Integrações

Tela: Central de integrações (1/2)



Tela: Central de integrações (2/2)

Todas as conexões com outros sistemas ficam num só lugar: Integrações › Central de integrações.

Cada conexão mostra para que é usada, e cada tela que a usa (alertas, diretório, ITSM, relatórios) configura só o próprio uso. As abas são Catálogo, Saúde das conexões, Federação, API e contas de integração (com permissão para administrar a API) e Histórico.

Achar uma integração no Catálogo por direção, categoria, estado ou nome, e conectá-la.

Testar uma conexão passo a passo, editá-la, ligar ou desligar cada uso dela ou desconectá-la.

Acompanhar problemas em Saúde das conexões e mudanças em Histórico.

Publicar eventos do Hive num barramento de eventos (Kafka, RabbitMQ, Azure Service Bus, AWS SNS, Google Pub/Sub).



Clique em Conectar num cartão do catálogo. O formulário tem três passos.

Preencha os campos da integração. Segredos (tokens, senhas, chaves) vão direto para o cofre e não são mostrados de novo. Endereços precisam ser https públicos.

Logo depois de conectar, o Hive testa a conexão passo a passo e mostra onde falha e como corrigir (por exemplo "Atualize a credencial no cofre" ou "Confira o endereço").

Revise e clique em Conectar. O primeiro uso fica ligado; ligue os outros na página da conexão com Abrir a conexão.

Testar conexão roda o teste de novo; Editar conexão muda os campos (campos secretos ficam em branco: digite só para trocar); Desconectar para todos os usos e apaga os segredos do cofre (o histórico fica na trilha de auditoria).

Usos desta conexão: uma chave por uso. Por exemplo, o Microsoft Entra ID conectado uma vez serve para login, importação do diretório, publicação do agente no Intune, e-mail pelo Microsoft 365, Teams e licenças do Microsoft 365. Um uso que precisa de permissão extra mostra Abrir consentimento; depois de aprovar no provedor, confirme com Aprovei no provedor.

Dados da conexão mostra os valores (segredos mascarados), quem criou e o último teste com sucesso; Saúde mostra os avisos desta conexão.

Saúde das conexões lista, por conexão, o resultado do último teste: Estado (OK, Atenção, Erro), O que está acontecendo, Como resolver e Verificado. Problemas dos ativos ficam em Monitorar › Alertas e eventos, não aqui.

Histórico mostra Quando, Quem e O que mudou: conectada, editada, desconectada, uso ligado ou desligado, consentimento dado e testes.

Conecte Apache Kafka, RabbitMQ, Azure Service Bus, AWS SNS ou Google Pub/Sub e escolha os Eventos a publicar: alertas, mudanças nos ativos, trilha de auditoria, vulnerabilidades, conformidade, métricas, telemetria do endpoint, integridade e eventos do agente. Só os ativos com esta tag (opcional) limita os eventos de máquina a uma tag. Cada evento é um JSON CloudEvents 1.0 ( type como hive.alert.opened ou hive.asset.changed , sourceone/<empresa> ), com o tipo também no cabeçalho do Kafka, na routing key do RabbitMQ, no label do Service Bus e nos atributos do SNS e do Pub/Sub.

O Hive grava o evento numa fila de saída na mesma transação do fato e entrega a cada poucos segundos; uma falha é tentada de novo depois de 15 s, 1 min, 5 min, 15 min, 1 h, 3 h, 6 h e 12 h, e então marcada como falha. Na página da conexão, Eventos publicados mostra Esperando na fila,



Entregues em 24 h, Desistidos após as tentativas e o último erro; Reenviar os que falharam os põe de volta na fila. Testar conexão publica um evento hive.test na hora.

Credenciais: Kafka usuário:senha para SASL (opcional); RabbitMQ usuário:senha e a exchange; Service Bus KeyName:Key de uma política com Send; SNS accessKeyId:secretAccessKey com sns:Publish e o ARN do tópico; Pub/Sub a chave JSON de uma conta de serviço com Pub/Sub Publisher.

Exemplo prático: Workspace ONE UEM, Intune e Jamf pelo catálogo

Ver pede permissão de leitura de integrações; conectar, editar, testar e desconectar pedem permissão para administrar integrações.

Por segurança, o Hive não chama endereços de rede interna nem de metadados de nuvem a partir da nuvem. Alcance sistemas internos (Active Directory, SCCM, GLPI na rede interna) pelo coletor.



Ferramentas de ITSM, service desk e CMDB usam token, Basic, cabeçalho fixo, OAuth 2.0 client credentials ou OAuth 2.0 com asserção SAML; a ferramenta devolve a situação chamando a rota de entrada do Hive com o token de uma conta de integração.

Saúde das conexões mostra resultados de teste; ela não vigia sozinha o vencimento de credenciais.

Fontes de federação (SCCM, OCS, GLPI…) são testadas pelo coletor em Federação, não por Testar conexão.

Canais de notificação e plantão

Chamados de ITSM, CMDB e mudanças aprovadas

Trazer máquinas de outras ferramentas de inventário e CMDB

Integrações de UEM: Workspace ONE, Intune e Jamf

Enviar eventos ao SIEM

API e contas de integração

Tela: Conectores de segurança

Os conectores de segurança trazem para o Hive dados de outras ferramentas de segurança com uma conta somente leitura: dispositivos, achados (CVEs), identidades e recursos de nuvem. Os scanners de terceiros (Tenable, Qualys e Rapid7 InsightVM) somam os achados deles aos que o Hive detecta sozinho, então a mesma CVE no mesmo dispositivo aparece uma vez, com todas as fontes que a viram. Fica em Integrações › Conectores de segurança, com duas abas: Conectores e Achados.



Adicionar do catálogo um conector para Wiz, Prisma Cloud, Zscaler ZIA, Netskope, Okta, Microsoft Entra ID, Vanta, Drata, Tenable Vulnerability Management, Qualys VMDR ou Rapid7 InsightVM.

Gerar um conector para qualquer outra ferramenta A partir do OpenAPI: escolha uma operação GET e mapeie os campos.

Testar conexão, Executar agora ou deixar a agenda ler a ferramenta a cada Ler a cada (minutos) (60 por padrão; de 15 a 10.080).

Importar arquivo exportado por um scanner (JSON do Tenable, Qualys ou Rapid7) quando a ferramenta não é alcançável a partir do Hive. Só as linhas de scanner têm esse botão.

Ver a aba Achados: cada dispositivo e CVE uma vez, com as Fontes que o reportaram ( hive , tenable , qualys , rapid7 ).

Remover um conector.

Ver os conectores exige integrations:read ; adicionar, testar, executar, importar e remover exigem integrations:admin ; a aba Achados exige vulnerabilities:read .

A definição diz como autenticar (chave de API, OAuth 2.0 client credentials ou usuário e senha), quais endpoints GET ler, como seguir as páginas e quais campos do JSON viram dispositivo, achado, identidade ou recurso de nuvem. Um conector gerado a partir do OpenAPI usa Chave de API ou Usuário e senha.

Os segredos (chave de API, client secret, senha, chaves de acesso e secreta) vão para o cofre e nunca voltam na tela nem na API.

Só são feitas requisições GET. O Hive nunca altera nada na outra ferramenta.

Os dispositivos são casados com o inventário pelas mesmas regras da nuvem e dos hipervisores: UUID de hardware, MAC, IP e nome, do mais forte para o mais fraco. Quando dois dispositivos podem ser o mesmo, não casa.



clique em Importar arquivo.

Os conectores são somente leitura: só requisições GET, e só nos endpoints da definição.

A URL base precisa ser https:// e pública. Endereços internos e de metadados de nuvem são bloqueados (proteção contra SSRF), a menos que o administrador da plataforma os tenha liberado.

Cada leitura segue no máximo 50 páginas por endpoint; as páginas além disso não são lidas, então restrinja o endpoint se a ferramenta tiver mais.

O documento precisa ser OpenAPI 3 em JSON, com até 5 MB; só as operações GET são listadas.

O Qualys é importado só pela saída JSON da API de detecção de hosts (XML não é lido).

Os achados são deduplicados por dispositivo e CVE: um achado de um dispositivo que não casa com o inventário é contado, mas não entra na aba Achados.

Remover um conector remove o que ele importou e o segredo dele no cofre. Nada muda na outra ferramenta.

Central de integrações

Nuvem



Tela: Chamados de ITSM, CMDB e mudanças aprovadas

O Hive abre chamados na ferramenta de service desk que a empresa já usa, recebe a situação de volta, envia as máquinas para a CMDB da ferramenta e lê as mudanças aprovadas. Tudo fica em Monitorar › Chamados de ITSM; cada ferramenta é uma conexão da Central de integrações. O Hive sempre chama a rota de API da ferramenta com POST, usando uma credencial guardada no cofre; a ferramenta chama a rota de entrada do Hive com o token de uma conta de integração.

Conectar ServiceNow, Jira Service Management, GLPI, Freshservice, ServiceDesk Plus, TOPdesk, Zendesk, CITSmart ou o conector genérico.

Mapear severidade, grupos de atendimento, categorias, localizações e o item de configuração, ver uma prévia e testar com um chamado real.

Abrir chamados à mão ou pelas regras de alerta e acompanhar em Chamados abertos pelo Hive.

Configurar o canal de retorno para que um chamado resolvido na ferramenta resolva o alerta no Hive.

Enviar máquinas como ICs para a CMDB e ler as mudanças aprovadas.



Na página da conexão:

Severidade → prioridade: prioridade, urgência e impacto para Info, Aviso, Alto e Crítico, como a ferramenta espera (vazio = o padrão do conector).

Grupo de atendimento por tag: linhas Tag → Grupo de atendimento (vale a tag do primeiro ativo; a primeira linha que casar vence) e Grupo quando nenhuma tag casar.

Categoria por tipo de regra: métrica, mudança, estado do inventário, uso de software e Categoria padrão.

Localização e item de configuração: Site no Hive → Localização na ferramenta, Identificar o IC por (nome do ativo ou número de série) e Solicitante (opcional).

Comportamento: Resolver o alerta quando o chamado for resolvido (precisa do canal de retorno) e Janela de agrupamento (minutos, padrão 10; 0 = sem agrupar): alertas repetidos da mesma regra dentro da janela viram um único chamado com todos os ativos. Reabrir o chamado se o problema voltar: quando a mesma regra dispara de novo na mesma máquina e alvo em até 7 dias, o chamado anterior é reaberto na ferramenta (ou recebe uma nota, onde a API não reabre) em vez de abrir outro.

Status de retorno: qual status da ferramenta significa Resolvido, Fechado ou Aberto (ex.: 6 → Resolvido no ServiceNow).

Clique em Salvar mapeamento; cada gravação é uma versão nova.

À direita, Prévia de um chamado › Ver prévia mostra como ficaria um chamado com o último ativo visto. Testar a conexão › Testar agora abre um chamado de teste real ("Hive connection test — you can ignore this ticket") e o resolve, passo a passo.

Por uma regra: no assistente de regras, Ações › Abrir chamado em.

À mão: Abrir chamado no cabeçalho (ou num alerta ou ativo): Ferramenta, Título, Descrição, Severidade e então Abrir chamado.

Chamados abertos pelo Hive lista os chamados com os filtros Situação (Na fila, Aberto, Com erro, Resolvido, Fechado) e Ferramenta. Se a ferramenta estiver fora, o chamado espera na fila e é reenviado (30 s, 2 min, 10 min, 30 min e depois a cada hora, por cerca de 2 dias); o erro e a



correção aparecem abaixo do título. Enviar de novo tenta de novo na hora um chamado com erro.

Em Canal de retorno (ferramenta → Hive), clique em Emitir token (precisa de permissão para administrar integrações e a API). Copie o token: ele aparece uma única vez. Configure a ferramenta para chamar POST /api/v1/inbound/tickets com Authorization: Bearer <token> e um corpo como:

Os comentários vão para o chamado e para os alertas dele; um status resolvido ou fechado resolve os alertas quando Resolver o alerta quando o chamado for resolvido está ligado. Trocar token revoga o token antigo na hora.

No painel CMDB e mudanças aprovadas da conexão:

Enviar os ativos ao CMDB e Tipos de ativo enviados (Computador, Servidor, Switch, Impressora, Smartphone). Só vão os ICs que mudaram desde a última rodada; no ServiceNow o envio usa o IRE (identificação e reconciliação), então não duplica ICs. O vínculo máquina ↔ IC fica guardado.

Ler as mudanças aprovadas: mudanças aprovadas (agendadas ou em implementação) com a janela e os ICs. O Hive lê sozinho do ServiceNow, Freshservice, ServiceDesk Plus, GLPI, Jira Service Management, TOPdesk e SolarWinds; as outras ferramentas enviam para POST

Ler mudanças agora fazem na hora. A tabela lista cada Mudança aprovada, a Janela e as Máquinas.

Enquanto uma mudança aprovada cobre uma máquina (a janela, com 30 minutos de folga antes e depois), as mudanças que o Hive vê nela ficam autorizadas: não geram alerta de regra de mudança nem da política de mudanças, e o histórico da máquina mostra "autorizada por CHG…". Uma mudança aprovada não é janela de manutenção: alertas de métrica, disponibilidade e outros continuam abrindo e notificando.

POST /api/v1/inbound/changes com o token de uma conta de integração com o escopo Chamados e mudanças no modo Leitura e envio (o token do canal de retorno serve):



id , startsAt e endsAt são obrigatórios (datas com fuso, fim não antes do início); cis são nomes de ativos ou nomes curtos de host; até 500 itens por chamada. replace: true quer dizer "esta é a lista completa": mudanças daquela conexão que não estiverem nela são removidas. A resposta é {"saved": n, "ignored": n} .

Quando o SRV-FILE-01 enche o disco, abre o INC0012345; se o SRV-FILE-02 encher em até 10 minutos, entra no mesmo chamado. Quando o analista resolve o incidente, o alerta é resolvido no Hive com o comentário.

Exemplo prático: mudança aprovada durante a atualização do ERP



As mudanças de software e serviço no SQL-PRD-01 ficam como "autorizada por CHG0034567": nenhum alerta de mudança abre.

As telas pedem permissão de leitura de integrações; conectar, mapear, testar e Enviar de novo pedem permissão para administrar integrações.

Só os conectores da primeira onda podem ser conectados por esta tela; os outros mostram a fase em que chegam.

O chamado de teste não aparece em Chamados abertos pelo Hive.

Resolver o alerta no Hive só inclui um comentário no chamado; não resolve o chamado.

O conector genérico troca no corpo os marcadores  ,  ,  ,  ,  ,  e  .

O Hive não chama endereços internos a partir da nuvem; a ferramenta precisa ser acessível pela internet.

Central de integrações

Alertas, regras e modelos de monitoramento

API e contas de integração

Trazer máquinas de outras ferramentas de inventário e CMDB



Tela: Automação de chamados (1/2)

Tela: Automação de chamados (2/2)



Automação age sozinha sobre os itens das telas que têm o botão Abrir chamado. Você escolhe a tela, as condições e as ações: Abrir chamado numa ferramenta de ITSM conectada, Avisar canais (e-mail, Microsoft Teams, Slack, webhook, Telegram, WhatsApp, SMS ou quem está de plantão), ou as duas. A partir daí cada item que atender ganha o chamado e/ou a mensagem, sem ninguém clicar. Fica em Integrações › Automação.

O chamado é o mesmo que o botão Abrir chamado daquela tela abre: o de vulnerabilidade traz a CVE, os ativos afetados, o prazo e a correção; o de insight leva a evidência; o de recuperação de licença marca as instalações como em recuperação. O chamado fica ligado ao item, então a lista de chamados, o retorno da ferramenta e a própria tela mostram o vínculo. A mensagem sai pelos mesmos canais das regras de alerta (Monitorar › Canais de notificação), com um link que abre o item no Hive.

Ver as regras com a tela, as Ações (a conexão de ITSM e/ou quantos destinos são avisados), os limites, a Última verificação (itens que atenderam, chamados abertos, itens avisados) e o que a regra fez Em 24 h.

Ligar ou desligar uma regra no interruptor, Rodar agora para verificar sem esperar, Editar ou Excluir (pede integrations:admin ). Excluir uma regra mantém os chamados que ela abriu.

Abrir a aba Histórico: cada chamado automático e cada mensagem com a regra, o item, o chamado (com o link para a ferramenta) ou o canal, e o Resultado (com o erro quando um canal recusou). Filtre por regra.

Usar Automatizar… ao lado do botão Abrir chamado (alerta, vulnerabilidade, ativo, insights, recuperação de licenças, recomendação da IA) ou no cabeçalho de Postura da nuvem, Superfície externa, Identidades, Caminhos de ataque e Detecção e caça: o assistente abre com aquela tela já escolhida.

Ler as regras e o histórico pede integrations:read ; criar, alterar e rodar pede integrations:admin .



Escopo são tags, grupos, sites e tipos de ativo: o item atende quando ao menos um dos ativos dele está dentro de todos os campos de escopo preenchidos.



Exemplo prático: e-mail para o time de segurança e post no Teams para vulnerabilidades do KEV em servidores, sem chamado

O time de segurança quer saber na hora quando uma CVE que está sendo explorada (KEV da CISA) aparece num servidor de produção. Não quer chamado para isso, só um e-mail para a caixa do time e um post no canal do SOC no Teams, e nada de madrugada a não ser o crítico.

Para também abrir chamado para os mesmos itens, edite a regra e marque Abrir chamado também: o chamado e a mensagem são contados e deduplicados separadamente.



Um chamado aberto por item. Se o item já tem chamado aberto na mesma conexão (aberto à mão, por uma regra de alerta ou por outra regra de automação), a regra não abre outro: o resultado é Já tem chamado.

Uma mensagem por item no período de espera. Depois que a regra avisou um item, ela não avisa de novo durante os Dias antes de agir de novo no mesmo item, mesmo que o item continue lá. Regra que avisa precisa de ao menos 1 dia. Para chamados, 0 abre de novo assim que o chamado fechar.

Limites contados separadamente.Por hora e Por dia contam chamados e itens avisados à parte: uma regra com as duas ações e 10 por hora pode abrir 10 chamados e avisar 10 itens na mesma hora. Um item avisado conta uma vez, qualquer que seja o número de canais. Itens acima do limite só contam como Acima do limite; são tratados numa verificação seguinte, quando o limite tiver folga.

Horário silencioso segura a mensagem, não o chamado. Dentro da janela a mensagem espera (nada é gravado, nada conta nos limites) e sai na primeira verificação depois da janela. Chamados são abertos a qualquer hora. As regras de alerta não têm horário silencioso próprio; esta janela é a mesma ideia do horário silencioso dos avisos no celular.

Erros de canal. Cada canal é tentado sozinho: se um falha e outro entrega, o item conta como avisado e o histórico mostra o canal que falhou com o motivo. Se todos os destinos falharem, a regra tenta o item de novo depois de uma hora. Canal apagado aparece como Channel no longer exists. no histórico.

Plantão. Quem está de plantão recebe a mensagem por e-mail pelo canal de e-mail da escala, como no escalonamento de alertas. Sem canal ou sem pessoa com e-mail, o histórico mostra o motivo.

Idioma da mensagem. Os rótulos (severidade, Abrir no Hive) seguem o idioma padrão da empresa, como nas mensagens de alerta; os títulos e textos que você digita vão como estão.

Chamado e mensagem de vulnerabilidade são por CVE. O escopo decide se a CVE atende (ao menos um ativo no escopo), mas o chamado e a mensagem listam todos os ativos afetados, como o botão Abrir chamado.

Recuperação de licenças muda o estado. Como o botão, o chamado automático marca as instalações sem uso como em recuperação; só a mensagem não muda nada.

Recomendação da IA não é aprovada. A regra abre o chamado ou manda a mensagem; aprovar ou rejeitar continua sendo decisão de uma pessoa.

Ativos pedem condição. Uma regra de Ativos sem nenhuma condição é recusada, porque todo ativo ganharia um chamado ou uma mensagem.

Falha. Se a ferramenta recusar o chamado, o histórico mostra Falhou com o motivo e a regra tenta o mesmo item de novo depois de uma hora. Um chamado aceito mas ainda não enviado segue o reenvio normal da fila de ITSM.

Verificações. As regras rodam a cada 5 minutos; alertas e vulnerabilidades novas disparam uma verificação em segundos. As outras telas só são verificadas no ciclo de 5 minutos. Cada verificação lê no máximo 2000 itens por tela.



Chamados de ITSM, CMDB e mudanças aprovadas

Vulnerabilidades

Alertas

Insights

Central de integrações

Tela: Trazer máquinas de outras ferramentas de inventário e CMDB

O Hive lê as máquinas que outras ferramentas de inventário e CMDB já conhecem e as coloca no inventário, casadas com os ativos que você já tem. Fontes: Microsoft SCCM/MECM (AdminService), OCS Inventory NG, Quest KACE SMA, ServiceNow CMDB, GLPI, Snipe-IT, ManageEngine Endpoint Central, Lansweeper, Ivanti Neurons ou Endpoint Manager, Tanium, BMC Helix Discovery ou CMDB, e outro Hive. A leitura é feita por um coletor na rede da ferramenta, então a ferramenta não precisa estar publicada na internet. As fontes ficam em Integrações › Central de integrações › Federação.

Conectar uma ferramenta de inventário ou CMDB e testá-la pelo coletor.

Ler agora ou a cada 1, 6, 12, 24, 48 ou 168 horas.

Decidir quem vence quando as fontes discordam: Prioridade da fonte e Regras por campo.

Ver os Conflitos entre fontes e, em cada ativo, a aba Fontes.





Primeiro pelo vínculo já conhecido (o id naquela ferramenta). Depois pelo mesmo casamento que o agente usa: UUID do hardware, número de série, placa de rede (MAC) e nome. Quando dois ativos poderiam ser o mesmo, nada é vinculado.

Uma máquina que não casa com nenhum ativo vira um ativo novo, com a fonte indicada.

Uma máquina que some de uma leitura completa perde o vínculo e os valores daquela fonte; o ativo continua.

Precedência: agente (0) › regras por campo › prioridade da fonte. Em máquinas com agente ativo, os valores vistos pelo agente são mantidos.

Entre ferramentas, vence a menor prioridade: a da regra por campo para aquele campo; senão, a da fonte.

Nome e usuário são comparados sem domínio e sem diferença de maiúsculas, então "SRV01" e "srv01.corp.local" não contam como conflito.

Conflitos entre fontes lista Ativo, Campo, Valor no ativo e O que cada fonte diz. A aba Fontes do ativo (grupo Gestão) mostra, campo a campo, o valor em uso, Informado por e o que cada fonte diz, com a prioridade.

Outra ferramenta pode declarar onde uma máquina está ligada quando o Hive não lê o switch ou o hipervisor (precisa de permissão de escrita em ativos):

PUT /api/v1/assets//switch-port com switchRef (id, nome ou série do switch), port (ex.: Gi1/0/12) ou ifIndex , e vlan opcional.

PUT /api/v1/assets//host com hostRef (o host de uma VM).

O vínculo entra nos mapas, nas dependências dos alertas e no caminho do serviço. O que a descoberta observa vence: uma porta lida por SNMP no último dia recusa a declaração, e o host lido do



hipervisor vem primeiro. DELETE na mesma rota remove o vínculo declarado.

Exemplo prático: SCCM como fonte principal, Snipe-IT para o modelo

A Central IT tem 1.200 máquinas no SCCM e a equipe de gestão de ativos mantém o modelo oficial no Snipe-IT.

Exemplo prático: declarar a porta de switch de uma impressora

A impressora PRN-3F-01 está num switch que o Hive não lê por SNMP.

A impressora aparece abaixo do SW-ACCESS-3F no mapa de rede, e uma queda do switch agrupa o alerta da impressora abaixo dele. Se o SNMP passar a ler o switch, a porta observada substitui a declarada.

A leitura precisa de um coletor online (visto nos últimos 30 minutos) que alcance a ferramenta; sem ele: "Nenhum coletor está online para alcançar esta ferramenta."

Testar conexão na página da conexão só confere os campos; o teste real é Testar em Federação.

Ver pede permissão de leitura de integrações; mudar prioridades, regras e ler pede permissão para administrar integrações.

Workspace ONE, Intune e Jamf não são fontes de federação; veja Integrações de UEM.

Central de integrações

Inventário



Integrações de UEM: Workspace ONE, Intune e Jamf

Popule seu CMDB em 3 passos

Tela: Integrações de UEM: Workspace ONE, Intune e Jamf

Aparelhos gerenciados no Workspace ONE UEM, no Microsoft Intune ou no Jamf Pro entram no inventário do Hive sem instalar nada: o Hive os lê direto da API em nuvem da ferramenta, só leitura, e os une aos ativos que você já tem. As fontes são criadas em Ativos › Celulares e tablets › Fontes sem o app; os cartões de MDM de Integrações › Central de integrações › Catálogo abrem o mesmo lugar.

Conectar uma fonte do Workspace ONE UEM, Intune ou Jamf Pro, testá-la e importar agora.

Ver aparelhos, a conformidade, a criptografia e o estado de jailbreak/root no ativo.

Remover uma fonte (os aparelhos continuam no inventário).



Como um aparelho vira ativo:

Ele é casado como o agente faz: UUID do hardware, depois número de série, depois placa de rede (MAC), depois nome. O IMEI não é usado para casar. Celulares sem nome de host casam só por série ou MAC.

Um aparelho que não casa com nada vira um ativo novo do tipo certo (celular, tablet, notebook, computador, TV, Chromebook).

A fonte só preenche campos vazios. O que já está no ativo — vindo do agente ou de qualquer outro lugar — nunca é sobrescrito; as diferenças ficam registradas. A única exceção é um nome vazio ou que seja um endereço IP.

A postura (conformidade, criptografia, jailbreak) é substituída a cada importação; com duas fontes no mesmo aparelho, vale a última importada.

Apps do Workspace ONE contam só em aparelhos sem agente ativo.

Fontes de UEM não são fontes de federação: não têm prioridade nem regras por campo.



Criar, testar, importar e remover pedem permissão para administrar integrações; listar pede permissão de leitura de ativos.

O Hive chama a API em nuvem direto, não pelo coletor: consoles locais em endereços internos não são alcançados a partir da nuvem.

O intervalo (6 horas) é fixo; use Importar agora para importar na hora.

Até 100.000 aparelhos por fonte.

Na Central de integrações os cartões de MDM sempre mostram "Disponível": as fontes ficam em Celulares e tablets, não em Saúde das conexões nem no Histórico.

Celulares e tablets (Hive Mobile)



Central de integrações

Trazer máquinas de outras ferramentas de inventário e CMDB

Ativos e inventário

O Hive envia continuamente ao SIEM os mesmos eventos dos barramentos: alertas, mudanças nos ativos, a trilha de auditoria, vulnerabilidades, conformidade e, se você quiser, métricas, telemetria do endpoint, mudanças de integridade e eventos do agente. Um SIEM é uma conexão de Integrações ›Central de integrações › Catálogo, categoria SIEM e logs; a tela de Auditoria também tem o botão Enviar para o SIEM, que abre o catálogo nesse ponto.

Enviar eventos como Syslog/CEF, LEEF 2.0 (QRadar), Splunk HTTP Event Collector ou Microsoft Sentinel (Logs Ingestion API).

Escolher as categorias de eventos e limitar os eventos de máquina a uma tag.

Testar o destino com um evento hive.test .

Syslog / CEF: RFC 5424 com a mensagem em CEF. Endereço do SIEM (host:porta) (porta padrão 514) e Transporte: TCP, TLS (recomendado, com o nome do host conferido) ou UDP (datagramas cortados em 8192 bytes). Funciona com ArcSight, Elastic, Graylog, Wazuh, Chronicle e qualquer receptor syslog.

IBM QRadar: LEEF 2.0 sobre syslog. Coletor de eventos (host:porta) e Transporte.

Splunk: Endereço do HTTP Event Collector (porta 8088), Índice (opcional), Sourcetype (padrão hive:event ) e o Token do HEC (cofre). O Hive posta em /services/collector/event com Authorization: Splunk <token> .

Microsoft Sentinel: ID do diretório (tenant), ID do aplicativo (client), Endpoint de coleta de dados, Regra de coleta (ID imutável), Stream (padrão Custom-HiveEvents_CL ) e o Segredo do cliente. Crie uma tabela personalizada com a regra de coleta e dê ao aplicativo o papel Monitoring Metrics Publisher na regra. Colunas: TimeGenerated, EventId, EventType, Category, Subject, Severity, Actor, Source, Data.

Em Eventos a publicar, marque as categorias:



Só os ativos com esta tag (opcional) limita os eventos de máquina (mudanças, vulnerabilidades, conformidade, métricas, telemetria, integridade, agente) às máquinas com a tag; alertas e a trilha de auditoria sempre vão.

Severidade em CEF/LEEF: crítico 10, alto 8, aviso 6, menor 4.

Cada evento entra numa fila de saída na mesma transação do fato e é enviado a cada poucos segundos em lotes. Se o SIEM não aceitar, é enviado de novo depois de 15 s, 1 min, 5 min, 15 min, 1 h, 3 h, 6 h e 12 h, e então marcado como falha. Testar conexão entrega na hora um evento hive.test no formato do destino; se falhar, a tela diz por quê (endereço, porta, transporte ou credencial).



Conectar pede permissão para administrar integrações.

O destino precisa ser alcançável pelo Hive; endereços internos não são chamados a partir da

nuvem.

Depois da última tentativa, os eventos com falha ficam guardados por 14 dias; os entregues são

limpos depois de um dia.

UDP não garante a entrega; prefira TLS.

Central de integrações

Trilha de auditoria

Integrar com o GRCS