Inventário
Todo aparelho que o Hive conhece vira um ativo: máquinas com o agente, equipamentos achados pela descoberta, registros do diretório, do MDM e de outras ferramentas. Os registros do mesmo aparelho são juntados por UUID do hardware, serial, MAC e nome, então cada aparelho aparece uma vez só. A lista fica em Ativos › Todos os ativos; clicar no nome abre a página do ativo, e Segurança dos ativos (botão no alto da lista) mostra a proteção do parque inteiro.
O que você pode fazer aqui
- Buscar por nome, IP, MAC ou serial, ou ler com a câmera o QR code ou o código de barras da etiqueta do ativo.
- Combinar filtros (tipo, SO, agente, situação, local, VLAN, tag, departamento, grupo, software instalado, mudou recentemente); os filtros ficam no endereço, então o link pode ser compartilhado.
- Escolher as Colunas visíveis e Agrupar por uma coluna (tipo, SO, agente, usuário principal, departamento, local, VLAN ou situação).
- Salvar pesquisa com os filtros atuais, se quiser como cartão na página inicial.
- Exportar a lista filtrada para CSV ou Excel.
- Selecionar ativos e Aplicar tag, Tirar tag, Adicionar a grupo (grupos estáticos) ou Trocar tipo.
- Revisar os Possíveis duplicados e juntá-los ou marcá-los como diferentes.
- Importar inventário offline de uma máquina sem rede (um arquivo .hive exportado pelo agente).
- Na página do ativo: ver os detalhes por aba, trocar o tipo, adicionar tags, Coletar diagnóstico, abrir uma sessão remota ou um chamado e Aposentar o ativo.
- Em Segurança dos ativos: ver antivírus, firewall, criptografia de disco e atualizações de cada ativo com agente, os piores primeiro, e criar uma regra de alerta a partir de cada cartão.
Encontrar ativos
- Abra Ativos › Todos os ativos. Sem filtros, o rodapé diz "Mostrando 50 de N ativos"; Carregar mais traz os próximos 50.
- Digite parte do nome, IP, MAC ou serial em Nome, IP, MAC ou serial (a busca roda quando vocêpara de digitar). O botão de câmera Ler etiqueta com a câmera abre o ativo direto quando a etiqueta traz o link dele, ou busca pelo código lido.
- Use Tipo, SO, Agente (Online, Atrasado, Desligado, Com agente, Sem agente) e Situação (Ativos ou Aposentados).
- Clique em Mais filtros para Local, VLAN, Tag, Departamento (só quando a estrutura da empresa tem departamentos), Grupo, Software instalado (digite o nome e tecle Enter) e Mudou desde (Últimas 24 horas, Últimos 7 dias, Últimos 30 dias). O botão mostra quantos desses estão ligados.
- Os filtros ligados aparecem como etiquetas abaixo da barra; o x de cada uma tira aquele filtro e Limpar filtros tira todos.
- Colunas escolhe o que a tabela mostra (Tipo, SO, Local, VLAN, Departamento, Usuário principal, Tags, Agente, Último contato, IP, MAC, Serial, Modelo). A escolha fica guardada neste navegador.
- Agrupar por transforma a lista em grupos com contagem; clique num grupo para abrir os ativos dele.
Salvar uma pesquisa
- Escolha pelo menos um filtro (Salvar pesquisa fica desabilitado até lá).
- Clique em Salvar pesquisa, dê um Nome (até 80 caracteres) e, se quiser, marque Mostrar como cartão no início.
- Clique em Salvar. A pesquisa aparece em Pesquisas salvas; dali você aplica de novo, mostra ou esconde no início, ou remove.
O cartão do início mostra quantos ativos a pesquisa encontra agora; clicar no número abre a lista filtrada. Cada pessoa vê só as próprias pesquisas salvas.
Exportar a lista
Exportar › CSV (separado por vírgula) ou Excel (abre em colunas) baixa todas as páginas com os filtros atuais e as colunas visíveis (o nome do ativo vem sempre primeiro). A opção Excel usa ponto e vírgula para o Excel em português ou espanhol abrir em colunas. Cada exportação fica na trilha de auditoria.
Agir em vários ativos
Marque os ativos (a caixa do cabeçalho seleciona a página) e use a barra que aparece:
- Aplicar tag / Tirar tag: escolha a tag e confirme. Tags herdadas (da sub-rede, do diretório, da descoberta ou da nuvem) ficam, e a mensagem diz quais. A confirmação tem Desfazer.
- Adicionar a grupo: só grupos estáticos; os dinâmicos se mantêm sozinhos.
- Trocar tipo: veja abaixo.
Trocar o tipo de um ativo
Na Visão geral do ativo, o painel Resumo mostra o Tipo com o botão Trocar tipo; na lista, selecione os ativos e clique em Trocar tipo na barra (até 1.000 de uma vez). Escolha o novo tipo e Aplicar. O tipo escolhido à mão fica: o agente e a descoberta deixam de trocá-lo, e o ativo mostra "definido àmão". Escolha Automático (pelo inventário) para devolver a decisão. A troca vai para o histórico do ativo e para a trilha de auditoria. Tipos novos são criados em Tipos de equipamento e campos personalizados.
A página do ativo
O cabeçalho mostra tipo, departamento, nome e os dados principais (modelo, usuário principal, SO, IP, serial, local, VLAN, agente e último contato) com as tags; Adicionar tag põe uma tag manual (tags vindas de uma origem não saem à mão). Os botões são Acesso remoto, Abrir chamado, Coletar diagnóstico e Mais ações (Instalar, Marcar como isca, Aposentar, conforme suas permissões).
As abas:
- Visão geral: CPU, memória e o disco mais cheio nas últimas 24 horas, memória, discos, primeiro e último contato, o resumo (tipo, domínio, FQDN, UUID do hardware, origem dos dados por campo) e as últimas mudanças.
- Hardware: CPU, memória, BIOS, discos e os painéis de rede, virtualização e nuvem.
- Software: sub-abas Software, Uso de software e Licenciamento.
- Aplicações: Serviços, Bancos de dados e Servidores web e de aplicação.
- Rede: Rede (portas abertas, interfaces) e Topologia.
- Segurança: Segurança, Patches, Integridade, Configuração e Navegadores.
- Monitoramento, Alertas e Mudanças (o histórico completo, antes e depois).
- Gestão: Local, compra e ciclo de vida, Fontes e Campos personalizados.
Coletar diagnóstico pede ao agente um pacote só de leitura (sistema, rede, rotas, discos, processos e o fim do log do agente); ele chega em cerca de 1 minuto e é baixado pelo menu ao lado do botão. O pedido fica na trilha de auditoria.
Segurança dos ativos
Ativos › Todos os ativos › Segurança dos ativos mostra quantos ativos informam proteção entre todos os conhecidos, quantos estão críticos em pelo menos uma área e quantas regras de firewall amplas existem. Quatro cartões (Antivírus, Firewall, Criptografia de disco, Atualizações) contam os ativos Em ordem, Atenção, Crítico e Sem informação. Alertar sobre isto em cada cartão abre uma regra de alerta nova com a condição correspondente (sem antivírus, firewall desligado, disco sem criptografia, atualizações antigas). Ativos que precisam de atenção lista os piores ativos e as áreas críticas; o nome abre a aba Segurança do ativo.
No ativo, a aba Segurança mostra os mesmos quatro cartões com detalhes (produto do antivírus, assinaturas, proteção em tempo real; firewall por perfil; atualizações), as portas abertas com processo e alcance (exposta à rede ou só local) classificadas pela política de portas do grupo do ativo, e as regras locais de firewall, com as regras amplas marcadas.
Possíveis duplicados
Quando dois registros parecem o mesmo aparelho mas nenhum serial ou UUID confirma, aparece um aviso acima da lista ("N possíveis duplicados") com Revisar. Para cada par, compare os campos e escolha Unir mantendo … (histórico, tags e valores personalizados passam para o registro que fica; não dá para desfazer) ou São diferentes (o par não é sugerido de novo).
Exemplo prático: notebooks Windows do local Campinas, salvos e conferidos quanto ao BitLocker
Paula, da equipe de segurança, quer um jeito rápido de ver os notebooks Windows do local Campinas e quais ainda estão com o disco sem BitLocker.
- Em Ativos › Todos os ativos, ela escolhe Tipo = Notebook e SO = Windows.
- Clica em Mais filtros e escolhe Local = Campinas. As etiquetas mostram "Tipo: Notebook", "SO: Windows", "Local: Campinas" e o rodapé diz "Mostrando 50 de 63 ativos".
- Clica em Salvar pesquisa, dá o nome "Notebooks Windows Campinas", marca Mostrar como cartão no início e clica em Salvar. A mensagem é "Pesquisa salva e colocada no início." A partir de agora o início mostra um cartão com 63; clicar nele abre esta lista.
- A lista de ativos não tem filtro de criptografia, então ela abre Segurança dos ativos: o cartão Criptografia de disco mostra 7 ativos em Crítico. Em Ativos que precisam de atenção, cada um deles traz "Criptografia de disco" entre as áreas críticas.
- Para a lista completa de discos sem criptografia, ela abre Segurança › Criptografia de disco e escolhe Mostrar = Sem cifra; dali pode ligar o BitLocker (veja Criptografia de disco).
- Para ser avisada de casos novos, clica em Alertar sobre isto no cartão Criptografia de disco e termina a regra com o escopo do grupo de Campinas.
Exemplo prático: aposentar um notebook roubado
O notebook FIN-NB-031 (serial 5CG2341XYZ) foi roubado em 20 de outubro; o boletim de ocorrência é4471/2026.
- Em Ativos › Todos os ativos, digite 5CG2341XYZ na busca e abra FIN-NB-031.
- Anote o que pode precisar depois: a Visão geral mostra o usuário principal e o último contato; a aba Mudanças guarda o histórico.
- Abra Gestão › Local, compra e ciclo de vida. Em Etapa do ciclo de vida, clique em Mudar etapa, escolha Nova etapa = Baixado, Data = 2026-10-20, Motivo = "Roubado — BO 4471/2026" e Salvar. Baixado tira a máquina do parque ativo: ela deixa de contar em relatórios e alertas, e a mudança de etapa fica na trilha de auditoria.
- A alternativa rápida é Mais ações › Aposentar, que pergunta "Aposentar FIN-NB-031?" e é confirmada com Aposentar ativo; a mensagem é "FIN-NB-031 aposentado." Esta não registra motivo.
- A confirmação avisa que o ativo volta se o agente enviar inventário de novo. Então, em Ativos ›Agentes › Agentes, procure FIN-NB-031 e clique em Revogar: o certificado da máquina deixa de ser aceito na hora.
- Para achá-lo depois, escolha Situação = Aposentados na lista. O ativo está lá com todo o histórico.
Cuidados e limites
- Ver a lista exige Ver ativos; tags, grupos, troca de tipo e aposentar exigem Editar ativos; revogar um agente exige Administrar agentes; Alertar sobre isto exige Administrar regras de alerta. Quem tem escopo limitado só vê os ativos dele, também na exportação e nos cartões do início.
- A lista não tem filtro por criptografia, antivírus ou campo personalizado: use Segurança dos ativos, Criptografia de disco ou um grupo dinâmico em Tags e grupos.
- A pesquisa salva guarda só os filtros da lista (não as colunas nem o agrupamento) e exige pelo menos um filtro; o nome é único por pessoa.
- A exportação traz até 100.000 linhas.
- Adicionar a grupo funciona só com grupos estáticos.
- Juntar duplicados não tem volta.
- O ativo aposentado sai da lista, dos relatórios e dos alertas, mas guarda o histórico; se o agente continuar enviando, revogue-o.
Relacionados
- Tipos de equipamento e campos personalizados
- Tags e grupos
- Agentes e coletores
- Criptografia de disco
- Ciclo de vida, depreciação e termos de responsabilidade
- Celulares e tablets (Hive Mobile)
Tipos de equipamento e campos personalizados
Três telas definem o que o inventário registra de cada aparelho. Ativos › Tipos de equipamento organiza os tipos (Notebook, Servidor, Impressora…) em grupos e deixa criar os seus. Campos personalizados (botão em Ativos › Todos os ativos) cria os campos que a empresa preenche à mão, como centro de custo. Coletar um valor novo (também em Todos os ativos) escolhe valores extras que os agentes leem em cada aparelho, de um catálogo pronto ou de uma chave de registro, propriedade WMI, arquivo ou plist que você define, sem script.
O que você pode fazer aqui
- Tipos de equipamento: criar grupos, criar tipos próprios, renomear tipos internos e próprios, mover tipos entre grupos, excluir tipos próprios sem uso e abrir os ativos de um tipo ou de um grupo inteiro.
- Campos personalizados: criar um campo (Texto, Número, Data, Lista de opções ou Pessoa) para todos os tipos de ativo ou só alguns, marcá-lo como obrigatório e excluí-lo.
- Preencher os campos personalizados de cada ativo em Gestão › Campos personalizados.
- Coletar um valor novo: marcar valores do catálogo para os agentes lerem, ou criar um Novo dado da empresa (registro, WMI, arquivo ou plist), testá-lo em até 3 máquinas e começar a coletar; parar de coletar os dados próprios.
Tipos de equipamento
- Abra Ativos › Tipos de equipamento. Cada grupo é um painel com os tipos dele, a quantidade de Ativos (o número abre a lista filtrada por aquele tipo) e o seletor Grupo para mover o tipo.
- Novo grupo cria um grupo (nome de até 60 caracteres). Em cada grupo, Ver os ativos abre a lista filtrada por todos os tipos do grupo, Adicionar tipo cria um tipo dentro dele, Renomear e Excluir agem sobre o grupo. Excluir um grupo mantém os tipos dele, agora Sem grupo; nenhum ativo muda.
- Novo tipo pede o Nome (por exemplo "Leitor de código", até 60 caracteres) e cria no primeiro grupo; a mensagem é "Tipo criado. Use em Trocar tipo nos ativos." Os tipos próprios mostram a etiqueta "tipo da empresa".
- Renomear num tipo interno substitui o nome traduzido; deixe vazio para voltar ao original.
- Excluir só funciona em tipos próprios que nenhum ativo usa.
Os ativos recebem o tipo do agente e da descoberta. Para colocar um ativo no seu tipo, use Trocar tipo no ativo ou na barra de ações em lote da lista (veja Ativos e inventário). O tipo escolhido à mão fica até alguém escolher Automático (pelo inventário).
Campos personalizados
- Em Ativos › Todos os ativos, clique em Campos personalizados e depois em Novo campo.
- Digite o nome em Nome em English, Nome em Português e Nome em Español (o idioma deixado vazio fica com o nome que você digitou).
- A Chave é sugerida a partir do nome (por exemplo centro_de_custo ): de 2 a 40 letras minúsculas, dígitos ou _ , começando por letra. Ela é usada em filtros e na API como custom.<chave> e não muda depois.
- Escolha o Tipo: Texto, Número, Data, Lista de opções (digite cada opção e tecle Enter) ou Pessoa.
- Em Tipos de ativo, marque os tipos que têm o campo; deixe vazio para todos os tipos. 6. Ligue Obrigatório em ativos novos se o campo não pode ficar vazio e clique em Criar campo.
Para preencher os valores, abra o ativo, vá em Gestão › Campos personalizados, preencha os campos e clique em Salvar valores ("Valores personalizados salvos."). Números aceitam vírgula ou ponto; datas usam o formato 2026-10-01; uma lista só aceita as opções dela. No montador de blocos de grupos de Tags e grupos, o campo aparece como custom.<chave> com é, não é, contém e começa com.
Coletar um valor novo
A tela lista o catálogo por sistema (Windows, Linux, macOS, Qualquer sistema), com busca por nome, chave de registro ou arquivo. Exemplos do catálogo: versão de exibição do Windows, edição do Windows, Área de Trabalho Remota desligada, configuração do servidor SMBv1, versão do Microsoft 365 Apps, versão da distribuição Linux e o fuso horário configurado.
- Marque os valores desejados e clique em Salvar seleção. A mensagem é "Os agentes vão coletar N valores a partir do próximo inventário."
- Para ler algo que não está no catálogo, clique em Novo dado da empresa:
- Sistema: Windows, Linux ou macOS.
- Ler: a cada inventário, a cada hora, a cada 6 horas, uma vez por dia ou uma vez por semana.
- De onde vem o valor: Registro (HKLM) e WMI no Windows, Arquivo: CHAVE=valor e Arquivo: primeira linha em todos os sistemas, Lista de propriedades (plist) no macOS.
- Preencha onde ler (Chave e Nome do valor no registro; Classe WMI e Propriedade; Arquivo e Chave; Arquivo plist e Chave).
- Navegar numa máquina abre as pastas ou o registro de uma máquina no ar com aquele sistema (e as classes WMI no Windows) para você clicar em Usar em vez de digitar.
- Nome do dado é como ele aparece no ativo (até 80 caracteres).
- Testar em até 3 máquinas lê o valor agora em até 3 máquinas no ar e mostra a tabela Valor lido agora (o valor ou "não encontrado nesta máquina").
- Salvar e começar a coletar. A mensagem é "Dado salvo; os agentes passam a ler no próximo inventário." O dado aparece em Dados da empresa, com Parar de coletar.
Em cada ativo, os valores lidos aparecem em Gestão › Campos personalizados, painel Coletado pelo agente.
Exemplo prático: um campo "Centro de custo" preenchido nos notebooks
A equipe financeira quer que cada notebook e desktop leve o seu centro de custo.
- Em Ativos › Todos os ativos › Campos personalizados, clique em Novo campo.
- Nome em English = "Cost center", Nome em Português = "Centro de custo", Nome em Español = "Centro de costo". A Chave é sugerida a partir do nome no idioma da tela; deixe ou digite cost_center .
- Tipo = Lista de opções, opções CC-100 Financeiro , CC-200 Vendas , CC-300 TI .
- Em Tipos de ativo, marque Notebook e Desktop; deixe Obrigatório em ativos novos desligado. Clique em Criar campo: "Campo “Centro de custo” criado." A tabela mostra o campo com as opções abaixo do nome.
- Abra o notebook FIN-NB-042, vá em Gestão › Campos personalizados, escolha CC-100 Financeiro e clique em Salvar valores.
- Em Ativos › Tags › Grupos, crie um grupo dinâmico "Centro de custo Financeiro" com o bloco custom.cost_centeréCC-100 Financeiro . O FIN-NB-042 e todo ativo com esse valor entram nele, e o grupo aparece no filtro Grupo da lista de ativos.
Exemplo prático: coletar a versão do cliente do ERP no registro
O cliente do ERP grava a versão em HKLM\SOFTWARE\Contoso\ERPClient , valor Version , nas máquinas Windows.
- Em Ativos › Todos os ativos › Coletar um valor novo, clique em Novo dado da empresa.
- Sistema = Windows, Ler = uma vez por dia, De onde vem o valor = Registro (HKLM).
- Clique em Navegar numa máquina: o painel diz "Lendo de FIN-NB-042". Abra HKLM\SOFTWARE , depois Contoso , depois ERPClient , e clique em Usar ao lado de Version . Chave e Nome do valor são preenchidos.
- Nome do dado = "Versão do cliente do ERP".
- Clique em Testar em até 3 máquinas. Valor lido agora mostra, por exemplo, FIN-NB-042 → 12.1.2310, FIN-NB-017 → 12.1.2310 e RH-WS-003 → "não encontrado nesta máquina" (o cliente não está instalado lá).
- Clique em Salvar e começar a coletar. O dado aparece em Dados da empresa como "Versão do cliente do ERP" com registry: HKLM\SOFTWARE\Contoso\ERPClient → Version .
- Depois do próximo inventário, a página do FIN-NB-042 mostra "Versão do cliente do ERP: 12.1.2310" em Coletado pelo agente.
Cuidados e limites
- Tipos de equipamento e Campos personalizados exigem Editar ativos para mudar; Coletar um valor novo exige Administrar agentes para salvar, testar ou remover dados. Sem a permissão as telas ficam só para leitura.
- Tipos internos não podem ser excluídos, e os próprios só quando nenhum ativo os usa. A troca de tipo vale para até 1.000 ativos por vez.
- Excluir um campo personalizado apaga também os valores preenchidos nos ativos; grupos e regras que o usam deixam de casar com ele.
- A chave de um campo personalizado não muda; um campo limitado a alguns tipos não pode ser preenchido em outros tipos.
- O campo obrigatório é conferido quando alguém salva os valores de um ativo; ele não se preenche sozinho.
- Os valores coletados nunca rodam comandos nem scripts: só o catálogo e as cinco origens acima (registro só em HKLM, classe e propriedade WMI com letras, dígitos e _ , arquivo pelo caminho completo). A saída de um comando não pode ser coletada.
- Testar em até 3 máquinas e Navegar numa máquina precisam de uma máquina no ar com aquele sistema (contato nos últimos 15 minutos); sem ela, dá para salvar mesmo assim e o valor é lido no próximo inventário.
- Parar de coletar encerra a leitura; os valores já coletados ficam no histórico de cada ativo.
Relacionados
- Ativos e inventário
- Tags e grupos
- Agentes e coletores
- Relatórios e painéis
Celulares e tablets (Hive Mobile)
A tela Celulares e tablets (Ativos › Mobile) coloca celulares e tablets no inventário sem MDM. Vocêgera um QR code, a pessoa aponta a câmera do celular, a página Cadastrar este celular no Hive abre no aparelho e, com um toque, o celular vira um ativo do tipo celular ou tablet. Na mesma tela vocêtambém importa celulares, tablets, Macs e Chromebooks do Google Workspace, do Apple Business Manager, do Microsoft Intune, do Jamf Pro e do Workspace ONE UEM, sem instalar nada neles. Para gerenciar aparelhos (bloquear, apagar, políticas), veja Gestão de dispositivos móveis (MDM).
O que você pode fazer aqui
- Gerar um QR code para cadastrar um celular ou uma equipe inteira (Cadastrar por QR code).
- Ver os Aparelhos cadastrados: sistema e patch, bloqueio de tela, criptografia, root/jailbreak, armazenamento livre e total, bateria, dono e última sincronização.
- Remover do Hive um celular que saiu da empresa ou foi perdido.
- Revogar um QR code que não deve mais ser usado (lista QR codes).
- Opcionalmente fazer o QR code matricular também iPhones e iPads no MDM do Hive.
- Conectar Fontes sem o app e importar os aparelhos delas a cada 6 horas ou com Importar agora.
Gerar um QR code
- Abra Ativos › Mobile. O painel Cadastrar por QR code aparece para quem pode alterar ativos.
- Preencha Nome deste QR code (pelo menos 2 caracteres, por exemplo "Celulares do comercial").
- Se quiser, preencha E-mail do dono (opcional): use só quando o código for de uma pessoa; todo celular cadastrado com ele recebe esse dono.
- Em Quantos aparelhos, digite quantos celulares podem usar o código (1 a 10.000). O código vale por 7 dias.
- Ligue Matricular também iPhones e iPads no MDM do Hive se iPhones e iPads devem instalar também o perfil de matrícula do MDM logo depois do cadastro (celulares Android ignoram essa opção).
- Clique em Gerar QR code. O QR code aparece ao lado do formulário, com o link embaixo. Ele só é mostrado agora: fotografe ou envie o link antes de sair da página.
No celular: Cadastrar este celular no Hive
- A pessoa abre a câmera do celular e aponta para o QR code; o link abre a página Cadastrar este celular no Hive no navegador (sem login).
- A página mostra o que detectou (por exemplo "Detectado: Android 14.") e sugere um Nome do celular a partir do modelo; a pessoa pode trocar.
- Se quiser, a pessoa digita Seu e-mail (opcional) para ficar ligada ao celular (um dono definido no QR code tem preferência).
- A pessoa toca em Cadastrar celular. A página mostra Celular cadastrado no Hive. e como pôr o Hive Mobile na tela inicial; com a opção de MDM ligada, um iPhone ou iPad mostra também Instalar o perfil de gerenciamento.
- Cada vez que o Hive Mobile é aberto de novo nesse celular, ele envia a bateria e a versão do sistema.
Remover um celular do Hive
- Em Aparelhos cadastrados, clique em Remover do Hive na linha do celular.
- Confirme Remover do Hive?. O celular para de enviar dados (o segredo dele érevogado) e o ativo é aposentado: sai de Aparelhos cadastrados e da lista de ativos ativos, mas mantém o histórico.
- No celular, basta tirar o Hive Mobile da tela inicial. Se ele for aberto de novo, esquece o cadastro.
Fontes sem o app
Em Fontes sem o app (quem administra integrações), escolha a Fonte, dê um Nome, preencha os campos dessa fonte e clique em Conectar:
- Google Workspace (celulares e ChromeOS):E-mail de um administrador do Google Workspace e a Chave JSON da conta de serviço (delegação em todo o domínio, escopos de leitura admin.directory.device.mobile.readonly e admin.directory.device.chromeos.readonly).
- Apple Business Manager:Client ID, Key ID e Chave privada (.pem), criados em Apple Business Manager → Preferências → API.
- Microsoft Intune: uma Conexão do Microsoft Entra ID com consentimento do administrador (permissão DeviceManagementManagedDevices.Read.All). Sem ela, use Conectar o Entra ID.
- Jamf Pro:Endereço do Jamf Pro, ID do cliente de API e Segredo do cliente (Settings › API roles and clients, leitura de computadores e dispositivos móveis).
- Workspace ONE UEM:Servidor da API do Workspace ONE e Autenticação — Cliente OAuth (recomendado) com região, ID e segredo do cliente, ou Usuário e senha com o tenant code. Importar também os apps instalados faz uma chamada a mais por aparelho.
Cada fonte tem Importar agora, Testar (lê a primeira página sem importar e diz quantos aparelhos achou) e Remover (os aparelhos ficam no inventário). Chaves, segredos e senhas vão para o cofre.
Exemplo prático: cadastrar um celular Android por QR code e depois removê-lo
Ana, da TI, cadastra o celular do Bruno, vendedor, e o remove três meses depois, quando ele sai da empresa.
- Em Ativos › Mobile, Ana digita Nome deste QR code = "Bruno - Galaxy S23", E-mail do dono (opcional) = [email protected], Quantos aparelhos = 1 e clica em Gerar QR code.
- Ela mostra o QR code ao Bruno. Ele aponta a câmera do Samsung Galaxy S23; a página Cadastrar este celular no Hive abre com "Detectado: Android 14." e Nome do celular "SM-S911B". Bruno troca o nome para "Bruno Galaxy S23" e toca em Cadastrar celular.
- O celular mostra Celular cadastrado no Hive. Em Aparelhos cadastrados, Ana vê "Bruno Galaxy S23 · celular", Android 14, bateria 82 %, dono [email protected] e Última sincronização "agora". Em QR codes, o código mostra "1 de 1 usados" e não cadastra outro celular.
- Três meses depois, Bruno sai. Ana clica em Remover do Hive em "Bruno Galaxy S23" e confirma. O aviso diz "Bruno Galaxy S23 foi removido do Hive." O celular sai de Aparelhos cadastrados; em Todos os ativos ele só aparece com o filtro Situação em Aposentados, com o histórico.
Exemplo prático: importar os iPhones da empresa do Jamf Pro
- Em Fontes sem o app, escolha Fonte = Jamf Pro, Nome = "Jamf Matriz", Endereço do Jamf Pro = https://example.jamfcloud.com, mais o ID do cliente de API e o Segredo do cliente.
- Clique em Conectar: "Fonte conectada. Importe agora ou espere a próxima rodada."
- Clique em Testar: "Conexão OK: 214 aparelhos na fonte." Depois Importar agora: a linha mostra "214 aparelhos (37 novos)". Aparelhos que já estão no inventário são casados em vez de duplicados.
Cuidados e limites
- O QR code e o link só aparecem uma vez. Se perdeu, revogue o código e gere outro.
- O QR code para de funcionar depois de 7 dias, quando todos os usos acabam ou quando é revogado; o celular vê então "Este QR code não vale mais." com "Peça um QR code novo à TI."
- O celular precisa alcançar o endereço da console que está no link (Wi-Fi da empresa ou VPN). Sem endereço da console configurado no núcleo, o QR code usa o formato antigo one-mobile:// , que só o app nativo Hive Mobile abre.
- O cadastro pela página do navegador envia só sistema, versão, modelo e bateria. Bloqueio de tela, criptografia e root/jailbreak só aparecem quando o aparelho informa (app nativo, MDM ou uma fonte); sem isso essas etiquetas ficam cinza.
- IMEI e número de série só vêm do MDM ou das fontes.
- Um celular removido não sincroniza mais ("Este aparelho não está mais cadastrado."); para trazê-lo de volta, cadastre de novo com um QR code novo.
- Gerar QR codes e remover celulares exige permissão para alterar ativos; as fontes exigem administração de integrações.
Relacionados
- Gestão de dispositivos móveis (MDM)
- Ativos e inventário
- Ciclo de vida, garantia e fim de suporte
Gestão de dispositivos móveis (MDM) para Android e Apple
A tela Dispositivos móveis (MDM) (Ativos › MDM) gerencia celulares, tablets, Macs e Chromebooks: matrícula, estado, postura e uma fila de comandos em que apagar, aposentar e limpar senha precisam da aprovação de uma segunda pessoa. O Android é gerenciado pela Android Management API do Google, os aparelhos Apple pelo protocolo MDM da Apple e pelo Apple Business Manager, os Chromebooks pelo Google Admin. O núcleo da plataforma não sai para a internet: toda chamada à Apple e ao Google sai pelo coletor do relé escolhido em Configuração do MDM (botão no alto, à direita da tela). Para só inventariar celulares sem gerenciá-los, veja Celulares e tablets (Hive Mobile).
O que você pode fazer aqui
- Aparelhos gerenciados: ver cada aparelho com plataforma, modo de Matrícula, Estado, Postura (criptografado, bloqueio de tela, root/jailbreak, conformidade) e Último contato; Colocar no MDM um celular, tablet, Mac ou Chromebook do inventário; enviar um Comando; abrir a Ficha Apple; no Android com Hive Mobile, Ver tela.
- Fila de comandos: aprovar, recusar ou cancelar comandos abertos.
- Apple: convites e QR codes de matrícula, Matrícula automática (ADE), Perfis de configuração, Apps (VPP) e Atualização de SO.
- Android: vincular a empresa ao Google, escrever e publicar Políticas, criar tokens de Matrícula (QR code, NFC, token, link do perfil de trabalho, zero-touch) e aprovar apps no Play gerenciado.
- Rugged: aparelhos Android de uso específico (Zebra, Samsung) por fabricante e modelo, com OEMConfig, firmware e conformidade.
- ChromeOS: vincular o Google Admin, matricular Chromebooks na unidade organizacional gerenciada pelo Hive e definir políticas por unidade.
- Proteção de apps: manter os dados da empresa dentro dos apps gerenciados e fazer apagamentos seletivos (só apps e dados da empresa), inclusive no desligamento.
- Configuração do MDM: coletor do relé, prazo dos comandos, credenciais da Apple e do Google e o registro das chamadas de saída.
Configuração do MDM
- Clique em Configuração do MDM. Em Saída para a Apple e o Google, escolha o Coletor do relé (ele precisa de saída HTTPS, porta 443, para a Apple e o Google). Só se a empresa permitir, ligue Permitir saída direta do núcleo; o relé tem sempre a preferência.
- Defina Prazo dos comandos (horas) (1 a 720, padrão 72): comando não confirmado pelo aparelho nesse tempo expira. Clique em Salvar.
- Em Credenciais da Apple e do Google, escolha a Credencial, escolha o arquivo ou cole o Conteúdo e clique em Validar e salvar:
- Certificado de push de MDM da Apple (PEM com a chave, ou .p12 com a senha) — necessário para qualquer aparelho Apple.
- Chave de token de push da Apple (.p8) — usada pelo app Hive Mobile.
- Token do servidor do Apple Business Manager (.p7m) — para o ADE.
- Token de conteúdo do Apps and Books (.vpptoken) — para os apps do VPP.
- Conta de serviço do Google (JSON) — uma conta de serviço do Google Cloud com a Android Management API ativada.
- Use Testar push da Apple, Testar Apple Business Manager, Testar o Apps and Books e Testar Google para conferir a saída. Chamadas de saída lista cada chamada, o caminho e o resultado.
Os arquivos vão para o cofre e nunca mais são mostrados; o Hive avisa 30 e 7 dias antes de uma credencial vencer.
Colocar um aparelho no MDM e enviar comandos
- Em Aparelhos gerenciados, clique em Colocar no MDM, escolha o Aparelho (celulares, tablets, Macs e Chromebooks do inventário fora do MDM, inclusive os cadastrados com o Hive Mobile) e a Matrícula, e clique em Colocar no MDM. Ele fica Aguardando matrícula até o aparelho se matricular. Aparelhos matriculados por um convite da Apple, pelo ADE ou por uma matrícula Android aparecem aqui sozinhos.
- Para agir num aparelho, clique em Comando, escolha o comando, escreva o Motivo (pelo menos 5 caracteres) e clique em Colocar na fila. Os comandos dependem da plataforma: Atualizar informações, Reiniciar, Desligar, Atualizar o sistema, Bloquear (mensagem e telefone opcionais), Ligar modo perdido/Desligar modo perdido, Localizar, Limpar senha, Aposentar (tirar a gestão), Apagar (restaurar de fábrica), Apagamento seletivo (só apps e dados da empresa) e, nos Chromebooks, desabilitar, reabilitar, capturar a tela, volume e apagar os perfis de usuário.
- Comandos destrutivos (apagar, aposentar, limpar senha, apagamento seletivo, apagar perfis de usuário) mostram Pedir aprovação: outro administrador precisa aprovar na Fila de comandos em até 24 h. Apagar também pede que você digite o nome do aparelho para confirmar.
- Na Fila de comandos, os estados são Aguardando aprovação, Na fila, Enviado, Confirmado, Erro, Expirado, Recusado e Cancelado. Cancelar só funciona antes do envio.
Android
- Em Configuração do MDM, envie a Conta de serviço do Google (JSON) e escolha o coletor do relé.
- Na aba Android, clique em Vincular ao Google. O Google abre a página de cadastro; entre com a conta Google da empresa (ou crie uma conta do Play gerenciado). Quando o Google devolve você à console, o vínculo termina. O painel Android Enterprise mostra então a empresa, aÚltima leitura e a frequência de leitura (a cada 15 minutos por padrão); Ler agora lê na hora.
- Em Políticas, clique em Nova política: dê o nome da Política, o Modo (Perfil de trabalho (BYOD), Totalmente gerenciado, Dedicado (quiosque)), um Grupo opcional e a Prioridade (o menor número vence quando o aparelho está em vários grupos). Preencha as seções Senha e bloqueio de tela, Restrições, Wi-Fi e VPN, Atualização do sistema, Apps do Play gerenciado, Quiosque (aparelho dedicado) e Regra de conformidade, depois Salvar e Publicar. Edições não publicadas ficam marcadas como "mudanças não publicadas"; JSON da API mostra o que vai para o Google.
- Em Matrícula, clique em Nova matrícula: nome, Modo, uma Política publicada, Válida por (dias) (até 90; zero-touch até 3650) e Uso único. Clique em Criar; a janela mostra QR code, Token e link, NFC e Zero-touch. Mostrar abre de novo depois (fica na auditoria) e Revogar cancela.
- No Play gerenciado, digite o Nome do pacote e clique em Aprovar, ou Abrir o Play gerenciado para buscar, publicar apps privados e organizar a loja.
Apple
- Envie o Certificado de push de MDM da Apple na Configuração do MDM e escolha o relé. Em Apple › Matrícula, o painel Servidor MDM da Apple mostra o endereço que os aparelhos usam; defina o Endereço HTTPS público (os aparelhos chegam a ele pela internet, não pela VPN) e a Organização mostrada no perfil.
- Em Novo convite de matrícula, escolha Como: QR code, Download do perfil (Mac ou iPhone/iPad) ou Matrícula de usuário (aparelho pessoal, BYOD) (precisa do Managed Apple ID da pessoa). Preencha Nome deste QR code, se quiser o dono e Quantos aparelhos, e clique em Criar convite. Use o QR code, Baixar perfil ou Copiar link. Os convites valem 7 dias e ficam em Convites de matrícula.
- Matrícula automática (ADE): baixe a Chave pública do Hive, crie o servidor MDM no Apple Business Manager com ela, envie o token do servidor na Configuração do MDM e crie o Perfil do ADE. Aparelhos comprados pela empresa se matriculam sozinhos, supervisionados, ao ligar pela primeira vez; Sincronizar agora lê a lista de aparelhos.
- Perfis: Novo perfil do tipo Wi-Fi, VPN (IKEv2), Senha, Restrições, Certificado, E-mail, FileVault (com escrow), Extensões de sistema ou Privacidade (PPPC); Atribuir aos aparelhos. Apps (VPP) instala licenças do Apps and Books; Atualização de SO cria políticas com anel de teste e versão alvo.
Exemplo prático: matricular um celular Android da empresa por QR code
Carla gerencia 20 celulares Samsung da equipe do almoxarifado.
- Na Configuração do MDM, ela envia a Conta de serviço do Google (JSON), escolhe o coletor do relé "coll-dc01" e clica em Testar Google: a resposta vem pelo relé do coletor.
- Em Android, clica em Vincular ao Google, entra com a conta Google da empresa e volta à console; o painel mostra a empresa e "a cada 15 min".
- Em Políticas, Nova política: "Celulares do almoxarifado", Modo = Totalmente gerenciado, Grupo = "Almoxarifado", Senha = Numérica sem sequências, Tamanho mínimo = 6, Bloquear câmera desligado, Bloquear restauração de fábrica ligado, ação de conformidade Alertar e bloquear o aparelho. Salvar e Publicar: "Política publicada no Google."
- Em Matrícula, Nova matrícula: "Almoxarifado lote 1", Modo = Totalmente gerenciado, Política = "Celulares do almoxarifado", Válida por (dias) = 7, Uso único desligado. Criar mostra o QR code.
- Em cada celular restaurado de fábrica, ela toca seis vezes na tela de boas-vindas e lê o QR code. Depois da próxima leitura (ou Ler agora: "20 aparelhos lidos · 20 novos · …"), os celulares aparecem em Aparelhos gerenciados como Totalmente gerenciado, Matriculado, e no inventário com modelo, série, IMEI e apps.
Exemplo prático: apagar um iPhone perdido com segunda aprovação
- Daniel abre Aparelhos gerenciados, clica em Comando em "iPhone-Vendas-07", escolhe Apagar (restaurar de fábrica), escreve o Motivo = "Perdido num táxi, chamado 4821" e digita o nome do aparelho para confirmar. O botão diz Pedir aprovação; o aviso lembra que sem aprovação ele expira em 24 h.
- A aba Fila de comandos mostra uma contagem; a linha está Aguardando aprovação. O próprio Daniel não vê o botão Aprovar — quem pediu não aprova.
- Elisa, outra administradora com permissão de apagar, clica em Aprovar, lê o efeito ("Apaga tudo no aparelho e volta às configurações de fábrica. Não dá para desfazer.") e confirma. O comando passa a Na fila, depois Enviado e Confirmado quando o iPhone responde; o estado do aparelho vira Apagado.
Cuidados e limites
- Sem coletor do relé (ou saída direta permitida) nada chega à Apple ou ao Google: os comandos esperam na fila e expiram.
- Vincular ao Google exige a credencial do Google e o relé; políticas, matrículas e apps do Android só aparecem depois do vínculo.
- As notificações do Google não chegam a uma rede sem saída: o estado do Android vem da leitura periódica, não em tempo real.
- Localizar e Ver tela no Android exigem o app Hive Mobile no aparelho; a pessoa precisa aceitar a visualização da tela, e o Android mostra o aviso de compartilhamento. Localizar também pede um texto de consentimento registrado.
- A Matrícula de usuário (BYOD) da Apple gerencia só os dados de trabalho: a empresa não apaga, não bloqueia nem localiza o aparelho.
- Só um comando aberto de cada tipo por aparelho. Comandos para aparelho aposentado ou apagado são recusados.
- Aprovar um comando destrutivo exige um perfil autorizado para essa ação (por exemplo a ação de apagar do MDM) e uma pessoa diferente de quem pediu.
- Tokens e QR codes de matrícula permitem a qualquer um matricular aparelhos na empresa: guarde-os e revogue quando terminar.
Relacionados
- Celulares e tablets (Hive Mobile)
- Ativos e inventário
- Quiosques
Patches
Patches mostra as atualizações que faltam nas máquinas, do sistema e de terceiros, e as envia por implantações: por localidade, em ondas e janelas, com aprovação e reversão. As políticas de aprovação automática levam os patches novos a um anel de teste e, depois de alguns dias sem falha,à produção. Fica em Entrega › Patches.
O que você pode fazer aqui
- Ver quantas máquinas estão em dia com segurança, varridas, com atualizações faltando ou aguardando reinício.
- Listar as atualizações que faltam com origem, gravidade, CVEs corrigidas e em quantas máquinas faltam.
- Escolher atualizações e implantá-las; recusar uma atualização para a empresa inteira ou aceitá- la de novo.
- Criar políticas de aprovação automática (anel de teste, depois produção) e rodá-las.
- Reverter atualizações numa máquina ou num anel de uma política.
Varrer e ler o catálogo
O agente procura atualizações que faltam a cada 6 horas: Windows Update, apt (Debian/Ubuntu), dnf (Red Hat/Fedora), zypper (SUSE) e Atualização de Software do macOS, além de winget e Chocolatey no Windows. Na página de uma máquina, a aba Patches mostra a última varredura e tem Varrer agora (o resultado vem no próximo inventário).
Em Entrega › Patches, o topo mostra Em dia com segurança, Máquinas varridas, Atualizações de segurança faltando, Todas as atualizações faltando e Aguardando reinício. Atualizações que faltam lista cada atualização com origem, gravidade, "falta em N" e "instalada em N", "corrige N CVE(s)" e Explorada (KEV) quando uma CVE que ela corrige está na lista de vulnerabilidades exploradas da CISA (essas vêm primeiro). Use Mostrar (Só de segurança ou Todas) e Origem para filtrar.
Implantar e recusar
- Marque as atualizações com Escolher (um sistema por implantação).
- Clique em Implantar N escolhidos. A nova implantação abre com Patches como o que implantar.
- Escolha Reiniciar depois de instalar: Só se alguma atualização pedir (aviso de 15 min), Nunca (o usuário reinicia depois) ou Sempre (aviso de 15 min); depois alvos, ondas e janela como em qualquer implantação, e mande para aprovação.
- Depois de instalar, o agente varre de novo e a atualização aparece como instalada.
Recusar tira uma atualização da conformidade e das implantações para a empresa inteira; Aceitar de novo traz de volta.
Aprovação automática
- Em Aprovação automática, clique em Nova política.
- Preencha Nome, Sistema, Mostrar (Só de segurança ou Todas), Grupo de teste (tag), Produção (localidade), Dias em teste e Reiniciar depois de instalar.
- Clique em Criar rascunho. Outro administrador clica em Aprovar; a partir daí as implantações da política já nascem aprovadas.
- A cada 15 minutos a política manda os patches novos que casam com ela ao grupo de teste. Quando a implantação de teste terminou sem pausa por falha e os dias em teste passaram, ela cria a implantação de produção, em ondas e janelas. Uma falha no teste pausa a implantação e segura a produção. Rodar agora roda uma rodada na hora.
Mudar uma política a devolve a rascunho. Com o critério autônomo de Workflows (aba Patch autônomo), um anel também é julgado pela nota de experiência e pelo sentimento pós-mudança das máquinas dele.
Reverter
- Uma máquina: na aba Patches da máquina, clique em Reverter numa atualização instalada, ou marque várias e clique em Reverter selecionados (N).
- Um anel de uma política: em Aprovação automática, clique em Reverter…, escolha o Anel (Teste ou Produção), os patches (nenhum escolhido = todos), o Motivo e, se precisar, Recusar estes patches para a empresa (não voltam pela política).
Atualizações do Windows são desinstaladas (wusa ou DISM); pacotes do winget, do Chocolatey e da distro voltam à versão que a máquina tinha antes. A reversão roda como uma implantação, com as mesmas ondas e janelas. Estações começam na hora; servidores, VDI e Tier 0 esperam uma segunda aprovação em Implantações.
Exemplo prático: Patch Tuesday com anel piloto
A empresa tem 420 máquinas Windows; 25 delas (TI e dois voluntários por departamento) têm a tag patch-pilot . A produção é a localidade São Paulo.
- Em Aprovação automática › Nova política: Nome "Windows segurança – mensal", Sistema Windows, Mostrar Só de segurança, Grupo de teste patch-pilot , Produção São Paulo , Dias em teste 3 , Reinício Só se alguma atualização pedir (aviso de 15 min). Criar rascunho.
- Rafael (outro administrador) clica em Aprovar: "Política aprovada: as implantações dela já nascem aprovadas."
- Na Patch Tuesday, os agentes encontram a nova atualização cumulativa em até 6 horas. Em até 15 minutos a política cria a implantação de teste para as 25 máquinas do piloto; a linha da política conta os patches, por exemplo "3 em teste · 0 em produção".
- Na sexta, com a implantação de teste concluída acima do limite e 3 dias passados, a política cria a implantação de produção para São Paulo, em ondas e dentro da janela 20:00 → 06:00. Na segunda, Em dia com segurança passa de 95%.
- Um mês depois, uma atualização cumulativa quebra o driver de um scanner em duas máquinas do piloto. Você clica em Reverter… na política, anel Teste, escolhe essa atualização, Motivo "Quebra o driver do scanner Kodak" e marca a opção de recusar. A implantação de reversão a desinstala do anel piloto e a atualização fica recusada, então nunca vai para a produção.
Cuidados e limites
- Um sistema por implantação ("Escolha atualizações de um sistema por implantação.").
- Atualizações do macOS não podem ser desinstaladas. Só atualizações instaladas na máquina podem ser revertidas; o motivo tem de 5 a 300 caracteres.
- Quem escreveu ou mudou por último uma política não pode aprová-la. Dias em teste vão de 0 a 60. Uma política precisa de pelo menos uma máquina com agente no grupo de teste.
- Acordar as máquinas desligadas numa implantação faz o coletor da localidade mandar Wake on LAN às máquinas da onda com endereço MAC conhecido.
- O freio de emergência impede as políticas de criar implantações.
Relacionados
- Implantações
- Vulnerabilidades
- Workflows
- Fila de decisões e aprovações
- Tags e grupos
Drivers e BIOS
Drivers e BIOS lista as atualizações de driver, BIOS e firmware que se aplicam a cada máquina e as instala com segurança. As atualizações vêm do Windows Update (a categoria de drivers) e das ferramentas dos fabricantes: Dell Command Update, HP Image Assistant e Lenovo Thin Installer. É a aba Drivers e BIOS em Entrega › Patches (ao lado da aba Atualizações).
O que você pode fazer aqui
- Ver as atualizações aplicáveis por aparelho, com a Origem, o Tipo (Driver, BIOS ou Firmware), o fabricante, a versão e se pede Reinício. Aparelhos Tier 0 mostram Tier 0: duas aprovações.
- Filtrar por Tipo e Origem.
- Procurar atualizações: pedir aos agentes que procurem de novo (precisa de assets:write ).
- Escolher atualizações de um aparelho e clicar em Pedir instalação, com um Motivo (de 5 a 500 caracteres) e um Anel (precisa de assets:write ).
- Aprovar ou negar os pedidos no painel Instalações (os botões aparecem para quem tem store:admin ). Quem pediu não aprova, e aparelhos Tier 0 precisam de duas aprovações de duas pessoas diferentes.
Passo a passo
- Abra Entrega › Patches e a aba Drivers e BIOS.
- Clique em Procurar atualizações. Cada agente Windows pergunta ao Windows Update pelas atualizações de driver e roda, em modo de varredura, a ferramenta do fabricante que encontrar no aparelho.
- Quando a lista encher, filtre por Tipo para separar drivers de BIOS e firmware.
- Selecione as atualizações de um aparelho e clique em Pedir instalação.
- Escolha o Anel (Piloto, Antecipado ou Geral) e escreva o Motivo. Clique em Pedir instalação. O pedido fica Aguardando aprovação com 0 de 1 aprovações (ou 0 de 2 aprovações no Tier 0).
- Outra pessoa aprova em Instalações com Aprovar; a janela de confirmação tem uma Observação (opcional) que vai para a trilha de auditoria. Num aparelho Tier 0, uma segunda pessoa, diferente, também precisa aprovar.
- Na última aprovação a instalação vai na hora para o agente (Enviada ao agente). O Hive não espera janela de manutenção e não usa o anel para escalonar aparelhos: o anel só fica guardado no pedido.
- O agente confere se o aparelho está na tomada. Para uma atualização de BIOS ele suspende o BitLocker por um reinício e depois roda o Windows Update ou a ferramenta do fabricante. O agente não reinicia o aparelho: atualizações marcadas com Reinício terminam no próximo reinício.
- A instalação mostra Instalada ou Falhou com a mensagem da ferramenta.
Exemplo prático: atualizar a BIOS de um notebook Dell
O boletim de segurança do fabricante pede uma BIOS nova nos notebooks Latitude.
- Carla abre Entrega › Patches › Drivers e BIOS e clica em Procurar atualizações.
- Alguns minutos depois FIN-NB-12 mostra Dell Latitude 5440 System BIOS 1.18.0 , origem Dell Command Update, tipo BIOS, com Reinício.
- Ela seleciona e clica em Pedir instalação. A janela Instalar 1 em FIN-NB-12 avisa que o aparelho precisa estar na tomada e que o BitLocker é suspenso por um reinício.
- Anel: Piloto. Motivo: Boletim de segurança do fabricante para a BIOS . Ela clica em Pedir instalação.
- Bruno abre Instalações, vê o pedido Aguardando aprovação com 0 de 1 aprovações, clica em Aprovar e confirma com Aprovar na janela.
- A tarefa vai na hora para o agente. O notebook está na bateria, então a instalação mostra Falhou com "the device is not on AC power" e nada é alterado.
- Carla pede ao usuário que ligue o carregador e pede a instalação de novo; Bruno aprova.
- Desta vez o agente suspende o BitLocker por um reinício e roda dcu-cli.exe /applyUpdates limitado às atualizações de BIOS. A instalação mostra Instalada; a BIOS nova é aplicada quando o usuário reinicia o notebook, e o BitLocker volta sozinho depois desse reinício.
Cuidados e limites
- Sem janela de manutenção nem implantação em etapas. A instalação aprovada sai na hora; o anel só é registrado. Aprove quando o aparelho puder receber (para a BIOS, quando o usuário puder reiniciar logo).
- O agente não reinicia. Atualizações com Reinício valem no próximo reinício, feito pelo usuário ou por outra ação.
- Só pacotes do fabricante. O Hive instala o que o Windows Update ou a ferramenta do fabricante oferece; nunca instala um arquivo de driver enviado por você.
- As ferramentas dos fabricantes filtram por tipo. O Dell Command Update e o Lenovo Thin Installer instalam todas as atualizações pendentes dos tipos escolhidos (por exemplo, todas as de BIOS), não um pacote só; o HP Image Assistant recebe a lista de SoftPaqs escolhidos. O Windows Update instala exatamente os drivers escolhidos.
- A ferramenta do fabricante precisa estar instalada. Dell Command Update ( dcu-cli.exe ), HP Image Assistant ( HPImageAssistant.exe ) ou Lenovo Thin Installer ( ThinInstaller.exe ) precisam estar na máquina; implante antes pela Loja. Sem ela, só aparecem os drivers do Windows Update.
- Tomada. O agente recusa instalar na bateria. Desktops sem bateria sempre passam.
- BitLocker. Para uma atualização de BIOS o agente suspende o BitLocker por um reinício (atualizações de firmware e de driver não o suspendem). Se uma atualização falhar, o agente retoma o BitLocker na hora.
- Tier 0. Atualizações de driver e BIOS em máquinas Tier 0 precisam de duas aprovações de duas pessoas diferentes, e nenhuma pode ser quem pediu; o agente confere a contagem de novo.
- Um aparelho por pedido. Escolha atualizações de um aparelho por vez; para vários aparelhos, faça um pedido por aparelho.
- Aparelho sem agente. O pedido fica Aprovada com a mensagem de que o aparelho não tem agente do Hive.
- Só Windows. Firmware de macOS e Linux (softwareupdate e fwupd) ainda não é coberto.
Relacionados
- Patches
- Implantações
- Criptografia de disco
- Decisões
Sinal de confiança e persistência
Estes recursos usam o que o agente já sabe de cada aparelho para responder perguntas de segurança: dá para confiar neste aparelho agora, o que inicia sozinho nele, onde estão documentos com dados pessoais, quais aparelhos Windows podem ser registrados no Autopilot e quais têm sensor de EDR. Eles aparecem na aba Segurança do ativo, em Ativos › Todos os ativos › Segurança dos ativos, em Integrações › Diretório › Autopilot e pela API.
O que você pode fazer aqui
- Ler o sinal de confiança de um aparelho (confiável, em risco, não confiável, com uma nota de 0 a 100 e as verificações por trás dela), na tela ou pela API para acesso condicional.
- Ver o que inicia automaticamente em cada aparelho e ser avisado quando uma entrada aparece, muda ou some.
- Achar arquivos com números de CPF, CNPJ ou cartão nas pastas dos usuários, sem o conteúdo sair da máquina.
- Registrar aparelhos Windows no Windows Autopilot sem tocar neles.
- Acompanhar a cobertura do EDR e isolar, liberar ou varrer um aparelho pelo EDR.
Sinal de confiança
Nos computadores, as verificações são: agente informando (crítico sem agente, aviso quando calado há mais de 24 horas), antivírus, firewall, criptografia, atualizações, patches de segurança (aviso quando faltam, crítico quando faltam há mais de 14 dias), vulnerabilidades (crítico com uma explorada — KEV—, aviso com CVSS 9 ou mais) e conformidade com os perfis de configuração. Nos celulares: bloqueio de tela, root ou jailbreak, criptografia do armazenamento e um relato nos últimos 7 dias. Quando há um EDR conectado, o sensor também é verificado, e um aparelho isolado é crítico. Qualquer verificação crítica deixa o aparelho Não confiável; qualquer aviso o deixa Em risco. A nota começa em 100 e perde 25 por verificação crítica e 10 por aviso.
Outros sistemas (acesso condicional do Entra, ZTNA, VPN, proxy) leem o sinal antes de liberar o acesso: crie uma conta de integração com o escopo trust e chame GET /api/v1/trust/devices? hostname=… (ou serial= , mac= ). Esse escopo só lê o sinal, não o inventário.
Exemplo prático: barrar um notebook com um patch crítico antigo
- NB-SALES-12 tem uma atualização de segurança faltando há 20 dias e uma vulnerabilidade crítica (CVSS 9,8) aberta. A aba Segurança mostra Não confiável, Nota 65/100: patches de segurança crítico, vulnerabilidades aviso.
- O gateway de ZTNA, com uma conta de integração de escopo trust, chama GET /api/v1/trust/devices?hostname=NB-SALES-12 e recebe "level": "untrusted", "score": 65 com a lista de verificações. A política dele nega o acesso aos apps do financeiro.
- O patch é implantado. Na avaliação seguinte a verificação de patches fica ok, o aparelho passa a Em risco (nota 90) por causa da vulnerabilidade aberta, e o gateway o deixa entrar com acesso limitado.
Persistência
O agente lista o que inicia sozinho: chaves Run, a pasta Inicializar e tarefas agendadas (Windows); unidades do systemd, cron, rc.local, autostart da área de trabalho, preload de bibliotecas e chaves SSH autorizadas (Linux); launchd (macOS). A primeira leitura é a base; depois dela, uma entrada nova, removida ou alterada vira uma mudança do tipo Início automático (persistência). A lista, com tipo, entrada, comando e desde quando, fica na aba Segurança do ativo.
Exemplo prático: alertar uma nova entrada de início automático
- Em Monitorar › Regras, crie uma regra de alerta para mudanças do tipo Início automático (persistência) na tag Finance , enviada ao canal de segurança.
- Um usuário em FIN-NB-031 roda um arquivo baixado que acrescenta a chave Run "Updater" com C:\Users\Public\upd.exe .
- Com o inventário seguinte, a mudança é registrada e a regra dispara o alerta. A aba Segurança do ativo lista a entrada com o comando e a data.
- Investigue em Resposta a incidente; se era legítima, feche o alerta.
Dados sensíveis em arquivos
A ação em lote Varrer dados sensíveis (CPF, CNPJ, cartão) (Entrega › Implantações, ação em lote) lê os documentos das pastas dos usuários — texto, CSV, JSON, XML, logs, Word, Excel e PowerPoint— e conta números válidos de CPF, CNPJ e cartão. Só o caminho e as contagens voltam, nunca o conteúdo nem o número. O resultado fica na aba Segurança do ativo, em Dados sensíveis em arquivos.
Exemplo prático: achar planilhas com dados de clientes
- Em Entrega › Implantações, rode a ação em lote Varrer dados sensíveis (CPF, CNPJ, cartão) nos aparelhos com a tag Finance .
- Abra FIN-NB-031, aba Segurança: "Última varredura há 10 minutos, 3.412 arquivos lidos." e o arquivo C:\Users\ana\Documents\clientes.xlsx com 1.204 CPF e 3 cartão(ões).
- Peça ao dono que mova o arquivo para o compartilhamento protegido e rode a varredura de novo para confirmar.
Windows Autopilot
A ação em lote Ler o hash do Autopilot (Windows) coleta o hash de hardware de aparelhos Windows. Em Integrações › Diretório › Autopilot, selecione os aparelhos, escolha a Conexão do Microsoft Entra, se quiser uma Tag de grupo, e clique em Enviar N ao Autopilot. O app do Entra precisa de DeviceManagementServiceConfig.ReadWrite.All; o estado da importação (Não enviada, Importando, Registrada, Falhou) é conferido a cada 5 minutos.
Exemplo prático: registrar 25 notebooks novos
- Rode Ler o hash do Autopilot (Windows) nos 25 notebooks da tag New-2026 .
- Em Integrações › Diretório › Autopilot, clique em Selecionar todas, escolha a conexão do Entra, digite a tag de grupo Sales e clique em Enviar 25 ao Autopilot.
- O Hive informa "25 enviada(s) ao Autopilot, 0 com falha." A coluna Autopilot mostra Importando e, poucos minutos depois, Registrada.
EDR (Defender for Endpoint, CrowdStrike, SentinelOne)
Conecte o EDR em Integrações. A cada 15 minutos o Hive lê os aparelhos com o sensor (estado, versão, isolamento) e os casa com os ativos pelo número de série, nome ou MAC; os alertas do EDR viram alertas do Hive e se resolvem juntos. Segurança dos ativos mostra a Cobertura do EDR: aparelhos com e sem o sensor, sensores com problema, aparelhos isolados e aparelhos do EDR que não estão no Hive. Num aparelho (aba Segurança), Isolar, Liberar isolamento ou Varrer pelo EDR, sempre com um motivo que vai para a trilha de auditoria e para o EDR como comentário.
Exemplo prático: isolar um servidor suspeito
- Em Ativos › Todos os ativos › Segurança dos ativos, a Cobertura do EDR mostra 12 computadores sem o sensor: instale o sensor neles pelo seu EDR.
- SRV-FILE-02 tem um alerta do EDR. Abra a aba Segurança dele e clique em Isolar, com o motivo "Alerta de ransomware 4471, isolando enquanto investigamos".
- O EDR tira o servidor da rede, mantendo só a conexão dele próprio; o sinal de confiança fica Não confiável. Quando estiver limpo, clique em Liberar isolamento.
Cuidados e limites
- O sinal de confiança é calculado na hora da consulta; ele reflete o último inventário, então um agente calado aparece como aviso.
- A API de confiança responde 404 quando nenhum aparelho bate com o número de série, o nome ou o MAC.
- As mudanças de persistência só começam depois da leitura base; entradas que já existiam antes não geram alerta.
- A varredura de dados sensíveis tem um tempo limite; quando ele é atingido, algumas pastas não são lidas e o resultado avisa.
- O Autopilot precisa da conexão do Microsoft Entra com a permissão extra.
Relacionados
- Ativos e inventário
- Vulnerabilidades
- Resposta a incidente
- API e contas de integração
- Diretório e máquinas sem agente
Tags e grupos
Tags são pares chave: valor nos ativos (por exemplo Departamento: Financeiro ). A maioria vem sozinha da origem de cada ativo (sub-rede e VLAN, site, diretório, nuvem, descoberta, estrutura); grupos reúnem ativos por condições para servir de escopo a regras, perfis e à política do agente. Fica em Ativos › Tags, com as abas Tags pela origem, Grupos e Dicionário de tags.
O que você pode fazer aqui
- Cadastrar sub-redes e VLANs (Nova sub-rede ou Importar planilha) para os ativos receberem VLAN, site e tags extras sozinhos.
- Marcar dispositivos pela OU do Active Directory, grupo do diretório, conta de nuvem ou coletor com Nova regra de tag por origem.
- Ver as Tags em uso, por origem e quantos ativos têm cada uma.
- Criar grupos dinâmicos (por condições) e estáticos (uma lista fixa).
- Manter um Dicionário de tags com chaves, valores permitidos e variações conhecidas.
Sub-redes e VLANs
Ativos com endereço numa sub-rede cadastrada recebem as tags dela na hora: VLAN 120 · Financeiro (VLAN e nome), Site: <site> e as tags extras. Quando sub-redes se sobrepõem, vale o prefixo mais longo para cada ativo. Quando um ativo muda de rede, as tags acompanham e a mudança vai para o histórico dele. O botão Aplicar as tags de <cidr> desliga uma sub-rede sem apagá-la.
67 / 373
Importar planilha aceita um CSV (ou linhas coladas) com cidr, vlan, name, site, tags (tags separadas por ; ; a primeira linha pode ser o cabeçalho). Clique em Ver prévia para ver o que é novo, atualizado ou recusado e quantos ativos mudariam; nada é gravado até Importar.
Nova sub-rede abre um assistente de 3 passos (exige assets:write ):
Rede: digite a Rede (CIDR), como 10.20.120.0/24 , e, se quiser, a VLAN (1 a 4094) e um Nome (até 80 caracteres). Ativos com endereço nesta rede recebem as tags de origem na hora; a prévia mostra quantos e se há sobreposição com outras sub-redes.
Local: digite o Site (até 120 caracteres). O site vai para os ativos desta rede, a menos que alguém tenha escolhido outro à mão; um site com o mesmo nome de uma localidade da estrutura é a mesma localidade, e um nome novo cria o site.
Tags extras: inclua tags chave: valor , como Departamento: Financeiro . O dicionário unifica variações. Clique em Cadastrar e aplicar tags: "Sub-rede 10.20.120.0/24 cadastrada: n ativos receberam as tags."
Regras por outras origens
Em Tags pela origem › Regras por outras origens, Nova regra de tag por origem marca dispositivos pela OU do Active Directory (e as OUs de baixo), Grupo do diretório (AD ou Entra ID), Conta ou assinatura de nuvem ou Coletor que descobriu. Escolha a Origem, para onde ela Aponta para e as Tags aplicadas (tecle Enter depois de cada uma), e clique em Criar regra. A lista mostra quantos ativos cada regra cobre. A tag acompanha a origem: saiu da OU ou da conta, ela sai. As regras são reaplicadas a cada 15 minutos e ao salvar; desligar ou remover uma regra tira as tags dela; tags manuais nunca são tocadas. O painel Hierarquia organizacional lembra que cada nível da estrutura (empresa, localidade, prédio, andar, sala) e o rack também viram tags.
Tags herdadas
Tags que vêm da sub-rede, do diretório (AD/Entra), da descoberta ( Descoberto por: <método> · <coletor> ·<varredura> e as tags da varredura), da nuvem, da estrutura ou de uma regra são herdadas: aparecem sem o botão de remover, e uma remoção em massa as mantém e explica o motivo. Elas mudam sozinhas quando o dispositivo vai para outra sub-rede, VLAN ou departamento, com a mudança no histórico. Uma tag de descoberta sai quando aquela varredura não vê o dispositivo há 7 dias. Uma tag manual igual a uma herdada vira herdada.
Grupos
Novo grupo dinâmico: preencha Nome do grupo e Descrição e monte as Condições com blocos: um campo (Sistema operacional, Família do SO, Tipo, Site, VLAN, Departamento, Tag, Fabricante, Modelo, Status do agente, Software instalado, Endereço IP em, Nome do host, Usuário principal, Último contato), um operador (é, não é, contém, tem, está em...) e um valor escolhido numa lista. Junte os blocos com E (todos) ou OU (qualquer um), até 20 condições. A Prévia ao vivo mostra quantos ativos atendem hoje e uma Amostra de ativos a cada mudança. Clique em Criar grupo. O grupo se mantém sozinho: entra quem passa a atender, sai quem deixa de atender (recalculado a cada minuto).
Novo grupo estático é uma lista fixa: salve-o e depois use Incluir ativo um a um (ou "Adicionar a grupo" na lista de ativos). Grupos estáticos servem para listas pontuais (amostra de auditoria, devolução de leasing).
Os grupos servem de escopo para regras de alerta, perfis de configuração e a política do agente. Antes de excluir um grupo em uso, o Hive lista onde ele é usado; esses itens perdem o grupo do escopo atévocê escolher outro (Excluir mesmo assim).
Dicionário de tags
Nova chave cria uma chave (a parte antes dos dois-pontos, como Departamento ) com Valores permitidos e Variações unificadas (uma por linha: fin = Financeiro ). Marque Chave fechada: só os valores da lista são aceitos para recusar outros valores. Experimente uma tag mostra como uma tag digitada seria gravada. Excluir uma chave mantém as tags já aplicadas; só as regras do dicionário saem.
Exemplo prático: sub-rede do Financeiro
- Ativos › Tags, Tags pela origem, Nova sub-rede.
- Rede: 10.20.120.0/24 , VLAN120 , NomeFinanceiro . A prévia diz "38 ativos receberiam estas tags agora".
- Local: SiteSão Paulo HQ .
- Tags extras: Departamento: Financeiro . Cadastrar e aplicar tags: "Sub-rede 10.20.120.0/24 cadastrada: 38 ativos receberam as tags."
- O notebook FIN-NB-07 agora tem VLAN 120 · Financeiro , Site: São Paulo HQ e Departamento: Financeiro , todas sem o botão de remover. Quando ele vai para a rede Wi-Fi 10.20.200.0/24, as três tags saem e entram as da nova sub-rede; o histórico registra a mudança.
Exemplo prático: tag pela OU do Active Directory
- Regras por outras origens, Nova regra de tag por origem, Origem OU do Active Directory (e as OUs de baixo), Aponta paraOU=Servers,DC=corp,DC=local , Tags aplicadasPapel: Servidor , Criar regra: "Regra aplicada: 54 ativos mudaram."
- Um servidor movido para OU=Retired perde Papel: Servidor em até 15 minutos.
Exemplo prático: grupo dinâmico para um piloto
- Grupos, Novo grupo dinâmico, Nome do grupo Financeiro W11 .
- Bloco 1: Sistema operacional contém Windows 11 ; E bloco 2: Departamento é Financeiro ; E bloco 3: VLAN é 120 . A prévia vai de 1.240 para 312 e para 35 ativos a cada bloco incluído.
- Criar grupo. Use-o como escopo de um perfil de configuração; um notebook novo do Financeiro com Windows 11 na VLAN 120 entra no grupo em até um minuto.
Exemplo prático: chave fechada no dicionário
- Dicionário de tags, Nova chave, ChaveDepartamento , Valores permitidosFinanceiro , RH , TI ; Variações unificadasfin = Financeiro ; marque Chave fechada.
- Digitar Departamento: fin num ativo grava Departamento: Financeiro ("“fin” é uma variação
conhecida..."); Departamento: Marketing é recusada com explicação.
Cuidados e limites
- Cadastrar sub-redes, regras, grupos e chaves exige assets:write ; ver exige assets:read .
- O CIDR precisa ser válido (como 10.20.120.0/24 ); a VLAN vai de 1 a 4094.
- Excluir uma sub-rede tira as tags dela dos ativos (o histórico guarda a mudança).
- A prévia do grupo conta só o que o seu perfil pode ver.
- Excluir uma chave do dicionário não remove as tags já aplicadas.
Relacionados
- Estrutura organizacional
- Inventário
- Diretório
- Nuvem
- Perfis de configuração
Diretório e máquinas sem agente
Integrações › Diretório traz pessoas, grupos e computadores do Active Directory (lido por um coletor dentro da rede, por LDAPS, com uma conta só de leitura) e do Microsoft Entra ID (pelo consentimento do administrador, sem segredo para colar) e os compara com o inventário. Você pode conectar vários diretórios — por exemplo duas florestas do AD, cada uma lida pelo seu coletor — e também o Entra ID. Ver pede Ver integrações ou Ver ativos; mudar conexões pede Conectar e administrar integrações; instalar agentes pede Administrar agentes.
O que você pode fazer aqui
- Conexões: ver cada diretório com o coletor, as OUs importadas, a frequência, a última execução e o que foi importado; testar, sincronizar agora ou fazer uma importação completa; escolher o que importar; incluir no inventário os computadores que ele ainda não tem.
- Máquinas sem agente: os computadores do diretório que não têm agente, por OU e sistema, com os provavelmente desativados; instalar o agente em lote.
- Instalações: cada instalação em lote com o andamento, máquina a máquina.
- Pessoas: buscar pessoas, departamento, OU, estado da conta, último login e quantos ativos têm; listar as pessoas desligadas que ainda têm ativos.
- Autopilot: mandar o hash de hardware de aparelhos Windows ao Windows Autopilot pelo Entra ID.
- Conectar diretório (no topo) e Conectar outro diretório abrem o assistente de conexão.
Conexões
Cada cartão do Active Directory mostra o Coletor, as OUs importadas (ou Domínio inteiro), a Frequência, a Última execução com estado e erro, a Última importação completa e Importados (pessoas, computadores, grupos e quantos sem agente). Em O que importar, marque Computadores, Pessoas e Grupos — o que não está marcado nem é lido — e, para pessoas, Não trazer pessoas já desligadas. Em Inventário, Incluir no inventário os computadores que ele ainda não tem cria um ativo para cada computador que falta no inventário; esses ativos se unem ao registro de verdade quando um agente, uma varredura da descoberta ou outra fonte acha a máquina. Os botões são Testar conexão, Sincronizar agora, Importação completa, Ver N máquinas sem agente e Configurar (reabre o assistente).
O cartão do Entra ID mostra o tenant do Entra, o estado do consentimento e o que foi importado, com Abrir consentimento do administrador, Sincronizar agora e Importação completa. O painel Coletores lista os coletores, o estado, a versão e as tarefas na fila.
O que o Hive faz com o diretório
- Cada computador é casado com o inventário pelo número de série, pelo nome ou pelo nome DNS; pelo IP, só um ativo que ainda não tem nome de máquina.
- Os ativos casados ganham a tag OU: <domínio>/<caminho da OU> (por exemplo OU Corp/Workstations-SP ) e o departamento do usuário principal ( Departamento: Financeiro ; o nome da tag segue o idioma padrão da empresa).
- Depois da primeira importação completa, só o que mudou é lido (uSNChanged).
- Uma pessoa desativada no diretório que ainda tem ativos aparece no aviso do topo ("N pessoas desligadas ainda têm ativos alocados.") e em Pessoas com Só pessoas desligadas com ativos.
Máquinas sem agente
Os números do topo são Sem agente (no diretório, fora do inventário), Vistas na rede (já casadas com um ativo do inventário), Provavelmente desativadas (sem login há mais de 90 dias) e OUs. Filtre por OU e SO, ligue Esconder provavelmente desativadas, selecione máquinas ou Selecionar toda a OU e clique em Instalar agente. Os métodos — GPO gerada pelo Hive, instalação remota por WinRM e ADMIN$ por faixa de IP — estão explicados em Distribuir o agente.
Exemplo prático: duas florestas do AD, cada uma com seu coletor
A empresa tem a floresta corp.local na matriz e fabrica.local na fábrica, em redes separadas.
- Instale um coletor em cada rede: COL-CORP-01 (alcança dc01.corp.local:636 ) e COL-FAB-01 (alcança dc01.fabrica.local:636 ). Veja criar um coletor.
- Em Integrações › Integrações, crie duas conexões Active Directory / LDAP: "AD Corp" ( dc01.corp.local:636 , DN base DC=corp,DC=local , conta [email protected] ) e "AD Fábrica" ( dc01.fabrica.local:636 , DC=fabrica,DC=local , [email protected] ). Cada senha vai para o cofre.
- Em Integrações › Diretório, clique em Conectar diretório, escolha "AD Corp", o coletor COL- CORP-01 , teste, escolha as OUs e salve. Depois, Conectar outro diretório para "AD Fábrica" com COL-FAB-01 .
- Conexões passa a mostrar dois cartões, cada um com seu coletor e contagens, por exemplo "1.240 pessoas · 860 computadores · 96 grupos · 210 sem agente" e "310 pessoas · 290 computadores · 25 grupos · 140 sem agente".
- Os ativos ganham as tags OU: Corp/… ou OU: Fabrica/… , então dá para filtrar, gerar relatórios e implantar por floresta. Máquinas sem agente lista as OUs das duas florestas juntas.
Exemplo prático: importar os computadores de uma OU e instalar o agente em lote
- Em Conexões, no cartão "AD Corp", mantenha Computadores marcado e ligue Incluir no inventário os computadores que ele ainda não tem. Depois clique em Configurar: no passo O que importar do assistente, clique em Ler OUs e grupos, marque a OU Workstations-SP e siga até Salvar e importar.
- A importação completa começa: "Importação: o coletor está trabalhando…" e depois "Importação concluída". Importados no cartão passa a contar, por exemplo, 214 computadores, 180 deles sem agente.
- Abra Máquinas sem agente, escolha a OU Corp/Workstations-SP , ligue Esconder provavelmente desativadas (ficam 172) e clique em Selecionar toda a OU (172).
- Clique em Instalar agente (172), escolha Instalação remota pelo coletor (WinRM), o coletor COL-CORP-01 e a conta de instalação, e Começar instalação.
- O painel mostra cada computador: Instalando e depois Instalada · primeiro inventário recebido. As máquinas que estavam desligadas mostram Falhou com "Tente de novo quando ela estiver ligada, ou use a GPO gerada." Comece de novo mais tarde para elas, ou vincule uma GPO.
- Cada computador instalado sai de Máquinas sem agente; o ativo criado pelo diretório se une ao ativo que o agente informa.
Cuidados e limites
- O Active Directory só é lido por um coletor que alcança um controlador de domínio na porta 636 (LDAPS).
- O Microsoft Entra ID precisa que o aplicativo do Entra do provedor esteja registrado; sem isso, o botão de consentimento fica indisponível.
- Google Workspace e outros diretórios não são importados aqui.
- A lista de máquinas sem agente mostra até 1.000 computadores por filtro; em domínios grandes, filtre por OU.
- Um computador desativado no diretório não aparece em Máquinas sem agente.
Relacionados
- Passo a passo: integrar o Active Directory
- Distribuir o agente
- Passo a passo: criar um coletor
- Sinal de confiança e persistência
Quiosques e dispositivos compartilhados
Quiosques e dispositivos compartilhados prende máquinas a um app, a alguns apps ou a um navegador em tela cheia, e transforma PCs em PCs compartilhados que limpam os perfis na saída. Os quiosques de Windows e Linux são aplicados pelo agente e revertidos quando o modo é removido; os perfis de iOS/iPadOS e Android esperam o gerenciamento de dispositivos móveis. Fica em Ativos ›Quiosques.
O que você pode fazer aqui
- Criar perfis de quiosque por plataforma e tipo, e alcançar as máquinas por localidade e tag.
- Acompanhar as máquinas em modo quiosque: perfil, estado, sessão atual, último reinício e última conferência.
- Reiniciar uma máquina de quiosque, Reaplicar o perfil dela ou Remover o modo.
Tipos de quiosque
Plataforma | Tipo | O que faz |
|---|---|---|
Windows | App único (Assigned Access) | Um app da Loja (UWP), ou o Microsoft Edge num site, em tela cheia para a conta do quiosque. |
Windows | Vários apps (Assigned Access) | Um Iniciar restrito só com os apps da lista (AUMID ou caminho completo do .exe); um deles pode abrir sozinho. |
Windows | Shell próprio (Shell Launcher) | Um programa substitui o Explorer para a conta do quiosque; as outras contas continuam com o Explorer. |
Windows | PC compartilhado | Várias pessoas no mesmo PC; os perfis locais são apagados na saída, com pouco espaço em disco ou depois de dias sem uso. |
Linux | Navegador em tela cheia | Um usuário dedicado entra sozinho (GDM, LightDM ou SDDM) direto no Chromium, Chrome ou Edge, só nos sites permitidos. |
iOS / iPadOS | Modo de app único, iPad compartilhado | Prontos; aplicados quando o MDM da Apple estiver disponível. |
Android | Dedicado (lock task), Sinalização digital | Prontos; aplicados quando o Android Enterprise estiver disponível. |
Criar um perfil de quiosque
- Em Ativos › Quiosques, abra a aba Perfis e clique em Novo perfil de quiosque.
- Preencha Nome, Descrição, Plataforma e Tipo de quiosque.
- Preencha os campos do tipo. Para App único: App (App da Loja (UWP) com o Id do app (AUMID), ou Microsoft Edge com um site com Endereço web, Modo do Edge e Reiniciar a sessão após minutos parado (0 = nunca)) e Conta do quiosque (vazio = conta automática que o Windows cria e que entra sozinha, ou DOMÍNIO\usuário ).
- Em Quais máquinas, escolha Localidades e Tags (vazio alcança todas as máquinas da plataforma; uma tag como kiosk é a escolha mais segura). Defina a Prioridade: quando dois perfis alcançam a mesma máquina, vence o menor número.
- Mantenha Perfil ligado e clique em Salvar perfil. Cada agente aplica e informa na aba Dispositivos.
Acompanhar e agir nas máquinas
A aba Dispositivos lista cada máquina em modo quiosque com Perfil, Estado (Pendente, Aplicado, Desvio, Erro, Removendo, Modo removido), Sessão atual ("ninguém conectado" quando vazia),Último reinício e Conferido. Notas avisam quando o agente está atrasado ou fora do ar ou a máquina roda uma versão anterior do perfil. As ações são:
- Reiniciar: quem estiver usando vê um aviso de um minuto;
- Reaplicar: aplica o perfil de novo, e também traz de volta uma máquina cujo modo foi removido;
- Remover o modo: o agente desfaz cada mudança e a máquina fica fora até você reaplicar.
Exemplo prático: check-in de visitantes no PC da recepção
A recepção tem um PC Windows, o RCP-01, que só deve mostrar o site de check-in de visitantes https://visitors.example.com .
- Em Ativos › Todos os ativos, coloque a tag reception-kiosk no RCP-01.
- Em Ativos › Quiosques › Perfis › Novo perfil de quiosque: Nome "Recepção – check-in de visitantes", Plataforma Windows, Tipo de quiosque App único (Assigned Access).
- App: Microsoft Edge com um site; Endereço webhttps://visitors.example.com ; Modo do Edge Tela cheia (sinalização, tela interativa); reinício por inatividade 5 minutos; Conta do quiosque vazia (conta automática).
- Quais máquinas: Tags reception-kiosk ; Prioridade 10 . Salvar perfil.
- Em Dispositivos, o RCP-01 aparece Pendente e depois Aplicado. O Windows aplica o Assigned Access pela conta SYSTEM do agente, e a maior parte das mudanças vale no próximo logon ou reinício, então clique em Reiniciar: quem está no balcão vê um aviso de um minuto.
- Depois do reinício, o RCP-01 entra sozinho com a conta do quiosque e abre o Edge em tela cheia no site de check-in; 5 minutos sem uso reiniciam a sessão. Sessão atual mostra a conta do quiosque.
- Quando a recepção passar a usar um tablet, clique em Remover o modo no RCP-01: o agente desfaz as mudanças e o PC volta ao normal no próximo reinício.
Cuidados e limites
- Criar, editar, reiniciar, reaplicar e remover exigem permissão para mudar configuração; ver a tela exige leitura de ativos.
- AUMIDs são como Microsoft.WindowsCalculator_8wekyb3d8bbwe!App (rode Get-StartApps no PowerShell). Caminhos precisam ser o caminho completo de um .exe; os argumentos não podem ter aspas nem símbolos.
- Vários apps: de 1 a 50 apps, só um abre sozinho. PC compartilhado: de 1 a 365 dias sem uso e hora de manutenção de 0 a 23.
- Usuário do quiosque no Linux: vazio = hive-kiosk , criado se faltar e apagado quando o modo é removido; não pode ser root.
- Perfis de iOS/iPadOS e Android não podem ser aplicados até o gerenciamento de dispositivos móveis correspondente estar disponível ("Kiosk profiles for this platform need the mobile device management of the next phases.").
- Excluir um perfil tira as máquinas dele do modo quiosque.
Relacionados
- Perfis de configuração
- Tags e grupos
- Dispositivos móveis
- Gerenciamento Android (MDM)
- Agentes
Certificados digitais
Governança › Certificados reúne todo certificado com prazo — nas máquinas, nos equipamentos de rede e nos serviços publicados — com os vencidos e os fracos primeiro, para que nada vença de surpresa.
O que você pode fazer aqui
- Ver quantos certificados existem, quantos estão Vencidos, vencem nos Próximos 30 dias e são Fracos (RSA abaixo de 2048 bits ou assinatura SHA-1/MD5), e quantos são autoassinados.
- Buscar por nome, DNS, emissor, máquina ou IP e filtrar por Origem, Situação e Vencendo.
- Abrir a máquina que tem cada certificado.
- Exportar a lista filtrada com Exportar CSV.
- Receber um alerta antes de cada certificado vencer, sem criar regra.
De onde vêm
- Agente: certificados de servidor e de cliente da máquina (repositório da máquina no Windows, keychain do sistema no macOS, pastas do servidor web e de TLS no Linux) — nunca CAs nem chaves privadas.
- Descoberta: em uma varredura com portas ligadas e o método Certificados TLS (validade, chaves fracas), o coletor abre TLS em toda porta aberta onde o serviço fala TLS direto (443, 465, 636, 993, 995, 3269, 4443, 5986, 6443, 8006, 8443, 9443, 10443) e guarda o certificado apresentado, sem validar nada e sem enviar credencial. Isso traz switches, impressoras, iDRAC/iLO, firewalls, hipervisores e sites internos sem agente. O mesmo certificado em várias portas aparece uma vez, com as portas.
- Verificação HTTPS da disponibilidade: os dias que faltam no certificado do endereço verificado.
Passo a passo
- Abra Governança › Certificados.
- Leia os indicadores: Certificados (com a contagem por origem), Vencidos ("Ainda instalados"), Próximos 30 dias ("Renovar agora") e Fracos ("RSA < 2048 ou SHA-1 · N autoassinados").
- Restrinja a lista:
- Buscar (nome, DNS, emissor, máquina, IP).
- Origem: Agente, Descoberta ou Verificação HTTPS.
- Situação: Vencidos, Vencem em 30 dias, Chave ou assinatura fraca ou Autoassinados.
- Vencendo: em até 30 dias, em até 90 dias, em até 1 ano ou qualquer data (o padrão).
- Cada linha mostra o Certificado (nome comum, nomes DNS, emissor, marca "Autoassinado"), a máquina, Onde (repositório ou pasta; na descoberta, IP, portas e versão do TLS), a Chave (algoritmo, tamanho, assinatura, marca "fraco") e Vence com os dias que faltam.
- Clique na máquina para abri-la; a aba Segurança dela tem o painel "Certificados nesta máquina".
- Clique em Exportar CSV para baixar o que está filtrado.
Alertas
O Hive confere os certificados a cada 6 horas e abre o alerta "Certificate expiring" uma vez em cada marco: 30 dias antes (aviso), 7 dias antes (maior) e depois de vencido (crítico). Quando o certificado érenovado ou removido, o alerta se fecha sozinho.
Exemplo prático: achar os equipamentos de rede com certificado fraco ou vencido
- Em Descoberta, rode uma varredura de 10.10.0.0/24 com portas ligadas e Certificados TLS (validade, chaves fracas) marcado (ele vem ligado nas varreduras novas).
- Abra Governança › Certificados, ponha Origem em Descoberta e Situação em Chave ou assinatura fraca.
- A lista mostra idrac-srv01 em 10.10.0.21:443 com chave RSA 1024 , marcado "fraco", e o switch sw-core01 em 10.10.0.2:443, 8443 , autoassinado com SHA-1.
- Clique em Exportar CSV e entregue a lista ao time de infraestrutura para trocar os certificados.
- Depois que a próxima varredura lê os certificados novos, as linhas saem do filtro "fraco".
Exemplo prático: renovar a tempo o certificado da intranet
- Em 2 de outubro chega o alerta "Certificate expiring" (aviso) para CN=intranet.corp.local : "Expires on 2026-11-01 · 2 device(s)".
- Em Governança › Certificados, busque intranet . Os dois servidores web, web-intra01 e web- intra02 , mostram o mesmo certificado, lido pelo agente.
- Instale o certificado renovado nos dois servidores.
- No próximo inventário o agente informa o certificado novo; na conferência seguinte o alerta se fecha com "Certificate renewed or removed". Sem a renovação, viria um alerta maior em 25 de outubro e um crítico depois de 1º de novembro.
Cuidados e limites
- A descoberta só lê portas em que o TLS começa direto; serviços que usam STARTTLS em outras portas (por exemplo SMTP na 25) não são lidos.
- Um equipamento sem agente, fora das varreduras de descoberta e sem verificação HTTPS não aparece.
- Os alertas só saem para certificados de ativos em uso e até 30 dias depois do vencimento.
- A lista mostra até 1.000 linhas; use os filtros ou o CSV.
Relacionados
- Área de Descoberta
- Serviços de negócio, SLA e capacidade
- Ativos e inventário
- Alertas e regras
Servidores web e de aplicação
O agente encontra os servidores web e de aplicação que rodam na própria máquina — IIS, Apache, nginx, Tomcat, JBoss/WildFly, WebLogic, Node.js e PHP-FPM — e lê a configuração e o log de acesso sem conta nem senha. O resultado fica na página do ativo, em Ativos › Todos os ativos › (ativo) ›Aplicações › Servidores web e de aplicação.
O que você pode fazer aqui
- Ver cada servidor da máquina com versão, portas, sites e se está Em execução ou Parado.
- Ler o tráfego dos últimos 15 minutos a partir do log de acesso: Requisições por segundo, Erros do servidor (5xx), erros do cliente (4xx), Tempo de resposta (p95), Respostas por status, URLs mais lentas (p95), URLs com mais erros 5xx e URLs mais acessadas.
- Ver Requisições por segundo nas últimas 24 h.
- Ver Filas de threads e pools de conexão (JMX) do Tomcat e do WildFly/JBoss.
- Criar uma regra de alerta direto da aba com Criar regra de alerta para erros 5xx, ou a partir da linha de um pool.
Passo a passo
- Abra Ativos › Todos os ativos e clique no nome do servidor.
- Clique na aba Aplicações e depois na subaba Servidores web e de aplicação.
- Cada servidor mostra uma linha de resumo (Servidor, Portas, Sites, Requisições/s, Erros 5xx, Lido). Clique em sites, URLs lentas e erros para abrir os detalhes.
- Leia as notas no topo dos detalhes: quando falta algo (log sem tempo de resposta, sem acesso JMX), o agente diz o que falta e como resolver.
- Use Criar regra de alerta para erros 5xx para abrir uma regra nova com a métrica "Servidor web: % de erros 5xx (últimos 15 min)" e o tipo do servidor como alvo.
Os caminhos chegam sem a query string e com identificadores (números, UUIDs, hashes) trocados por :id ; assim /pedidos/48213?token=... aparece como /pedidos/:id e nenhum dado pessoal vem junto.
Página de status (conexões ativas)
- Apache: ligue o mod_status só para a própria máquina ( Require local ).
- nginx: ligue o stub_status em uma location .
Com isso, os detalhes mostram Conexões ativas, com ocupadas e ociosas.
Tempo de resposta
Para o p95 e as URLs mais lentas, o log de acesso precisa trazer o tempo de cada requisição:
- Apache: inclua %D no LogFormat .
- nginx: inclua $request_time no log_format (por exemplo rt=$request_time ).
- Tomcat: inclua %D no pattern do AccessLogValve .
Sem isso, o indicador mostra "o log não traz o tempo de resposta" e só as contagens.
Filas de threads e pools de conexão (JMX)
- Tomcat: inicie com o agente Jolokia preso à máquina, em CATALINA_OPTS : -javaagent:jolokia-agent-jvm.jar=host=127.0.0.1 . O Hive lê os pools de threads dos conectores e os pools de conexão (DBCP2 e tomcat-jdbc).
- WildFly/JBoss: nada a instalar. O agente usa o bin/jboss-cli local, que entra sem senha quando roda como o dono do servidor, e lê os datasources e o worker do Undertow. Para os números do pool, ligue statistics-enabled no datasource.
Cada pool mostra Em uso / máximo (âmbar a partir de 75 %, vermelho a partir de 90 %) e Esperando.
Exemplo prático: alerta quando o pool de conexões da loja enche
O Tomcat de srv-loja01 atende a loja on-line e usa o datasource jdbc/loja .
- Em srv-loja01 , acrescente -javaagent:/opt/jolokia/jolokia-agent-jvm.jar=host=127.0.0.1 ao CATALINA_OPTS e reinicie o Tomcat.
- No Hive, abra Ativos › Todos os ativos › srv-loja01 › Aplicações › Servidores web e de aplicação e expanda o Tomcat. Depois do próximo inventário, Filas de threads e pools de conexão (JMX) lista jdbc/loja como "Conexões com o banco", por exemplo 12 / 50 (24 %) , Esperando 0 .
- Na linha de jdbc/loja , clique em Criar regra de alerta para erros 5xx. O assistente de regra abre com a métrica "Servidor de aplicação: pool de conexões em uso (% do máximo)" e o alvo tomcat:jdbc/loja .
- Defina aviso em 80 e crítico em 95, escolha a severidade e salve.
- Na Black Friday o pool chega a 47 / 50: a linha fica vermelha e a regra abre um alerta em Monitorar › Alertas e eventos para srv-loja01 .
Exemplo prático: achar as páginas lentas da intranet
- Em web-intra02 (nginx), mude o log_format para terminar com rt=$request_time e recarregue o nginx.
- Abra a subaba Servidores web e de aplicação do ativo. A nota sobre o tempo de resposta some e Tempo de resposta (p95) mostra, por exemplo, 840 ms .
- URLs mais lentas (p95) lista /relatorios/:id/pdf em primeiro. Passe para o time de desenvolvimento; o caminho já vem com o número do relatório trocado por :id .
Cuidados e limites
- Só são lidos servidores de máquinas com o agente do Hive; o agente lê apenas a própria máquina.
- O tráfego cobre os últimos 15 minutos do log de acesso; se o servidor não grava log de acesso, aparecem só versão, portas e sites.
- Os pools do Tomcat precisam do Jolokia preso a 127.0.0.1 ; os do WildFly/JBoss precisam do bin/jboss-cli na instalação e do agente rodando como um usuário que possa usá-lo.
- Regras de alerta de pool usam o alvo tipo:nome (por exemplo tomcat:jdbc/loja ); a regra de 5xx usa o tipo do servidor (por exemplo nginx ).
Relacionados
- Ativos e inventário
- Aplicações
- Alertas e regras
Uso de software
Com a medição de uso ligada, o agente mede quais programas instalados as pessoas abrem, quanto tempo ficam abertos e em quanto desse tempo a pessoa estava ativa. Não coleta títulos de janela, conteúdo, URLs nem teclas, e envia resumos, não evento a evento. A visão da empresa fica em Ativos› Software › Uso por período; cada máquina também tem a subaba Uso de software na sua página.
O que você pode fazer aqui
- Ligar a medição para todos os agentes em Ativos › Agentes › Instaladores › Módulos dos agentes.
- Ver, em um ativo, cada produto com último uso, tempo usado nos últimos 7 e 30 dias, dias de uso e se está sem uso.
- Abrir o uso de um produto nas últimas 12 semanas ou 12 meses e o pico de uso simultâneo na empresa.
- Em Uso por período, listar cada máquina com um produto instalado ou usado, com a fração de dias em que foi usado, e exportar para CSV.
- Criar regras de alerta sobre o uso: sem uso há dias, menos horas que o esperado, uso simultâneo acima das licenças.
Ligar a medição
- Abra Ativos › Agentes › Instaladores.
- Em Módulos dos agentes, deixe Medição de uso de software em Ligada em todos os agentes (ou mantenha Como escolhido em cada instalador e ligue só em alguns instaladores).
- Os agentes aplicam na próxima consulta da política, em até 5 minutos. O agente olha os programas abertos a cada 30 segundos e envia um resumo a cada hora, então os primeiros números aparecem em até uma hora.
No ativo
- Abra o ativo e clique em Software › Uso de software.
- O cabeçalho diz desde quando há medição e a precisão: tempo aberto e tempo ativo (com uso de teclado ou mouse), ou, onde o sistema não informa atividade, só o tempo em que cada programa fica aberto.
- A tabela mostra Produto, Usuário, Último uso, Últimos 7 dias, Últimos 30 dias, Dias de uso e Situação ("Em uso" ou "Sem uso há N dias" depois de mais de 60 dias). Executáveis do mesmo produto (por exemplo Word, Excel e Outlook) somam no produto.
- Busque com Procurar no uso ou marque Só licença paga.
- Clique em um produto para ver o uso ao longo do tempo (Últimas 12 semanas ou Últimos 12 meses) e o pico de uso simultâneo na empresa. Clique em um usuário para ver todos os produtos que essa pessoa usou.
- O painel "N produtos instalados nunca usados" lista o que foi instalado e não foi aberto desde o início da medição.
Uso por período
- Abra Ativos › Software › Uso por período.
- Em Software, escolha um produto medido, ou Todos os produtos medidos.
- Defina De e Até (o padrão são os últimos 90 dias) e Até (% dos dias) (padrão 20). Deixe o % vazio para listar todas as máquinas.
- Clique em Mostrar máquinas. Os indicadores mostram Máquinas, Instalado e sem uso, Listadas e Sem medição.
- Cada linha mostra a Máquina, o Uso (% dos dias) = dias com uso ÷ dias medidos (desde o início do período ou da medição, o que vier depois), Dias com uso, Tempo ativo, Último uso e Quem usou, do menor uso para o maior. "Usado, fora do inventário" marca uma máquina que usou o produto mas não o lista como instalado.
- Clique em Exportar CSV para levar a lista.
Exemplo prático: recuperar licenças do Visio
A empresa tem 40 licenças do Visio e desconfia que muitas estão paradas.
- Em Uso por período, escolha Visio , De 2026-07-01 , Até 2026-09-30 , Até (% dos dias)10 , e clique em Mostrar máquinas.
- Os indicadores mostram Máquinas 40 (40 com o produto instalado), Instalado e sem uso 14, Listadas 19.
- As 14 máquinas com 0 % e Último uso "Nunca" e as 5 abaixo de 10 % são as candidatas. Clique em Exportar CSV e mande a lista aos gestores para confirmar.
- Depois da confirmação, desinstale o Visio dessas 19 máquinas com uma implantação e redistribua as licenças.
Exemplo prático: alerta quando uma ferramenta paga fica parada
- Abra Monitorar › Regras de alerta e crie uma regra do tipo O uso de software.
- Em Condição, escolha Instalado e sem uso há dias, Produto AutoCAD , Dias 60 .
- Limite o escopo ao grupo "Engenharia", clique em Fazer a prévia para ver com os dados de hoje o que já se encaixa e salve.
- Cada máquina em que o AutoCAD está instalado e não é aberto há 60 dias abre um alerta.
Outras condições: Usado menos horas que o esperado (Horas por mês (menos de) por Meses observados), Uso simultâneo acima das licenças (Um número que eu digito ou As licenças concorrentes compradas) e Uso acima do limite do contrato.
Cuidados e limites
- Sem medição, a aba do ativo diz "O uso de software não é medido neste ativo" e o Hive só sabe o que está instalado.
- Uso por período aceita até 400 dias e lista até 20.000 linhas.
- Máquinas cuja medição começou depois do período, ou está desligada, contam como Sem medição e mostram "Sem medição" na linha.
- "Instalado" é comparado pelo nome: a máquina conta como tendo o produto quando o nome de um programa instalado contém o nome do produto.
- Só entram na conta os ativos em uso (não retirados).
Relacionados
- Catálogo e classificação de software
- Licenças
- Agentes e coletores
- Alertas e regras
Catálogo e classificação de software
Todo programa que o inventário encontra é normalizado em um produto, com editor, versão, edição, categoria e, quando conhecido, o CPE (e o purl para pacotes Linux). É isso que liga o software às licenças e às vulnerabilidades. O catálogo fica em Ativos › Software, com as abas Produtos, Uso por período, Não reconhecidos e Regras da empresa (Uso por período tem artigo próprio).
O que você pode fazer aqui
- Ver quanto do software instalado é reconhecido: os indicadores Reconhecido, Produtos, Não reconhecidos e Não é software no topo.
- Buscar produtos, filtrar por Classificação e Categoria e ver instalações, ativos e versões de cada um.
- Classificar produtos como Homologado, Tolerado, Proibido ou Em avaliação, um a um ou em lote.
- Associar nomes que o catálogo não reconheceu a um produto, a um produto novo da sua empresa, ou marcá-los como Não é software.
- Revisar e remover as Regras da empresa criadas por essas associações.
- Rodar a normalização de novo com Normalizar de novo.
Produtos e classificação
- Abra Ativos › Software. A aba Produtos abre.
- Digite em Buscar produto ou editor (por exemplo 7-Zip ) ou escolha uma Classificação ou Categoria.
- Cada linha mostra o Produto com editor e chave, a Categoria, as Instalações ("em N ativos"), as Versões e a Classificação. Produto sem CPE mostra "sem CPE: não é cruzado com CVEs".
- Clique no número em Versões para ver cada versão e edição e em quantos ativos está instalada.
- Para classificar, escolha o valor na lista Classificação da linha. Para classificar vários, marque- os e use os botões da barra que aparece (Homologado, Tolerado, Proibido, Em avaliação ou Tirar a classificação).
- Escolher Proibido pede um Motivo: ele vai para a trilha de auditoria e para o alerta da regra "Software proibido instalado". Clique em Proibir.
- Uma notificação confirma ("2 produtos agora estão como “Proibido”.") com Desfazer.
Para ser avisado quando um produto proibido for instalado, clique em Criar a regra na nota abaixo da lista: abre a regra pronta "Software proibido instalado".
Não reconhecidos
- Abra a aba Não reconhecidos. Os nomes aparecem com os mais instalados primeiro, com "instalações: N · ativos: N".
- Cada nome mostra até cinco sugestões com o percentual de semelhança. Clique em uma sugestão para associar na hora.
- Nenhuma sugestão boa? Use Outro produto… para buscar no catálogo, Criar produto para criar um produto da sua empresa (editor, produto, categoria e um CPE opcional como cpe:2.3🅰️7-zip:7-zip ), ou Não é software para atualizações, drivers e entradas de desinstalação.
- Ligue Valer para qualquer editor com este nome quando o mesmo nome vem com editores diferentes; desligado, a regra só vale para o mesmo nome e o mesmo editor.
- A associação vira uma regra da empresa e vale para todo ativo com esse nome, agora e nos próximos inventários. A notificação diz quantos registros foram reconhecidos e oferece Desfazer.
Regras da empresa
A aba Regras da empresa lista cada regra: Nome no inventário (e o editor ou "qualquer editor"), o que ele Vira (uma chave de produto ou "não é software") e Criada por. As regras da empresa valem mais que o catálogo do provedor para o mesmo nome. Remover regra devolve os registros para Não reconhecidos.
Exemplo prático: proibir o uTorrent e ser avisado
- Em Ativos › Software › Produtos, digite utorrent na busca.
- A linha "uTorrent" mostra 4 instalações em 4 ativos. Em Classificação, escolha Proibido.
- Em Motivo, digite Cliente P2P não permitido pela política de segurança (POL-07) e clique em Proibir.
- Clique em Criar a regra na nota abaixo da lista, mantenha a condição "Software proibido instalado", clique em Fazer a prévia (ela mostra os 4 ativos que já estão nessa situação) e salve.
- Daqui em diante, cada ativo com uTorrent abre um alerta com o motivo que você digitou.
Exemplo prático: ensinar ao Hive um sistema da casa
O time financeiro usa o "FinPlan Client 3.2 (x64)", do editor "Acme Sistemas", em 37 máquinas, e ele está na fila sem sugestão boa.
- Em Não reconhecidos, digite FinPlan em Buscar na fila.
- Clique em Criar produto. Editor Acme Sistemas , Produto FinPlan Client , Categoria Produtividade; deixe o CPE vazio.
- Clique em Criar e associar. A notificação diz "“FinPlan Client 3.2 (x64)” agora é Acme Sistemas FinPlan Client: 37 registros reconhecidos."
- O produto aparece em Produtos com a marca "da empresa" e a regra aparece em Regras da empresa. A regra vale para esse nome exato: se a versão 3.3 for instalada como "FinPlan Client 3.3 (x64)", o nome novo aparece na fila e precisa da sua própria associação (escolha "Acme Sistemas FinPlan Client" com Outro produto…).
Exemplo prático: deixar de lado as atualizações
- Em Não reconhecidos, o nome "Security Update for Microsoft Office (KB5002...)" tem centenas de instalações.
- Clique em Não é software. Os registros saem da fila e passam a contar em Não é software. 3. Se mudar de ideia, abra Regras da empresa e clique em Remover regra: os registros voltam para a fila.
Cuidados e limites
- Classificar, associar e remover regras exige permissão para alterar ativos; sem ela as abas ficam só para leitura.
- Produto sem CPE não é cruzado com vulnerabilidades; aparece como "Sem correlação" em Vulnerabilidades.
- A lista de Produtos mostra até 500 linhas; refine com a busca e os filtros.
- A fila mostra até 200 nomes por vez; associe os do topo e os próximos aparecem.
- Uma regra da empresa vale para o nome exato do inventário (e para o editor, a menos que Valer para qualquer editor com este nome estivesse ligado).
- Software enviado por outras ferramentas pela rota de entrada (SCCM, planilhas, outra CMDB) só vale para ativos sem agente; o agente sempre vence, porque vê a máquina por dentro.
Relacionados
- Uso de software
- Licenças
- Vulnerabilidades
- Ativos e inventário
Identidades e revisões de acesso
Identidades trata cada conta como um ativo: pessoas, contas de serviço, workloads do Kubernetes e chaves e tokens de nuvem. Fica em Segurança › Identidades. O Hive guarda só metadados da conta (quem, fonte, grupos, criação, último uso, validade, dono); o valor secreto de chaves e tokens nunca élido nem guardado. Nomes e e-mails passam pela mesma pseudonimização que o Hive aplica antes de qualquer análise de IA.
O que você pode fazer aqui
- Ver todas as identidades do Active Directory, do Entra ID, do Kubernetes e da API de importação numa lista só (aba Inventário), filtrada por tipo, grupo ou texto.
- Abrir uma identidade e ver os grupos, o MFA, o último uso, a máquina principal e as chaves e tokens dela.
- Ler os achados: administrador sem MFA, privilégio excessivo, contas paradas, chaves sem validade ou velhas demais e conflitos de segregação de funções.
- Definir regras de segregação de funções como pares de grupos ou papéis.
- Fazer revisões de acesso: uma campanha sobre um grupo em que o revisor marca manter ou revogar para cada membro, fechada e exportada como evidência.
De onde vêm as identidades
- Diretório: os usuários das fontes Active Directory e Entra ID (Central de integrações). Os grupos vêm da associação; membros de grupos administrativos (Domain Admins, Global Administrator, cluster-admin e parecidos) ficam marcados como privilegiados.
- Kubernetes: as contas de serviço lidas pelo coletor viram identidades de workload.
- API de importação: POST /api/v1/identities/import recebe usuários, papéis, chaves de acesso e tokens do IAM de nuvem como metadados ( kind , source , externalId , owner , createdSrc , lastUsed , expiresAt , parentExternalId ). Campos com valor secreto não existem e são ignorados.
- Máquina principal: a pessoa é ligada ao ativo cujo usuário principal é o mesmo login.
Clique em Ler as fontes de novo depois de uma sincronização do diretório; a lista também éatualizada pela API de importação.
Achados
Achado | Quando aparece |
|---|---|
Administrador sem MFA | pessoa privilegiada cuja fonte informa MFA desligado (fontes que não informam MFA mostram "Não informado" e não acusam) |
Privilégio excessivo | membro de dois ou mais grupos administrativos, ou conta de serviço privilegiada |
Conta parada | sem entrada há o número de dias escolhido (90 por padrão); quem nunca entrou conta da criação |
Chave sem validade, chave velha, chave vencida | chave ou token sem data de validade, mais velho que o limite (365 dias por padrão) ou já vencido |
Conflito de segregação de funções | a mesma identidade nos dois grupos de uma regra |
Os limites são os campos Parada depois de (dias) e Chave velha depois de (dias) no alto da aba Achados. Conta parada só é verificada para pessoas e contas de serviço. Contas desativadas não geram achados.
Exemplo prático: revisão trimestral do Domain Admins
- Na Central de integrações, confirme que a fonte Active Directory terminou a última sincronização, abra Segurança › Identidades e clique em Ler as fontes de novo. A mensagem mostra, por exemplo, "412 contas do diretório e 9 contas de serviço do Kubernetes lidas; 287 ligadas à máquina principal".
- Abra a aba Achados. Clique no filtro Administrador sem MFA: duas pessoas do Domain Admins aparecem com gravidade Crítica. Abra cada uma para ver os grupos e a última entrada. 3. Em Segregação de funções, adicione a regra Pagar e aprovar com o grupo A Contas a Pagar e o grupo B Aprovadores de Pagamento . De volta a Achados, aparece um conflito para a pessoa que está nos dois grupos.
- Abra Segurança › Revisões de acesso, digite o nome da campanha Domain Admins T4 , o grupo Domain Admins e o revisor [email protected] e clique em Criar revisão. O Hive inclui os 7 membros atuais que estão ativos; contas desativadas ficam de fora.
- O revisor clica no nome da campanha para abri-la, marca Manter para 5 pessoas e Revogar para 2; para essas duas, a observação saiu do time de infraestrutura é digitada em Observação antes de clicar em Revogar, porque a observação é gravada junto com a decisão.
- Clique em Fechar revisão. A mensagem diz "Revisão fechada: 2 acesso(s) recomendado(s) para revogação."; a auditoria registra a criação, cada decisão e o fechamento.
- Clique em Exportar CSV e anexe o arquivo à mudança que tira as duas contas do grupo no Active Directory.
Cuidados e limites
- Revogar é recomendação: o Hive não muda a associação de grupos no diretório. O administrador tira o acesso e a próxima sincronização mostra.
- O MFA só é conhecido quando a fonte informa (campo mfa da API de importação); as fontes de diretório ainda não informam, então "Administrador sem MFA" depende desse campo.
- A revisão pega os membros no momento da criação; quem entrar no grupo depois só entra na próxima campanha.
- O grupo da revisão precisa ser o nome simples como aparece na tela Identidades, como Domain Admins (o Hive guarda os grupos do diretório pelo nome simples; as regras de segregação de funções também aceitam o DN completo). Se nenhuma identidade ativa for membro, a revisão érecusada com "Nenhuma identidade ativa é membro de …".
- A aba Inventário mostra até 2.000 identidades; use a busca e os filtros de grupo e tipo para estreitar. A API de importação recebe até 20.000 registros por chamada.
- Ver exige a permissão users:read ; ler as fontes de novo, importar, regras de segregação de funções e criar, decidir ou fechar revisões exigem users:admin .
- Os administradores locais de cada máquina aparecem no ativo; ainda não são identidades nesta lista.
Relacionados
- Diretório
- Kubernetes
- Nuvem
- SaaS em uso e postura
- Auditoria
SaaS em uso e postura
SaaS mostra quais aplicativos de nuvem a empresa usa e como os principais estão configurados. Fica em Segurança › SaaS. O uso vem de duas fontes: o provedor de identidade (atribuições e entradas em aplicativos do Entra ID ou do Okta) e as despesas (linhas de cartão ou reembolso casadas com um catálogo de fornecedores SaaS). A aba de postura (SSPM) avalia regras de segurança sobre a configuração do Microsoft 365/Entra ID, Google Workspace, Okta, GitHub, Slack e Salesforce.
O que você pode fazer aqui
- Importar um CSV de linhas de cartão ou despesas e ver quais são SaaS, com o gasto total por aplicativo.
- Receber pela API os aplicativos do provedor de identidade com o número de pessoas.
- Marcar cada aplicativo como aprovado pela TI ou não.
- Importar a configuração de um SaaS em JSON e ver cada regra como aprovada, falha ou não informada, com a correção.
Despesas
O arquivo tem as colunas data, descrição, valor e, opcional, moeda, separadas por vírgula ou ponto e vírgula, com ou sem cabeçalho. Valores como 1.234,56 e 1,234.56 são aceitos. A descrição é casada com o catálogo pelo nome do fornecedor como aparece na fatura do cartão (por exemplo SLACK T0ABC DUBLIN ou ZOOM.US 888-799 ). As datas podem ser 2026-10-01 , 01/10/2026 ou 01-10-2026 . Linhas sem casamento ficam guardadas e até 10 das descrições delas são listadas depois da importação ("Não reconhecidas: …"), para você revisar.
Regras de postura
Cada regra lê um campo do JSON de configuração. Campo ausente aparece como "Não informada" e não conta como falha; a nota de cada SaaS é a quantidade de regras aprovadas dividida pelas avaliadas. GET /api/v1/saas/posture/rules lista cada regra com o campo que ela lê, por exemplo /conditionalAccess/requireMfaForAdmins no Microsoft 365 ou /org/twoFactorRequired no GitHub.
Exemplo prático: fatura do cartão e postura do Slack
- Exporte a fatura do cartão corporativo do mês em CSV com data, descrição e valor.
- Abra Segurança › SaaS, aba Aplicativos em uso, e clique em Importar despesas (CSV). A mensagem mostra "184 linhas importadas, 37 casadas com SaaS." e, abaixo, "Não reconhecidas: …" com até 10 descrições.
- A lista mostra o Slack (com a etiqueta SSPM), o Zoom e o Figma, com Despesas na coluna Visto por; o Slack tem gasto de 1.250 BRL. Clique em Marcar como aprovado no Slack e no Zoom; o botão passa a Tirar aprovação.
- Abra a aba Postura, escolha Slack na lista SaaS e cole em Configuração (JSON) a configuração lida da API de administração do Slack, como {"team":{"twoFactorRequired":false,"publicFileLinks":false,"sessionDurationHours":720}} .
- Clique em Avaliar. A mensagem diz "2 regra(s) falhando.": a autenticação em dois fatores não éexigida e as sessões duram 30 dias (a regra pede no máximo 7 dias, 168 horas). O painel do Slack mostra "2 falhando · 1 aprovadas · 1 não informadas" e "33% aprovadas" (a aprovação do Slack Connect não foi enviada). Cada falha explica a correção.
- Depois que o administrador do Slack muda as configurações, importe a configuração de novo; a nota vai a "100% aprovadas" e cada avaliação fica registrada na auditoria.
Cuidados e limites
- Nesta primeira entrega a configuração é importada (tela ou POST /api/v1/saas/posture/ ); a leitura automática pelos conectores vem com os conectores de segurança.
- Os aplicativos do provedor de identidade chegam por POST /api/v1/saas/idp ; os conectores do Entra ID e do Okta vão preencher isso sozinhos.
- O descritor do cartão muda de banco para banco: fornecedor fora do catálogo fica sem casamento em vez de ser adivinhado.
- O gasto soma cada importação; importe cada período uma vez só.
- Uma linha cujo valor não é número (fora o cabeçalho) interrompe a importação com "Linha N: o valor … não é um número" e nada daquele arquivo é gravado. O arquivo pode ter até 5 MB.
- Uma configuração que não é JSON mostra "A configuração não é um JSON válido."; ela precisa ser um objeto JSON.
- Ver exige assets:read ; importar despesas, aprovar e a API do provedor de identidade exigem assets:write ; avaliar a postura exige integrations:admin .
Relacionados
- Identidades e revisões de acesso
- Central de integrações
- Auditoria
Vulnerabilidades
O Hive cruza o software instalado nos seus ativos com as bases públicas de vulnerabilidade e mostra o que está vulnerável, onde, a urgência e como corrigir. Fica em Segurança › Vulnerabilidades; a reputação de IPs e hashes de arquivos vistos no parque fica ao lado, em Segurança › Reputação.
O que você pode fazer aqui
- Aba Corrigir agora: as bases e a sincronização delas, os contadores (achados abertos, CVEs no KEV, tempo para corrigir KEV, críticos, sem correlação), o Top 10 para corrigir agora pelo risco e o SLA de correção.
- Aba Achados: cada achado por ativo, com filtros de CVE, severidade, situação, prazo e Só KEV, e Exportar CSV.
- Aba Aceites de risco: todas as exceções, vigentes ou vencidas, com justificativa, aprovador e validade; aprovar, recusar, cancelar e exportar.
- Abrir uma CVE para ver as pontuações, os dados do KEV, os ativos afetados, como o risco foi calculado, a correção, e para pedir Aceite de risco ou Abrir chamado.
- Configurar score de risco: peso dos fatores e prazos de correção por severidade, com prévia do Top 10.
- Reputação: consultar IPs externos e hashes de executáveis no AbuseIPDB, abuse.ch, VirusTotal e OTX.
Bases e como um achado nasce
O KEV da CISA (explorado na prática) e a NVD sincronizam a cada 2 horas, o OSV.dev a cada 6 horas e o EPSS da FIRST (probabilidade de exploração nos próximos 30 dias) uma vez por dia. Cada base mostra a última sincronização com sucesso e quantos itens mudaram. Se uma base falha, os dados anteriores continuam valendo; depois de 24 horas sem sucesso (6 horas no KEV) uma faixa avisa que a base está desatualizada.
Os programas são casados pelo CPE e pelas faixas de versão publicadas pela NVD; os pacotes Linux pelo pacote da distribuição e a versão exata, pelo OSV, então uma correção aplicada pela distribuição (backport) não é marcada. Software sem CPE ou purl nunca recebe CVE por semelhança de nome: entra em Sem correlação e o link Sem correlação — normalizar leva à fila de software. Quando a atualização que corrige é instalada, o próximo inventário fecha o achado como Corrigido.
Score de risco e prazos
- O score de risco do Hive (0 a 100) transforma CVSS, EPSS, exposição e criticidade do ativo em 0–1, aplica os pesos e multiplica pelo multiplicador do KEV quando a CVE está no KEV. Como o risco foi calculado mostra cada fator, o valor e o peso.
- A exposição vem de tags com "internet" ou "dmz" no ativo e das portas abertas. A criticidade do ativo é definida no ativo; sem ela, vale "Média" e a janela do risco oferece Definir criticidade.
- O prazo conta do dia em que a CVE foi detectada no ativo mais os dias da severidade (recomendado: crítica 15, alta 30, média 90, baixa 180). Com CVE no KEV usa o prazo do KEV quando for menor, vale a data da CISA.
- Em Configurar score de risco (exige vulnerabilities:approve ) você mexe nos pesos e vê o Top 10 com os pesos novos (▲▼ mostram como cada CVE se moveu) antes de salvar. Salvar nova versão guarda a mudança nas versões de configuração, com desfazer. Voltar aos pesos recomendados restaura os valores sugeridos.
Passo a passo: do Top 10 à correção
- Abra Segurança › Vulnerabilidades. Em Corrigir agora, confira se as bases estão Conectada.
- No Top 10 para corrigir agora, ligue Só KEV se quiser só o que é explorado na prática.
- Clique numa CVE para abri-la. Leia Pontuações (CVSS 3.1 e 4.0 com a fonte, EPSS, situação na NVD, CWE), Exploração conhecida (KEV) e a lista de ativos afetados.
- Em Correção, veja a versão instalada, a Versão que corrige, o pacote da distribuição ou o KB da Microsoft, os boletins do fabricante e quantas CVEs a atualização corrige naquele ativo.
- Clique em Abrir chamado (exige integrations:admin e um ITSM conectado) para abrir um chamado para a CVE com os ativos afetados, o prazo e a correção.
- Corrija com patch, pacote ou implantação. O próximo inventário fecha o achado.
Exemplo prático: triar uma CVE crítica e manter uma exceção
Na segunda-feira o Top 10 para corrigir agora mostra, em primeiro, a CVE-2026-20817 (valores de exemplo) no 7-Zip 24.08: risco 92, KEV, Crítica, CVSS 9.8, EPSS percentil 97, 14 ativos, prazo Vence em 7 dias.
- Lia (analista de segurança) clica em Como o risco foi calculado: CVSS 9.8, EPSS 97%, exposição "alcançável na rede", criticidade "Alta" e No KEV com multiplicador 2. Dois ativos estão sem criticidade; ela abre o risco do ativo e usa Definir criticidade neles.
- Ela abre a CVE. Exploração conhecida (KEV) mostra Incluída no KEV há 3 dias e o Prazo do KEV. Correção diz "Atualizar 7-Zip para 25.01 corrige as 2 CVEs deste software no ativo."
- Ela clica em Abrir chamado: um chamado no ITSM com os 14 ativos. O suporte implanta o 7-Zip 25.01 em 13 deles; os próximos inventários fecham esses achados como Corrigido.
- O 14º ativo é OT-HMI-03 , uma IHM de linha que o fabricante só suporta com a versão atual até a próxima parada. Lia clica em Aceite de risco: EscopoUm ativo ( OT-HMI-03 ), Justificativa "Versão homologada pelo fabricante; máquina sem internet e só com a porta da IHM aberta; atualização na parada de 15/12", Aprovador Marcos (ele tem "Aprovar aceite de risco"), Validade 16/12 (o padrão é 90 dias, no máximo 365). Enviar para aprovação.
- Marcos abre Vulnerabilidades › Aceites de risco, lê o pedido e clica em Aprovar: "Risco de CVE-2026-20817 aceito." O achado sai do Top 10 e do SLA e fica marcado Risco aceito.
- Em 09/12, sete dias antes do fim, Lia e Marcos recebem um e-mail: o aceite acaba em 16/12. Se a parada atrasar, Lia pede um novo aceite. Se nada for feito, em 17/12 o aceite fica Vencido e o achado volta ao Top 10 e ao SLA.
- Se a CVE entrasse no KEV depois da aprovação, ou o EPSS passasse de 50%, o aceite ganharia a marca revisar e Marcos um e-mail; ele continua valendo até ser revisado (dá para cancelar).
Exemplo prático: ajustar o score de risco e os prazos
A diretoria pediu para corrigir os achados críticos em 10 dias. Marcos abre Configurar score de risco, sobe o peso de Exposição e vê no Top 10 com os pesos novos que duas CVEs expostas à internet subiram (▲3, ▲2). Em Prazo de correção por severidade ele digita 10 para crítica e mantém CVE no KEV usa o prazo do KEV quando for menor ligado. Salvar nova versão: "Score de risco salvo como nova versão; o top 10 é recalculado." Os prazos dos achados abertos são recalculados a partir da data de detecção; o desfazer do aviso (ou as versões de configuração) traz os valores antigos de volta.
Exemplo prático: consultar um IP em Reputação
- Um administrador conecta o AbuseIPDB e o VirusTotal em Integrações (as chaves de API são da própria empresa). Segurança › Reputação mostra cada fonte com a cota diária.
- O Hive consulta sozinho a cada 15 minutos; você pode clicar em Consultar agora: "120 indicadores · 35 consultados · 85 do cache · 1 maliciosos."
- A lista Indicadores mostra 185.220.101.47 (IP externo) como Malicioso: AbuseIPDB "Malicioso · alta confiança", VirusTotal "Malicioso". Com a regra padrão 2 fontes, ou 1 de alta confiança, o veredito é malicioso.
- Você abre: Visto em lista FIN-NB-014 e quando. O veredito malicioso gerou um evento em Alertas, com a fonte, o veredito e o ativo. Dali, siga com Resposta a incidente ou Indicadores de ataque.
Cuidados e limites
- Pedir aceite de risco exige só vulnerabilities:read , mas o aprovador precisa de vulnerabilities:approve , não pode ser quem pediu, e só o aprovador escolhido decide. Recusar exige motivo. Quem pediu, ou qualquer aprovador, pode Cancelar aceite.
- A justificativa precisa de pelo menos 20 caracteres; a validade vai de amanhã até 365 dias.
- Abrir chamado sem ITSM conectado mostra "Nenhum ITSM conectado para abrir o chamado." Uma CVE que já tem chamado recebe nele os ativos novos.
- Só ativos ativos contam. A aba Achados mostra as 500 primeiras linhas na tela; o CSV traz todas (até 1.000 por consulta).
- A Reputação manda só hashes SHA-256 e IPs públicos, nunca arquivos. As respostas ficam em cache por 24 horas, compartilhado entre empresas. Uma fonte acima de 80% da cota diária fica em Atenção; os indicadores além da cota esperam o dia seguinte. Mudar a regra do veredito exige vulnerabilities:approve .
Relacionados
- Indicadores de ataque (caça de IoC)
- Patches
- Implantações
- ITSM
- Alertas
- Catálogo de software
Caminhos de ataque e choke points
Os Caminhos de ataque (Segurança › Caminhos de ataque) mostram como um atacante poderia ir de um ponto de entrada (um aparelho alcançável pela internet) até as suas crown jewels (controladores de domínio, aparelhos Tier 0 e as máquinas dos serviços de negócio críticos), passo a passo, e qual correção sozinha, o choke point, quebra mais desses caminhos.
O que você pode fazer aqui
- A tela tem cinco abas: Caminhos de ataque, Choke points, Crown jewels, Propostas e Grafo.
- Ver as Crown jewels: as encontradas por regra (origem Regra: aparelhos Tier 0, controladores de domínio, componentes de serviços de negócio críticos, a camada de dados de serviços de criticidade alta) e as marcadas à mão (origem Manual).
- Marcar um aparelho ou um serviço de negócio com Marcar como crown jewel (escolha o Tipo, o aparelho ou serviço e um Motivo de até 500 caracteres), ou Remover uma marca manual. Isso exige a permissão de escrita em ativos.
- Ler os Caminhos de ataque, da maior Nota para baixo, e abrir uma linha para ver cada passo, a probabilidade e a correção que o quebra; Ver no grafo desenha só aquele caminho.
- Ver os Choke points ordenados por Caminhos quebrados, com a correção concreta e Abrir, que leva à tela que a faz.
- Propor correção para um choke point e Aprovar ou Recusar propostas em Propostas.
- Abrir o Grafo dos caminhos de ataque (com Só nós dos caminhos para esconder o resto) e baixá-lo como Imagem (PNG), Imagem (SVG), draw.io ou Visio.
Como um caminho é montado
O Hive monta um grafo com o que já sabe dos seus aparelhos, uma vez por hora e quando você clica em Recalcular:
- Exposição: um aparelho com IPv4 público é ponto de entrada (IPv6 global do provedor não conta: fica atrás do firewall do roteador), ligado a partir de Internet.
- Vulnerabilidades exploráveis: cada achado aberto dá ao aparelho uma probabilidade de exploração: 90% quando a CVE está no KEV; senão o EPSS, com um piso pela gravidade (crítica 50%, alta 30%, média 10%, demais 5%).
- Alcance: conexões vistas pelo agente nos últimos 30 dias, fluxos enviados pelos switches (NetFlow, sFlow, IPFIX) nos últimos 7 dias e aparelhos na mesma sub-rede privada /24. Um passo de alcance só leva a um aparelho que tem um achado aberto para explorar.
- Credenciais: aparelhos com o mesmo usuário principal, e aparelhos Windows que compartilham a senha do administrador local porque o Hive não a rotaciona (dois ou mais aparelhos assim). 5. Virtualização: quem controla um host controla as VMs dele.
Cada passo tem uma probabilidade; a nota do caminho (0 a 100) é a probabilidade do caminho inteiro, então um caminho curto por uma vulnerabilidade do KEV num aparelho exposto fica no topo. São guardados até 200 caminhos.
Choke points
Um choke point é a correção que quebra mais caminhos. O Hive escolhe um de cada vez: o primeiro quebra mais caminhos, o segundo mais do que sobrou, e assim por diante. Caminhos quebrados équantos caminhos aquela correção remove sozinha; Acumulado é o total aplicando também as correções acima dela. Os tipos são:
- Corrigir (patch): atualizar o software com as CVEs naquele aparelho; Abrir leva a Vulnerabilidades filtrada pelo aparelho.
- Rotacionar a senha do admin local: gerenciar a senha do admin local com o Hive nos aparelhos Windows que a compartilham; Abrir leva a Perfis de configuração.
- Restringir usuário: restringir onde o usuário compartilhado faz logon e tirar dele os direitos de admin local; Abrir leva a Perfis de configuração.
- Isolar o aparelho: isolar a gerência do host de virtualização; Abrir leva à página do aparelho.
- Fechar a exposição: fechar a exposição do aparelho à internet (usada quando o aparelho exposto não tem achado explorável para corrigir); Abrir leva à página do aparelho.
Exemplo prático: quebrar o caminho até o controlador de domínio
O servidor web web-shop-01 tem IPv4 público e um achado aberto de uma CVE do KEV. O usuário principal dele, ana.ops , também é o usuário principal de srv-file-02 , que o agente viu conectando ao controlador de domínio dc-01 , e dc-01 tem um achado crítico aberto.
- Abra Segurança › Caminhos de ataque. Na aba Crown jewels, dc-01 aparece com a origem Regra e o motivo "Domain controller".
100 / 373
- Na aba Caminhos de ataque, a primeira linha é Internet → web-shop-01 → ana.ops → srv-file-02→ dc-01 . Abra a linha para ler cada passo (os textos dos passos vêm em inglês): "web-shop-01 has a public IP address", "harvest the session of ana.ops on web-shop-01", "sign in to srv-file-02 as ana.ops", "connection observed by the agent; exploit … on dc-01".
- Na aba Choke points, o primeiro é Corrigir (patch) "Patch CVE-… on web-shop-01", com mais Caminhos quebrados. Clique em Propor correção. A coluna Correção proposta mostra Proposta.
- Outra pessoa com a permissão de aprovação de vulnerabilidades clica em Aprovar na aba Propostas (quem propôs não pode aprovar). Nada roda sozinho: clique em Abrir no choke point para ir a Vulnerabilidades filtrada por web-shop-01 e distribuir a atualização pelo fluxo de patch de sempre.
- Depois que a atualização for instalada e o inventário chegar, clique em Recalcular: o caminho some e a lista de choke points muda.
Cuidados e limites
- O grafo usa os dados que existem hoje: IPv4 públicos, conexões e fluxos observados, a mesma sub-rede /24, usuários principais, admin local compartilhado quando o Hive não gerencia a senha do admin local e o posicionamento host para VM. Posicionamento de pods do Kubernetes, identidades e nuvem vêm depois, com o grafo de ativos.
- As probabilidades são heurísticas (KEV, EPSS, gravidade e exposição), não uma medida da explorabilidade real. Use-as para ordenar, não como prova.
- A mesma sub-rede /24 é um sinal fraco: regras de firewall e de VLAN ainda não são lidas, então alguns caminhos podem não ser possíveis na prática.
- O resultado fica em cache por uma hora e é recalculado em Recalcular; uma correção só aparece depois do próximo inventário e recálculo.
- Nada é executado automaticamente: propor exige a permissão de escrita em ativos, aprovar exige a permissão de aprovação de vulnerabilidades e outra pessoa, e a correção roda pelas telas que já existem.
- Crown jewels encontradas por regra não podem ser removidas aqui; mude a classe do aparelho ou a criticidade do serviço de negócio.
Relacionados
- Vulnerabilidades
- Serviços de negócio, SLA e capacidade
- Perfis de configuração
- Caminho do serviço e mapa lógico