Administração
Pessoas e convites
Tela: Pessoas e convites
Admin › Usuários e perfis é onde os administradores decidem quem usa o Hive. A aba Pessoas convida por e-mail e muda perfis e situação; Equipes agrupa pessoas para compartilhar painéis; Grupos do diretório dá acesso automático aos membros de grupos do diretório (just-in-time) e configura o provisionamento SCIM. Ninguém precisa de senha criada à mão. Perfis e métodos de login têm abas próprias: veja Perfis e permissões e Métodos de login.
O que você pode fazer aqui
Convidar uma ou várias pessoas de uma vez e escolher os perfis delas.
Buscar pessoas por nome ou e-mail e filtrar pela Situação (Ativa, Convidada, Desativada).
Editar uma pessoa: mudar perfis, desativar ou religar o acesso.
Reenviar convite para quem ainda não entrou.
Zerar autenticador de quem perdeu o celular.
Criar Equipes para compartilhar painéis com várias pessoas de uma vez.
Mapear Grupos do diretório para perfis, ver a prévia de quem ganharia acesso e criar tokens SCIM.
Convidar pessoas
Clique em Convidar pessoas na aba Pessoas. O assistente tem três passos.
Digite um ou mais endereços em Endereços de e-mail, um por linha. Quem já tem acesso é ignorado e listado à parte no final.
Escolha um ou mais Perfis. O primeiro perfil vira o ativo. Dá para mudar os perfis depois com Editar.
Revise e envie. Se as contas locais estiverem ligadas, cada pessoa recebe um e-mail para definir a senha. Só com SSO, nenhum e-mail é enviado: compartilhe o endereço de entrada mostrado no final— as pessoas entram com a conta da empresa e são reconhecidas pelo e-mail.
No final o Hive mostra " pessoas convidadas.", se os e-mails foram enviados, quem Já tinham acesso (ignoradas) e o Endereço de entrada da sua empresa com botão de copiar, caso algum e-mail não chegue.
Editar, desativar e zerar
- Na linha da pessoa, clique em Editar. A janela Acesso de lista os perfis em cartões; os privilegiados dizem "Privilegiado: sempre pede MFA." 2. Marque ou desmarque perfis. As mudanças valem na próxima ação da pessoa, sem novo login.
- Use a chave Ativa / Desativada para cortar o acesso. Confirme Desativar acesso: a entrada para na hora, no Hive e na conta local; o histórico e a auditoria ficam. Religue do mesmo jeito. 4. Reenviar convite aparece só para pessoas com situação Convidada.
- Zerar autenticador aparece para pessoas ativas (não para você mesmo). As sessões da pessoa terminam e ela cadastra o aplicativo de novo na próxima entrada.
Equipes
Equipes são grupos de pessoas usados para compartilhar painéis.
- Abra a aba Equipes e clique em Nova equipe.
- Preencha Nome e Descrição, procure pessoas em Procurar pessoas e marque-as ("Pessoas na equipe (n)").
- Clique em Salvar. Excluir uma equipe faz os painéis compartilhados com ela deixarem de aparecer para as pessoas dela, a não ser que tenham sido compartilhados com elas diretamente.
Grupos do diretório, prévia do escopo e SCIM
Na aba Grupos do diretório:
- Clique em Incluir grupo, digite o nome do Grupo do diretório e escolha o Perfil concedido. Repita para outros grupos e clique em Salvar mapeamentos.
- Quem entra com a conta da empresa e está num grupo mapeado ganha o perfil sem convite manual (JIT). Quem sai do grupo perde no próximo acesso.
- Prévia do escopo › Ver prévia mostra, com o mapeamento da tela (mesmo antes de salvar), quantas Contas habilitadas no diretório existem, quem Entrariam, quem Ficam de fora (sem
grupo mapeado), quem está Em mais de um perfil, quem Já são pessoas no Hive e os grupos com gente e sem perfil — pelo que a sincronização do Active Directory trouxe.
- Provisionamento SCIM (Entra ID, Okta, Google): digite um Nome e clique em Criar token SCIM. Copie na hora a URL do locatário (base do SCIM) e o Token secreto — o token aparece só esta vez — e cole no provisionamento automático do provedor. O provedor passa a criar, atualizar e desativar pessoas no Hive; os grupos dele viram perfis pelo mesmo mapeamento.
Pessoa removida no provedor é desativada no Hive (o histórico fica). Revogar interrompe o provisionamento até um novo token ser criado.
Exemplo prático: convidar a Ana Souza para o service desk
Ana Souza entra no service desk da Aurora na segunda-feira. A empresa usa contas locais, e o perfil Service desk N1 já existe (veja Perfis e permissões).
- Abra Admin › Usuários e perfis › Pessoas e clique em Convidar pessoas.
- Em Endereços de e-mail digite [email protected] e avance.
- Em Perfis marque só Service desk N1 e avance.
- Revise e envie. O Hive mostra "1 pessoa convidada. Cada pessoa recebe um e-mail para definir a senha." e o endereço de entrada https://aurora.hive.example .
- A lista Pessoas mostra [email protected] com situação Convidada e "ainda não" em Último acesso. O cartão Convites ainda não aceitos do Início conta a Ana até ela entrar. 6. Abra a aba Equipes, clique em Nova equipe, nome Service desk , descrição Analistas N1 e N2 , procure ana , marque a Ana Souza e clique em Salvar ("Equipe salva").
- Um supervisor compartilha o painel Service desk — alertas abertos com a equipe Service desk: a Ana vê o painel assim que entrar.
- Na terça a Ana ainda não tinha o e-mail (foi para o spam). Clique em Reenviar convite na linha dela ("Convite reenviado para [email protected]."). O link do convite vale por 72 horas. 9. A Ana cria a senha; a situação vira Ativa e Último acesso mostra quando ela entrou.
Exemplo prático: dar acesso por grupo do diretório
A Aurora quer que todo membro do grupo do AD GG-ServiceDesk ganhe Service desk N1 sem convites.
- Em Grupos do diretório, clique em Incluir grupo, digite GG-ServiceDesk e escolha Service desk N1.
- Clique em Ver prévia antes de salvar: 42 contas habilitadas no diretório, 18 entrariam, 24 ficam de fora, 0 em mais de um perfil, 3 já são pessoas no Hive.
- Clique em Salvar mapeamentos ("1 mapeamento salvo."). Na próxima vez que um dos 18 entrar com a conta da empresa, a pessoa aparece em Pessoas com Service desk N1.
Cuidados e limites
Toda pessoa precisa de pelo menos um perfil.
Você não pode desativar o próprio acesso, e o Hive nunca deixa desativar o último administrador ativo.
O plano da sua empresa pode limitar o número de pessoas; um convite além do limite é recusado com uma mensagem clara — desative quem saiu.
Equipes só compartilham painéis; o acesso às telas vem sempre dos perfis.
A prévia do escopo usa o que a sincronização do Active Directory já trouxe; grupos que a sincronização não leu aparecem como "não está no diretório".
Cada ação (convite, reenvio, mudança de perfil, desativação, mudança de mapeamento, provisionamento SCIM) fica na Trilha de auditoria.
Relacionados
Perfis e permissões
Métodos de login
Como entrar
Diretório e máquinas sem agente
Perfis e permissões
Tela: Perfis e permissões
Um perfil diz quais telas a pessoa vê, o que ela pode mudar nelas, quais ações sensíveis pode executar e quais dados alcança (escopo). Uma pessoa pode ter vários perfis e trocar o ativo no menu do usuário. Os perfis ficam em Admin › Usuários e perfis › Perfis.
O que você pode fazer aqui
Ver cada perfil com o tipo (Padrão ou Criado pela empresa), a etiqueta Privilegiado · MFA sempre, quantas pessoas o têm, quantas permissões e a política de MFA.
Criar um perfil com Novo perfil, ou partir de um existente com Duplicar e ajustar.
Editar um perfil: nome, permissões por tela, marca de privilegiado, política de MFA e escopo de dados.
Comparar versões campo a campo e restaurar uma antiga.
Definir o nível do operador do perfil (T0, T1, T2).
Excluir um perfil criado pela empresa que ninguém tenha.
Perfis padrão
Toda empresa começa com: Administrador da plataforma, Analista de infraestrutura / NOC, Analista de segurança, Técnico de suporte (N1/N2), Gestor de licenças (SAM), Analista de ativos (HAM), Gestor / executivo, Auditor e Usuário final. Administrador da plataforma, Analista de segurança e Auditor são privilegiados. Perfis padrão podem ser editados mas não excluídos; "Perfis padrão podem ser duplicados e ajustados; o original nunca muda."
Criar ou editar um perfil
Clique em Novo perfil (ou em Editar / Duplicar e ajustar numa linha). O editor é um assistente.
Dê ao perfil um Nome do perfil claro e diga Para quem é.
Marque na matriz as telas que o perfil pode Ver e Editar e as ações específicas dele. Marque Perfil privilegiado (sempre exige MFA) quando ele puder mudar acessos ou executar ações sensíveis: perfis privilegiados sempre exigem o aplicativo autenticador.
Limite os dados que o perfil vê por Sites, Tags e Grupos. Deixe vazio para ver tudo.
O último passo, Revisar, mostra o perfil inteiro antes de salvar. Um perfil novo é salvo com a primeira versão; na edição, Salvar alterações cria uma versão nova ("Perfil salvo (versão n). Vale na próxima ação de cada pessoa.") com Desfazer na mensagem.
A matriz de permissões
A matriz lista todas as telas do menu, agrupadas por espaço (Ativos, Mapas, Monitorar, Segurança, Governança, Entrega, Integrações, Admin).
Colunas: Tela, Ver, Editar e Ações específicas (por exemplo Aprovar acesso sem assistência em Acesso remoto, Exportar auditoria na Trilha de auditoria, Aprovar suporte do fornecedor em Configurações da empresa).
Marcar Editar ou uma ação também marca Ver; desmarcar Ver limpa a linha. A caixa na linha do espaço marca a coluna inteira daquele espaço.
Procurar tela ou ação filtra as linhas, Só marcadas esconde o que está desligado, e o contador mostra " de marcadas".
Ações com escudo são sensíveis: "Ações sensíveis devem ficar só em perfis privilegiados, que sempre exigem MFA."
Telas não marcadas somem do menu de quem tem o perfil; um link direto mostra "Esta tela não está disponível para o seu perfil".
Versões e nível do operador
Ao editar um perfil existente, dois painéis aparecem ao lado do assistente:
Versões: cada salvamento é uma versão (v1, v2…, a mais nova marcada atual). Clique numa anterior para comparar campo a campo (permissões, escopo, MFA em nomes legíveis) e clique em Restaurar a versão n. A restauração vira uma versão nova, então dá para voltar de novo.
Nível do operador: escolha o Nível deste perfil — "T2 · Estações", "T1 · Servidores" ou "T0 · Tier 0" — ou Sem restrição de camada. Um operador T2 age só em estações de trabalho, T1 só em servidores e T0 só no Tier 0. Uma pessoa pode ter um nível próprio, que vale mais que o do perfil.
Exemplo prático: um perfil "Service desk N1"
A Aurora quer que os analistas de primeiro nível vejam ativos e alertas e abram sessões remotas, mas não aprovem acesso sem assistência e não vejam mais nada.
- Abra Admin › Usuários e perfis › Perfis e clique em Novo perfil.
- Nome: Nome do perfilService desk N1 ; Para quem éAnalistas do service desk de primeiro nível . 3. Permissões: digite ativos em Procurar tela ou ação e marque Ver em Todos os ativos. Limpe a busca e marque Ver em Alertas e eventos (Monitorar) e Ver e Editar em Acesso remoto (Segurança). Deixe Aprovar acesso sem assistência desmarcado. O contador mostra "4 de … marcadas".
- Deixe Perfil privilegiado desligado e escolha Política de MFA "Obrigatório fora da rede da empresa".
- Escopo dos dados: em Sites digite São Paulo para que os analistas vejam só esse escritório. 6. Revisar e salve: "Perfil Service desk N1 salvo. Ele está na trilha de auditoria e já tem a primeira versão." 7. Convide a Ana Souza com esse perfil (veja Pessoas e convites). Quando ela entra, o menu mostra só Início, Ativos › Todos os ativos, Monitorar › Alertas e eventos, Segurança › Acesso remoto e Ajuda. Ela pode iniciar uma sessão remota, mas aprovar acesso sem assistência não aparece para ela; se abrir /settings por um link, vê "Esta tela não está disponível para o seu perfil".
Exemplo prático: desfazer uma mudança errada
Duas semanas depois alguém marca Editar em Todos os ativos no Service desk N1 por engano.
- Abra o perfil com Editar; o painel Versões mostra v2 (atual) e v1.
- Clique em v1: a comparação mostra a permissão que entrou na v2.
- Clique em Restaurar a versão 1 e confirme. O Hive responde "Versão restaurada como v3."; os valores da v1 voltam a valer e toda a história fica na lista e na Trilha de auditoria.
Cuidados e limites
Um perfil precisa de pelo menos uma permissão.
Perfis padrão não podem ser excluídos. Um perfil da empresa só pode ser excluído quando ninguém o tem ("Move them to another profile first." — mova as pessoas para outro perfil antes).
O perfil Administrador da plataforma precisa manter a administração de usuários e de perfis; o Hive recusa mudanças (ou restaurações) que deixariam os administradores sem acesso.
Nesta versão a entrada exige o autenticador só para perfis privilegiados. Os outros valores da política de MFA ("Sempre obrigatório", "Obrigatório fora da rede da empresa", "Como o provedor de identidade decidir") ficam salvos e aparecem no perfil, mas não bloqueiam a entrada sozinhos. Marque o perfil como privilegiado quando o MFA precisar ser obrigatório.
As mudanças valem na próxima ação de cada pessoa; ninguém precisa entrar de novo.
Restaurar uma versão exige permissão para mudar configuração.
Relacionados
Pessoas e convites
Métodos de login
Acesso remoto
Trilha de auditoria
Métodos de login
Tela: Métodos de login
Admin › Usuários e perfis › Autenticação decide como as pessoas entram na sua empresa. O Hive tem a própria página de entrada: senhas, códigos do autenticador, convites e trocas de senha acontecem nela, sem mandar as pessoas para outro lugar. Só os métodos de conta da empresa (OIDC e SAML) vão ao provedor de identidade e voltam. O Keycloak também pode ser usado só como fonte de usuários: o Hive lê as contas e confere a senha lá, e as pessoas nunca veem a tela do Keycloak.
O que você pode fazer aqui
Ligar ou desligar cada método: OIDC / OAuth 2.0, SAML 2.0, LDAP / Active Directory e Conta local + MFA. Pelo menos um método sempre fica ligado.
Configurar OIDC e SAML com um assistente e testar a entrada.
Usar o Keycloak como fonte de usuários e Trazer agora as contas.
Ver a Política de MFA por perfil.
Decidir os pedidos de acesso de suporte do provedor de serviços (veja Acesso de suporte do provedor de serviços).
OIDC / OAuth 2.0
Clique em Configurar no cartão OIDC / OAuth 2.0.
Escolha o Provedor de identidade: Microsoft Entra ID, Google, Okta, Keycloak, Auth0 ou qualquer provedor OIDC. Texto do botão (opcional) muda o que o botão de entrada diz.
Cole o Endereço de descoberta do provedor (termina em /.well-known/openid-configuration ), o ID do cliente e o Segredo do cliente (guardado no cofre). O segredo vai para o cofre e nunca mais aparece.
Depois de Revisar, o Hive mostra o endereço de retorno para cadastrar no provedor ("é a única coisa para copiar") e Testar a entrada: abra o endereço numa janela anônima e escolha "Entrar com a conta da empresa". O método fica salvo e ligado.
SAML 2.0
Clique em Configurar no cartão SAML 2.0. O Hive conversa direto com o provedor SAML (ADFS, Entra, Okta e outros).
Informe o Endereço dos metadados do provedor: o Hive lê sozinho o endereço de login e o certificado de assinatura. No provedor, cadastre o Hive com os nossos metadados, em /api/v1/public/auth/<empresa>/saml/metadata , e envie o e-mail como NameID (e, se quiser, os grupos num atributo "groups"). O Hive confere a assinatura, a validade, o público e o pedido de cada resposta. Asserções criptografadas não são aceitas.
LDAP / Active Directory
Usuário e senha do domínio digitados na página do Hive. O coletor da conexão do Active Directory confere a senha no controlador de domínio via LDAPS (com o certificado fixado) e devolve só "confere ou não", com nome, e-mail e grupos; a senha não fica guardada em lugar nenhum. Quem ainda não tem acesso entra se um dos seus grupos do AD estiver mapeado para um perfil; conta desativada no AD perde o acesso no Hive.
Nesta versão o cartão mostra "Aplicado pelo coletor — chega na F1." e o botão Configurar fica desabilitado. O Hive só aceita este método quando existe uma conexão do Active Directory com coletor ("Connect the Active Directory first.").
Conta local + MFA
As pessoas entram com e-mail e senha na página do Hive. O convite chega por e-mail com um link para criar a senha; perfis privilegiados cadastram o aplicativo autenticador na primeira entrada. Em Pessoas, Zerar autenticador ajuda quem perdeu o celular. Use para instalações sem provedor de identidade, contas de emergência e auditores externos.
Keycloak como fonte de usuários
- Clique em Conectar na Central de integrações. Na conexão do Keycloak preencha Endereço do Keycloak, Realm, ID do cliente (conta de serviço com view-users e concessão de senha) e Segredo do cliente, e ligue o uso Usuários da plataforma.
- De volta a Autenticação, clique em Trazer agora ou espere: o Hive traz as contas de hora em hora. O resultado diz "Lidas · novas · desativadas · sem grupo mapeado ".
- Mapeie os grupos do Keycloak para perfis em Grupos do diretório. Quem está num grupo mapeado ganha acesso; quem foi desativado no Keycloak perde.
- As pessoas digitam a senha do Keycloak na página do Hive; o Hive confere no Keycloak por trás. Perfis e permissões ficam só no Hive, e nada é gravado no Keycloak.
O Keycloak também aparece como provedor OIDC. Escolha essa opção só se quiser que as pessoas vão à página do Keycloak para entrar; para manter a página de entrada do Hive, use o Keycloak como fonte de usuários.
Política de MFA por perfil
A tabela lista cada perfil e a política de MFA dele; perfis privilegiados sempre exigem MFA, mesmo que o provedor de identidade não peça. Mude a política no editor do perfil (veja Perfis e permissões).
Exemplo prático: entrada com Entra ID na Aurora
- No Entra ID, registre um aplicativo "Hive", anote o ID do cliente e crie um segredo.
- No Hive, abra Admin › Usuários e perfis › Autenticação e clique em Configurar em OIDC / OAuth 2.0.
- Provedor de identidade: Microsoft Entra ID; Texto do botão (opcional): Conta Aurora . 4. Endereço de descoberta: https://login.microsoftonline.com/<tenant-id>/v2.0/.well-known/openid- configuration ; ID do cliente e Segredo do cliente.
- Revise e salve: "Microsoft Entra ID salvo e ligado." Copie o endereço de retorno mostrado e inclua-o como URI de redirecionamento do aplicativo no Entra.
- Abra o endereço da empresa numa janela anônima: o botão Conta Aurora aparece acima dos campos de e-mail e senha. Entre para testar.
- Mapeie o grupo do Entra GG-Hive-NOC para Analista de infraestrutura / NOC em Grupos do diretório: os analistas do NOC ganham acesso na primeira entrada.
Exemplo prático: Keycloak como única fonte de contas
A Aurora guarda as contas no Keycloak em https://sso.aurora.example , realm aurora .
- Conecte o Keycloak na Central de integrações com um cliente que tenha view-users e a concessão de senha, e ligue Usuários da plataforma.
- Ligue Conta local + MFA (os campos de e-mail e senha são onde a senha do Keycloak é digitada).
- Clique em Trazer agora: "Lidas 120 · novas 118 · desativadas 2 · sem grupo mapeado 40". 4. Mapeie o grupo hive-admins para Administrador da plataforma. Os membros digitam e-mail e senha do Keycloak na página do Hive e cadastram o aplicativo autenticador na primeira entrada, porque o perfil é privilegiado.
Cuidados e limites
O Hive sempre mantém pelo menos um método ligado; desligar o último é recusado.
Desligar um método pede confirmação: "Quem entra por este método vai precisar de outro."
O segredo do cliente nunca mais aparece; para trocá-lo, rode Configurar de novo.
O provedor de serviços pode restringir de quais redes as pessoas e integrações entram (os agentes não são afetados); fora delas o acesso é recusado antes de conferir a senha.
O plano pode limitar agentes e pessoas; um agente ou convite além do limite é recusado com uma mensagem clara.
Cada mudança de método vai para a Trilha de auditoria e para o Histórico de configuração como versão de "Método de login".
Relacionados
Como entrar
Pessoas e convites
Perfis e permissões
Central de integrações
Acesso de suporte do provedor de serviços
A equipe do provedor de serviços nunca vê os dados da sua empresa por conta própria. Quando precisa ajudar, ela envia um pedido e o seu administrador decide. Os pedidos aparecem em Admin ›Usuários e perfis › Autenticação, na seção Pedidos de acesso de suporte do provedor de serviços, e os pendentes são contados no Início em Pedidos de acesso de suporte.
O que você pode fazer aqui
Ver cada pedido com quem pede, o motivo, quando foi pedido e a situação (Aguardando aprovação, Aprovado, Recusado, Revogado, Vencido).
Aprovar por min um pedido pendente, ou Recusar.
Revogar agora um acesso aprovado antes do fim do prazo.
Acompanhar tudo o que o provedor fez na trilha de auditoria.
Aprovar ou recusar
- Abra o Início e clique em Pedidos de acesso de suporte em O que precisa de atenção, ou vá direto para Admin › Usuários e perfis › Autenticação.
- Leia a linha: quem pede, motivo, "pedido ".
- Clique em Aprovar por min. A confirmação diz "Acesso só de leitura por minutos. Cada ação fica na sua trilha de auditoria; dá para revogar a qualquer momento." Clique em Aprovar.
- Ou clique em Recusar e confirme: "A equipe do provedor não verá os seus dados."
Depois da aprovação a linha mostra Aprovado, "até " e "decidido por ".
Durante o acesso
O acesso de suporte é só de leitura: qualquer tentativa de mudar algo é recusada ("Support access is read-only."). Cada chamada feita pela equipe do provedor fica na sua trilha de auditoria como "Chamada feita em modo suporte".
Revogar
Clique em Revogar agora numa linha aprovada e confirme: o acesso termina na hora, mesmo antes do prazo pedido. Quando o prazo acaba, o acesso termina sozinho e a situação vira Vencido.
Exemplo prático: uma sessão de suporte de 60 minutos
A Aurora abriu um chamado com o provedor porque um painel não mostra dados.
- Às 14:00 o analista do provedor pede acesso: motivo "Verificar painel NOC TV sem dados", 60 minutos.
- O administrador da Aurora vê Pedidos de acesso de suporte 1 no Início, abre o pedido e clica em Aprovar por 60 min e depois em Aprovar. A linha diz Aprovado · até 15:00 · decidido por [email protected].
- O analista lê as configurações do painel e encontra a causa. A trilha de auditoria mostra cada chamada com a ação "Chamada feita em modo suporte".
- Às 14:25 o problema está entendido; o administrador clica em Revogar agora. A situação muda para Revogado e a próxima chamada do analista é recusada.
Cuidados e limites
O provedor pede entre 15 e 480 minutos; você não muda a duração, só aprova, recusa ou revoga.
Só perfis com a permissão de aprovar o suporte do provedor (a ação sensível Aprovar suporte do fornecedor) veem os botões; os outros veem a lista só para leitura.
O acesso de suporte nunca permite mudanças, mesmo aprovado.
Pedidos, aprovações, recusas e revogações ficam todos na Trilha de auditoria (grupo Acesso de suporte).
Relacionados
Trilha de auditoria
Métodos de login
Perfis e permissões
Conformidade e hardening
Tela: Conformidade e hardening
Governança › Conformidade mede normas com o que o Hive sabe do seu parque e transforma benchmarks CIS em perfis de configuração. A aba Normas pontua ISO/IEC 27001:2022 (Annex A), PCI DSS v4.0, LGPD / GDPR, HIPAA Security Rule e CIS Controls v8; a aba Benchmarks CIS cria perfis de hardening para Windows, Linux, macOS, nginx e Apache. É evidência técnica para a auditoria, não uma certificação.
O que você pode fazer aqui
Ver a pontuação de cada norma e quantos controles estão Atendido, Parcial ou Não atendido.
Ler a evidência de cada controle, medição por medição.
Exportar CSV de uma norma para o auditor.
Transformar um benchmark CIS em perfil de configuração com Criar perfil, no modo "só avisar" ou "corrigir", para alguns locais e tags ou para todas as máquinas.
Guardar as chaves de recuperação do BitLocker no cofre e mostrar uma com motivo.
Normas
- Abra Governança › Conformidade. A aba Normas mostra um chip por norma com a pontuação, por exemplo "ISO/IEC 27001:2022 (Annex A) · 72%".
- Clique num chip. Os cartões mostram Pontuação, Atendido, Parcial e Não atendido. 3. A tabela lista cada Controle, a Situação e a Evidência: uma etiqueta por medição (Inventário, Inventário de software, Antivírus, Firewall, Criptografia de disco, Atualizações do sistema, Patches de segurança, Vulnerabilidades exploradas, Perfis de configuração, Administradores locais, Controle de USB, Controle de aplicativos, Chaves de recuperação no cofre, Dados sensíveis, Certificados, MFA, Trilha de auditoria, EDR) com o detalhe.
- Clique em Exportar CSV para baixar controle, descrição, situação, medição, situação da medição e evidência.
Como é calculado:
Uma medição de cobertura fica Atendido com 95% ou mais das máquinas, Parcial a partir de 70%, Não atendido abaixo de 70%.
Um controle fica Atendido quando todas as medições dele estão atendidas, Não atendido quando todas estão não atendidas, e Parcial nos outros casos.
Pontuação = (atendidos + metade dos parciais) ÷ controles medidos.
Benchmarks CIS
- Abra a aba Benchmarks CIS. Cada benchmark mostra o sistema, " controles", a lista de controles e quantos perfis já foram criados a partir dele.
- Clique em Criar perfil. Defina o Nome do perfil, o Modo — Só avisar (recomendado para começar) ou Corrigir — e, se quiser, Locais (vazio: todos) e Tags (vazio: todas).
- Clique em Criar. O Hive abre o novo perfil de configuração, onde você pode ajustá-lo.
Benchmarks disponíveis: CIS Windows 10/11 Nível 1 (essencial), CIS Ubuntu/Debian/RHEL Nível 1 (essencial), CIS macOS Nível 1 (essencial), Endurecimento de servidor web: nginx, e Endurecimento de servidor web: Apache.
Criptografia de disco e chaves de recuperação
O item de configuração "Criptografia de disco obrigatória" confere BitLocker, FileVault ou LUKS; no Windows, no modo corrigir, ele liga o BitLocker. Todo dia o Hive lê a chave de recuperação do BitLocker das máquinas Windows criptografadas e guarda no cofre. Na máquina, o painel Chave de recuperação do BitLocker mostra "Guardada no cofre " e oferece Ler a chave agora, Trocar chave e Mostrar a chave (que pede um Motivo e vai para a trilha de auditoria; a chave é trocada assim que a máquina voltar a ficar online). Veja Criptografia de disco.
Exemplo prático: ISO 27001 antes da auditoria
- Abra Governança › Conformidade › Normas e clique em "ISO/IEC 27001:2022 (Annex A)". Ela mostra 11 controles: 6 Atendido, 4 Parcial, 1 Não atendido — pontuação (6 + 2) ÷ 11 = 72,7%.
- O controle A.8.1 está Parcial: a medição Criptografia de disco diz "82/100 computers ok" (82%: Parcial, entre 70% e 95%).
- Crie um perfil de configuração com "Criptografia de disco obrigatória" no modo corrigir para a tag notebooks (veja Perfis de configuração).
- Uma semana depois a criptografia chega a "97/100 computers ok": Criptografia de disco vira Atendido; A.8.1 vira Atendido se as outras medições dele estiverem atendidas, e a pontuação sobe.
- Clique em Exportar CSV e envie iso27001.csv ao auditor junto com o pacote de evidências da Trilha de auditoria.
Exemplo prático: CIS Windows em duas fases
- Em Benchmarks CIS, clique em Criar perfil em "CIS Windows 10/11 Nível 1 (essencial)". 2. Nome do perfilCIS Windows N1 — piloto , ModoSó avisar (recomendado para começar), Tags piloto-cis . Clique em Criar ("Perfil criado.").
- Depois de alguns dias, o perfil mostra quais máquinas do piloto diferem de cada um dos 12 controles, sem mudar nada.
- Quando as diferenças estiverem entendidas, edite o perfil e passe para o modo corrigir; depois amplie as tags para todas as estações.
Cuidados e limites
As medições usam só dados que o Hive já coleta. Antivírus, firewall, criptografia de disco e atualizações do sistema contam só os computadores que informam proteção; sem nenhum, a medição fica "Não se aplica". O inventário conta os computadores vistos nos últimos 7 dias.
Controles sem nenhuma medição aplicável ficam "Não se aplica" e não entram na pontuação.
Os resultados seguem o escopo de dados do seu perfil ativo.
Criar perfil exige permissão para mudar configuração; ler as abas exige permissão de leitura de relatórios ou de configuração.
Locais e tags vazios aplicam o perfil a todas as máquinas; dá para mudar o escopo no perfil depois.
Mostrar uma chave de recuperação sempre exige um motivo e fica registrado na trilha de auditoria.
Relacionados
Perfis de configuração
Criptografia de disco
Trilha de auditoria
Vulnerabilidades
Perfis DISA STIG e checklists
Tela: Perfis DISA STIG e checklists
A aba DISA STIG de Governança › Conformidade fica ao lado da aba Benchmarks CIS e transforma os Security Technical Implementation Guides da DISA em perfis de configuração. O Hive então mostra, por dispositivo, quais regras do STIG passam e quais estão abertas, e exporta a evidência no formato que os auditores esperam, incluindo o checklist do STIG Viewer ( .ckl ).
O que você pode fazer aqui
Navegar pelos STIGs: Microsoft Windows 11 STIG, Microsoft Windows Server 2022 STIG, Red Hat Enterprise Linux 9 STIG e Canonical Ubuntu 22.04 LTS STIG. Abaixo de cada nome aparecem o sistema operacional, a versão (por exemplo "Versão V1R2"), o número de regras e quantos perfis já o usam.
Clicar em Regras (n) para listar as regras: categoria (CAT I, CAT II ou CAT III), Vul ID (V-xxxxx) e título. O Rule ID, o SRG ID, o texto de verificação e o texto de correção vão na API e no arquivo .ckl .
Aplicar um STIG: o Hive cria um perfil de configuração a partir dele.
Clicar em Evidência para ver o resultado por dispositivo e regra, e exportar CSV, Imprimir / PDF ou Checklist (.ckl) por dispositivo.
Como funciona
Cada STIG traz um pequeno subconjunto representativo das regras do STIG (cinco ou seis por STIG): as que o Hive consegue verificar com as verificações dos perfis de configuração — valores de registro, parâmetros sysctl, linhas em arquivos de configuração e serviços.
- Aplicar abre uma janela com Nome do perfil e Modo: Só auditar (apenas relata) ou Aplicar a configuração (o agente também corrige o que estiver diferente). Criar perfil cria o perfil, ativo, com escopo vazio — ou seja, todos os dispositivos daquele sistema operacional — e intervalo de verificação de 1440 minutos (uma vez por dia). Em seguida o Hive abre o perfil novo, onde vocêrestringe o escopo (localidades, tags, grupos) e muda o intervalo.
- O agente confere o perfil no intervalo do perfil e relata cada item.
- O Hive converte o resultado de cada item na situação do STIG:
Resultado do item | Situação no STIG |
|---|---|
ok, corrigido | Conforme ( NotAFinding ) |
divergência | Aberto ( Open ) |
não se aplica | Não se aplica ( Not_Applicable ) |
erro, ou sem resultado para a regra | Não revisado ( Not_Reviewed ) |
A tabela de Evidência tem as colunas Dispositivo, Regra, Situação, Esperado, Encontrado e Verificado. Só aparecem os dispositivos que já relataram o perfil.
Exemplo prático: STIG do RHEL 9 para uma auditoria
- Abra Governança › Conformidade e a aba DISA STIG. Em "Red Hat Enterprise Linux 9 STIG" clique em Regras (6) e encontre a regra CAT II que exige net.ipv4.conf.all.accept_redirects = 0 .
- Clique em Aplicar. Mantenha o nome, deixe o Modo em Só auditar e clique em Criar perfil. O Hive abre o novo perfil de configuração.
- No perfil, defina o escopo na tag linux-prod e salve, para que só esses servidores sejam verificados.
- Depois da próxima verificação do agente, volte à aba DISA STIG e clique em Evidência: para SRV-DB-02 a maioria das regras está Conforme; a regra de redirecionamento está Aberto com Esperado0 e Encontrado1 .
- Converse com os responsáveis pelos servidores, mude o perfil para o modo que aplica a configuração e salve. Na próxima verificação a regra passa a Conforme e a mudança vai para a trilha de auditoria.
- Clique em Checklist (.ckl) · SRV-DB-02 e abra o arquivo no DISA STIG Viewer, ou entregue-o ao auditor junto com o CSV de todos os dispositivos.
Cuidados e limites
Cada STIG é um pequeno subconjunto do guia, não o guia completo; todas as outras regras precisam ser avaliadas à mão no STIG Viewer.
A janela de Aplicar não tem campo de escopo: o perfil nasce ativo para todos os dispositivos daquele sistema operacional. Restrinja o escopo no perfil logo em seguida — sobretudo antes de escolher Aplicar a configuração.
O checklist é um arquivo por dispositivo.
Compare a versão mostrada abaixo do nome do STIG com a que o seu auditor exige.
Um dispositivo que ainda não relatou o perfil não aparece na evidência (e não tem .ckl ); uma regra com erro ou sem resultado mostra Não revisado.
Aplicar exige a permissão de alterar configuração ( config:write ); ver os STIGs e exportar a evidência exige a permissão de leitura de configuração ( config:read ).
Relacionados
Conformidade e hardening
Perfis de configuração
Criptografia de disco
Trilha de auditoria
Trilha de auditoria
Tela: Trilha de auditoria (1/2)
Tela: Trilha de auditoria (2/2)
Admin › Trilha de auditoria registra tudo o que é feito no Hive — por pessoas, contas de integração, o sistema ou a equipe de suporte do provedor de serviços — com quem, quando, de onde (IP) e em qual objeto. Cada registro é encadeado ao anterior por um hash, então uma mudança feita fora do Hive aparece. Admin › Histórico de configuração reúne toda mudança de configuração numa só linha do tempo, com o que mudou campo a campo e o caminho de volta.
O que você pode fazer aqui
Filtrar a trilha por Pessoa ou conta, Ação e Objeto, e carregar registros mais antigos.
Verificar o encadeamento de todos os registros.
Baixar um Pacote de evidências (ZIP assinado) de um período, para auditores de SOC 2 / ISO 27001.
Enviar para o SIEM (abre a integração Syslog na Central de integrações).
No Histórico de configuração: filtrar por Tipo, buscar, escolher o Período, abrir O que mudou e Restaurar uma versão.
Ler e filtrar a trilha
- Abra Admin › Trilha de auditoria. A tabela mostra Data e hora, Quem, Ação, O quê, Origem (IP) e Encadeamento.
- Digite um e-mail ou nome de conta em Pessoa ou conta (por exemplo [email protected] ).
- Escolha um grupo de Ação (Pessoas, Perfis, Métodos de entrada, Integrações, Contas de integração (API), Configurações da empresa, Acesso de suporte, Versões de configuração,
Grupos do diretório, Modelos) e um Objeto (Pessoa, Perfil, Método de entrada…). 4. No fim da lista, carregue registros mais antigos até aparecer "Fim da lista".
Verificar o encadeamento
Clique em Verificar o encadeamento. O Hive lê todos os registros, recalcula a cadeia de hashes e responde "Trilha íntegra: nenhum dos registros foi alterado." ou "O encadeamento estáquebrado no registro : um registro foi alterado fora do Hive. Guarde a evidência e fale com o provedor de serviços."
Pacote de evidências
- Clique em Pacote de evidências.
- Preencha De e Até como AAAA-MM-DD .
- Clique em Gerar pacote assinado. Um ZIP é baixado com a trilha encadeada do período e a verificação, as mudanças de configuração, os acessos privilegiados (suporte do provedor, dupla aprovação, segredos revelados, MFA), a revisão de acessos atual e cada backup com o sha256. O manifesto é assinado com Ed25519. A própria exportação vai para a trilha.
Histórico de configuração
Admin › Histórico de configuração mostra uma versão a cada mudança de: regras de alerta, perfis de acesso, templates de monitoração, políticas de mudanças e de integridade, grupos, sub-redes, painéis, relatórios, métodos de login, perfis de ITSM, configuração da IA, configuração de vulnerabilidades e escalas de plantão.
- Escolha um Tipo (ou Todos os tipos), digite em Buscar (nome, autor, observação) e escolha o Período: últimos 7, 30, 90 ou 365 dias.
- Cada linha mostra o nome, a versão, o autor, Criada ou Alterada, e atual ou apagada. 3. Clique em O que mudou para ver Campo, Antes e Depois; Esconder fecha.
- Nos tipos que permitem, clique em Restaurar numa versão anterior e confirme: "A configuração volta para aquela versão agora; fica registrada como versão nova e na auditoria."
Exemplo prático: quem desligou o SAML?
Na segunda-feira as pessoas reclamam que o botão "Entrar com a conta da empresa (SAML)" sumiu.
- Abra Admin › Trilha de auditoria e escolha a Ação "Métodos de entrada".
- A primeira linha: domingo 22:14, [email protected] , "Método de entrada desligado", objeto saml , origem 203.0.113.40 .
- Abra Admin › Histórico de configuração, Tipo "Método de login", Período "últimos 7 dias". A linha "Sign-in: saml" mostra a versão nova como atual; O que mudou mostra o campo enabled passando de true para false .
- Métodos de login não têm o botão Restaurar; então ligue o SAML de novo em Admin › Usuários e perfis › Autenticação. Isso cria outra versão no histórico e uma linha "Método de entrada ligado" na trilha.
Exemplo prático: restaurar um perfil pelo histórico
- No Histórico de configuração, escolha o Tipo "Perfil de acesso" e busque Service desk . 2. Service desk N1 mostra as versões 3 (atual), 2 e 1. O que mudou na versão 3 mostra o campo permissions com screen:assets.inventory:edit a mais (Editar em Todos os ativos).
- Clique em Restaurar na versão 2 e confirme. O Hive responde "Service desk N1 restaurada para a versão 2."; a restauração vira a versão 4 e uma linha "Versão restaurada" na trilha.
Exemplo prático: evidências para o auditor da ISO 27001
- O auditor pede as evidências do terceiro trimestre.
- Clique em Pacote de evidências, De2026-07-01 , Até2026-09-30 , Gerar pacote assinado. 3. O arquivo hive-evidence-instance-2026-07-01_2026-09-30.zip é baixado ("Pacote de evidências baixado. A exportação foi para a trilha."). Envie ao auditor; o manifesto assinado prova que nada foi mudado depois.
- Clique em Verificar o encadeamento e anexe o resultado "Trilha íntegra" ao relatório da auditoria.
Cuidados e limites
A trilha não pode ser editada nem apagada pelo Hive; qualquer mudança direta no banco quebra o encadeamento e aparece na verificação.
Abrir a trilha exige permissão de leitura da auditoria; Exportar auditoria é uma ação à parte do perfil.
Restaurar no histórico de configuração só aparece nos tipos que permitem e só em versões que não são a atual, e exige permissão para mudar configuração.
As datas do pacote de evidências precisam usar AAAA-MM-DD .
Relacionados
Perfis e permissões
Conformidade e hardening
Acesso de suporte do provedor de serviços
Enviar eventos ao SIEM
Configurações da empresa e identidade visual
Tela: Configurações da empresa e identidade visual
Admin › Configurações da empresa define como o Hive aparece para todos da sua empresa (marca própria) e o idioma padrão: nome da empresa, nome do produto exibido, logotipo e cor principal, com prévia ao vivo nos modos claro e escuro. A região dos dados e o plano são definidos pelo provedor de serviços. A licença do próprio Hive está em Licença do produto e modo de implantação.
O que você pode fazer aqui
Mudar o Nome da empresa e o Nome do produto exibido.
Enviar um logotipo (Enviar imagem) ou apontar para um com Ou endereço do logotipo (https); trocar ou remover.
Escolher a Cor principal nas amostras ou em Outra:, com verificação de contraste AA.
Definir o Idioma padrão da empresa.
Ver o resultado na Prévia ao vivo antes de salvar, e desfazer logo depois de salvar.
Mudar a marca
- Abra Admin › Configurações da empresa.
- Em Marca, digite o Nome da empresa (aparece na barra superior, no início e na página de entrada) e o Nome do produto exibido (barra superior, tela de entrada e aba do navegador; até40 caracteres).
- Logotipo: clique em Enviar imagem e escolha um PNG, JPEG, WebP ou SVG de até 512 KB.
Vale na hora, também na tela de entrada ("Logotipo enviado"). Trocar imagem e Remover aparecem depois de um envio. Sem imagem enviada, você pode digitar um endereço https em Ou endereço do logotipo (https); o logotipo novo aparece depois de salvar.
- Cor principal: clique numa amostra ou em Outra: para escolher qualquer cor. Se o contraste com texto branco for menor que 4,5:1, o Hive avisa "Contraste insuficiente com texto branco" e oferece Usar a variação sugerida; senão mostra "Contraste AA ok".
- Confira a Prévia ao vivo (clara e escura). No modo escuro o Hive usa uma versão mais clara da cor para manter o contraste.
- Clique em Salvar configurações. A mudança vale na hora e vai para a trilha de auditoria; a mensagem "Configurações salvas." tem Desfazer.
Idiomas
O Hive está disponível em English (padrão), Português e Español. O Idioma padrão da empresa é o idioma em que as pessoas novas começam; cada pessoa pode escolher outro idioma e o tema (claro, escuro ou do sistema) no menu do usuário.
Exemplo prático: a marca da Aurora
- Nome da empresa: Aurora Logística ; Nome do produto exibido: Aurora TI .
- Enviar imagem: aurora-logo.svg (38 KB) — a barra superior já mostra o logotipo.
- Cor principal: Outra:#F2C14E (amarelo). O Hive avisa "Contraste insuficiente com texto branco (1.7:1)" e sugere uma variação mais escura; clique em Usar a variação sugerida e a verificação vira "Contraste AA ok".
- Idioma padrão da empresa: Português.
- Salvar configurações. Todos passam a ver "Aurora TI" na barra superior e na página de entrada; pessoas novas começam em português. Uma colega em Madri muda para Español no menu do usuário, só para ela.
- A cor ficou ruim na tela da sala de reunião: clique em Desfazer na mensagem para voltar às configurações anteriores ("Configurações anteriores restauradas.").
Cuidados e limites
Só perfis com permissão para administrar as configurações da empresa abrem esta tela.
O endereço do logotipo precisa começar com https:// ; imagens de até 512 KB.
Se o nome do produto ficar vazio, volta a ser "Hive".
A equipe de suporte do provedor de serviços pede acesso à parte; veja Acesso de suporte do provedor de serviços.
Cada mudança vai para a Trilha de auditoria como "Configurações da empresa alteradas".
Relacionados
Licença do produto e modo de implantação
Trilha de auditoria
Como entrar
Licença do produto e modo de implantação
Tela: Licença do produto e modo de implantação
Cada instalação do Hive roda num de três modos — demo, trial ou produção — escolhido na instalação. No trial e na produção o número de agentes é limitado: pelo trial ou pelas chaves de licença instaladas em Admin › Licença. Este artigo é sobre a licença do próprio Hive; para gerenciar as licenças de software da empresa, veja Licenças.
O que você pode fazer aqui
Ver o modo, o ID da instalação, quantos agentes estão em uso e o limite.
Acompanhar a contagem do trial (15 dias + 15 de carência).
Instalar uma chave de licença (colar o serial) e ver todas as chaves: agentes, tipo, validade e situação (ativa, pendente, vencida, substituída).
Modos de implantação
Modo | Para | Agentes | Quando termina |
|---|---|---|---|
Demo | Laboratório e demonstração | Sem limite | — (mostra a faixa "Demo") |
Trial | Avaliar o Hive no seu ambiente, base vazia | 20 dispositivos (ajustável pelo fabricante) | 15 dias desde a primeira subida, depois 15 de carência com aviso forte |
Produção | Uso real | A soma das chaves ativas | Chave vencida deixa de contar |
O modo é gravado na primeira subida ( HIVE_DEPLOYMENT_MODE da instalação) e não muda ao editar a variável depois. O trial vira produção ao instalar uma chave.
Quando o trial e a carência acabam (ou a produção não tem chave válida), o Hive fica somente leitura: tudo continua visível e exportável, os agentes instalados seguem funcionando e enviando dados, mas alterações e novas inscrições de agentes são recusadas até instalar uma chave. Admin ›Licença continua aberta para isso.
Chaves de licença
A chave é um serial assinado ( HIVE1.… ) emitido pelo gerador de licenças do fabricante e conferido sem internet pelo Hive. Traz o licenciado, o número de agentes e, opcionalmente, vencimento, início e a instalação a que está presa.
Somar: chaves válidas se somam — 500 agentes mais uma chave adicional de 200 dão 700.
Substituir: o fabricante pode emitir uma chave que substitui licenças anteriores (por exemplo na renovação). As substituídas deixam de contar, mesmo se instaladas depois.
Chave com início futuro fica pendente; chave vencida deixa de contar.
O coletor não ocupa licença; agente revogado libera a dele.
Aos 90% do limite aparece um aviso; no limite a inscrição de um novo agente é recusada com "a licença permite N agentes e M estão instalados". Agentes já instalados nunca são cortados.
Passo a passo: instalar uma chave
- Abra Admin › Licença (exige settings:admin ).
- Cole o serial recebido do fabricante em Chave de licença e clique em Instalar.
- Confira a lista: a chave nova aparece ativa (ou pendente, se o início for futuro) e o total de agentes é atualizado.
Exemplo prático: trial, depois 500 + 200 agentes, depois renovação
- Dia 1: a instalação da Aurora é criada em trial com scripts/new_installation.sh --mode trial (base vazia, só com os perfis padrão). Dá para inscrever até 20 dispositivos (agentes).
- Dia 16: o trial acaba e começam os 15 dias de carência — uma faixa vermelha mostra os dias restantes.
- Dia 20: a Aurora compra 500 agentes. O fabricante emite license-issuer issue -licensee "Aurora"-agents 500 -expires 2027-10-31 ; o administrador cola o serial em Admin › Licença. O modo vira produção, limite 500.
- Seis meses depois, uma filial nova precisa de mais 200: o fabricante emite uma chave adicional de 200; instalada, o total vai a 700.
- Na renovação, o fabricante emite uma chave de 800 agentes que substitui as duas anteriores. Depois de instalada, o total é 800 (e não 700 + 800).
Cuidados e limites
Não espere o fim da carência: depois dela o Hive fica somente leitura até instalar a chave.
Chave presa a outra instalação (ID da instalação ou empresa) é recusada — informe ao fabricante o ID da instalação mostrado na tela.
A instalação só aceita chaves assinadas pela chave do fabricante configurada em HIVE_LICENSE_PUBLIC_KEY .
Limites de plano definidos por um provedor de serviço são separados da licença do produto e
têm mensagem própria.
Relacionados
Configurações da empresa e marca
Agentes e coletores
