155.125.81`	TCP 7000	obrigatório

Texto pronto para enviar a quem cuida do firewall:

Liberar conexões de SAÍDA do servidor de banco de dados para:
  - 216.238.126.107                                    TCP 41883
  - tom.powerdba.com.br e *.r2.cloudflarestorage.com   TCP 443
  - 216.238.126.107, 187.60.212.28, 177.155.125.81     TCP 7000  (suporte remoto)
Nenhuma porta de ENTRADA é necessária.

Se a rede usa proxy HTTP, ele precisa estar configurado no sistema e liberar esses destinos sem interceptar o TLS. O canal do agente usa certificado próprio e não passa por inspeção.

Firewall que filtra por domínio. Muitos equipamentos de borda liberam a porta 443 mas ainda decidem por nome de site. Nesses casos, liberar o endereço IP não basta e o sintoma engana: a conexão abre e depois trava sem resposta. Inclua tom.powerdba.com.br na lista de sites permitidos, além do armazenamento em nuvem.

Antivírus, EDR e inspeção de TLS

Antivírus com "proteção de rede" e firewalls de borda com inspeção SSL são a causa mais comum de um agente que instala, registra e depois fica mudo: a porta abre, o TLS fecha no meio. Vale para Windows e Linux.

Regra geral, qualquer produto

Pastas confiáveis: C:\Program Files\platom\ e C:\ProgramData\platom\ (Linux: /usr/local/bin/platom, /etc/platom/, /var/lib/platom/).
Processo confiável: C:\Program Files\platom\platom.exe — ele executa psql/sqlcmd/db2 e scripts de backup, que o monitor de comportamento costuma marcar.
Rede sem inspeção: saída TCP 41883 para mqtt.powerdba.com.br (216.238.126.107) fora de qualquer inspeção SSL/TLS, IPS ou filtro web. Não é HTTP.

Microsoft Defender — tudo de uma vez (PowerShell como administrador, colar inteiro):

Add-MpPreference -ExclusionPath "C:\Program Files\platom"; Add-MpPreference -ExclusionPath "C:\ProgramData\platom"; Add-MpPreference -ExclusionPath "C:\pgsql"; Add-MpPreference -ExclusionProcess "C:\Program Files\platom\platom.exe"; New-NetFirewallRule -DisplayName "PowerDBA platom saida" -Direction Outbound -Action Allow -Protocol TCP -RemotePort 443,41883 -Program "C:\Program Files\platom\platom.exe" -Profile Any | Out-Null; Get-MpPreference | Select-Object ExclusionPath, ExclusionProcess

Com Intune ou GPO, coloque as mesmas exclusões na política (senão são desfeitas na próxima sincronização). Os demais produtos abaixo não têm linha de comando padronizada: é pela console.

Produto	Onde cadastrar
Microsoft Defender	Bloco de comandos acima (uma colada). Pela interface: Segurança do Windows → Proteção contra vírus e ameaças → Gerenciar configurações → Exclusões. Com Intune/GPO, na política.
Kaspersky (Endpoint Security / Small Office)	Configurações → Exclusões (as pastas); Aplicativos confiáveis → `platom.exe` com "Não verificar o tráfego de rede"; Verificação de conexões criptografadas → `mqtt.powerdba.com.br` em domínios confiáveis; Firewall → permitir saída TCP 443 e 41883. Gerenciado pelo Security Center: na política do grupo.
ESET (Endpoint / PROTECT)	F5 → Mecanismo de detecção → Exclusões de desempenho (as pastas); Web e e-mail → SSL/TLS → aplicativos filtrados → `platom.exe` = Ignorar; Firewall → regra permitir saída TCP 443, 41883 para o executável. Com ESET PROTECT, na política.
Bitdefender GravityZone	Política → Antimalware → Exclusões personalizadas (pastas + processo); Proteção de Rede → Verificação SSL → exceção `mqtt.powerdba.com.br`; Firewall → permitir `platom.exe` saída 443/41883.
Sophos Intercept X / Sophos Firewall	Central → Threat Protection → Exclusões (pasta e processo, "exclude from network"); Web Control → site `mqtt.powerdba.com.br`. No Sophos Firewall XG/XGS: SSL/TLS inspection rules → Exclude o destino; IPS fora da porta 41883.
Trend Micro (Apex One / Worry-Free / Deep Security)	Exclusões de verificação (pastas) + exclusão de processo; Firewall → permitir; Behavior Monitoring → Programas aprovados → `platom.exe`; Web Reputation/IPS → excluir o destino.
Avast / AVG Business	Exceções (pastas); Proteção Web → Verificar HTTPS → exceção do domínio; Firewall → regra de aplicativo `platom.exe` permitir saída.
McAfee / Trellix ENS	ePO → Threat Prevention → On-Access exclusões; Access Protection → excluir `platom.exe`; Firewall → permitir saída 443/41883; Web Control sem inspeção do destino.
CrowdStrike · SentinelOne · Cortex XDR · Defender for Endpoint	Não inspecionam TLS, mas bloqueiam comportamento. Exclusão de caminho/processo para `platom.exe` e para os scripts de backup (`C:\pgsql\scripts\` / `/var/lib/platom/`). SentinelOne: Exclusions → Path (Interoperability – extended). CrowdStrike: ML + IOA exclusions. Cortex: Endpoint Administration → Exceptions.
FortiGate · pfSense/OPNsense · Mikrotik · Meraki/UniFi	Política de saída TCP 443 + 41883 para os destinos; SSL inspection = no-inspection (FortiGate: Exempt o endereço; Sophos/pfSense: bypass do proxy transparente; Suricata/IDS: allowlist do IP `216.238.126.107`); Application Control não pode classificar a 41883 como "unknown/deny". Proxy obrigatório (Zscaler, Cloudflare Gateway, Netskope): bypass direto na 41883 — MQTT não atravessa proxy HTTP.

Teste que diz se é inspeção de TLS (PowerShell no servidor). O emissor do certificado tem que ser da PowerDBA; se aparecer o nome do antivírus ou do firewall, é interceptação:

Test-NetConnection mqtt.powerdba.com.br -Port 41883
$c=New-Object Net.Sockets.TcpClient('mqtt.powerdba.com.br',41883); $s=New-Object Net.Security.SslStream($c.GetStream(),$false,({$true})); $s.AuthenticateAsClient('mqtt.powerdba.com.br'); "TLS=$($s.SslProtocol) CERT=$($s.RemoteCertificate.Subject) EMISSOR=$($s.RemoteCertificate.Issuer)"; $c.Close()
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select displayName

Linux: openssl s_client -connect mqtt.powerdba.com.br:41883 -servername mqtt.powerdba.com.br </dev/null | openssl x509 -noout -subject -issuer. Depois de liberar, Restart-Service platom (Windows) ou systemctl restart platom — o agente aparece online em até um minuto.

Sistema operacional atualizado, e continuamente

Não é só no dia da instalação. O agente, o banco e as bibliotecas de segurança dependem de um sistema em dia.

Linux

Repositórios acessíveis e índice em dia

apt-get update ou dnf check-update rodando sem erro.
Atualizações de segurança automáticas (unattended-upgrades / dnf-automatic).
Versão ainda suportada: Debian 11+, Ubuntu 20.04+, RHEL/Rocky/Alma 8+.
Pacotes curl e sudo instalados, ou repositório disponível para instalar.

Windows

Windows Update ativo

Patches mensais aplicados, inclusive no servidor de SQL Server.
Windows Server 2016 ou mais novo.
Reinicializações pedidas pelo sistema agendadas, não adiadas por meses.

Por que insistimos nisso. Já vimos um servidor com o índice do apt parado há meses que não conseguiu instalar nem o curl: o pacote listado já não existia no repositório. Um apt-get update resolveu. A atualização contínua evita esse tipo de surpresa no pior momento.

Detalhes que raramente atrapalham

Alguém com root (Linux) ou administrador (Windows) para executar o comando. Depois, o agente roda com usuário próprio, sem privilégio.
Hora sincronizada (NTP) e DNS funcionando.
Nome de servidor próprio (não debian ou localhost).
Política de SSH para emergência: sshd escutando só em 127.0.0.1, só com chave. Não é porta aberta para a rede: quem conecta nela é o túnel, na própria máquina.
Acesso local ao banco pelo usuário do próprio motor (Db2, PostgreSQL, SQL Server, Oracle, MySQL).

Quer o detalhe

Guia técnico completo

Servidor, rede, atualizações, acesso remoto, banco de dados, o passo a passo da instalação, situações comuns com solução e um checklist para imprimir.

Abrir o guia completo