Monitoramento e segurança
Tela: Fila de decisões e aprovações (1/2)
Tela: Fila de decisões e aprovações (2/2)
O Hive pede uma segunda pessoa antes que algo arriscado chegue às máquinas: versões de pacote, pedidos da Loja, implantações, scripts, playbooks, políticas de patch e elevações de privilégio. Início ›Decisões reúne tudo o que espera uma decisão que você pode tomar, do mais urgente ao menos, e guarda o freio de emergência. Entrega › Aprovações lista os itens de entrega que esperam aprovação, agrupados por tipo.
O que você pode fazer aqui
Ver, em Decisões, tudo o que espera por você: aprovações, alertas críticos sem dono, avisos de contrato, devoluções de leasing, recomendações da IA e mais.
Filtrar a fila por tipo e abrir cada item onde ele é decidido.
Puxar ou soltar o freio de emergência (administradores).
Consultar as abas Estado divergente e Resumo do turno.
Em Aprovações, ver os itens de entrega por tipo e ligar ou desligar a autoaprovação (administradores de configurações).
Fila de decisões
Início › Decisões (aba Esperando por você) lista o que espera uma decisão que você pode tomar: implantações, políticas de patch, pedidos da Loja e versões de pacote, scripts, acesso remoto, resposta a incidente, exceções de USB, administradores temporários, regras de remoção, passos de workflow, aceites de risco em que você é o aprovador, recomendações da IA, alertas críticos sem dono há mais de 15 minutos, prazos de aviso de contrato nos próximos 30 dias sem decisão de renovação, devoluções de leasing e compras a curar.
Cada linha mostra o tipo, o título, o detalhe, há quanto tempo espera e o prazo. Clique no título para abrir o lugar onde você decide.
As fichas no topo filtram por tipo ("Todas · N").
O que você mesmo preparou não aparece: outra pessoa decide.
Um prazo em até 7 dias sobe o item. O número ao lado de Decisões no menu se atualiza a cada minuto.
Aprovações
Entrega › Aprovações agrupa o que espera aprovação: Versões de pacote, Pedidos da Loja, Implantações, Scripts, Playbooks, Políticas de patch e Elevações de privilégio, do mais antigo ao mais novo. Cada linha diz quem preparou e quando, com Decidir (abre o item) ou, para o que vocêpreparou, a marca "Você preparou — outra pessoa aprova" e Abrir. Você só vê os grupos que o seu perfil pode aprovar.
A opção Quem prepara pode aprovar a própria versão de pacote ou implantação (administradores de configurações) vem desligada: outra pessoa aprova (segregação de funções). Ligada, equipes pequenas podem aprovar as próprias versões de pacote e implantações, e cada autoaprovação fica registrada na auditoria. Scripts, políticas de patch e pedidos da Loja sempre precisam de outra pessoa.
Freio de emergência
Puxar o freio de emergência (administradores) para todas as automações da empresa de uma vez: implantações não avançam, políticas de patch não criam implantações, alertas não rodam correção automática, workflows ficam retidos e perfis de configuração só conferem, sem corrigir. Nada do que jáfoi feito é desfeito. O motivo é obrigatório; vai para a auditoria e para os canais de alerta, e um aviso vermelho aparece em todas as telas até alguém clicar em Soltar o freio, também com motivo. As automações voltam de onde pararam.
Estado divergente e resumo do turno
Estado divergente lista as máquinas em que o Hive ou o diretório discordam do que a máquina informa: aposentada mas ainda reportando, ativa mas em silêncio há 7 dias, desativada no AD/Entra mas em uso, e número de série, usuário principal, nome ou versão do Windows diferentes. Corrija a fonte errada e a linha some.
Resumo do turno conta o que aconteceu nas últimas 4 a 24 horas no seu escopo: alertas abertos, resolvidos e ainda abertos, as regras que mais dispararam, implantações, mudanças nas máquinas, máquinas em silêncio e decisões esperando. Com a IA ligada, Resumir com a IA escreve o texto de passagem de turno só com esses números.
Exemplo prático: quatro olhos numa implantação
Lucas prepara a implantação "Cliente VPN 7.4 – Recife" para 115 máquinas; Rafael é o outro administrador da Loja.
- Lucas clica em Criar e mandar para aprovação. Em Entrega › Aprovações dele, a linha mostra "Você preparou — outra pessoa aprova" e o botão Abrir; ela não aparece nas Decisões dele.
- Um minuto depois, o menu do Rafael mostra Decisões com um item a mais. Ele abre: Implantação · "Cliente VPN 7.4 – Recife" · esperando 1 min.
- Rafael confere os alvos e as ondas na página da implantação e clica em Aprovar. A implantação começa no próximo ciclo; a auditoria registra quem criou e quem aprovou.
- Se Lucas tivesse tentado aprovar sozinho, o Hive responderia "Whoever created the deployment does not approve it."
Exemplo prático: freio de emergência numa distribuição ruim
Às 21:10 o service desk avisa que as impressoras estão falhando nas máquinas que acabaram de receber um pacote de driver.
- Rafael abre Início › Decisões, clica em Puxar o freio de emergência e escreve "Driver de impressora 5.2 quebrando a impressão – investigando".
- Todas as implantações em andamento param de avançar; o aviso vermelho "Freio de emergência puxado: automações paradas." aparece em todas as telas e os canais de alerta recebem o motivo.
- Depois de cancelar a implantação do driver, Rafael clica em Soltar o freio com o motivo "Implantação do driver cancelada". As outras implantações continuam de onde pararam.
Cuidados e limites
A fila só mostra o que o seu perfil pode decidir; uma fila vazia diz "Nada esperando por você."
A autoaprovação vale só para versões de pacote e implantações.
O freio de emergência não desfaz nada do que já foi aplicado.
Relacionados
Implantações
Pacotes e catálogo da Loja
Scripts e assinatura
Patches
Loja de software
Trilha de auditoria
Alertas, regras e modelos de monitoramento
Tela: Alertas, regras e modelos de monitoramento (1/4)
Tela: Alertas, regras e modelos de monitoramento (2/4)
Tela: Alertas, regras e modelos de monitoramento (3/4)
Tela: Alertas, regras e modelos de monitoramento (4/4)
Os alertas avisam quando algo numa máquina precisa de atenção: disco cheio, serviço parado, mudança proibida, agente desatualizado. Tudo fica no espaço Monitorar: Monitorar › Alertas e
eventos é a fila de trabalho, Monitorar › Mural do NOC é a tela para o painel da parede e Monitorar ›Regras de alerta guarda as regras, os modelos de monitoramento, a política de mudanças e as janelas de manutenção. Erros conhecidos abre pelo cabeçalho da tela de Alertas.
O que você pode fazer aqui
Trabalhar a fila de alertas: reconhecer, assumir ("Estou tratando"), comentar, escalar, resolver, fechar ou abrir chamado.
Acompanhar o Mural do NOC em Modo TV numa tela grande.
Registrar o que resolveu um problema como erro conhecido, para a solução ser sugerida no próximo alerta igual.
Criar regras de alerta no assistente de 7 passos, com prévia de impacto antes de salvar.
Aplicar modelos de monitoramento (servidor Windows, servidor Linux, estação de trabalho, SQL Server, servidor web) a uma tag ou grupo, com exceções por ativo.
Escolher quais mudanças nas máquinas geram alerta (Política de mudanças) e agendar janelas de manutenção.
Alertas e eventos
A fila mostra os alertas por severidade e depois por idade, e se atualiza a cada 30 segundos. Os indicadores do topo contam alertas Abertos, Críticos, Reconhecidos e Oscilando.
- Abra Monitorar › Alertas e eventos.
- Filtre por Severidade (Crítico, Alto, Aviso, Info), Estado (padrão Não resolvidos; também Em tratamento, Nova, Reconhecido, Oscilando, Resolvido, Fechada), Local (inclui as unidades abaixo) e Buscar (ativo, título ou valor).
- Clique num alerta para abrir o detalhe: ativo, regra, alvo, valor, ocorrências, responsável, a linha do tempo e as ocorrências agrupadas no evento. Ampliar abre numa janela maior.
- Use os botões (precisam de permissão para administrar alertas): 5. Reconhecer — o alerta passa a ser seu e o escalonamento para.
- Estou tratando — assume o alerta; ele vai para Reconhecido.
- Escalar agora — executa na hora o próximo nível de escalonamento da regra.
- Resolver — pede uma nota opcional ("O que foi feito").
- Fechar — encerra o evento de vez; a próxima detecção abre um evento novo.
- Abrir chamado — abre o formulário de chamado de Monitorar › Chamados de ITSM para este alerta.
- Escreva em Comentário para a equipe e clique em Publicar comentário.
Como os eventos se formam:
Ocorrências. Cada detecção de uma regra na mesma máquina e alvo entra no evento que ainda está aberto ou reconhecido; o contador (×N) sobe. Só depois de Resolver ou Fechar a próxima detecção abre um evento novo. As ocorrências ficam guardadas por 90 dias.
Oscilando. Se o mesmo alerta foi resolvido ou fechado duas vezes ou mais nos últimos 30 minutos, o novo abre como Oscilando: não notifica, não escala e não roda a correção automática. Fica assim até alguém reconhecer, resolver ou fechar.
Agrupado (pai fora). Quando uma máquina acima no caminho de dependência (VM → host → switch de acesso → uplinks) está com o alerta "Device unavailable" aberto, o alerta da máquina de baixo abre sem notificar nem escalar, ligado ao pai. Quando o pai volta, os alertas que continuam falhando são liberados e notificados. Detecções de segurança (EDR, IOC, Defender) nunca são agrupadas.
Situações. Abaixo da fila, Situações agrupa alertas que começaram juntos: o mesmo serviço de negócio (2+ máquinas em até 30 min), o mesmo site (3+ máquinas em até 15 min) ou a mesma regra (3+ máquinas em até 15 min).
Mural do NOC
Monitorar › Mural do NOC junta o que precisa de ação agora e se atualiza a cada 30 segundos:
blocos Críticos, Graves, Avisos, Agentes fora do ar (offline/total), Portas com erros novos e Snapshots com mais de 7 dias;
Alertas abertos (os 12 mais graves e recentes), Máquinas com mais alertas, Portas com erros e Datastores acima de 85%.
O mural conta só alertas novos (abertos); reconhecidos e oscilando não aparecem. Modo TV ocupa a tela inteira; Sair do modo TV volta.
Erros conhecidos
Um erro conhecido é uma assinatura do problema mais a solução que funcionou. Quando um alerta novo casa com ele, a solução aparece no detalhe do alerta como sugestão. Um erro conhecido não silencia, reconhece nem resolve alertas.
- Num alerta que você resolveu, clique em Salvar como erro conhecido.
- Preencha Título, Texto que identifica o alerta (opcional) — um pedaço do título, alvo ou valor; a regra do alerta já é a assinatura —, Causa (opcional) e Solução que funcionou (pelo menos 5 caracteres).
- Salve. A linha do tempo do alerta registra "Registrado como erro conhecido".
- No próximo alerta da mesma regra (e com o texto, se você digitou um), o detalhe mostra "Erro conhecido: <título>" com a solução. Clique em Funcionou para contar o uso.
Erros conhecidos (botão no cabeçalho de Alertas, ou Todos os erros conhecidos no alerta) lista todos com Assinatura, Solução que funcionou e Usos, com Editar e Remover. Erros conhecidos novos só são criados a partir de um alerta.
Regras de alerta
Monitorar › Regras de alerta tem quatro abas: Regras, Modelos de monitoramento, Política de mudanças e Janelas de manutenção.
Na aba Regras, filtre por camada (No agente, Sobre o inventário), ligue ou desligue cada regra pela chave Ligada (com Desfazer) e veja escopo, condição, severidade, ações e alertas abertos. Regras que vêm de um modelo, a regra da política de mudanças e as regras da plataforma (como Device unavailable) ficam travadas: modelos se mudam no modelo e, nas regras da plataforma, use Quem
avisar para escolher canais, plantão e escalonamento. Excluir uma regra resolve os alertas abertos dela; as versões ficam no histórico.
Descrever em palavras monta uma regra a partir de uma frase com a IA; revise no assistente antes de salvar.
Criar uma regra (assistente)
Escopo. Escolha Todos os ativos, Por grupo (grupos dinâmicos ou estáticos) ou Por tag (digite a tag exata, como "Departamento: Financeiro", e tecle Enter). Ativos que entrarem depois também recebem a regra.
O que observar.Uma métrica (CPU, memória, disco, serviço, processo, ping, porta TCP, endereço web, certificado, banco de dados, servidor web e de aplicação), Condição combinada (até 6 condições com E/OU/NÃO e "sem dado por N minutos"), Uma mudança no dispositivo, O estado do inventário (sem contato, sem dono, agente desatualizado, sem agente, sem antivírus, firewall desligado, disco sem criptografia, vulnerabilidade KEV, problemas de licença e mais), Uso de software, Uma política de portas, Tráfego de rede (fluxos) ou Aplicações (OpenTelemetry).
Condição. Montada escolhendo, com a frase "A regra diz:" atualizada enquanto você escolhe. Para uma métrica: Métrica, Qual (C:, /var, * = qualquer), Dispara quando estiver acima/abaixo, Aviso em, Crítico em (opcional), Volta ao normal em (histerese opcional) e Por pelo menos (minutos; 0 = na hora).
Severidade. Info, Aviso, Alto ou Crítico. Numa métrica com limites, o alerta abre como Aviso ao passar de Aviso em e sobe sozinho para Crítico acima de Crítico em.
Ações.Notificar em (canais de Monitorar › Canais de notificação), Abrir chamado em (conexões de ITSM), Correção automática na máquina (reiniciar, iniciar ou parar um serviço, limpar o cache de DNS, limpar arquivos temporários, atualizar a política de grupo, reiniciar a máquina, coletar o inventário, varreduras e assinaturas do antivírus, um playbook publicado ou um script assinado aprovado; no máximo 3 vezes por dia por máquina e regra; Resolver o evento quando a correção der certo) e Escalonamento (plantão na abertura e até 5 níveis).
Prévia de impacto. Clique em Fazer a prévia (obrigatório): o Hive mostra quantos ativos do escopo disparariam hoje, com até 10 exemplos. Regras de métrica também podem Simular os últimos 7 dias. Mais de 150 resultados mostra "Muitos disparos".
Revisar e salvar. Digite o Nome da regra, deixe Ligar ao salvar ligado (desligado salva sem avaliar) e clique em Criar regra (ou Salvar nova versão ao editar). Os agentes recebem regras de métrica no próximo contato (até 1 minuto) e as avaliam localmente, mesmo offline; a plataforma avalia os outros tipos a cada minuto ou quando o inventário informa mudanças.
Modelos de monitoramento
Um modelo é um conjunto de itens aplicado a uma tag ou grupo; cada item vira uma regra travada chamada "Modelo · Item", e ativos novos com a tag recebem as regras sozinhos.
Abra Monitorar › Regras de alerta › Modelos de monitoramento e clique em Novo modelo.
Modelo pronto. Comece de servidor Windows, servidor Linux, estação de trabalho, SQL Server ou servidor web, ou escolha Em branco e inclua os itens um a um.
Aplicar a.Por tag (por exemplo "Servidores") ou Por grupo. Modelos não têm a opção "todos os ativos".
Itens. Cada item vira uma regra. Ajuste Nome do item, Métrica, alvo, Dispara quando estiver, Aviso em, Crítico em, Por pelo menos e Severidade (ou "A do modelo"); use Incluir item e Remover item. O aviso precisa vir antes do limite crítico.
Revisar e salvar. Digite o Nome do modelo, a Descrição, a Severidade padrão e Notificar em, deixe Modelo ligado e clique em Criar modelo (ou Salvar modelo). Salvar cria ou atualiza uma regra por item.
Exceções para um ativo
Para tratar uma máquina de outro jeito, use Exceção para um ativo: escolha o item e o Ativo e, então, mude Aviso, Crítico, Normaliza em ou Por pelo menos (campos vazios herdam do modelo) ou marque Desligar esta regra neste ativo (os alertas abertos dela nesse ativo são resolvidos). O Motivoé obrigatório. Exceções valem para itens de métrica; itens de serviço só podem ser desligados.
Política de mudanças e janelas de manutenção
Política de mudanças lista cada tipo de mudança (software, serviços, portas, sistema operacional, hardware, rede, identidade, segurança) com uma chave e uma severidade. Voltar ao recomendado traz o padrão de volta; Exceções por grupo mudam o padrão para um grupo (quando vários grupos se aplicam, vale a configuração mais rigorosa). Salvar política vale a partir do próximo inventário.
Janelas de manutenção › Nova janela: Nome, Escopo (tags), Sites, Máquinas, Quando (Uma vez com início e fim, ou Toda semana com dia, início e Duração (minutos)) e então Agendar janela. Nada escolhido = todas as máquinas. Dentro da janela, uma detecção é registrada só como ocorrência: sem evento, sem notificação, sem chamado, sem correção automática. Um evento já aberto numa máquina que entra na janela mostra Em manutenção: sai do mural do NOC e da escalada até a janela acabar.
Exemplo prático: disco acima de 90% nos servidores, a partir de um modelo
A Central IT quer um aviso quando o C: de qualquer servidor Windows passar de 90% por 10 minutos, e crítico em 95%. Os servidores têm a tag Servidores .
- Abra Monitorar › Regras de alerta › Modelos de monitoramento e clique em Novo modelo. 2. Em Modelo pronto, escolha Servidor Windows.
- Em Aplicar a, escolha Por tag, digite Servidores e tecle Enter.
- Em Itens, abra o item de disco (alvo C: ): mude Aviso em de 85 para 90 , mantenha Crítico em 95 e Por pelo menos10 minutos. Mantenha CPU, memória e os serviços Event Log e Windows Time.
- Em Revisar e salvar, dê o nome Servidores Windows — produção , escolha Notificar em o canal do Teams "NOC" e clique em Criar modelo.
- O modelo mostra "Aplicado a Servidores · ativos no escopo: 42 · regras: 5". Na aba Regras aparecem cinco regras travadas, como "Servidores Windows — produção · Disco C:".
- O SRV-FILE-01 chega a 91% por 10 minutos: um alerta abre como Aviso em Monitorar ›Alertas e eventos e o canal NOC recebe o cartão. Se o disco passar de 95%, o mesmo evento sobe para Crítico.
- O SRV-BACKUP-02 fica sempre acima de 90% por projeto: use Exceção para um ativo, escolha o item de disco e o SRV-BACKUP-02, defina Aviso97 , Motivo "Volume de backup, mantido cheio de propósito", e Salvar exceção.
Exemplo prático: alerta recorrente, erro conhecido e silenciar o ativo
O spooler de impressão do PRN-SRV-03 para toda segunda-feira e a regra do serviço "Spooler" dispara.
- Em Monitorar › Alertas e eventos, abra o alerta da regra "Spooler" no PRN-SRV-03 e clique em Estou tratando.
- Você reinicia o serviço e limpa a pasta da fila. Clique em Resolver com a nota "Reiniciei o Spooler, limpei C:\Windows\System32\spool\PRINTERS".
- Clique em Salvar como erro conhecido. Título: "Spooler para com trabalho travado"; Texto que identifica o alerta: Spooler ; Solução que funcionou: "Parar o Spooler, apagar os arquivos de spool\PRINTERS, iniciar o Spooler." Salve.
- Na segunda seguinte o alerta abre de novo; o detalhe mostra "Erro conhecido: Spooler para com trabalho travado" com os passos. Depois de corrigir, clique em Funcionou: o contador mostra "Resolveu 2 vez(es)".
- Para parar de ser avisado enquanto o fabricante corrige o driver, o erro conhecido não basta (ele só sugere a correção). Escolha uma opção: 6. inclua uma correção automática na regra: Ações › Correção automática na máquina › Reiniciar serviço, serviço Spooler , com Resolver o evento quando a correção der certo ligado; ou 7. se a regra vem de um modelo, inclua Exceção para um ativo no PRN-SRV-03 e marque Desligar esta regra neste ativo; ou 8. agende uma Janela de manutenção: Toda semana, segunda-feira, 06:00, 120 minutos, Máquinas PRN-SRV-03.
Cuidados e limites
Ver alertas pede permissão de leitura de alertas; reconhecer, resolver, regras, modelos e janelas pedem permissão para administrar alertas.
Um erro conhecido nunca silencia um alerta; use janela de manutenção, exceção do modelo ou correção automática.
O escalonamento só para quando o alerta é reconhecido (Reconhecer ou Estou tratando). Alertas oscilando e alertas agrupados sob um pai fora não escalam.
Correções automáticas rodam no máximo 3 vezes por dia por máquina e regra, e não rodam em máquina sem agente.
Condição combinada: no máximo 6, avaliadas a cada minuto; valores com mais de 15 minutos não contam.
Regras de modelo só mudam no modelo; edição direta na regra é recusada.
Janelas de manutenção: até 1000 máquinas; duração semanal de até 10080 minutos.
Relacionados
Canais de notificação e plantão
Passo a passo: criar alertas
Chamados de ITSM
Serviços de negócio
Playbooks
Mural do SOC
Tela: Mural do SOC
O Mural do SOC é o irmão de segurança do Mural do NOC: uma tela para a TV da sala de segurança que responde "estamos sob ataque, e o que corrigimos primeiro?". Abra Monitorar › Mural do SOC. Ele atualiza a cada 30 segundos e os números são recalculados no máximo a cada 15 segundos, então várias telas podem ficar abertas ao mesmo tempo.
O que você pode fazer aqui
Ver os alertas de segurança abertos por severidade (EDR, Defender, indicadores de comprometimento, iscas, adulteração do agente e aplicativos bloqueados).
Acompanhar as detecções das últimas 24 horas contra as 24 horas anteriores, e a tendência por hora (24 h) e por dia (7 dias).
Ler o feed Últimas detecções e as Máquinas mais atingidas (7 dias).
Trabalhar a lista Precisa de atenção agora, do mais grave para o menos grave; cada linha abre a tela que resolve.
Pôr o mural em Modo TV numa tela grande (tela cheia, letras maiores).
O que cada número quer dizer
Alertas de segurança críticos, Alertas de segurança maiores, Avisos de segurança: alertas de segurança não resolvidos nem fechados e fora de manutenção.
Detecções (24 h): detecções do EDR nativo (menos falsos positivos), ameaças novas do Defender, achados de indicadores, alertas do EDR do fabricante, iscas tocadas e adulteração do agente. Embaixo: quantas são críticas, em quantas máquinas e a variação contra as 24 horas anteriores.
Defender desligado: máquinas Windows com o Defender desligado ou sem proteção em tempo real, do total de máquinas Windows que informaram o estado do Defender.
Defender desatualizado: assinaturas do Defender com mais de 3 dias.
Vulnerabilidades KEV abertas: CVEs distintas do catálogo KEV da CISA ainda abertas em máquinas ativas; embaixo, quantas passaram do prazo da CISA.
Choke points: as correções que quebram caminhos de ataque até as joias da coroa, do último cálculo de Caminhos de ataque.
MTTA e MTTR: tempo médio para reconhecer e para resolver os alertas de segurança abertos nos últimos 30 dias.
Passo a passo
- Abra Monitorar › Mural do SOC.
- Leia Precisa de atenção agora de cima para baixo: primeiro os críticos, depois os maiores, depois os avisos.
- Clique numa linha para abrir a tela que resolve (alertas, Defender, indicadores, vulnerabilidades, identidades, postura de nuvem, caminhos de ataque ou superfície externa).
- Na TV, clique em Modo TV. O mural ocupa a tela inteira; Sair do modo TV traz o menu de volta.
Exemplo prático: segunda-feira de manhã no SOC
Lia começa o turno e olha a TV da sala de segurança.
- Detecções (24 h) mostra 14, "+250% em relação às 24 h anteriores", e Alertas de segurança críticos mostra 2.
- Precisa de atenção agora começa com "2 alertas de segurança críticos sem reconhecimento hámais de 15 minutos" e "1 máquinas com ameaça ativa no Defender" (o Trojan ainda estárodando).
- Em Últimas detecções, FIN-NB-014 aparece três vezes: EDR "LSASS memory read", Defender "Trojan:Win32/Wacatac" e IoC "ip 203.0.113.45". Máquinas mais atingidas (7 dias) mostra a máquina no topo.
- Lia clica na linha do EDR, abre Detecção e caça, confirma a detecção e isola a máquina pela Resposta a incidente.
- De volta ao mural, continua a linha "3 vulnerabilidades KEV com o prazo da CISA vencido". Ela abre a linha e planeja o patch com a equipe; o primeiro choke point mostrado diz que corrigir o SRV-DC-01 quebra 3 caminhos.
- No fim do turno, o MTTA está em 9 min e o MTTR em 2 h 5 min nos últimos 30 dias.
Cuidados e limites
Ver o mural exige alerts:read . Defender e postura de nuvem exigem assets:read ; KEV, choke points e superfície externa exigem vulnerabilities:read ; administradores sem MFA exigem users:read . O que você não pode ver simplesmente não aparece.
Com escopo de dados (sites, tags ou grupos), só contam as máquinas do escopo; nuvem, superfície externa, identidades e caminhos de ataque só aparecem para quem vê a empresa inteira.
Os choke points vêm do último cálculo dos caminhos de ataque (de hora em hora); o mural não os recalcula.
As ameaças do Defender contam uma vez, quando o Hive as vê pela primeira vez; a mesma ameaça repetida em relatórios seguintes não conta de novo.
Achados de indicadores em fluxos de rede sem máquina identificada aparecem no feed, mas não em Máquinas mais atingidas.
MTTA e MTTR mostram "—" quando nenhum alerta de segurança foi reconhecido ou resolvido nos últimos 30 dias.
Relacionados
Alertas
Detecção e caça
Antivírus (Microsoft Defender)
Indicadores de ataque
Caminhos de ataque
Vulnerabilidades
Identidades
Canais de notificação, plantão e notificações pessoais
Tela: Canais de notificação, plantão e notificações pessoais (1/3)
Tela: Canais de notificação, plantão e notificações pessoais (2/3)
Tela: Canais de notificação, plantão e notificações pessoais (3/3)
Os alertas chegam às pessoas de três formas: canais de notificação compartilhados pela equipe (Monitorar › Canais de notificação), a escala de plantão que diz quem atende agora (Monitorar ›Plantão) e notificações push no celular ou computador de cada pessoa (menu do usuário ›Notificações nos meus aparelhos). Cada canal é uma conexão da Central de integrações, com teste e histórico.
O que você pode fazer aqui
Conectar canais de e-mail (SMTP), Microsoft Teams, Slack, webhook, Telegram, WhatsApp e SMS, e enviar um teste.
Ver quais regras usam cada canal ("Usado por").
Criar escalas de plantão com rodízio diário ou semanal e cobrir um período para troca de turno ou férias.
Ligar notificações push nos seus aparelhos, com as suas severidades e horário de silêncio.
Canais de notificação
- Abra Monitorar › Canais de notificação. Há um cartão por tipo; clique em Conectar (ou Conectar outro). Isso abre o formulário de conexão da Central de integrações.
- Preencha os campos; campos secretos vão para o cofre e não são mostrados de novo. 3. De volta ao cartão, clique em Enviar teste na conexão.
- Na regra de alerta (Ações › Notificar em) ou num nível de escalonamento (Escalar para), marque o canal.
Canal | Campos | Como envia | O que Enviar teste faz |
|---|---|---|---|
E-mail (SMTP) | Servidor SMTP, Porta (587), Remetente, Destinatários (separados por vírgula), usuário:senha (opcional) | Servidor de e-mail da empresa; com usuário usa AUTH e STARTTLS | Só abre conexão com o servidor; nenhum e-mail éenviado |
Microsoft Teams | Endereço do webhook do canal | Cartão de mensagem no canal | Publica "Hive: connection test ✓" |
Slack | Endereço do webhook de entrada | Mensagem no canal | Publica a mesma mensagem de teste |
Webhook | Destino (https), Segredo de assinatura HMAC | Signature POST assinado com o evento hive.alert.<evento> e os cabeçalhos X-Hive-Timestamp , X-Hive-Event e X-Hive- | hive.test Envia um evento assinado |
Telegram | Token do bot (do @BotFather), IDs dos chats (grupo, canal ou pessoa) | Bot API sendMessage , uma mensagem por chat | Lê a conta do bot; nenhuma mensagem é enviada |
ID do número de telefone, Token de acesso permanente, Números (E.164), Nome do modelo aprovado, Código do idioma do modelo | WhatsApp Business Cloud API (Meta) | Lê o número na Meta; nenhuma mensagem é enviada | |
SMS | Provedor de SMS (Twilio, Zenvia ou genérico), Account SID (Twilio), Auth token / token da API, Remetente, Endereço da API do provedor e Corpo da requisição (genérico), Números (E.164) | API do provedor; texto cortado em 320 caracteres mantendo o link | Lê a conta no provedor (genérico: só confere o endereço) |
Os canais notificam quando um alerta abre, muda de severidade e é resolvido; um nível de escalonamento envia só para os próprios canais.
Escalas de plantão
- Abra Monitorar › Plantão e clique em Nova escala.
- Nome (único), Rodízio: Semanal (cada pessoa cobre 7 dias, troca no dia escolhido) ou Diário (24 horas).
- Dia da troca (semanal), Horário da troca e Fuso horário (nome IANA, como America/Sao_Paulo).
- Pessoas, na ordem dos turnos: escolha uma pessoa em Incluir pessoa, clique em Adicionar e ordene com as setas. A primeira cobre o turno atual; a fila recomeça depois da última. Sóaparecem usuários ativos que veem alertas.
- Canal de e-mail: Só notificação push ou um canal SMTP; o e-mail vai para o endereço da pessoa de plantão.
- Salvar. O cartão mostra De plantão agora, Reserva (próximo da fila) e os próximos turnos (6 na semanal ou 14 na diária).
Cobrir um período põe outra pessoa acima da fila: escolha a Pessoa, De, Até (padrão 12 horas) e uma Observação, como "férias". A cobertura substitui só quem está de plantão; a reserva continua sendo o próximo da fila.
Escalonamento nas regras
No assistente de regras (Ações › Escalonamento) ou em Quem avisar de uma regra da plataforma:
Plantão na abertura: uma escala e Quem (Plantão ou Reserva), chamado quando o alerta abre.
Incluir nível de escalonamento (até 5): Sem reconhecimento depois de (min), contado da abertura, uma Escala de plantão com Quem e canais em Escalar para. Cada nível espera mais que o anterior (1 a 1440 minutos) e precisa chamar um canal ou a pessoa de plantão.
A pessoa de plantão recebe um push em todos os aparelhos, com o título "[On call] …", mesmo no horário de silêncio e sejam quais forem as severidades escolhidas, mais o e-mail pelo canal da escala.
Reconhecer (ou Estou tratando) para o escalonamento; Escalar agora executa o próximo nível.
Notificações nos seus aparelhos
- Abra o menu do usuário (seu avatar) › Notificações nos meus aparelhos.
- Em Este aparelho, escolha as Severidades que notificam (padrão Crítico e Alto) e, se quiser, o Horário de silêncio com Começa às, Termina às e Fuso horário. O horário de silêncio pode passar da meia-noite.
- Clique em Ligar notificações e permita no navegador.
- Use Enviar um teste; Preferências muda as escolhas; Desligar neste aparelho encerra. Meus aparelhos lista todos, com a última entrega ou o último erro.
Só o título do alerta e um texto curto vão na notificação; tocar nela abre o alerta. Se você pode administrar alertas daquele ativo, a notificação tem o botão Reconhecer. No iPhone e iPad é preciso iOS 16.4 ou mais novo, com o Hive adicionado à tela de início (Safari › Compartilhar › Adicionar à Tela de Início).
Exemplo prático: bot do Telegram para o grupo do NOC
- No Telegram, fale com o @BotFather, crie o bot hive_noc_bot e copie o token. Inclua o bot no grupo "NOC Central IT" e pegue o ID do chat do grupo, por exemplo -1001234567890 .
- Em Monitorar › Canais de notificação, clique em Conectar no Telegram. Cole o token em Token do bot, digite -1001234567890 em IDs dos chats e conecte.
- Clique em Enviar teste: o resultado diz que a conta foi lida. O teste não publica mensagem. 4. Abra a regra CPU do ERP em Monitorar › Regras de alerta, vá em Ações e marque a conexão do Telegram em Notificar em. Salve a nova versão.
- O próximo alerta publica "[Hive] MAJOR CPU do ERP — ERP-APP-02 (94) <link>" no grupo; quando ele é resolvido, vem "[Hive] Resolved: …". O cartão na tela de canais mostra "Usado por:
CPU do ERP".
Exemplo prático: WhatsApp e SMS só para alertas críticos
Os canais não têm filtro de severidade próprio: a severidade vem da regra. Então mande os casos críticos por regras cuja severidade é Crítico.
- Conecte o SMS com Provedor de SMS Twilio, o Account SIDAC… , o Auth token, o Remetente +15005550006 e os números +5511990001111, +5511990002222 . Ou conecte o WhatsApp com o ID do número de telefone, o Token de acesso permanente, os números e o modelo aprovado hive_alerta (necessário para iniciar conversa fora da janela de 24 horas).
- Crie a regra Motor do SQL parado : Escopo tag SQL , Uma métrica › Serviço rodando, Nome do serviçoMSSQLSERVER , SeveridadeCrítico, Notificar em o canal de SMS (ou WhatsApp) e o canal do Teams.
- Deixe o canal de SMS fora das regras de aviso e alto; elas notificam só Teams e e-mail. 4. Quando o MSSQLSERVER para no SQL-PRD-01, os dois celulares recebem "[Hive] CRITICAL Motor do SQL parado — SQL-PRD-01 …" (no máximo 320 caracteres) e o Teams recebe o cartão.
- No push pessoal, cada pessoa também pode deixar só Crítico em Severidades que notificam.
Exemplo prático: plantão semanal com escalonamento
- Monitorar › Plantão › Nova escala: Plantão de infraestrutura , Semanal, segunda-feira, 09:00, America/Sao_Paulo, pessoas Ana → Bruno → Carla, Canal de e-mail o canal SMTP Relay de e-mail . Salvar: "De plantão agora: Ana", "Reserva: Bruno".
- Na regra Device unavailable (regra da plataforma), clique em Quem avisar: Canais na abertura NOC Teams ; Plantão na aberturaPlantão de infraestrutura , Quem Plantão.
- Incluir nível de escalonamento: Nível 1 depois de 15 min → Plantão de infraestrutura , Quem Reserva. Nível 2 depois de 45 min → Escalar para o canal de SMS dos gestores.
- Sábado 02:10, o SW-CORE-02 cai. A Ana recebe o push e o e-mail na hora. Às 02:25 ninguém reconheceu: o Bruno é chamado. Às 02:55 os gestores recebem o SMS. Quando a Ana toca em Reconhecer, o escalonamento para.
- A Ana sai de férias na semana seguinte: clique em Cobrir um período, Pessoa Carla, De segunda 09:00, Até a segunda seguinte 09:00, Observação "Ana de férias". A Carla aparece com a marca "cobertura" nos turnos.
Cuidados e limites
Conectar e testar canais pede permissão para administrar integrações; escalas e coberturas pedem permissão para administrar alertas.
Telegram, WhatsApp e SMS vão para os destinos fixos da conexão, nunca para a pessoa de plantão; ela é alcançada pelo push e pelo e-mail da escala.
O teste de Telegram, WhatsApp, SMS e e-mail não envia mensagem; o primeiro alerta real confirma a entrega.
Uma escala para a qual regras escalam não pode ser excluída; mude essas regras antes.
Regras da plataforma como "Device unavailable" aparecem na lista de regras depois do primeiro alerta.
Não há botão para remover uma cobertura; ela termina no horário de Até.
O horário de silêncio segura todos os seus pushes pessoais, inclusive críticos, exceto os chamados de plantão.
O Hive não chama endereços de rede interna a partir da nuvem; webhooks precisam de endereço https público.
Relacionados
Alertas, regras e modelos de monitoramento
Passo a passo: criar alertas
Central de integrações
Experiência digital
Tela: Experiência digital
Experiência digital (Monitorar › Experiência digital) mostra como as máquinas estão para quem as usa. O agente manda, com cada inventário, o tempo de inicialização, os aplicativos que travaram ou congelaram, as quedas do sistema, a qualidade da rede e os processos mais pesados; o Hive transforma isso numa nota de 0 a 100 por máquina, aponta a provável causa e deixa você pôr uma mensagem na tela dos usuários.
O que você pode fazer aqui
Ver a Nota média, quantas máquinas estão Boa (80+), regulares (60–79) e Ruim (abaixo de 60), e a Inicialização média.
Ver a rede do parque: Wi-Fi fraco, Latência até o gateway, Rede lenta e Na VPN.
Acompanhar a Nota média, últimos 30 dias.
Achar as Máquinas com a pior experiência e ler O que derruba e a Provável causa.
Listar as Telas azuis, kernel panics e desligamentos inesperados (30 dias).
Comparar a Nota por departamento e a Nota por aplicativo.
Ver o sentimento dos funcionários ao lado da nota (Sentimento ao lado da experiência), quando as pesquisas têm respostas.
Anunciar na tela: mandar uma mensagem para as máquinas de locais ou tags escolhidos.
Em cada máquina, ver o painel Experiência digital na aba Monitoramento do ativo.
Como a nota é calculada
Cada máquina começa com 100 e perde pontos pelo que o agente informa (nunca abaixo de 0):
O quê | Pontos perdidos |
|---|---|
Travamentos de aplicativo em 7 dias | 3 por travamento, até 30 |
Congelamentos de aplicativo em 7 dias | 2 por congelamento, até 20 |
Inicialização acima de 60 s / acima de 120 s | 10 / 20 |
Mais de 14 dias sem reiniciar | 10 |
Telas azuis ou kernel panics em 30 dias | 15 cada, até 30 |
Desligamentos inesperados em 30 dias | 5 cada, até 10 |
Sinal de Wi-Fi abaixo de 55% / abaixo de 40% | 5 / 10 |
Gateway acima de 30 ms / acima de 100 ms, ou 25% ou mais de pacotes perdidos | 5 / 10 / 10 |
CPU, memória ou disco em 90% ou mais | 10 cada |
De onde vêm os dados: no Windows, o Visualizador de Eventos (travamentos e congelamentos de aplicativos, telas azuis do BugCheck com o código, desligamentos inesperados do Kernel-Power 41); no Linux, o systemd (tempo de inicialização, core dumps) e o pstore para kernel panics; no macOS, os relatórios de diagnóstico, inclusive os de panic. O agente também lê o Wi-Fi ativo (rede, sinal, taxa, canal), os adaptadores de VPN ligados e faz ping no gateway padrão. Só vão nomes de programa, contagens e números — nada de linha de comando, conteúdo de janela ou endereços visitados.
A menor nota de cada dia fica guardada para a tendência.
Passo a passo: achar o que prejudica uma máquina
- Abra Monitorar › Experiência digital.
- Em Máquinas com a pior experiência (as 20 notas mais baixas), leia as linhas de O que derruba: cada uma mostra os pontos perdidos, por exemplo "−20 · A inicialização levou 140 s".
- Se aparecer a linha Provável causa, ela cita o aplicativo e a mudança de software encontrada antes dos travamentos.
- Clique no nome da máquina. Abre o ativo na aba Monitoramento, onde o painel Experiência digital mostra a nota, o tempo de inicialização, os travamentos e congelamentos por aplicativo, as quedas do sistema, a linha do Wi-Fi (rede, sinal, taxa), a latência e a perda até o gateway, a VPN e os processos que mais usam CPU e memória agora.
Exemplo prático: o Excel fecha sozinho depois de uma atualização
Na segunda-feira o suporte recebe três chamados do time de Finanças sobre o Excel fechando sozinho.
- Em Monitorar › Experiência digital, Nota por aplicativo mostra excel com nota 58 e "41 travamentos ou congelamentos em 7 dias"; em Máquinas afetadas, "12 de 80 onde estáinstalado (15%)".
- Máquinas com a pior experiência lista a FIN-NB-014 com nota 52: "−24 · 8 travamentos de aplicativo em 7 dias", "−10 · Sem reiniciar há 21 dias", "−10 · Memória em 93%".
- Logo abaixo, em laranja: "Provável causa: EXCEL crashes 8x; software changed on 2026-10-17: changed Microsoft 365 Apps for enterprise".
- A Nota por departamento confirma: Finanças tem nota 61 e 9 máquinas Ruins, enquanto os outros departamentos estão acima de 80.
- O time desfaz a atualização com uma implantação para as máquinas de Finanças. Depois dos próximos inventários, os travamentos saem da contagem de 7 dias, a FIN-NB-014 volta para acima de 80 e a Nota média, últimos 30 dias sobe de novo.
Exemplo prático: avisar e corrigir automaticamente
- Em Monitorar › Regras de alerta, clique em Nova regra, escolha O estado do inventário em O que observar e a condição Experiência digital ruim (nota abaixo de 60). Uma segunda regra pode usar Aplicativo travando (um aplicativo travou 5 vezes ou mais em 7 dias).
- Em Escopo, escolha o grupo "Notebooks de Finanças".
- Em Ações, escolha o sistema de chamados em Abrir chamado em e, em Correção automática na máquina, escolha Playbook e o playbook publicado "Limpar cache do Office e reiniciar". Ligue Resolver o evento quando a correção der certo.
- Salve. A partir daí, quando um notebook de Finanças cai abaixo de 60, o evento abre com chamado e o agente roda o playbook (no máximo 3 vezes por dia por máquina e regra).
Exemplo prático: anunciar uma manutenção na tela
O concentrador de VPN do escritório de São Paulo será reiniciado às 18h.
- Em Monitorar › Experiência digital, clique em Anunciar na tela.
- Título: "Manutenção de TI". Mensagem: "A VPN ficará indisponível hoje das 18h às 18h30. Salve seu trabalho antes." 3. Em Locais (vazio: todos) digite São Paulo ; deixe Tags (vazio: todas) vazio.
- Clique em Enviar. O aviso diz "Anúncio enviado para 143 máquina(s)." A mensagem aparece para quem estiver usando cada uma dessas máquinas com agente
- O anúncio sai como uma implantação chamada "Anúncio · Manutenção de TI", já aprovada, e fica no histórico de implantações e na trilha de auditoria.
Cuidados e limites
A página fica vazia ("Ainda sem dados de experiência.") até os agentes mandarem a experiência com o inventário; máquinas sem agente não têm nota.
Só ativos ativos contam; as listas seguem o escopo do seu perfil.
Provável causa só aparece quando um aplicativo travou pelo menos duas vezes; o Hive olha as mudanças de software daquela máquina nos últimos 10 dias, primeiro a que cita o aplicativo. É uma pista, não uma prova.
Inicialização média vem do Windows e do Linux.
Nota por departamento precisa das máquinas associadas a departamentos em Descoberta › Estrutura; sem isso aparece "Associe as máquinas aos departamentos em Estrutura para comparar."
Nota por aplicativo conta "onde está instalado" comparando o nome do aplicativo com o software instalado, então o percentual é aproximado.
Anunciar na tela exige a permissão de administrar alertas. Precisa de pelo menos um local ou tag, e a mensagem tem até 500 caracteres de texto simples. Os locais são comparados pelo nome; com locais e tags juntos, a máquina precisa casar com os dois. Só máquinas com agente recebem; se nenhuma casar, o Hive responde "No device with an agent matches the targets."
Máquinas com a pior experiência mostra as 20 notas mais baixas; a lista de quedas do sistema mostra as últimas 50.
Relacionados
Sentimento dos funcionários
Alertas e regras
Playbooks gravados
Implantações
Estrutura organizacional
Pesquisas de sentimento do colaborador
Tela: Pesquisas de sentimento do colaborador
Monitorar › Sentimento do colaborador faz perguntas curtas às pessoas sobre o computador e a TI— de tempos em tempos, logo depois de um chamado resolvido ou depois de um patch ou implantação— e mostra as respostas como uma nota de 0 a 100 ao lado da nota de experiência digital. A pergunta aparece no computador da pessoa pelo agente e abre uma pequena página de pesquisa; não é preciso login.
O que você pode fazer aqui
Criar campanhas de três tipos: Pulso (periódico), Depois de chamado e Depois de mudança.
Escolher de 1 a 3 perguntas respondidas com Nota de 1 a 5 ou Emoji, e permitir um comentário opcional.
Decidir o Anonimato: Identificada (só com o consentimento da pessoa), Só departamento ou Anônima.
Definir o Público por departamentos, grupos e etiquetas, e conferir Quantas máquinas? antes de enviar.
Acompanhar a Visão geral: nota, taxa de resposta, tendência, resultados por departamento, por aplicativo e por máquina, e comentários.
Ver os Resultados de cada campanha e o veredito de cada mudança em Depois de mudanças.
Criar e disparar uma campanha
- Abra Monitorar › Sentimento do colaborador e clique em Nova campanha.
- Digite o Nome e escolha o Tipo. As perguntas vêm preenchidas com um modelo para o tipo; mude os textos se quiser.
- Se quiser, escreva uma Introdução (opcional), mostrada acima das perguntas.
- Em Perguntas (1 a 3), defina cada Pergunta e Resposta com (Emoji ou Nota de 1 a 5); use Acrescentar pergunta ou Tirar.
- Mantenha ou desligue Permitir comentário opcional.
- Escolha o Anonimato. Em Só departamento e Anônima, defina o Mínimo de respostas para mostrar um grupo (pelo menos 3, padrão 5).
- Em Público, clique nos departamentos e grupos e digite etiquetas. Nada escolhido significa todas as estações com agente. Clique em Quantas máquinas? para ver quantas máquinas o público alcança hoje.
- Se quiser, preencha Aplicativo (opcional) para ligar as respostas a um aplicativo.
- Defina o tempo: A cada (dias) no pulso, ou Esperar antes de perguntar (minutos) nos outros tipos; Dias de descanso por máquina (uma máquina que recebeu qualquer pesquisa nesse período não é perguntada de novo) e Aberta por (dias). Em Depois de mudança, escolha Patch, Implantação ou os dois.
- Clique em Salvar. A campanha é criada como Rascunho.
- Em Campanhas, clique em Ativar. O pulso sai para o público em cerca de um minuto e depois a cada N dias; os outros tipos esperam o seu disparo.
Em Campanhas, cada linha mostra o tipo, o número de perguntas, a Situação, o Anonimato, a Taxa de resposta (respondidas de convidadas) e o Sentimento. Os botões são Resultados, Editar, Ativar, Pausar, Enviar agora (só pulso ativo), Encerrar e Excluir.
O que o colaborador vê
- O agente mostra um aviso na sessão do usuário: "Pesquisa rápida da TI", com Responder e Depois. Sem ninguém logado, a pesquisa fica no portal local da Loja em Pesquisas rápidas da TI.
- Responder abre a página da pesquisa no navegador, com a empresa, o nome da campanha e o computador. Depois de um chamado ou de uma mudança, uma linha diz de qual chamado ou mudança se trata.
- A pessoa responde cada pergunta com um botão de 1 a 5 (Muito ruim a Muito bom) ou um emoji, e pode escrever um Comentário (opcional) de até 1.000 caracteres.
- Um aviso explica o que acontece com a resposta. Numa campanha identificada, uma caixa pede o consentimento para ligar a resposta à pessoa e ao computador; sem ele, só o departamento éguardado.
- Enviar grava a resposta ("Obrigado!"). Agora não dispensa esta pesquisa. Não perguntar neste computador (90 dias) dispensa e para as pesquisas naquele computador por 90 dias.
- Um link já respondido, dispensado, encerrado ou vencido mostra que a pesquisa não está mais aberta.
Ler os resultados
Visão geral (últimos 90 dias): Nota de sentimento (0 a 100, com a média "de 5"), Taxa de resposta, Respostas e Campanhas ativas (com quantas foram dispensadas pelos usuários), a
Tendência semanal, Por departamento com a nota de experiência ao lado, Por aplicativo, Por máquina (respostas identificadas) e os últimos Comentários.
Resultados de uma campanha: a média e a distribuição de 1 a 5 de cada pergunta, Por disparo, Por departamento, a tendência e os comentários. Abaixo do mínimo de respostas, só a contagem aparece.
Depois de mudanças: cada patch ou implantação acompanhado por uma campanha Depois de mudança, com Convidadas, Respostas, Sentimento e o Veredito: Bom (média 3,5 ou mais), Misto, Ruim (abaixo de 2,5) ou Aguardando respostas.
Na página da máquina, Monitoramento mostra o painel Sentimento do colaborador com as respostas identificadas, as últimas pesquisas e, quando houver, a data até a qual o usuário pediu para não ser perguntado. Monitorar › Experiência digital mostra Sentimento ao lado da experiência.
A nota de 0 a 100 é a média de 1 a 5 na escala da experiência: 1 = 0, 3 = 50, 5 = 100.
Exemplo prático: pulso trimestral para o Financeiro
O gestor de TI quer ouvir a equipe do Financeiro a cada trimestre, sem expor ninguém.
- Em Monitorar › Sentimento do colaborador, clique em Nova campanha. NomePulso Financeiro – trimestral , TipoPulso (periódico). Mantenha as duas perguntas do modelo ("Quão satisfeito você está com o seu computador e as ferramentas que usa?" com Emoji, "Quão fácil éfazer o seu trabalho sem a TI atrapalhar?" com Nota de 1 a 5).
- Introdução (opcional): Duas perguntas rápidas da TI. Leva menos de um minuto. Mantenha Permitir comentário opcional ligado.
- AnonimatoSó departamento, Mínimo de respostas para mostrar um grupo 5.
- Em Público, clique no departamento Financeiro (os subdepartamentos vêm junto). Clique em Quantas máquinas?: "48 máquina(s) hoje".
- A cada (dias) 90, Dias de descanso por máquina 7, Aberta por (dias) 5. Clique em Salvar: a campanha aparece em Campanhas como Rascunho.
- Clique em Ativar. Em cerca de um minuto, as 48 estações do Financeiro recebem o aviso "Pesquisa rápida da TI".
- Cinco dias depois os convites em aberto vencem. Campanhas mostra Taxa de resposta 65% (31 de 48) e sentimento 72. Resultados mostra a média e a distribuição de cada pergunta, o Financeiro em Por departamento e os comentários, sem máquina nem nome, porque a campanha é só departamento.
- Noventa dias depois da primeira rodada, o Hive envia a próxima sozinho; máquinas pesquisadas por outra campanha nos últimos 7 dias ficam de fora.
Exemplo prático: conferir se um patch não prejudicou os usuários
- Nova campanha: NomeDepois de patches , TipoDepois de mudança, mantenha a pergunta do modelo ("Como o seu computador está funcionando depois da mudança recente?" com Emoji), AnonimatoSó departamento.
- Deixe o Público vazio (todas as estações), Esperar antes de perguntar (minutos) 60, Aberta por (dias) 3, e deixe só Patch ligado. Salvar e Ativar.
- A próxima implantação de patches termina em 120 estações. Uma hora depois de cada uma terminar, a pessoa recebe a pesquisa, que diz de qual mudança se trata.
- Depois de mudanças lista o patch com Convidadas 120, Respostas 47, Sentimento 38 e VereditoRuim (média abaixo de 2,5). Abra Resultados para ler os comentários e decidir um rollback.
Exemplo prático: satisfação depois do chamado
- Nova campanha: NomeCSAT da central , TipoDepois de chamado, AnonimatoIdentificada, Esperar antes de perguntar (minutos) 30. Salvar e Ativar.
- Quando um chamado do ITSM ligado a uma máquina é resolvido, a pessoa naquela máquina recebe a pesquisa 30 minutos depois, com "Sobre o chamado:" e o título.
- Joana marca o consentimento e responde 2 com o comentário "Demorou três dias". A resposta aparece em Por máquina (respostas identificadas) e na aba Monitoramento da máquina, para a central retornar. Um colega que não marca a caixa conta só pelo departamento.
Cuidados e limites
Ver exige permissão de leitura de ativos; criar, editar, ativar, pausar, enviar, encerrar e excluir campanhas exige administração de alertas.
Só são pesquisadas máquinas ativas com agente de estação ou VDI. Servidores, máquinas isca, máquinas cujo usuário escolheu Não perguntar neste computador (90 dias) e máquinas pesquisadas dentro dos Dias de descanso por máquina ficam de fora.
Enviar agora só funciona em pulso ativo; respeita os dias de descanso e reinicia a contagem de A cada (dias) a partir daquele momento.
A cada (dias) vai de 1 a 365, Dias de descanso por máquina de 0 a 180, Esperar antes de perguntar (minutos) até 10.080 (7 dias) e Aberta por (dias) de 1 a 30.
Depois que a campanha tem respostas, as perguntas e o anonimato não mudam; crie uma nova campanha.
Encerrar vence os convites ainda abertos. Excluir apaga a campanha e todas as respostas e não pode ser desfeito.
Em campanhas Só departamento e Anônima, grupos com menos respostas que o mínimo ficam ocultos, e a resposta guarda só o dia, não a hora. Anônima também não guarda o departamento.
Depois de chamado só cobre chamados ligados a uma máquina e resolvidos depois da criação da campanha (e nos últimos 3 dias).
Um computador desligado mantém o convite na fila; o Hive tenta entregar de novo (até 12 tentativas) até a pesquisa aparecer ou o convite vencer.
Relacionados
Experiência digital
Chamados no ITSM
Patches
Implantações por localidade
Estrutura organizacional
Tags e grupos
Integridade de arquivos e registro
Tela: Integridade de arquivos e registro
Segurança › Integridade vigia arquivos e chaves do registro críticos: quem alterou, o que mudou e quando. Alterações numa janela de manutenção ou numa mudança aprovada são esperadas e não alertam; as outras abrem alerta. É uma base para requisitos como PCI DSS 11.5, ISO 27001 e os CIS Controls.
O que você pode fazer aqui
Aba Políticas: criar uma política com Nova política, editar, apagar e ver itens, ativos e alterações dos últimos 7 dias.
Aba Alterações: cada alteração do período, filtrada por Esperadas ou Não esperadas, com quem alterou; abra uma alteração para ver antes e depois e, nos arquivos de texto, as linhas mudadas.
Aba Mudanças aprovadas: Registrar mudança aprovada com o chamado da mudança, o período e as tags dos ativos que ela cobre.
Em cada ativo, aba Integridade: cada caminho monitorado Igual à linha de base ou Diferente da linha de base, e Aprovar como nova linha de base.
Criar uma política passo a passo
Clique em Nova política (exige alerts:admin ). O assistente tem quatro passos.
Modelo: comece por Windows — base (hosts, chaves Run/RunOnce, serviços, Winlogon, LSA, política de auditoria, drivers), Linux — base (/etc/passwd, shadow, group, sudoers, sshd_config, crontab e cron.d, PAM, unidades systemd), macOS — base (LaunchAgents, LaunchDaemons, perfis de configuração, sudoers), Servidores web e bancos (configuração de IIS, Nginx, Apache, PostgreSQL e SQL Server) ou Começar vazia. Depois escolha Para qual sistema.
Itens: ajuste a lista de arquivos, pastas e chaves do registro e a Severidade de cada um. Use Incluir pelo navegador para escolher caminhos num ativo de referência com agente (a resposta chega em até 15 segundos), ou Digitar um caminho. Em pastas, escolha Subpastas e o que **Excluir (como \*.log). Marque Guardar conteúdo (diferença legível)** em arquivos de configuração de texto para ver as linhas incluídas e removidas.
Onde: as Tags e os Grupos dos ativos que recebem a política. Vazio: todos os ativos do sistema escolhido.
Prévia: digite o Nome da política e a Verificação periódica (segundos) (de 10 segundos a 1 dia; 300 por padrão) e veja quantos itens e ativos são monitorados e o Custo no agente (Baixo, Médio, Alto). Salvar política: os agentes recebem na próxima atualização da política (até 5 minutos).
O que chega em cada alteração
Arquivos: criado, alterado ou apagado, com SHA-256, tamanho, permissões, dono e data de modificação, antes e depois. Registro: valor e tipo antes e depois.
No Linux o agente avisa na hora e, rodando como root, informa o processo e o usuário que alteraram; nos outros sistemas a verificação periódica acha a alteração. O agente guarda os eventos enquanto está offline e manda depois.
Nos arquivos com Guardar conteúdo, a alteração mostra as linhas incluídas e removidas, com senhas, chaves e strings de conexão mascaradas no próprio agente antes de sair da máquina.
O binário, a configuração e o serviço do próprio agente são sempre monitorados com severidade crítica (Proteção do agente) e não podem ser desligados por uma política. Uma atualização legítima do agente refaz essa linha de base sozinha.
Exemplo prático: vigiar sudoers e sshd nos servidores Linux
- Marta clica em Nova política, escolhe Linux — base, sistema Linux.
- Em Itens ela mantém /etc/sudoers , /etc/sudoers.d (com Subpastas) e /etc/ssh/sshd_config , põe todos em Crítica e marca Guardar conteúdo no sshd_config . Com Incluir pelo navegador em SRV-APP-01 ela acrescenta /opt/erp/conf/app.properties , sem exclusões.
- Onde: tag linux-server . Prévia: nome Servidores Linux – controle de acesso , verificação a cada 300 segundos; 14 itens em 22 ativos, custo Baixo. Salvar política.
- Terça às 02:13, alguém edita /etc/ssh/sshd_config em SRV-APP-04 . O alerta abre na hora como crítico. Em Alterações, a linha mostra o usuário deploy , o processo vim , Não esperada; ao abrir aparece a diferença: - PermitRootLogin no / + PermitRootLogin yes .
- A equipe desfaz o arquivo e investiga. Na semana seguinte, para o endurecimento planejado do SSH, Marta usa Registrar mudança aprovada: chamado CHG-2291 , início quinta 22:00, fim sexta
02:00, tag linux-server . As edições feitas nessa janela aparecem como Esperada com "mudança aprovada CHG-2291" e não alertam.
- Depois do endurecimento, na aba Integridade de cada servidor, ela clica em Aprovar como nova linha de base; a versão atual passa a ser a esperada, com registro na trilha de auditoria.
Cuidados e limites
Criar políticas, mudanças aprovadas e aprovar linhas de base exigem alerts:admin .
Uma mudança aprovada dura no máximo 31 dias e precisa do chamado e dos ativos ou tags que ela cobre.
Alterações durante a janela de manutenção do ativo também são esperadas.
O registro e o navegador de chaves do registro existem só no Windows. No Windows e no macOS é a verificação periódica que define a rapidez com que a alteração é achada; quem alterou pode ficar desconhecido ("O sistema não informou quem alterou.").
Pastas grandes com Subpastas aumentam o custo no agente: confira a Prévia antes de salvar.
Os relatórios Mudanças de integridade não esperadas e Mudanças de integridade por ativo da biblioteca de relatórios trazem quem, o quê, quando e se foi aprovado, prontos para a auditoria.
Relacionados
Alertas
Relatórios
Conformidade
Detecção e caça
Trilha de auditoria
Acesso remoto
Tela: Acesso remoto (1/2)
Tela: Acesso remoto (2/2)
Segurança › Acesso remoto abre, pelo navegador, a tela, um terminal, transferência de arquivos, serviços e processos, chat e uma ligação de voz com uma máquina, sem VPN e sem programa extra. A conexão é WebRTC cifrado entre o seu navegador e o agente, pelo servidor TURN da plataforma. Toda sessão tem motivo, trilha encadeada e uma gravação guardada cifrada pelo prazo definido na política.
O que você pode fazer aqui
Ver as sessões (Abertas ou Todas) e buscar por motivo, chamado, dispositivo ou texto na trilha. Técnicos veem as próprias sessões; aprovadores e auditores veem todas.
Nova sessão: assistida (o usuário consente), não assistida (onde a política permite, com segundo aprovador) ou Sem agente (SSH por um coletor).
Numa sessão: Conectar, trabalhar nas abas Tela, Terminal, Arquivos, Serviços, Processos e Chat, ligar para o usuário, convidar colegas para acompanhar, Bloquear a tela, Reiniciar e reconectar e Encerrar sessão.
Trilha e Conferir integridade; Gravação para auditores e aprovadores.
Política de acesso remoto (administradores): quem pode ser acessado sem o usuário, aprovações, tempo de consentimento, canais, marca d'água e retenção das gravações.
Abrir uma sessão passo a passo
- Clique em Nova sessão (ou em Acesso remoto na página da máquina; exige remote:access ). 2. Busque o Dispositivo, escreva o Motivo (pelo menos 10 caracteres; o usuário vê e vai para a trilha) e o Chamado (obrigatório quando a política exige).
- Escolha Como: 4. Assistido: o usuário logado vê quem pede, o motivo e o chamado e tem o tempo de consentimento (30 segundos por padrão) para permitir ou recusar. Sem ninguém logado, a sessão abre e é gravada.
- Não assistido: só em máquinas com as tags ou grupos da política. Com O acesso não assistido precisa de um segundo aprovador ligado (o padrão), outra pessoa com remote:approve decide antes; o técnico nunca aprova a própria sessão.
- Sem agente: um coletor na mesma rede abre um terminal SSH com uma credencial de descoberta (a porta vem da credencial, senão 22). Só terminal.
- Clique em Pedir acesso. A situação passa por Aguardando aprovação (não assistido), Aguardando o usuário (assistido), Conectando e Ativa.
- Clique em Conectar. As abas aparecem conforme os canais permitidos. Encerrar sessão fecha tudo; o usuário também pode encerrar do lado dele.
Trilha, gravação e retenção
A Trilha guarda o pedido, a aprovação, o consentimento, os canais abertos, os arquivos enviados e baixados (com SHA-256), os serviços e processos mexidos, as mensagens, as ações de energia, as ligações de voz e o fim. Cada evento é encadeado ao anterior por hash; Conferir integridade recalcula a cadeia da trilha e da gravação ("Trilha e gravação íntegras.").
A saída do terminal e os quadros da tela são gravados. Cada parte é cifrada (AES-GCM) com a chave de gravação da empresa, guardada no cofre, e escrita pelo núcleo na pasta de gravações em disco; o banco guarda só os hashes.
Gravação (exige audit:read ou remote:approve ) toca as gravações de Tela e Terminal a 1×, 2×, 4× ou 8×. Abrir uma gravação vai para o log de auditoria.
Quando a sessão termina, o Hive agenda a exclusão da gravação para depois de Guardar as gravações por (dias) da política: 180 dias por padrão, de 7 a 3.650. A aba Gravação mostra "Esta gravação é apagada em …"; depois disso, "A gravação foi apagada no fim do prazo de retenção. A trilha continua."
Exemplo prático: um técnico conserta um notebook do Financeiro e uma auditora revisa
- Ana (Financeiro) abre o chamado INC-5150 : o cliente do ERP não abre em FIN-NB-014 .
- Paulo (técnico) abre Segurança › Acesso remoto › Nova sessão, dispositivo FIN-NB-014 , Motivo "Cliente do ERP não abre, verificar o serviço e os logs", ChamadoINC-5150 , Como Assistido. Pedir acesso: situação Aguardando o usuário, "Aguardando o usuário permitir (no máximo 30 s)." 3. Na tela dela, Ana vê o nome do Paulo, o motivo e o chamado, e permite. A situação vai para Ativa; Paulo clica em Conectar: "Conectado a FIN-NB-014 (Windows). Usuário: ana." O aviso "Esta sessão é gravada" fica na tela, e a marca d'água com o nome dele e o horário aparece na tela.
- Em Serviços ele reinicia o ERPClientService ; em Arquivos baixa C:\ERP\logs\client.log (a trilha guarda o SHA-256); em Tela clica em Assumir o controle e abre o ERP para confirmar. Manda "Resolvido, pode usar" no Chat e clica em Encerrar sessão.
- Três meses depois, Vera (auditora, audit:read ) abre Segurança › Acesso remoto, Todas, busca INC-5150 , abre a sessão e clica em Conferir integridade: "Trilha e gravação íntegras." Em Gravação ela toca a Tela a 4× e lê a parte do Terminal. A visualização dela vai para o log de auditoria. A aba informa que a gravação é apagada 180 dias depois do fim da sessão.
A aba Terminal não aparece neste exemplo de propósito: veja as classes de aparelho nos limites abaixo.
Exemplo prático: ligar para o usuário por voz
- Com a sessão ativa, Paulo clica em Ligar para o usuário (voz). O agente abre, no navegador da sessão da Ana, uma página de uso único: "O técnico está ligando para você", com Atender e Recusar.
- Ana atende; os dois falam pelo microfone do computador, ponto a ponto pelo mesmo relay. A página diz "A voz não é gravada." 3. Qualquer um clica em Desligar. A trilha guarda que a ligação aconteceu, quem atendeu e quando terminou, nunca o áudio. Sem usuário logado, a ligação mostra "Não tocou (sem sessão de usuário)"; sem resposta, "Não atendida".
Vários técnicos, bloqueio e reinício
O técnico que conduz pode convidar um colega pelo login (Convidar para acompanhar). Técnicos convidados (com remote:access ), aprovadores e auditores clicam em Acompanhar a
tela enquanto a sessão está ativa: cada um tem a própria conexão, vê a mesma tela e não controla. Até 5 observadores; entradas e saídas vão para a trilha.
Bloquear a tela bloqueia a sessão do usuário na hora (área de trabalho do Windows, Linux pelo logind, macOS desligando a tela com senha ao acordar).
Reiniciar e reconectar: a máquina reinicia e, quando o agente volta, o Hive manda a mesma sessão de novo sozinho, sem pedir consentimento outra vez, e a tela reconecta. Se a máquina não voltar em 15 minutos, a sessão expira.
Onde a gravação fica. Cada pedaço da gravação é cifrado (AES-GCM) antes de sair do servidor, com o hash encadeado ao anterior. Por padrão os pedaços ficam no disco do servidor; a instalação pode guardá-los num armazenamento de objetos compatível com S3 (AWS S3, MinIO ou outro serviço com a API S3), em <empresa>/<sessão>/<pedaço>.bin no bucket configurado. O armazenamento só vêdados cifrados. Gravações feitas antes de uma troca continuam tocando, porque cada pedaço guarda onde foi gravado.
Retenção. O padrão é 180 dias depois do fim da sessão (de 7 a 3650 dias, na política). A cada minuto o servidor apaga os pedaços das sessões vencidas de onde estiverem; se o armazenamento não responder, tenta de novo na rodada seguinte e a gravação continua listada até ser apagada de fato.
Cuidados e limites
Classes de aparelho (ADR-0004): o terminal remoto é sob demanda em todas as classes, então precisa de uma base: uma liberação JIT aprovada para remote-terminal (Ativos › Agentes › Classes) ou uma sessão aprovada. Numa sessão assistida numa estação, sem liberação, a sessão abre sem o canal Terminal. Em servidores a tela, os arquivos, os processos e o terminal são todos sob demanda: use uma sessão não assistida com a segunda aprovação, ou uma liberação JIT. Máquinas Tier 0 não têm acesso remoto.
Um pedido esperando aprovação expira em 30 minutos; um pedido assistido expira se o usuário não responder; uma conexão que não abre expira em 5 minutos.
Uma sessão aberta por técnico e máquina. Só o técnico que abriu a sessão a conduz; aprovadores e auditores só acompanham.
A voz não existe em sessões sem agente, nem quando a política a desliga.
Se não conectar: o navegador e o agente precisam alcançar o servidor TURN (porta 3478 UDP ou TCP). No Windows o terminal é PowerShell sem pseudo-terminal: o que você digita aparece depois do Enter.
Captura de tela: no Linux usa X11 (ImageMagick, e xdotool para o controle); no macOS o screencapture (dê ao agente a permissão de Gravação de Tela; o mouse precisa do cliclick); no Windows um auxiliar na sessão do usuário.
Relacionados
Agentes
Trilha de auditoria
Decisões
Descoberta
Privilégios e administrador temporário
Perfis de configuração
Tela: Perfis de configuração
Um perfil de configuração declara como as máquinas devem estar: serviços, valores do registro, arquivos de configuração, parâmetros do kernel, administradores locais, firewall, políticas de navegador e mais. O agente confere no intervalo escolhido e, no modo Corrigir, ajusta o que está diferente. Os perfis ficam em Entrega › Configuração.
O que você pode fazer aqui
Criar um perfil para um sistema, escolher o modo, onde vale e de quanto em quanto tempo as máquinas conferem.
Adicionar itens de vários tipos, incluindo uma senha de administrador local girada.
Ver cada máquina e item como Conforme, Diferente, Corrigido, Erro ou Não se aplica, com o valor esperado e o encontrado.
Na página de uma máquina, ver na aba Configuração os perfis que a alcançam e mostrar ou girar a senha do administrador local.
Criar um perfil
- Em Entrega › Configuração, clique em Novo perfil.
- Preencha Nome, Descrição e Sistema (Windows, Linux ou macOS).
- Escolha o Modo: Só avisar (mostra o que está diferente; não muda nada) ou Corrigir (corrige o que está diferente e registra cada correção na auditoria).
- Em Onde vale, escolha localidades, tags e grupos; vazio vale para todas as máquinas do sistema.
- Defina Conferir a cada (minutos) (30 por padrão) e mantenha Perfil ligado.
- Clique em Adicionar item para cada configuração (veja a tabela) e preencha os campos.
- Clique em Salvar: "Perfil salvo. As máquinas recebem em até 5 minutos."
Item | O que define |
|---|---|
Serviço | Inicialização (Automática, Manual, Desativada ou Não mudar) e estado (Rodando ou Parado). |
Valor do registro (Windows) | Caminho, nome do valor, tipo (DWORD ou texto) e valor. |
Linha de arquivo de configuração | Uma configuração e o valor num arquivo (por exemplo PermitRootLogin no no sshd_config ), com reinício opcional de um serviço. O arquivo original é guardado uma vez como .one-bak . |
Parâmetro do kernel (Linux) | Um valor do sysctl. |
Administradores locais | Administradores permitidos e, se quiser, Remover os demais (contas nativas ficam). |
Firewall | O firewall deve estar ligado. |
Política de navegador | Chrome, Edge, Brave, Chromium ou Firefox: extensões bloqueadas, permitidas ou obrigatórias, sites bloqueados ou permitidos, página inicial, gerenciador de senhas, janela anônima, ou qualquer outra política pelo nome. |
Senha do administrador local | Uma senha aleatória por máquina, guardada no cofre e girada (veja abaixo). |
Tarefa agendada | Liga ou desliga uma tarefa que já existe: caminho no Agendador de Tarefas, timer do systemd ou rótulo do launchd. |
Energia | Minutos até suspender e até desligar a tela na tomada (0 = nunca). |
Pendrives e discos USB, Programas bloqueados, Criptografia de disco obrigatória, Microsoft Defender | Explicados nos artigos próprios: Controle de dispositivos, Controle de aplicações, Criptografia de disco e Defender. |
Conformidade
A página do perfil mostra Máquinas e itens: cada máquina e item com Conforme, Diferente, Corrigido, Erro ou Não se aplica, o valor Esperado e o Encontrado. Até a primeira conferência: "Nenhum resultado ainda: os agentes conferem no intervalo do perfil." Na página da máquina, a aba Configuração lista os perfis que a alcançam.
Senha do administrador local
O item Senha do administrador local (campos Conta, Girar a cada (dias), Tamanho) faz o Hive criar uma senha aleatória para cada máquina, guardá-la no cofre e girá-la. A senha nova chega ao agente sóem memória e só vale quando o agente confirma; sem confirmação ela fica pendente no cofre e as duas aparecem. Na aba Configuração da máquina, quem pode mudar configuração clica em Mostrar
senha e responde Por que você precisa dela? (fica na auditoria); depois de mostrada, a senha égirada de novo em até 4 horas. Girar agora troca na hora, com a máquina ligada.
Exemplo prático: endurecer o SSH dos servidores Linux
Os 40 servidores Linux têm a tag linux-server ; alguns ainda aceitam login de root pelo SSH.
- Novo perfil: Nome "Servidores Linux – padrão SSH", Sistema Linux, Modo Só avisar, Onde vale: tag linux-server , Conferir a cada60 .
- Adicionar item › Linha de arquivo de configuração: Caminho /etc/ssh/sshd_config , Configuração PermitRootLogin , Valor no , Separador um espaço, reiniciar o serviço sshd .
- Adicionar item › Firewall: O firewall deve estar ligado. Salvar.
- Em até 5 minutos os agentes informam: 34 Conforme, 6 Diferente na linha do SSH (Encontrado yes , Esperado no ).
- Depois de conversar com os donos dos servidores, mude o modo para Corrigir e Salvar. Na próxima conferência, os 6 servidores mostram Corrigido: o agente reescreveu a linha, guardou o original como sshd_config.one-bak , reiniciou o sshd e registrou cada correção na auditoria.
- Uma semana depois alguém volta PermitRootLogin yes num servidor. Na próxima conferência (em até 60 minutos) o agente corrige e o item mostra Corrigido de novo.
Exemplo prático: girar a senha do administrador local
- Novo perfil: Nome "Windows – senha do admin local", Sistema Windows, Modo Corrigir, sem escopo (todas as máquinas Windows).
- Adicionar item › Senha do administrador local: Conta Administrator , Girar a cada (dias)30 , Tamanho20 . Salvar.
- Cada máquina recebe a própria senha, guardada no cofre. No FIN-NB-014, um técnico abre Configuração, clica em Mostrar senha, escreve "Atualização de BIOS no local, chamado 4521" e vê a senha; a auditoria registra quem e por quê, e a senha é girada de novo em até 4 horas.
Cuidados e limites
Conferir a cada vai de 5 a 1440 minutos. Os nomes de perfil são únicos e têm pelo menos 3 caracteres.
O item de energia no Linux só gerencia "nunca suspender". O controle de USB no macOS precisa de MDM.
Rotação: de 1 a 365 dias e de 14 a 64 caracteres.
Com o freio de emergência puxado, os perfis só conferem, sem corrigir.
Excluir um perfil para as conferências; nada do que já foi mudado é desfeito.
Relacionados
Controle de dispositivos
Controle de aplicações
Criptografia de disco
Defender
Conformidade
Quiosques e dispositivos compartilhados
Playbooks gravados
Tela: Playbooks gravados
Um playbook é a solução de um problema, gravada numa máquina de demonstração e depois repetida em muitas máquinas por uma implantação. Cada passo pode ter uma verificação (pula o que já está feito) e um desfazer (volta atrás se um passo seguinte falhar). Os playbooks ficam em Entrega ›Playbooks.
O que você pode fazer aqui
Marcar uma máquina de teste como máquina de demonstração e gravar comandos nela.
Deixar o Hive detectar o que mudou na máquina de demonstração por outros meios (serviços, administradores locais, programas).
Revisar os passos: verificação, desfazer, ordem, comandos extras e passos de tela.
Publicar o playbook e implantá-lo em muitas máquinas com piloto, aprovação e ondas por localidade.
Gravar
- Em Entrega › Playbooks, em Gravar um playbook novo: se ainda não há máquina de demonstração, escolha uma Máquina de teste com o agente online e clique em Usar como máquina de demonstração (ela recebe a tag demo ). Evite máquinas de produção: a gravação roda os comandos de verdade.
- Digite o Nome, escolha a Máquina de demonstração e clique em Começar a gravar. O Hive tira um retrato dos serviços, administradores locais e programas.
- No Gravador, digite um Comando e clique em Rodar na demonstração. A saída aparece na tela; um comando que termina com código 0 vira passo ("Passo N"), um com erro não. Os comandos rodam no PowerShell no Windows e no /bin/sh no Linux e no macOS.
- Você também pode mudar a máquina por outros meios (acesso remoto, instaladores). Clique em Terminar gravação: o Hive compara com o retrato inicial. Um serviço que mudou vira passo (com o estado anterior para o desfazer), e uma mudança nos administradores locais também.
Programas instalados ou removidos aparecem à parte em Programas alterados na demonstração: instale-os por uma implantação da Loja.
Revisar e publicar
- Cada passo de comando tem Comando, Verificação (opcional) e Desfazer (opcional). Código de saída 0 na verificação quer dizer "já está feito": o passo é pulado; a verificação também roda depois do comando para confirmar que deu certo. O desfazer roda se um passo seguinte falhar.
- Use Subir e Descer, remova passos, Adicionar comando ou Adicionar passos de tela.
- Passos de tela são gestos na tela do usuário logado, um por linha: click X Y (ou click X Y right ), dblclick X Y , key ctrl+s , type texto e wait 500 (milissegundos). Use para o que só existe na interface (um assistente de instalação, uma janela de configuração).
- Clique em Salvar rascunho, ou em Salvar e publicar ("Playbook publicado. Já pode ser implantado."). Editar um playbook publicado o devolve a rascunho.
Rodar
Na página do playbook clique em Implantar (ou, em Nova implantação, escolha Playbook). Piloto, ondas por localidade, janela, aprovação de outra pessoa e o limite de sucesso valem como em qualquer implantação, e a implantação guarda a própria cópia dos passos. Em cada máquina, se um passo falha, o agente desfaz os passos já aplicados, do último ao primeiro, e pula o resto; abaixo do limite de sucesso a implantação pausa.
Exemplo prático: limpar o cache do Windows Update
Alguns notebooks ficam presos baixando atualizações. A solução é parar o serviço de atualização, limpar a pasta de download e iniciá-lo de novo.
- Em Gravar um playbook novo, escolha a Máquina de teste IT-LAB-W11 e clique em Usar como máquina de demonstração. Nome "Limpar cache do Windows Update", máquina de demonstração IT-LAB-W11, Começar a gravar.
- No Gravador, rode um de cada vez: `` Stop-Service -Name wuauserv -Force Remove-Item -Path
"$env:SystemRoot\SoftwareDistribution\Download\*" -Recurse -Force -ErrorAction SilentlyContinue |
|---|
Start-Service -Name wuauserv `` Cada um termina com código 0 e vira Passo 1, 2 e 3.
- Clique em Terminar gravação. O serviço wuauserv terminou no mesmo estado em que começou, então nenhum passo de serviço extra é criado; aparece "Gravação terminada. Revise os passos.".
- No Passo 3, adicione a Verificação: if ((Get-Service -Name wuauserv).Status -ne 'Running') { exit 1 } . No Passo 1, adicione o Desfazer: Start-Service -Name wuauserv .
- Clique em Salvar e publicar e depois em Implantar. Na implantação escolha a tag wu-stuck (37 notebooks), Piloto e depois o resto com 3 máquinas no piloto, limite 95, janela ligada. Criar e mandar para aprovação.
- Depois que outro administrador aprova, o piloto roda dentro da janela. Numa máquina do piloto em que o Passo 2 falha, o agente roda o desfazer do Passo 1 (inicia o serviço de novo) e marca a máquina como Falhou; com 2 de 3 com sucesso (67%), a implantação pausa antes do resto. Você corrige o comando, publica o playbook de novo (ele voltou a rascunho quando foi editado) e cria uma implantação nova.
Cuidados e limites
A máquina de demonstração precisa da tag demo , do agente online e de Windows, Linux ou macOS.
Um playbook tem até 100 passos; os comandos têm até 4000 caracteres. Os nomes são únicos.
Termine a gravação antes de editar. Só um rascunho revisado pode ser publicado.
O playbook não leva programas: instale-os por uma implantação da Loja.
Passos de tela precisam de um usuário logado com tela; senão o passo falha e os passos anteriores são desfeitos.
Relacionados
Implantações
Scripts e assinatura
Workflows
Pacotes e catálogo da Loja
Acesso remoto
Serviços de negócio, SLA e capacidade
Tela: Serviços de negócio, SLA e capacidade
Um serviço de negócio (ERP, e-commerce, folha de pagamento) é feito dos ativos que o sustentam.
Monitorar › Disponibilidade e capacidade mostra todos os serviços de negócio e todos os ativos acompanhados com disponibilidade, SLA, quedas e tendência de capacidade; clique num serviço para abrir a página dele, onde você define componentes, redundância e a meta de SLA.
O que você pode fazer aqui
Ver os indicadores do período (Últimos 7, 30, 90 ou 365 dias em Período): serviços de negócio, serviços fora agora, SLA violado, ativos acompanhados e ativos fora agora.
Consultar a Previsão de SLA do mês.
Criar um serviço com Novo serviço de negócio e editá-lo em Configuração.
Agrupar componentes em Grupos de redundância (mínimo no ar).
Acompanhar um serviço na página dele: últimos 30 dias, Componentes, tráfego Ponta a ponta e Componentes sugeridos.
Ver a Capacidade: maior uso de CPU, memória e disco agora, a média e o pico de 7 dias, e quando os discos enchem.
Passo a passo: criar um serviço de negócio
- Abra Monitorar › Disponibilidade e capacidade e clique em Novo serviço de negócio (exige alerts:admin ).
- Em Configuração, preencha Nome (2 a 120 caracteres, único), Descrição, Responsável e Criticidade (baixa, média, alta ou crítica).
- Defina a Meta de SLA (%) (padrão 99,5). Marque SLA só no horário de atendimento (seg– sex) e preencha Das e Até (padrão 08:00 às 18:00) se só esses minutos devem contar.
- Se alguns componentes se cobrem, clique em Adicionar grupo em Grupos de redundância e preencha Chave (letras, dígitos, - e _), Nome e Mínimo no ar.
- Em Componentes, digite em Adicionar ativo (busque pelo nome) e escolha os ativos (até500). Para cada um defina o Papel e o Grupo: Obrigatório ou um dos seus grupos de redundância.
- Clique em Salvar: "Serviço de negócio salvo." e a página do serviço abre.
Como o estado é calculado
A cada minuto o núcleo avalia cada serviço a partir dos componentes:
Um componente obrigatório fora do ar deixa o serviço fora.
Num grupo de redundância, o serviço fica no ar enquanto pelo menos o mínimo estiver no ar; abaixo disso, cai. Com um membro fora mas o mínimo mantido, o serviço fica degradado (sem redundância), o que não conta como queda.
Um componente só conta como fora se a disponibilidade dele é acompanhada (página do ativo, aba Monitoramento); senão aparece "disponibilidade não acompanhada (conta como no ar)".
Uma queda do serviço abre o evento Business service down (crítico) e a volta o resolve ("Service back up"). Uma queda causada só por componentes em janela de manutenção não abre evento e não conta contra o SLA (cinza na linha do tempo).
SLA, orçamento e previsão
A página do serviço mostra os Últimos 30 dias: Disponibilidade, SLA (cumprido ou violado), Orçamento de indisponibilidade (min) ("restantes de total"), Quedas, MTTR e MTBF. Ativos acompanhados também aceitam meta de SLA própria.
A Previsão de SLA do mês lista cada serviço e ativo com meta de SLA: indisponibilidade já gasta, a projeção no ritmo dos últimos 7 dias e a Previsão: Dentro, Em risco (a projeção passa do orçamento antes do fim do mês, com a data estimada da quebra) ou Quebrado (orçamento já gasto). Cada item abre o alerta SLA at risk uma vez por mês por estado (maior quando em risco, crítico quando quebrado), resolvido com "Back within the SLA budget".
Ponta a ponta e componentes sugeridos
Na página do serviço, Ponta a ponta — últimos n minutos mostra cada componente com a saúde, agente no ar ou fora do ar, alertas abertos e o tráfego de entrada separado em internet, interna e de outros saltos, com as principais origens, mais o volume Entre os saltos. Os dados vêm dos fluxos NetFlow/IPFIX/sFlow que o firewall e os switches mandam ao coletor; sem eles o painel avisa.
Componentes sugeridos lista os ativos com que o serviço conversa e que ainda não são componentes, achados a partir dos componentes pelo tráfego do agente, pelo NetFlow dos switches e
pelas sessões nos bancos. Aprovar, Recusar, Restaurar e Buscar agora funcionam como descrito em Caminho do serviço e mapa lógico.
Exemplo prático: ERP com dois servidores web e um banco
- Novo serviço de negócio, NomeERP , ResponsávelEquipe ERP , Criticidade crítica, Meta de SLA (%)99.9 , marque SLA só no horário de atendimento (seg–sex) das 08:00 às 18:00. 2. Adicionar grupo: Chaveweb , NomeServidores web , Mínimo no ar1 .
- Componentes: adicione erp-web-01 e erp-web-02 com Papelweb e GrupoServidores web ; adicione erp-db-01 com Papelbanco e GrupoObrigatório. Clique em Salvar.
- Na página de cada ativo, aba Monitoramento, escolha como verificar (por exemplo Ping pelo coletor), para a disponibilidade ser acompanhada.
- Às 10:05 erp-web-02 cai: o serviço mostra Degradado (sem redundância); sem evento, sem minutos de SLA perdidos.
- Às 10:20 erp-db-01 cai: o serviço fica Fora do ar e o evento Business service down abre com "Down: erp-db-01". Às 10:32 ele volta e o evento é resolvido. A página mostra 1 queda, MTTR 12 min, e o orçamento do horário de atendimento cai 12 minutos.
- No sábado, uma queda de 3 horas do erp-db-01 não conta: está fora do horário de atendimento.
Exemplo prático: previsão de SLA em risco
- No dia 10 do mês, o ERP já gastou 9 dos 13 min de orçamento (0,1% de cerca de 13.200 minutos de horário de atendimento no mês).
- A Previsão de SLA do mês mostra o ERPEm risco, projeção 24 min, com a data estimada da quebra; o alerta SLA at risk (maior) abre uma vez.
- Depois de uma semana tranquila a projeção fica abaixo do orçamento, o item volta para Dentro e o alerta é resolvido.
Exemplo prático: disco enchendo
- Em Capacidade, o disco D: do erp-db-01 mostra 87% agora, pico de 7 dias 88% e Cheio em "19 dias".
- Aumente o volume; nas próximas leituras a previsão se afasta.
Cuidados e limites
Criar, editar e remover serviços exige alerts:admin ; ver exige alerts:read .
Um componente sem disponibilidade acompanhada sempre conta como no ar.
Cada grupo de redundância precisa de chave e de pelo menos 1 membro no ar; um componente só pode apontar para um grupo que existe.
Remover serviço apaga o serviço e o histórico dele; os ativos ficam.
Ponta a ponta precisa de fluxos mandados ao coletor; sem eles só a saúde e os alertas aparecem.
Relacionados
Caminho do serviço e mapa lógico
Alertas
Construtor de mapas
Mapa de rede
Resposta a incidente
Tela: Resposta a incidente
A resposta a incidente age numa máquina pela console com duas pessoas: uma pede, outra aprova, e tudo vai para a trilha de auditoria e para a linha do tempo do alerta. Você pede na página da máquina (aba Segurança, painel Resposta a incidente) ou a partir de uma detecção; os pedidos são decididos em Segurança › Resposta a incidente ou em Decisões.
O que você pode fazer aqui
Aba Aguardando aprovação: pedidos feitos por outras pessoas, com Aprovar (Aprovar e executar) e Rejeitar (com o motivo).
Aba Histórico: cada pedido com a situação (Aguardando aprovação, Rodando na máquina, Feito, Falhou, Rejeitado, Expirou (24 h)), quem pediu, quem decidiu e o resultado.
Baixar evidência de uma coleta, exatamente como foi guardada, e Devolver um arquivo em quarentena.
As ações
Encerrar processo: pelo nome (todos os processos com esse nome, até 50) ou pelo ID do processo (encerrado só se ainda tiver esse nome). Com o SHA-256 do executável, só aquele
programa é encerrado. Processos protegidos do sistema e o próprio agente são recusados.
Coletar evidência: processos com o hash do executável, conexões de rede, usuários logados, persistência e o hash, tamanho e data dos arquivos que você listar, nunca o conteúdo. A evidência é guardada com o SHA-256 dela; o arquivo baixado tem o mesmo hash, e cada download vai para a trilha de auditoria.
Isolar da rede: pelo Agente do Hive (firewall do sistema), que bloqueia todo o tráfego menos o canal com o Hive, o DNS e o DHCP e acaba sozinho no Prazo de segurança (minutos) (5 minutos a 7 dias, 240 por padrão), mesmo sem o Hive; ou pelo Sensor do EDR (Defender, CrowdStrike, SentinelOne) conectado em Integrações. Em servidores dá para manter até 20 Portas do serviço mantidas abertas (servidores).
Liberar do isolamento de rede: o agente tira as regras do firewall (ou o EDR libera a máquina).
Pôr arquivo em quarentena: o arquivo sai do lugar e vai para a quarentena do agente (só o sistema lê), opcionalmente só se ainda tiver um certo SHA-256. Devolver o arquivo o põe de volta onde estava.
Restaurar da cópia de sombra (Windows): copia um arquivo de volta da cópia de sombra mais nova feita antes do horário que você informar; o arquivo atual fica ao lado com .before-restore .
Devolver o que o Defender pôs em quarentena: o Defender devolve o arquivo (use só para um falso positivo conhecido).
Passo a passo
- Abra a máquina, aba Segurança, painel Resposta a incidente, e escolha a ação (exige alerts:admin ).
- Preencha os campos da ação e o Motivo (10 a 1.000 caracteres; vai para a trilha de auditoria e para o alerta). Clique em Pedir aprovação: "Pedido criado: outro administrador aprova em Decisões." 3. Outra pessoa com alerts:admin abre Decisões ou Segurança › Resposta a incidente, lê o motivo e o efeito e clica em Aprovar › Aprovar e executar. Se a sua empresa exige assinatura dos operadores, a aprovação pede a passkey dessa pessoa. A tarefa vai para a máquina na hora.
- Acompanhe a situação em Histórico. Um pedido sem decisão em 24 horas fica Expirou (24 h).
Resposta automática por alerta (SOAR)
Numa regra de alerta (por exemplo a regra de detecção do EDR), em Quem avisar, a seção Resposta quando o alerta abre oferece: Isolar pelo EDR (Não, Pedir aprovação ou Automático a partir de uma gravidade, com Isolar automaticamente a partir de), Coletar evidência da máquina e Coletar o pacote de diagnóstico. Evidência e diagnóstico não mudam a máquina e rodam na hora; o isolamento espera aprovação, a menos que seja automático para aquela gravidade. Com o chamado no ITSM e um playbook, isso monta a sequência isolar → abrir chamado → coletar diagnóstico.
Exemplo prático: ransomware num notebook do Financeiro
- 10:02 — Detecção e caça levanta "Criptografia em massa de arquivos (padrão de ransomware)" em FIN-NB-014 : 1.240 arquivos alterados, 1.180 renomeados para .locked , em
C:\Users\ana\Documents . A Linha do tempo da máquina em volta desse momento mostra o processo que começou logo antes: C:\Users\ana\AppData\Local\Temp\svc_upd.exe .
- 10:04 — Lia abre FIN-NB-014 › Segurança › Isolar da rede: Isolar porAgente do Hive (firewall do sistema), Prazo de segurança (minutos) 480, motivo "Padrão de ransomware detectado, impedir a propagação". Pedir aprovação.
- 10:05 — Marcos aprova em Decisões. O painel mostra "Isolada até 18:05". O notebook só fala com o Hive.
- Lia pede Coletar evidência (arquivos para tirar o hash: o caminho do svc_upd.exe ) e Encerrar processo pelo nome svc_upd.exe com o SHA-256 que está na linha do tempo; Marcos aprova os dois. Baixar evidência entrega um JSON cujo SHA-256 bate com o do pedido.
- Ela pede Pôr arquivo em quarentena para C:\Users\ana\AppData\Local\Temp\svc_upd.exe , aprovado; o arquivo vai para a quarentena do agente.
- Para a planilha da Ana ela pede Restaurar da cópia de sombra: caminho C:\Users\ana\Documents\orcamento-2027.xlsx , Antes de (data e hora)2026-10-21T09:55:00-03:00 . O arquivo restaurado volta e o cifrado fica como orcamento-2027.xlsx.before-restore .
- Depois da limpeza, ela pede Liberar do isolamento de rede; aprovado, o agente tira as regras do firewall. Se ninguém liberasse, o agente liberaria a máquina sozinho às 18:05.
Cuidados e limites
Quem pede nunca aprova o próprio pedido; os dois precisam de alerts:admin .
Uma máquina sem agente só pode ser isolada ou liberada por um EDR conectado; as outras ações precisam do agente.
O isolamento pelo agente acaba no prazo de segurança mesmo se o Hive estiver inacessível: escolha um tempo suficiente para a investigação e peça de novo se precisar.
Liberar nunca fica retido pelo limite de alcance; as outras ações são tarefas de impacto e, acima do limite da classe (por padrão 200 estações ou 5 servidores por hora), esperam uma segunda pessoa em Ativos › Agentes › Classes.
Arquivos do sistema e do próprio agente não podem ir para a quarentena. Um arquivo só é devolvido se não houver outro no caminho original.
Cópias de sombra existem só no Windows e só se as Cópias de Sombra de Volume estavam ligadas antes do ataque.
Relacionados
Detecção e caça
Indicadores de ataque (caça de IoC)
Antivírus (Microsoft Defender)
Alertas
Decisões
Playbooks
Detecção e caça
Tela: Detecção e caça
Segurança › Detecção e caça transforma a telemetria do agente em detecções de comportamento (MITRE ATT&CK), deixa você procurar no histórico de processos das máquinas e mostra a linha do tempo de cada máquina.
O que você pode fazer aqui
Detecções: o que as regras acharam nos últimos 1, 7, 30 ou 90 dias, filtrado por Abertas, Fechadas, Falso positivo ou Todas, com a evidência; Fechar ou marcar Falso positivo com observação; Encerrar processo a partir de uma detecção.
Caça: procurar no histórico por dispositivo, tipo (Processo iniciado, Rajada de arquivos), processo, linha de comando, usuário, pai (Iniciado por), SHA-256 e período.
Linha do tempo: processos, rajadas de arquivos, detecções, alertas, mudanças de inventário e conexões de uma máquina, em ordem; a partir de uma detecção ela abre em volta daquele momento.
Telemetria: ligar ou desligar cada parte e definir a retenção.
Telemetria
O agente informa cada processo novo (linha de comando, pai, usuário e SHA-256 do executável) e rajadas de alterações de arquivos nas pastas dos usuários (só contagens, extensões e até 10 caminhos de exemplo; o conteúdo dos arquivos nunca é lido). As conexões vêm dos fluxos da máquina. Em Telemetria (exige settings:admin ) você define Telemetria de processos, Rajadas de
arquivos nas pastas dos usuários, Editor do executável (confere a assinatura de cada executável novo; desligado por padrão porque no Windows custa uma chamada do PowerShell por programa novo) e Guardar a telemetria por (dias) (1 a 90, 14 por padrão). Eventos mais antigos saem de hora em hora; as detecções ficam. Os agentes aplicam a mudança na próxima conferência da política.
Detecções (MITRE ATT&CK)
As regras rodam no Hive à medida que a telemetria chega:
Detecção | Técnica | Severidade |
|---|---|---|
PowerShell ofuscado ou codificado | T1059.001 | Alta |
Roubo de credenciais do LSASS | T1003.001 | Crítica |
Cópias de sombra ou recuperação apagadas | T1490 | Crítica |
Inicialização automática adicionada na chave Run | T1547.001 | Média |
Tarefa agendada criada pela linha de comando | T1053.005 | Média |
Cron alterado pela linha de comando | T1053.003 | Média |
Programa do sistema usado para baixar ou rodar código | T1218 | Alta |
Aplicativo do Office abriu um shell | T1566.001 | Alta |
Shell reverso | T1059.004 | Crítica |
Logs de eventos ou histórico do shell apagados | T1070.001 | Alta |
Criptografia em massa de arquivos (padrão de ransomware) | T1486 | Crítica |
Muitos arquivos alterados em poucos segundos | T1486 | Média |
Cada detecção abre um alerta de segurança que nunca é suprimido, entra na correlação e no mapa e pode isolar a máquina pela regra de alerta. A mesma regra no mesmo dispositivo e com a mesma evidência dentro de 10 minutos conta uma vez só.
Passo a passo: caçar
- Abra Segurança › Detecção e caça, aba Caça.
- Preencha os filtros que precisar: todo filtro de texto é "contém", sem diferenciar maiúsculas; SHA- 256 e o dispositivo são exatos.
- Escolha o Período (últimas 1, 24, 168 ou 720 horas) e clique em Procurar. Voltam até 500 eventos.
- Numa linha de processo, use Encerrar processo ou Pôr arquivo em quarentena: os dois criam um pedido de resposta a incidente que outra pessoa aprova.
Exemplo prático: caçar PowerShell codificado aberto pelo Office
Uma onda de phishing usou documentos do Word que abrem o PowerShell com um comando codificado.
- Em Caça: Processopowershell , Linha de comando-enc , Iniciado porwinword , Período últimas 168 horas. Procurar.
- Voltam três eventos, todos em HR-NB-07 , usuário carla , o último ontem às 16:41, com a linha de comando completa e o SHA-256 do executável.
- A aba Detecções já tem "Aplicativo do Office abriu um shell" e "PowerShell ofuscado ou codificado" para HR-NB-07 . Lia abre a Linha do tempo dessa máquina com Últimas 6 hora(s) em volta da detecção: o processo do Word, o do PowerShell, uma conexão com um IP externo e uma tarefa agendada criada um minuto depois.
- Na linha do PowerShell ela clica em Encerrar processo; Marcos aprova em Decisões. Ela também pede a coleta de evidência em Resposta a incidente.
- Uma segunda caça pelo SHA-256 do arquivo baixado, sem dispositivo, não acha nenhuma outra máquina.
- Ela fecha as duas detecções com Fechar, observação "Contido, chamado INC-5133". Uma terceira detecção, do script de administração da própria TI, ela marca como Falso positivo, com o motivo.
Cuidados e limites
O agente olha os processos a cada 3 segundos: um programa que começa e termina mais rápido pode não aparecer.
As rajadas de arquivos ainda não são vigiadas no macOS.
A caça devolve no máximo 500 eventos; restrinja os filtros ou o período.
Fechar, marcar falso positivo, encerrar processos e pôr em quarentena exigem alerts:admin ; as opções de telemetria exigem settings:admin .
O que você vê depende da retenção: eventos mais velhos que Guardar a telemetria por (dias) já saíram.
Relacionados
Resposta a incidente
Indicadores de ataque (caça de IoC)
Antivírus (Microsoft Defender)
Alertas
Integridade de arquivos e registro
Antivírus (Microsoft Defender)
Tela: Antivírus (Microsoft Defender)
Segurança › Antivírus (Defender) gerencia o Microsoft Defender que já vem no Windows: estado da proteção, assinaturas, varreduras, ameaças, ações em lote e exclusões com aprovação. O Hive não tem motor de antivírus próprio; no macOS e no Linux lê o Defender for Endpoint (mdatp) quando instalado.
O que você pode fazer aqui
Visão geral: para cada computador, o Modo (Ativo, Passivo (outro antivírus), Modo de bloqueio do EDR, Desligado, Não instalado), proteção em tempo real, proteção contra adulteração, proteção na nuvem, PUA, número de exclusões, idade das assinaturas, últimas varreduras rápida e completa e ameaças em 30 dias. Filtre por Todos os computadores, Com problema ou Com ameaças.
Selecionar computadores e rodar Varredura rápida, Varredura completa ou Atualizar assinaturas em lote.
Ameaças: o que o Defender achou nos últimos 30 dias, onde e o resultado; Devolver (quarentena) um arquivo que o Defender pôs em quarentena, com aprovação de outra pessoa.
Exclusões: Pedir exclusão (pasta ou arquivo, extensão ou programa) com motivo; outra pessoa aprova antes de chegar às máquinas; Remover tira do Defender também.
Políticas: como configurar o Defender com um perfil de configuração.
Alertas
Uma ameaça achada pelo Defender abre o alerta de segurança Microsoft Defender detected a threat: crítico quando a ameaça ainda está ativa, senão pela severidade (severe → crítico, high → alto, as outras → aviso). Ele abre só na primeira vez que o Hive vê aquela ameaça naquele computador.
Um computador Windows sem Defender, com o Defender desligado, com a proteção em tempo real desligada estando ativo, ou com assinaturas de mais de 3 dias abre o alerta de conformidade Microsoft Defender not protecting (alto com o Defender desligado, aviso nos outros casos). Ele fecha sozinho quando o computador volta ao normal.
O agente informa a cada 15 minutos, e de novo logo depois de uma varredura ou atualização pedida pela console.
Passo a passo: políticas e exclusões
- Abra Entrega › Configuração, Novo perfil, sistema Windows, escolha o modo e Onde vale. 2. Adicionar item › Microsoft Defender e ajuste Proteção em tempo real, Monitoramento de comportamento, Proteção na nuvem (Desligada, Básica, Avançada (recomendado)), Enviar amostras à Microsoft (Amostras seguras automaticamente (recomendado), Perguntar ao usuário, Todas automaticamente, Nunca) e Aplicativos potencialmente indesejados (PUA) (Bloquear, Só auditar, Desligado). Salve.
- A proteção contra adulteração só é lida: muda pelo Intune ou pelo portal do Defender. Ligada, o Windows pode recusar mudanças de qualquer ferramenta.
- Para uma exclusão, abra Exclusões, clique em Pedir exclusão, escolha o Tipo (Pasta ou arquivo, Extensão, Programa), o Valor e Por que é necessária (10 a 500 caracteres), e clique em Pedir. Outra pessoa com config:write clica em Aprovar; o pedido também aparece em Decisões.
- Perfis não aceitam exclusões; elas só entram por esta aba.
Exemplo prático: um surto em dois notebooks
- Segunda-feira 9:10, o alerta Microsoft Defender detected a threat abre como crítico para SALES- NB-22 : Trojan:Win32/Wacatac.B!ml , ainda ativo, em C:\Users\joao\Downloads\proposta.pdf.exe .
- Em Visão geral, filtre Com ameaças: SALES-NB-22 e SALES-NB-31 têm ameaças em 30 dias.
Selecione os dois e clique em Varredura completa: "Enviado a 2 computador(es); 0 sem agente." Depois Atualizar assinaturas em todo o filtro de Vendas.
- Os resultados chegam com o próximo relatório do Defender: última varredura completa "hápoucos minutos", ameaças agora em quarentena (a aba Ameaças mostra o resultado por arquivo).
- Um arquivo em SALES-NB-31 era a ferramenta de macros da própria equipe de vendas, um falso positivo. Lia clica em Devolver (quarentena): isso cria um pedido de resposta a incidente "Devolver o que o Defender pôs em quarentena" com o nome da ameaça; outro administrador aprova e o Defender devolve o arquivo.
- Para evitar novos falsos positivos, Lia abre Exclusões › Pedir exclusão: Programa, pricingtool.exe , "Ferramenta de preços de vendas assinada pelo fornecedor, marcada pelo ML a cada atualização". Marcos aprova; na próxima atualização da política os computadores aplicam.
Quando o fornecedor corrigir a assinatura, Lia clica em Remover e o Hive tira a exclusão do Defender também.
Cuidados e limites
Varreduras e atualizações exigem alerts:admin ; exclusões exigem config:write , e quem pediu não aprova. Uma ação em lote vale para 1 a 1.000 computadores; computadores sem agente são pulados.
As exclusões valem para todos os computadores Windows gerenciados pelo Hive; o formulário não tem alcance. Exclusão de caminho precisa de caminho completo do Windows ( C:\Build ou %ProgramData%\Tool ); extensões como .tmp ; programas como tool.exe ou um caminho completo terminando em .exe . Aspas, ponto e vírgula e quebras de linha são recusados.
Remover uma exclusão no Hive a tira do Defender; exclusões criadas fora do Hive ficam como estão.
Com o freio de emergência puxado, perfis e exclusões só são conferidos, não aplicados.
O Defender em Passivo (outro antivírus) não conta como desligado; a idade das assinaturas continua sendo conferida.
Relacionados
Resposta a incidente
Perfis de configuração
Detecção e caça
Alertas
Conformidade
Privilégios e administrador temporário
Tela: Privilégios e administrador temporário
Ninguém precisa ser administrador local permanente. Em Entrega › Privilégios › Administrador temporário alguém pede direito de administrador local para uma conta numa máquina, por um tempo limitado e com motivo; outra pessoa aprova; o agente põe a conta nos administradores locais e a tira no fim. A aba Remoção de software da mesma tela tem artigo próprio.
O que você pode fazer aqui
Pedir administrador temporário para uma conta local ou do domínio numa máquina, de 15 minutos a 8 horas, com motivo e chamado opcional.
Aprovar ou Negar pedidos feitos por outras pessoas.
Encerrar agora uma elevação ainda ativa.
Acompanhar cada pedido com a situação: Esperando aprovação, Começando, Ativo (com "até …"), Encerrado, Negado ou Falhou (com a mensagem do agente).
Passo a passo
- Abra Entrega › Privilégios (aba Administrador temporário) e clique em Pedir administrador temporário (exige assets:write ).
- Em Máquina, digite parte do nome e escolha em Escolha a máquina. Quando a máquina tem usuário principal, Conta já vem preenchida com ele.
- Confira a Conta: uma conta local ( ana ) ou do domínio ( AURORA\ana ). As contas nativas root , administrator e administrador são recusadas.
- Escolha Por quanto tempo: 15, 30, 60, 120, 240 ou 480 minutos.
- Escreva o Motivo (5 a 500 caracteres) e, se tiver, o Chamado (opcional). Clique em Enviar para aprovação.
- Outra pessoa com agents:admin ou settings:admin clica em Aprovar na lista, ou em Decisões. Quem pediu nunca vê Aprovar no próprio pedido.
- A situação vai para Começando e, quando o agente confirma, para Ativo com o horário do fim.
O agente põe a conta no grupo de administradores locais: Administrators no Windows, admin no macOS, wheel ou sudo no Linux.
- No fim do prazo o agente tira a conta: ele mesmo agenda a retirada quando concede o direito, e o Hive, que confere a cada minuto, também manda a retirada quando o tempo acaba, então ela acontece mesmo se o agente reiniciar no meio. Encerrar agora tira antes do prazo.
Liberações sob demanda (JIT) e classes de aparelho
Cada agente tem uma classe (ADR-0004): Estação, Host de VDI, Servidor ou Tier 0. A classe define um teto do que o agente aceita, e a console só consegue baixá-lo.
Administrador temporário é liberado em estações e hosts de VDI, desligado em servidores e ausente no Tier 0. Num servidor o pedido pode ser aprovado, mas o agente recusa e a situação vai para Falhou com "The device class "server" does not allow "elevate"." Para servidor, use uma conta privilegiada gerenciada fora do Hive.
Algumas capacidades são sob demanda (JIT) ou condicionadas numa classe, por exemplo o terminal remoto em qualquer classe, scripts e a Loja em servidores, ou desinstalar em servidores.
Elas só chegam à máquina com uma base que o núcleo assina e o agente confere: uma liberação JIT aprovada, uma tarefa aprovada (implantação, resposta a incidente, pedido da Loja, sessão remota), uma janela de manutenção (só condicionadas) ou, nas estações, o rollout por anel.
Para pedir uma liberação JIT, abra Ativos › Agentes › Classes, seção Liberações sob demanda (JIT), escolha a máquina em Teto de um aparelho e clique em Pedir liberação na capacidade: 5 a 480 minutos (60 por padrão) e motivo de 10 a 500 caracteres. Outra pessoa com agents:admin aprova; dá para revogar a qualquer momento. Uma capacidade já liberada, ou que a classe não permite, não pode ser liberada.
Exemplo prático: Ana instala o driver de uma impressora
Ana, do Financeiro, precisa instalar o driver de uma impressora de etiquetas nova no notebook FIN-NB-014 .
- Paulo (service desk) abre Entrega › Privilégios, clica em Pedir administrador temporário, digita FIN-NB e escolhe FIN-NB-014 · [email protected] . Conta vem com ana ; ele troca para AURORA\ana , a conta do domínio com que ela entra.
- Por quanto tempo: 30 minutos. Motivo: "Instalar o driver da impressora de etiquetas Zebra ZD421". Chamado (opcional): INC-4821 . Enviar para aprovação. A lista mostra "30 min · pedido por [email protected]" e Esperando aprovação.
- Marta (administradora de endpoints) vê o pedido em Decisões e clica em Aprovar: "Aprovado; o agente concede agora." A situação vai para Começando e, segundos depois, Ativo · até 14:42.
- Ana instala o driver. Às 14:42 o agente tira AURORA\ana dos administradores locais e a situação mostra Encerrado. Se ela terminasse antes, Paulo poderia clicar em Encerrar agora. 5. A trilha de auditoria guarda o pedido, a aprovação, o início e o fim, com o chamado.
Exemplo prático: por que o servidor de banco recusa
Paulo pede 60 minutos de administrador para svc-deploy em SRV-SQL-02 . Marta aprova. O agente de SRV-SQL-02 tem a classe Servidor, então o pedido termina em Falhou com "The device class "server" does not allow "elevate"." É de propósito: em servidores, uma console comprometida não pode distribuir direito de administrador. Para uma mudança pontual, a equipe usa uma implantação aprovada por outra pessoa, cuja aprovação vai como base assinada, ou pede uma liberação JIT em Ativos ›Agentes › Classes para uma capacidade que é sob demanda em servidores (scripts, por exemplo).
Cuidados e limites
Uma pessoa sozinha não consegue: quem pede nunca aprova o próprio pedido. Quem aprova precisa de agents:admin ou settings:admin .
A máquina precisa de agente do Hive; sem ele a aprovação é recusada ("The device has no Hive agent.").
A console oferece de 15 minutos a 8 horas; a API aceita de 5 a 480 minutos.
A retirada mandada pelo Hive espera a máquina: se ela estiver desligada quando o prazo acabar, a tarefa fica na fila por até 7 dias e sai quando o agente voltar. Máquina desligada por mais tempo: confira, por exemplo com o item Administradores locais de um perfil de configuração e a opção Remover os demais (contas nativas ficam).
Pedidos não expiram sozinhos enquanto esperam: negue os que você não quer.
Muitas tarefas de impacto de uma vez (mais de 200 estações por hora, por padrão) ficam retidas para uma segunda pessoa em Ativos › Agentes › Classes.
Relacionados
Regras de remoção de software
Controle de aplicações
Agentes
Decisões
Trilha de auditoria
Regras de remoção de software
Tela: Regras de remoção de software
Uma regra de remoção mantém um programa de alto risco fora das suas máquinas: ela diz qual programa, em quais máquinas e quem é exceção. Depois que outra pessoa aprova, o Hive procura o programa de hora em hora e manda a desinstalação para cada máquina onde o encontra. Fica em Entrega › Privilégios › Remoção de software.
O que você pode fazer aqui
Criar uma regra com Nova regra de remoção: o programa (nome exato ou qualquer nome que o contenha), o sistema (Windows ou Linux), onde ela age (locais e tags) e as exceções (máquinas, grupos ou pessoas).
Ver Onde está, antes e depois da aprovação: quantas máquinas perderiam o programa e quantas as exceções mantêm.
Aprovar uma regra escrita por outra pessoa (quatro olhos).
Rodar agora em vez de esperar a passada de hora em hora.
Editar, desligar (Regra ligada) ou Remover uma regra.
Acompanhar a situação de cada regra (Esperando aprovação, Ligada, Desligada), quantas remoções ela enviou e quando rodou pela última vez.
Passo a passo
- Abra Entrega › Privilégios e a aba Remoção de software.
- Clique em Nova regra de remoção (exige a permissão de alterar configuração, config:write ).
- Preencha Nome da regra e Programa, digitado como o inventário mostra (2 a 200 caracteres: letras, números, espaços e . _ + ( ) - ).
- Deixe Nome exato (desligado: qualquer nome que contenha) ligado para casar só aquele nome exato (sem diferenciar maiúsculas), ou desligue para pegar todo nome que contenha o texto, como versões no nome.
- Escolha o Sistema: Windows ou Linux. Uma regra cobre um sistema.
- Limite onde ela age com Locais (vazio: todos) e Tags (vazio: todas). Locais casam pelo nome e tags pelo texto; preenchendo os dois, a máquina precisa casar com ambos. Vazio vale para todas as máquinas daquele sistema com agente do Hive.
- Acrescente as Exceções: Máquinas (ID) (cole o ID da máquina, da página dela), Grupos (ID) (máquinas nesses grupos ficam com o programa) e Pessoas (o usuário principal da máquina, como ana ou [email protected] ; só a parte antes do @ é comparada). Até 500 de cada tipo.
- Mantenha Regra ligada e clique em Salvar. A regra fica Esperando aprovação.
- Clique em Onde está para ver a lista: cada máquina, o nome do programa encontrado e a marca Exceção nas máquinas que ficam com ele.
- Outra pessoa com a permissão de administrar pacotes ( store:admin ) clica em Aprovar. O pedido também aparece para ela em Decisões. Quem criou a regra nunca vê o botão Aprovar nela.
- A partir daí a regra roda de hora em hora. Clique em Rodar agora para criar a implantação de remoção na hora.
Exemplo prático: remover o qBittorrent das estações
A equipe de segurança achou o qBittorrent em vários notebooks. Carla (service desk, config:write ) escreve a regra e Bruno (administrador de pacotes, store:admin ) aprova.
- Carla abre Entrega › Privilégios › Remoção de software e clica em Nova regra de remoção. 2. Nome da regra: Remover qBittorrent . Programa: qBittorrent . O inventário mostra nomes como qBittorrent 4.6.5 , então ela desliga Nome exato.
- Sistema: Windows. Locais: vazio. Tags: workstation , a tag que a equipe põe em notebooks e desktops, para deixar os servidores de fora.
- Exceções: em Máquinas (ID) ela cola o ID de LAB-SEC-07 , o notebook do laboratório de malware; em Pessoas digita rafael , o pesquisador que testa tráfego de torrent. Salva.
- Clica em Onde está: "37 máquina(s) para remover, 2 mantida(s) pelas exceções." LAB-SEC-07 e o notebook do Rafael aparecem com a marca Exceção.
- Bruno abre Decisões, vê Remover qBittorrent , abre a aba e clica em Aprovar. A regra fica Ligada. Se a Carla tentasse aprovar a própria regra, o Hive recusaria: "Whoever created the rule does not approve it." 7. Bruno clica em Rodar agora: "Implantação de remoção criada." O Hive cria uma implantação por nome de programa encontrado. Com qBittorrent 4.6.5 e qBittorrent 5.0.1 no inventário, aparecem duas implantações em Entrega › Implantações, com os nomes Remover qBittorrent · remover qBittorrent 4.6.5 e Remover qBittorrent · remover qBittorrent 5.0.1 . Elas já nascem aprovadas (vale a aprovação da regra), têm uma única onda e começam a rodar.
- Em cada notebook o agente procura o programa entre os programas instalados da máquina. Um pacote MSI é removido com msiexec /x … /qn /norestart ; outro instalador roda o comando de
desinstalação silenciosa ou o comando de desinstalação com /S . Se o programa já saiu, a máquina responde "not installed".
- A linha da regra passa a mostrar "37 remoção(ões) enviada(s)" e quando rodou. De hora em hora a regra roda de novo: máquinas que já receberam a remoção não recebem outra enquanto o programa continuar listado, e máquinas novas com qBittorrent recebem a sua.
E se o usuário reinstalar: na primeira passada depois que o inventário daquele notebook deixa de listar o qBittorrent, o Hive limpa a marca de "enviado" daquela máquina e programa. Quando o usuário instala de novo e o próximo inventário o lista, a passada seguinte manda uma nova remoção. O programa volta e é removido de novo.
Exemplo prático: bloquear antes e remover o que está instalado
Remover as cópias instaladas não impede um qbittorrent.exe portátil rodando da pasta Downloads. Combine a regra com o controle de aplicações:
- Em Entrega › Configuração, clique em Novo perfil: nome Bloquear qBittorrent , sistema Windows, modo Corrigir, Onde vale: tag workstation .
- Adicionar item › Programas bloqueados. Em Modo na máquina escolha Só registrar (teste antes). Em Regras conferidas pelo agente (qualquer sistema), clique em Adicionar regra: tipo Nome, valor qbittorrent.exe , ação Negar. Salve; as máquinas recebem o perfil em até 5 minutos.
- Durante uma semana, acompanhe Segurança › Controle de aplicações: qbittorrent.exe aparece com o resultado Seria bloqueado, o número de máquinas e quantas vezes rodou. Nadaé parado ainda.
- Enquanto isso, a regra de remoção acima desinstala as cópias instaladas de hora em hora. 5. Quando a lista não trouxer surpresas (só o qBittorrent, só onde você esperava), edite o item e passe Modo na máquina para Bloquear. A partir daí o agente encerra o qbittorrent.exe cerca de um segundo depois que ele começa, a tela mostra Bloqueado e o alerta Application blocked abre para cada máquina e programa.
Veja os detalhes das regras em Controle de aplicações.
Cuidados e limites
Aprovação: criar, editar, remover e Rodar agora exigem config:write ; aprovar exige store:admin e precisa ser outra pessoa, não quem criou. O freio de emergência para a passada de hora em hora e recusa o Rodar agora ("The emergency brake is pulled").
Volta para aprovação: mudar o programa, o nome exato, o sistema, os locais ou as tags volta a regra para Esperando aprovação. Mudar o nome, as exceções ou Regra ligada não volta.
O editor mostra só locais e tags. Grupos e departamentos só podem ser usados como alcance pela API; salvar a regra de novo pela console manda só locais e tags.
Exceções por ID: máquinas e grupos são informados pelo ID, não pelo nome. Uma máquina cai na exceção de Pessoas pelo seu usuário principal.
O que é encontrado: só máquinas ativas com agente do Hive, do sistema escolhido, cujo inventário lista o programa. No Windows o agente desinstala programas instalados para a
máquina toda; uma cópia instalada só para um usuário, ou um programa portátil, não é removida (bloqueie com o controle de aplicações).
Passada de hora em hora: a primeira passada roda cerca de 90 segundos depois que o núcleo sobe e depois uma vez por hora. Onde está lista até 2.000 máquinas (a janela mostra as 200 primeiras).
Janelas de manutenção: a implantação de remoção respeita a janela de implantação de cada local; uma máquina num local fora da janela espera ("waiting-window"). Máquinas desligadas são tentadas de novo; quando a implantação já roda há 24 horas, a máquina ainda desligada fica como falha ("device offline").
Classes de aparelho (ADR-0004): desinstalar é liberado em estações; em hosts de VDI e servidores é condicionado e precisa de uma base assinada (uma aprovação, uma janela de manutenção ou uma liberação JIT). A aprovação da regra vai com cada remoção como essa base, então os servidores no alcance não precisam de liberação JIT para ela; uma desinstalação manual num servidor sem aprovação precisaria. Em máquinas Tier 0 (controladores de domínio, os servidores do Hive, CA, backup) desinstalar nunca é permitido e a tarefa falha com "The device class "tier0" does not allow "uninstall"."
Limite de alcance: por padrão uma classe aceita tarefas de impacto em no máximo 200 estações, 200 hosts de VDI, 5 servidores ou 1 máquina Tier 0 por hora. Acima disso, as tarefas ficam retidas e esperam uma segunda pessoa em Ativos › Agentes › Classes (Retidas pelo limite de alcance); sem aprovação em 24 h, são recusadas. Mantenha pequenas as remoções em servidores ou aprove as tarefas retidas.
Remover uma regra mantém as implantações que ela já enviou.
Relacionados
Controle de aplicações
Privilégios e administrador temporário
Implantações
Perfis de configuração
Decisões
Agentes
Elevação por aplicativo
Tela: Elevação por aplicativo
A elevação por aplicativo deixa uma pessoa rodar um programa específico como administrador sem virar administradora da máquina. As regras dizem quais programas: pelo hash do arquivo (SHA-256), pelo publicador (o assinante Authenticode no Windows, o team ID no macOS) ou pelo caminho com curingas. Cada regra eleva automaticamente, pede aprovação ou nega. Fica em Entrega › Privilégios› Elevação por aplicativo.
O que você pode fazer aqui
Criar uma regra com Nova regra: nome, modo (Elevar automaticamente, Pedido e aprovação ou Negar), Hash SHA-256, Publicador, Caminho, alcance (Grupos e Tags) e Duração máxima (minutos).
Editar uma regra (desligue com Ligada) ou removê-la. Remover uma regra devolve os programas que ela liberava ao padrão, Pedido e aprovação.
Pedir uma elevação com Pedir elevação: Aparelho (busque e use Escolha o aparelho), Conta, Caminho, Hash SHA-256, Publicador e Motivo; depois Enviar pedido.
Aprovar ou Negar pedidos na fila de Pedidos, com Observação (opcional). Quem pediu nunca aprova.
Filtrar a fila pela Situação: Aguardando aprovação, Iniciando, Rodando elevado, Negado, Recusado, Encerrado ou Falhou.
Passo a passo
- Abra Entrega › Privilégios e a aba Elevação por aplicativo.
- Clique em Nova regra (criar, mudar e remover regras precisa de agents:admin ou settings:admin ).
- Preencha pelo menos um entre Hash SHA-256, Publicador e Caminho. Quando preencher mais de um, o programa precisa casar com todos. O caminho aceita os curingas * e ?
(caminhos do Windows comparam sem caixa, com / igual a \ ) e não pode ser amplo demais.
- Escolha o Modo. Um programa que não casa com nenhuma regra segue Pedido e aprovação com 60 minutos.
- Limite a regra com Grupos e Tags (vazio vale para todas as estações e hosts de VDI).
- Escolha a Duração máxima (minutos) (5 a 480). No macOS e no Linux é quanto tempo vive a regra de sudo de uso único; no Windows o agente não a usa (veja os limites).
- Clique em Salvar.
- Quando uma pessoa precisar de um programa elevado, alguém com assets:write clica em Pedir elevação e preenche o aparelho, a conta, o caminho (sem curingas), o hash ou o publicador quando souber e o motivo (5 a 500 caracteres). O núcleo escolhe a regra usando exatamente o que foi digitado.
- Com Elevar automaticamente o pedido vai direto ao agente; com Negar fica Negado na hora. Nos outros casos um administrador com agents:admin ou settings:admin aprova ou nega.
Aprovado, o agente confere o arquivo e abre só aquele processo elevado.
Exemplo prático: deixar o financeiro rodar o instalador do token do banco
Ana (central de serviços) precisa que os notebooks do financeiro rodem C:\Program Files\BankCo\TokenSetup\setup.exe como administrador, mas ninguém do financeiro deve ser administrador local.
- Ana abre Entrega › Privilégios › Elevação por aplicativo e clica em Nova regra.
- Nome: Instalador do token do banco . Modo: Pedido e aprovação.
- Publicador: BankCo S.A. (o nome simples do assinante, como o Windows mostra na assinatura digital do arquivo); Caminho: C:\Program Files\BankCo\*\setup.exe . Os dois precisam casar, então uma cópia renomeada assinada por outro não passa.
- Tags: financeiro . Duração máxima (minutos): 30. Ela clica em Salvar.
- Carla, do financeiro, liga para a central. Ana clica em Pedir elevação, escolhe FIN-NB-12 , digita a conta carla , o caminho, o publicador BankCo S.A. e o motivo Instalar o novo token do banco e clica em Enviar pedido. Sem o publicador a regra não casaria e o pedido seguiria o padrão.
- Bruno ( agents:admin ) abre a fila de Pedidos, lê o motivo, clica em Aprovar e de novo em Aprovar na janela. Ana não conseguiria aprovar o próprio pedido.
- O agente do FIN-NB-12 lê o arquivo, calcula o SHA-256, confere que o assinante Authenticode válido é BankCo S.A. e abre só o setup.exe elevado na sessão da Carla, por uma tarefa agendada de uso único. A Carla fica no grupo Administradores só nos poucos segundos da partida da tarefa.
- O pedido mostra Rodando elevado. A auditoria registra quem pediu, quem aprovou e quando o processo começou; o pedido guarda o hash que o agente calculou.
- A Carla termina a instalação. No Windows o agente não encerra o processo depois de 30 minutos: ele roda até o instalador fechar.
Cuidados e limites
Servidores e Tier 0 sempre recusam. Pela ADR-0004 a classe servidor não permite elevação e o Tier 0 não tem o módulo. Aparelho de classe ainda desconhecida também é recusado. O núcleo recusa o pedido e o agente recusa a tarefa de novo; o pedido mostra Recusado.
Caminho sozinho é fraco. Quem consegue gravar na pasta troca o arquivo. Combine o caminho com o publicador ou use o hash.
O hash quebra a cada atualização. Uma versão nova do programa tem outro hash; atualize a regra ou case pelo publicador.
Negar vence. Quando uma regra de negar e uma de liberar casam com o mesmo programa, o programa é negado. Entre as outras vence a mais específica: hash, depois publicador, depois caminho.
O casamento usa o que foi digitado. Uma regra com hash ou publicador só casa com um pedido que traga o mesmo hash ou publicador. O agente depois compara com o arquivo real: hash mudado ou outro assinante deixa o pedido em Falhou.
Windows: o agente confere o hash de novo logo antes da partida, roda o programa por uma tarefa agendada de uso único (nível mais alto) na sessão da pessoa, põe a pessoa em Administradores só durante a partida e apaga a tarefa logo depois. Nenhum driver de kernel é usado. A duração não é aplicada: o processo não é encerrado quando ela acaba.
macOS e Linux: o agente grava uma regra do sudoers de uso único presa ao hash do arquivo (resumo sha256: ), validada com visudo , e a apaga no fim da duração; a pessoa roda o programa com sudo . Um processo que já está rodando continua. O publicador é o team ID do codesign no macOS; o Linux não confere publicador, então um pedido com publicador falha lá.
O que vai para a auditoria: mudanças de regra, pedido, decisão e o início (ou a falha) do processo. O fim do processo e da duração ainda não são informados, então o pedido fica em Rodando elevado; Encerrado ainda não é marcado.
Relacionados
Privilégios e administrador temporário
Controle de aplicativos
Decisões
Agentes
Aplicações (OpenTelemetry)
Tela: Aplicações (OpenTelemetry)
Aplicações (Monitorar › Aplicações) mostra os serviços que mandam OpenTelemetry ao Hive: requisições por minuto, percentual de erros, latência média e máxima, logs de erro, o host onde rodam e quem chama quem. Você manda traces, métricas e logs por OTLP/HTTP com o token de uma conta de integração; o Hive não instala nada no servidor da aplicação.
O que você pode fazer aqui
Ver cada serviço que manda telemetria, com Req/min, Erros, Média, Máximo, Logs de erro e Último dado, numa Janela dos últimos 15 minutos aos últimos 30 dias.
Buscar um serviço pelo nome, ambiente ou host.
Abrir um serviço para ver o mapa de tráfego (Chamado por à esquerda, Chama à direita), requisições e erros por minuto, as operações e os últimos avisos e erros dos logs.
Clicar numa caixa do mapa (outro serviço, um banco, uma API de fora) para ver as chamadas entre ela e o serviço.
Abrir Quem chama quem, o grafo de dependências de todos os serviços.
Ir da coluna Host para o ativo quando o host é uma máquina do inventário.
Pegar o endereço OTLP e uma configuração pronta do OpenTelemetry Collector para copiar.
Mandar telemetria ao Hive
- Crie uma conta de integração com o escopo Telemetria (OpenTelemetry: enviar métricas, traces e logs) e copie o token (o link Criar a conta de integração (Integrações › API) desta tela
abre essa página). O token aparece uma vez só.
- Aponte o OpenTelemetry Collector, ou o SDK da aplicação direto, para o endereço mostrado na tela: https://<endereço do seu Hive>/api/v1/otlp , com o cabeçalho Authorization: Bearer <token> . O Hive aceita OTLP/HTTP em protobuf ou JSON, com ou sem gzip, em /v1/traces , /v1/metrics e /v1/logs .
- No recurso de cada aplicação, informe service.name , deployment.environment.name e host.name . O Hive agrupa por serviço e ambiente e liga o serviço ao ativo cujo nome, hostname ou FQDN éigual ao host.name (ou ao k8s.node.name ).
- Abra Monitorar › Aplicações. Os serviços aparecem assim que chega o primeiro lote; escolha a Janela e clique no nome de um serviço.
A tela mostra esta configuração do Collector (copie e troque a variável do token):
exporters: |
|---|
otlphttp/hive: |
|---|
endpoint: https://<endereço do seu Hive>/api/v1/otlp |
|---|
headers: |
|---|
Authorization: "Bearer ${env:HIVE_TOKEN}" |
|---|
service: |
|---|
pipelines: |
|---|
traces: { receivers: [otlp], exporters: [otlphttp/hive] } |
|---|
metrics: { receivers: [otlp], exporters: [otlphttp/hive] } |
|---|
logs: { receivers: [otlp], exporters: [otlphttp/hive] } |
|---|
O que o Hive faz com cada sinal
Traces: os spans são somados por minuto, serviço, ambiente, tipo e operação. Spans de servidor e de consumidor contam como requisições; spans com status Error contam como erros. A operação é o método e a rota HTTP ( GET /orders/ ) quando o http.route vem preenchido.
Spans de cliente e de produtor viram dependências: o destino é o peer.service , o server.address:porta , o messaging.destination.name , o rpc.service ou, para bancos, db.system/db.name .
Logs: contados por minuto e severidade; de cada minuto fica a última mensagem como amostra. Logs de erro conta error e fatal; a página do serviço lista avisos e erros.
Métricas: pontos de hosts que estão no inventário viram métricas do ativo com o prefixo otel. (por exemplo otel.http.server.duration ), mostradas na aba Monitoramento do ativo. A mesma aba tem o painel Aplicações nesta máquina com os serviços daquele host nos últimos 15 minutos.
Exemplo prático: acompanhar o serviço de checkout da loja online
A equipe roda checkout e catalog (Java, agente OpenTelemetry) no srv-shop01 , que já é um ativo com o agente do Hive, e um banco PostgreSQL shop .
- Na página de API e contas de integração, o administrador cria a conta "OTel Collector – loja" com o escopo Telemetria (OpenTelemetry: enviar métricas, traces e logs) e copia o token.
- No srv-shop01 , o Collector recebe a configuração copiada da tela, com HIVE_TOKEN igual ao token.
Os agentes Java rodam com OTEL_SERVICE_NAME=checkout (e catalog ),
OTEL_RESOURCE_ATTRIBUTES=deployment.environment.name=prod,host.name=srv-shop01 e exportam para o Collector local.
- Um minuto depois, Monitorar › Aplicações mostra Serviços 2. checkout · prod tem 420 Req/min, Erros 0,4% (selo verde), Média 85 ms, Máximo 1.900 ms, e a coluna Host é um link para o srv-shop01 .
- Clicar em checkout abre Mapa de checkout · prod: à esquerda, Chamado por ainda não mostra nada (as chamadas vêm do navegador); à direita, Chama mostra catalog e postgresql/shop (marcado como "dependência externa"), cada ligação com o número de chamadas e o tempo médio.
- Embaixo, Dados de checkout mostra as barras de requisições e erros por minuto e as operações: POST /cart/checkout com 3.100 chamadas e 12 erros, GET /cart com 9.400 chamadas.
- Clicar na caixa postgresql/shop troca o painel de baixo para Dados de postgresql/shop: 18.000 chamadas, 0 erros, média de 4 ms.
- No ativo srv-shop01 , a aba Monitoramento agora lista checkout e catalog em Aplicações nesta máquina.
Exemplo prático: ser avisado quando o checkout falhar
- Vá em Monitorar › Regras de alerta e clique em Nova regra.
- Em O que observar, escolha Aplicações.
- Em Condição: Medida = Percentual de erros, Alertar acima de (%) = 5, Nos últimos (min) = 10, Serviço (vazio = todos) = checkout .
- Em Severidade, escolha Alto; em Ações, escolha o canal da equipe da loja; salve em Revisar e salvar.
- O Hive confere a regra a cada minuto. Quando o checkout passa de 5% de erros nos últimos 10 minutos, abre um alerta para checkout@prod com um texto como "7.2% errors (31 of 430) in 10 min", ligado ao srv-shop01 . Quando a taxa volta para menos de 5%, o alerta se resolve sozinho ("The service is back within the limit").
Outras medidas: Latência média com Alertar acima de (ms), e Requisições por minuto (abaixo de) com Alertar abaixo de (req/min) para pegar um serviço que parou de receber tráfego.
Cuidados e limites
Só uma conta de integração com o escopo Telemetria pode mandar; a sessão de uma pessoa ou outro escopo recebe "Sending telemetry needs an integration account with the telemetry scope."
Um lote pode ter até 8 MB (depois de desfeito o gzip); lotes maiores são recusados — diminua o tamanho do lote do exportador. Cada lote é lido até 50.000 spans ou registros de log.
Sem service.name o serviço aparece como unknown_service . Sem host.name (ou k8s.node.name ) o serviço fica sem host e sem link para ativo; o host precisa ser um ativo ativo com o mesmo nome, hostname ou FQDN.
Métricas só viram histórico do ativo quando o host está no inventário; métricas de outros hosts não são guardadas.
Minutos de spans e logs, e serviços sem dados, ficam 30 dias. Se a janela escolhida não tem chamadas, Quem chama quem mostra o último tráfego visto em 30 dias e avisa.
O indicador Serviços acima de 5% de erros e o selo vermelho usam 5%; o selo amarelo começa em 1%.
Ver a tela exige permissão de ler ativos; as regras de telemetria seguem o escopo da regra: um serviço cujo host está fora do escopo não dispara.
Relacionados
Alertas e regras
API e contas de integração
Caminho do serviço e mapa lógico
Servidores web e de aplicação
Ativos e inventário
Controle de aplicações
Tela: Controle de aplicações
O controle de aplicações decide quais programas podem rodar nas suas máquinas. As regras ficam no item Programas bloqueados de um perfil de configuração; a tela Segurança › Controle de aplicações mostra o que essas regras negaram, ou negariam enquanto ainda estão em auditoria, por programa e máquina, para você ligar o bloqueio sem surpresas.
O que você pode fazer aqui
Ver, nos últimos 1, 7, 30 ou 90 dias, quantas execuções Seria bloqueado (auditoria), foram Bloqueado ou Não conseguiu encerrar, e em quantas Máquinas.
Listar cada programa negado com caminho, SHA-256, editor, a regra que casou, o resultado, máquinas, vezes e quando foi visto por último.
Clicar no SHA-256 de um programa para ver quais máquinas o rodaram e quem estava logado.
Ir para Perfis de configuração para escrever ou mudar as regras.
Como as regras funcionam
Um item Programas bloqueados tem duas camadas:
Programas a bloquear (nome do arquivo ou caminho completo): aplicados pelo sistema operacional antes de o programa começar. No Windows usa o AppLocker (as pastas Windows e Arquivos de Programas continuam liberadas e administradores não são bloqueados); no Linux usa o fapolicyd quando instalado. Adicionar outros navegadores (deixar só Chrome e Edge) preenche a lista com os outros navegadores comuns.
Regras conferidas pelo agente (qualquer sistema): o agente olha cada processo novo cerca de uma vez por segundo e compara pelo SHA-256 do arquivo, pelo Editor assinado (Authenticode no Windows, codesign no macOS; o texto digitado é procurado dentro do nome do editor), pelo Caminho ( * casa qualquer coisa) ou pelo Nome ( putty.exe , com ou sem .exe ). Uma regra Negar sempre vence uma regra Permitir.
Lista de permissão: negar o que nenhuma regra permite inverte a lógica: tudo o que nenhuma regra de permitir cobre é negado, menos os programas das pastas do sistema e dos programas instalados. Processos protegidos do sistema e o próprio agente nunca são tocados.
Modo na máquina decide o que acontece quando casa: Só registrar (teste antes) só registra (Seria bloqueado); Bloquear encerra o processo logo depois que ele começa (Bloqueado) e abre o alerta Application blocked, um por máquina e programa. O agente só bloqueia quando o item está em Bloquear e o perfil está no modo Corrigir; um perfil em Só avisar mantém todas as regras em auditoria.
Passo a passo
- Abra Entrega › Configuração e clique em Novo perfil (ou edite um existente). Escolha o sistema, o modo e Onde vale (localidades, tags e grupos; vazio vale para todas as máquinas daquele sistema).
- Clique em Adicionar item e escolha Programas bloqueados.
- Mantenha Modo na máquina em Só registrar (teste antes).
- Preencha Programas a bloquear e/ou clique em Adicionar regra em Regras conferidas pelo agente: escolha o Tipo da regra (SHA-256, Editor, Caminho, Nome), digite o Valor e escolha Negar ou Permitir.
- Salvar. As máquinas recebem o perfil em até 5 minutos.
- Abra Segurança › Controle de aplicações, escolha o Período e revise a lista Programas. Clique num SHA-256 para ver as máquinas.
- Quando a lista tiver só o que você queria parar, edite o item e passe Modo na máquina para Bloquear (com o perfil em Corrigir).
Exemplo prático: bloquear o qBittorrent em auditoria, depois de verdade, enquanto uma regra de remoção limpa
- Em Entrega › Configuração, crie o perfil Bloquear qBittorrent : sistema Windows, modo Corrigir, Onde vale: tag workstation .
- Adicionar item › Programas bloqueados. Modo na máquina: Só registrar (teste antes). Adicionar regra: Nomeqbittorrent.exe , Negar. Salve.
- Em Entrega › Privilégios › Remoção de software, crie a regra Remover qBittorrent (programa qBittorrent , nome exato desligado, Windows, tag workstation ) e peça para um colega aprovar. Veja Regras de remoção de software.
- Depois de um dia, Segurança › Controle de aplicações com Últimos 7 dias mostra Seria bloqueado: 54 em Máquinas: 12, com a nota "execuções em auditoria: nada foi parado". A lista Programas tem qbittorrent.exe com a regra name:qbittorrent.exe e o caminho C:\Program Files\qBittorrent\qbittorrent.exe em 10 máquinas e C:\Users\joao\Downloads\qbittorrent_portable\qbittorrent.exe em 2. Você clica no SHA-256 da cópia portátil e vê os dois notebooks e os usuários.
- A regra de remoção desinstala as cópias em Arquivos de Programas nas passadas de hora em hora. As cópias portáteis não são programas instalados, então a regra de remoção não mexe nelas.
- Uma semana depois nada inesperado apareceu. Você edita o item e passa Modo na máquina para Bloquear. Na próxima atualização da política, quando o João abre a cópia portátil, o agente a encerra cerca de um segundo depois que ela começa. A tela mostra Bloqueado e o alerta Application blocked abre para o notebook dele com "Blocked C:\Users\joao\Downloads\…\qbittorrent.exe (name:qbittorrent.exe)".
- Se uma linha mostrar Não conseguiu encerrar, confira as permissões do agente naquela máquina: o programa continuou rodando.
Cuidados e limites
As regras do agente encerram o programa depois que ele aparece (a conferência é cerca de uma vez por segundo); uma execução muito curta pode terminar antes. Para impedir antes de começar no Windows ou no Linux, ponha também em Programas a bloquear (AppLocker ou fapolicyd). O AppLocker não bloqueia administradores.
Programas a bloquear no macOS precisa de MDM; no macOS use as regras do agente.
Regras de hash precisam do SHA-256 de 64 caracteres; uma versão nova do programa tem outro hash. Regras de Nome são fáceis de driblar renomeando o arquivo; Editor ou Hash são mais difíceis.
Ligar a Lista de permissão sem testar pode parar programas de negócio instalados fora de Arquivos de Programas: sempre comece em Só registrar.
Um item aceita até 200 programas a bloquear e 500 regras do agente. Os eventos ficam guardados por 180 dias.
Só o que as regras do agente decidem chega a esta tela, enviado pelo agente em lotes a cada 30 segundos; as decisões do AppLocker e do fapolicyd não aparecem aqui.
Relacionados
Regras de remoção de software
Perfis de configuração
Privilégios e administrador temporário
Alertas
Controle de dispositivos (USB)
Indicadores de ataque (caça de IoC)
Tela: Indicadores de ataque (caça de IoC)
Um indicador de comprometimento é o SHA-256 de um arquivo, um domínio ou um endereço IP ligado a uma campanha de ataque. Segurança › Indicadores de ataque guarda os seus indicadores e os procura em todas as máquinas com agente e nos fluxos de rede; cada achado abre um alerta, que pode isolar a máquina.
O que você pode fazer aqui
Adicionar indicadores colando uma lista, com a gravidade do alerta quando um for achado.
Trazer indicadores sozinho do MISP ou do AlienVault OTX e Ler agora as fontes.
Caçar agora em todas as máquinas, incluindo, se quiser, os arquivos das pastas de usuário e temporárias.
Ver os Achados (máquina, indicador, onde foi achado, quando), os Indicadores (fonte, validade, achados, Remover) e as Caças (quem iniciou, máquinas que responderam, achados).
De onde vêm os indicadores
À mão: Adicionar indicadores, um por linha. O tipo é detectado (SHA-256 de 64 hexadecimais, domínio ou IP); tipo,valor também funciona ( sha256,… , domain,… , ip,… ). Linhas que começam com # são ignoradas. Até 20.000 linhas por vez; as linhas inválidas voltam na resposta.
MISP: conecte em Integrações com o endereço e a chave de automação; entram os atributos marcados para IDS dos últimos 30 dias (sha256, domain, hostname, ip-dst, ip-src).
AlienVault OTX: conecte com a chave da conta; entram os indicadores dos pulses que você assina.
As fontes são lidas a cada 6 horas. Depois de cada leitura, se algum indicador entrou ou mudou desde a última caça, uma caça começa sozinha (aparece como automática em Caças).
Onde a caça procura
Processo rodando: o SHA-256 de cada executável em execução.
Conexão de rede: o IP do outro lado das conexões abertas.
Cache de DNS (Windows): o domínio e os subdomínios.
Arquivo (só com Conferir também os arquivos das pastas de usuário e temporárias): Downloads, Área de Trabalho e pastas temporárias de cada usuário e as pastas temporárias do sistema, até 50.000 arquivos e 3 minutos por máquina.
Fluxo de rede (7 dias): os IPs nos fluxos dos últimos 7 dias de switches e nuvens, mesmo de máquinas sem agente ("fluxo de rede (máquina não identificada)" quando o Hive não sabe qual é a máquina).
Só o que casou sai da máquina. Cada achado abre o alerta Indicator of compromise found com a gravidade do indicador.
Passo a passo
- Abra Segurança › Indicadores de ataque.
- Clique em Adicionar indicadores (exige alerts:admin ), cole a lista em Indicadores, um por linha, escreva a Descrição (campanha, chamado) e escolha a Gravidade do alerta quando achado (Crítico, Alto, Aviso ou Baixo). Clique em Adicionar. A mensagem diz quantos entraram e quantas linhas eram inválidas.
- Clique em Caçar agora, decida sobre Conferir também os arquivos das pastas de usuário e temporárias e clique em Começar a caça.
- Acompanhe a aba Caças: " de {máquinas} responderam" e em andamento enquanto roda (uma caça é considerada terminada em no máximo 30 minutos).
- Leia a aba Achados. Clique na máquina para abrir a aba Segurança dela.
Exemplo prático: alerta do CERT sobre uma campanha de phishing
O CERT nacional manda um boletim sobre uma campanha com dois hashes, um domínio e um IP.
- Lia abre Adicionar indicadores e cola: `` # Boletim CERT 2026-117
sha256,9f2c4e1b7a0d3c5e8f6a1b2c3d4e5f60718293a4b5c6d7e8f9a0b1c2d3e4f5a6 |
|---|
3b8d0e2f4a6c8e0a2b4c6d8e0f1a3b5c7d9e1f3a5b7c9d1e3f5a7b9c1d3e5f7a invoice-portal.example.net |
|---|
203.0.113.45 ` Descrição: CERT 2026-117 – boleto falso`. Gravidade do alerta quando achado: Crítico. Adicionar: "4 indicadores adicionados (0 linhas inválidas)." 2. Ela clica em Caçar agora, liga Conferir também os arquivos das pastas de usuário e temporárias (a campanha deixa o arquivo em Downloads) e Começar a caça. Em Caças a linha mostra "[email protected] · 4 indicadores · com arquivos" e "312 de 340 responderam", depois todas as que estão no ar (só agentes vistos no último dia são consultados).
- Achados mostra duas linhas: FIN-NB-014 , o segundo hash, Arquivo, C:\Users\ana\Downloads\invoice_0425.exe ; e 203.0.113.45 em Fluxo de rede (7 dias) saindo de FIN- NB-014 para a porta 443 no dia anterior.
- O alerta Indicator of compromise found abriu como crítico para FIN-NB-014 . Lia pede para isolar a máquina e pôr o arquivo em quarentena em Resposta a incidente; outra pessoa aprova.
- Uma semana depois o CERT encerra o boletim. Lia remove os quatro indicadores com Remover para que deixem de ser procurados.
Cuidados e limites
Adicionar, remover, ler as fontes e caçar exigem alerts:admin ; ver exige assets:read .
Indicadores adicionados à mão não expiram; remova quando a campanha acabar. Indicadores do MISP e do OTX entram com a gravidade Alto e expiram 90 dias depois da última leitura que os trouxe.
Uma importação manual não caça na hora: clique em Caçar agora, ou espere a verificação automática a cada 6 horas.
A caça só alcança agentes vistos no último dia. Uma máquina que estava desligada é conferida na próxima caça.
O cache de DNS só é lido no Windows; nos outros sistemas os domínios não são procurados na máquina.
A varredura de arquivos lê hashes só nas pastas listadas e para em 50.000 arquivos ou 3 minutos por máquina.
No máximo 20.000 indicadores ativos entram numa caça (os atualizados mais recentemente primeiro).
Relacionados
Resposta a incidente
Detecção e caça
Vulnerabilidades
Alertas
Integrações
Inteligência de ameaças: TAXII, STIX e YARA
Tela: Inteligência de ameaças: TAXII, STIX e YARA
A tela Inteligência de ameaças, no menu Segurança logo abaixo de Indicadores de ataque (essa tela também tem um botão Inteligência de ameaças), amplia a caça de IoC com os formatos padrão de inteligência de ameaças: lê indicadores de servidores TAXII 2.1, importa e exporta pacotes STIX 2.1 e guarda regras YARA que os agentes comparam com os arquivos. Tudo o que entra cai na mesma lista de indicadores e é caçado como qualquer outro indicador. A tela tem três abas: Fontes TAXII, STIX e Regras YARA.
O que você pode fazer aqui
Cadastrar fontes TAXII 2.1 em Fontes TAXII e listar as Coleções do servidor.
Importar um pacote STIX 2.1 em STIX, colando o JSON ou usando Ler de arquivo.
Exportar STIX com os indicadores ativos do Hive e os seus avistamentos, para compartilhar com um SIEM ou uma plataforma de inteligência de ameaças (TIP).
Escrever Regras YARA, validá-las, ativá-las ou desativá-las, escolher a gravidade e o alcance por tags de dispositivo.
Fontes TAXII 2.1
- Em Fontes TAXII, clique em Adicionar fonte e preencha o Nome, a URL da raiz da API (por exemplo https://taxii.example.com/api1/ ) e o ID da coleção. Se precisar, informe Usuário e Senha ou um Token (Bearer); os segredos ficam guardados cifrados e nunca mais são mostrados. Clique em Salvar.
- Na linha da fonte, Coleções lista as coleções que o servidor oferece, com o id de cada uma e se você pode lê-la (com leitura / sem permissão de leitura); a configurada aparece marcada. Uma fonte não pode ser editada: se o id estiver errado, use Excluir e cadastre a fonte de novo com o id certo.
- As fontes ativas são lidas a cada 6 horas junto com os feeds MISP e OTX, e na hora com Ler agora, que mostra "N adicionados, N ignorados em N páginas".
Cada leitura pede só os objetos adicionados depois da última leitura ( added_after ) e segue a paginação do servidor ( more / next ), até 20 páginas de 1.000 objetos e 20.000 indicadores por leitura. Os indicadores entram com a fonte taxii:<nome da fonte> e gravidade Alta. Excluir uma fonte mantém os indicadores já importados.
Importação e exportação STIX 2.1
Na aba STIX, cole o pacote em Pacote STIX (JSON) ou use Ler de arquivo ( .json , até 20 MB), dê um Nome da fonte, escolha a Gravidade (padrão Alta) e clique em Importar. O resultado diz "N adicionados, N ignorados, N inválidos".
A importação lê os objetos indicator (tipo de padrão stix , não revogados) cujo padrão compara um destes:
[file:hashes.'SHA-256' = '...'] [ipv4-addr:value = '...'] e [ipv6-addr:value = '...'] [domain-name:value = '...'] [url:value = '...'] — a URL vira o seu domínio.
Observáveis soltos (SCOs) também contam: file com hash SHA-256, ipv4-addr , ipv6-addr , domain-name e url . Comparações ligadas por OR num mesmo padrão geram um indicador cada. Padrões com AND (ou FOLLOWEDBY , REPEATS , WITHIN ), arquivos só com MD5 ou SHA-1 e outros tipos de objeto são ignorados e contados. valid_until vira a validade, e indicadores já vencidos não são importados. Todo indicador importado recebe a gravidade escolhida na importação, e a fonte é stix:<nome da fonte> .
Exportar STIX baixa hive-indicators.stix.json , um pacote STIX 2.1 com os indicadores ativos como objetos indicator com padrões, e os achados como objetos sighting (um por indicador e dispositivo, com contagem e primeira/última vez visto; where_sighted_refs é a identidade desta instalação do Hive).
Regras YARA
- Em Regras YARA, clique em Nova regra, dê um Nome e, se quiser, uma Descrição, e cole o texto da regra em Código YARA (um mesmo código pode ter várias regras). Clique em Validar: aparece Válida: <nomes das regras> ou Inválida: <erro>. O código também é conferido ao Salvar.
- Escolha a Gravidade (ela vira a gravidade do alerta de uma correspondência), deixe Ativa ligada e preencha Tags dos dispositivos (vazio roda em todos os dispositivos). Clique em Salvar. 3. Em Indicadores de ataque, clique em Caçar agora, marque Conferir também os arquivos das pastas de usuário e temporárias e comece a caça. As regras ativas vão para os agentes no
alcance, que as comparam com um motor embutido — sem binário yara externo e nada a mais para instalar.
Uma correspondência aparece nos Achados da caça com tipo YARA, Achado emArquivo, o caminho, o nome da regra e os ids das strings encontradas, e abre o alerta "Indicador de comprometimento encontrado".
Subconjunto de YARA suportado:
Strings de texto com nocase , wide , ascii e fullword ; strings hexadecimais com curingas ?? e de meio byte, saltos [n-m] e alternativas ( 01 | 02 ) ; expressões regulares na sintaxe do Go (RE2), com as flags i e s (sem retrorreferências nem lookarounds).
Condições: true , false , $a , #a , $a at N , any / all / none / N of them , of ($a, $b*) , filesize (com sufixos KB / MB ), uint8 / uint16 / uint32(offset) e as variantes be , comparações, and , or , not e parênteses.
private e global são aceitos e ignorados.
Não suportado, recusado pelo validador: import / include e módulos ( pe , math …), laços for , intervalos in , @a e !a , variáveis externas, referências a outras regras, xor / base64 e aritmética.
Exemplo prático: um feed TAXII do CERT e uma regra YARA
- Lia abre Inteligência de ameaças › Fontes TAXII, clica em Adicionar fonte: NomeFeed CERT , URL da raiz da APIhttps://taxii.cert.example/api1/ , ID da coleção informado pelo CERT, um Token (Bearer). Clica em Salvar e depois em Coleções na linha para confirmar que a coleção está com leitura.
- Ela clica em Ler agora: "1240 adicionados, 0 ignorados em 2 páginas". Em Indicadores de ataque › Indicadores eles aparecem com a fonte taxii:Feed CERT ; as próximas leituras trazem sóos novos.
- Um parceiro manda campanha-117.json . Em STIX ela clica em Ler de arquivo, põe Nome da fontecampanha-117 , mantém Alta e clica em Importar: "38 adicionados, 4 ignorados, 0 inválidos" (padrões com AND ou só MD5).
- Em Regras YARA ela clica em Nova regra, NomeFakeInvoiceDropper , e cola em Código YARA:
`` rule FakeInvoiceDropper { strings: $a = "invoice_portal" nocase wide ascii $b = { 4D 5A ?? ?? [4- |
|---|
16] 50 45 } condition: uint16(0) == 0x5A4D and filesize < 2MB and all of them } ` Validar mostra "Válida: FakeInvoiceDropper". Gravidade Crítica, Tags dos dispositivos financeiro`, Salvar.
- Em Indicadores de ataque ela clica em Caçar agora com Conferir também os arquivos das pastas de usuário e temporárias. Os Achados mostram FIN-NB-014 , tipo YARA, Arquivo, C:\Users\ana\Downloads\fatura_0425.exe , strings $a , $b , e o alerta crítico abre.
- No fim da semana ela clica em Exportar STIX e manda o pacote, com o avistamento em FIN-NB- 014 , para o SIEM do SOC.
Cuidados e limites
Cadastrar ou excluir fontes, lê-las, importar e gerenciar regras exige alerts:admin , como na caça de IoC; ver a tela e Exportar STIX exigem assets:read .
Uma fonte não pode ser editada; para mudar a URL, a coleção ou as credenciais, exclua e cadastre de novo (os indicadores já importados ficam).
Uma leitura TAXII para em 20 páginas ou 20.000 indicadores; o resto vem na próxima leitura. Indicadores TAXII sempre entram como Alta.
Padrões STIX com AND , hashes só MD5/SHA-1 e outros tipos de objeto (malware, attack-pattern, relacionamentos) não são importados; só são contados. Indicadores revogados ou já vencidos também são ignorados.
As regras YARA só rodam quando a caça inclui arquivos, e só nas pastas que a varredura de arquivos cobre (até 50.000 arquivos e 3 minutos por máquina); arquivos acima de 32 MB são pulados.
O código de uma regra tem limite de 1 MB, 1.000 strings por regra e 10.000 ocorrências por string. Regras com módulos, laços for ou outros recursos não suportados são recusadas — reescreva com strings e condições simples.
Expressões regulares rodam sobre os bytes lidos como UTF-8; para bytes binários use strings hexadecimais.
Relacionados
Indicadores de ataque (caça de IoC)
Detecção e caça
Resposta a incidente
Enviar eventos ao SIEM
Central de integrações
Controle de dispositivos (USB)
Tela: Controle de dispositivos (USB)
O armazenamento USB é bloqueado ou liberado pelo item Pendrives e discos USB dos perfis de configuração, que alcançam as máquinas por localidade, tag ou grupo. Segurança › Controle de dispositivos cuida do que os perfis não fazem: exceções temporárias aprovadas por outra pessoa e o registro de mídia removível conectada e retirada.
O que você pode fazer aqui
Aba Exceções: ver todas as exceções de USB (esperando, ativas, encerradas), Aprovar ou Rejeitar pedidos feitos por outras pessoas e Encerrar agora uma ativa.
Aba Mídia removível: nos últimos 1, 7, 30 ou 90 dias, cada pendrive ou disco USB Conectada e Retirada, com fabricante, modelo, rótulo, número de série, tamanho, sistema de arquivos, usuário logado e se aconteceu com exceção aprovada.
Ir para Perfis de configuração para mudar a política de USB.
Passo a passo
- Defina a política: em Entrega › Configuração, acrescente o item Pendrives e discos USB a um perfil e escolha Liberados, Só leitura (Windows) ou Bloqueados. Teclado, mouse e celular continuam funcionando; só o armazenamento é controlado. No Windows o agente usa o serviço USBSTOR; no Linux o módulo usb-storage (lá, só leitura vira bloqueado). macOS precisa de MDM.
- Quando alguém precisa de USB numa máquina bloqueada, abra a página da máquina, aba Segurança, painel USB e mídia removível, e clique em Pedir exceção de USB (exige assets:write ).
- Escolha o Prazo (1, 2, 4, 8, 24 ou 72 h), escreva o Motivo (10 a 500 caracteres) e clique em Pedir aprovação. "Pedido criado: outro administrador aprova em Decisões." 4. Outra pessoa com config:write abre Decisões ou Segurança › Controle de dispositivos e clica em Aprovar (com observação opcional) ou Rejeitar (com o motivo). Quem pediu não aprova.
- Na aprovação a máquina recebe a política de novo na hora, com o USB liberado até o fim do prazo. A situação mostra Ativa e "até …".
- No fim do prazo o Hive encerra a exceção (conferido a cada minuto) e a máquina volta a bloquear o USB sozinha. Encerrar agora encerra antes: "Exceção encerrada: a máquina volta a bloquear o USB."
Exemplo prático: o Financeiro entrega os arquivos de fechamento aos auditores
O perfil Base Financeiro bloqueia pendrives em todas as máquinas com a tag finance . Na sexta-feira, Ana precisa copiar as planilhas de fechamento para o Kingston IronKey cifrado do auditor externo.
- Paulo abre FIN-NB-014 › Segurança › Pedir exceção de USB: Prazo 72 h, Motivo "Copiar os arquivos do fechamento de 2026 para o pendrive cifrado do auditor externo, chamado INC-5120". Pedir aprovação.
- Marta vê em Decisões, abre Controle de dispositivos e clica em Aprovar, observação "Só o IronKey do auditor". A exceção mostra Ativa · até segunda 10:15.
- Ana conecta o pendrive. Mídia removível mostra Kingston IronKey · S/N 0019E0… · 16 GB · exFAT, Conectada, usuário ana , "com exceção aprovada". Depois, Retirada.
- Na segunda às 10:15 a exceção fica Encerrada e FIN-NB-014 volta a bloquear o USB; um pedido que ninguém decidisse em 48 horas teria sido rejeitado sozinho.
O que este exemplo não consegue fazer: o Hive não tem lista de permissão por modelo ou número de série de USB, e uma exceção dura no máximo 72 horas numa máquina. Liberar "só o modelo IronKey, para toda a equipe do Financeiro, por 7 dias" não é suportado. As opções são: uma exceção por máquina, pedida de novo quando acaba (uma máquina só pode ter um pedido esperando por vez), ou mudar os perfis para que essas máquinas não sejam mais alcançadas por um perfil que bloqueia USB. Nos dois casos, o registro de mídia mostra qual modelo foi usado de fato.
Cuidados e limites
Uma exceção libera todo armazenamento USB daquela máquina durante o prazo, não um pendrive só.
As exceções são por máquina e precisam de agente do Hive e de um perfil que bloqueie USB; sem perfil bloqueando, não há o que liberar.
Pedidos esperando há mais de 48 horas são rejeitados sozinhos ("no decision in 48 h").
O conteúdo dos arquivos nunca é lido; o registro guarda só a mídia, o usuário e o horário.
O controle de USB no macOS precisa de MDM; no Linux, Só leitura (Windows) se comporta como Bloqueados.
Relacionados
Perfis de configuração
Decisões
Controle de aplicações
Criptografia de disco
Trilha de auditoria
Criptografia de disco
Tela: Criptografia de disco
Segurança › Criptografia de disco mostra o disco do sistema de cada computador (cifrado, sem cifra ou ainda sem leitura) e a chave de recuperação que o Hive guarda no cofre. No Windows o Hive liga o BitLocker e guarda e troca a chave de recuperação; no Linux acrescenta uma chave de recuperação ao LUKS, guarda e pode cifrar volumes de dados desmontados; no macOS (FileVault) confere e alerta pelo perfil de conformidade.
O que você pode fazer aqui
Ver os contadores: Cifrados, Sem cifra, Chaves de recuperação no cofre e Sem leitura ainda, e filtrar por Todos os computadores, Sem cifra, Cifrados sem chave no cofre ou Sem leitura ainda.
Numa linha Windows: Ligar BitLocker (quando sem cifra), Ler a chave agora (cifrado mas sem chave no cofre) e Trocar chave (chave no cofre).
Numa linha Linux: Cifrar volume (um volume de dados desmontado, ou só guardar a chave do disco do sistema já cifrado) e Trocar a chave.
Ver quando a chave foi guardada, trocada e mostrada por último (e por quem), uma troca pendente e o último erro.
Na página da máquina, aba Segurança, painel Chave de recuperação do BitLocker: Mostrar a chave com motivo.
Passo a passo
- Para exigir cifra em muitos computadores, abra Entrega › Configuração, crie um perfil para Windows em Corrigir, escolha Onde vale e Adicionar item › Criptografia de disco obrigatória. Salve. Os computadores recebem em até 5 minutos; o agente liga o BitLocker onde está desligado. Em Só avisar ele só informa.
- Para um computador, use Ligar BitLocker na linha dele (exige config:write ). O agente cifra o espaço usado do disco do sistema em segundo plano com um protetor de senha de recuperação e manda a chave para o cofre na hora.
- As chaves chegam ao cofre de três jeitos: quando o Hive liga o BitLocker por esta tela, com Ler a chave agora, e por uma passada diária que pede a chave a todo computador Windows ligado que está cifrado e não tem chave guardada (ou tem uma com mais de 30 dias). No banco ficam só os metadados; a chave em si fica no cofre.
- Para mostrar uma chave, abra a máquina, aba Segurança, painel Chave de recuperação do BitLocker › Mostrar a chave, escreva o motivo (5 a 300 caracteres) e confirme. A visualização vai para a trilha de auditoria.
- Depois que uma chave é mostrada, o Hive agenda a troca sozinho: o agente cria uma nova senha de recuperação, guarda no cofre e só então apaga a antiga. Se a nova não puder ser criada, nada é apagado. Trocar chave faz o mesmo quando você quiser.
Exemplo prático: exigir BitLocker nos notebooks de Vendas
- Marta cria o perfil Notebooks cifrados : Windows, Corrigir, Onde vale: tag notebook , item Criptografia de disco obrigatória. Salva: "Perfil salvo. As máquinas recebem em até 5 minutos." 2. Em Segurança › Criptografia de disco, filtra Sem cifra: 18 notebooks no começo. Nos minutos seguintes eles passam para Cifrado à medida que os agentes ligam o BitLocker (a cifra do espaço usado continua em segundo plano).
- Ela filtra Cifrados sem chave no cofre: os notebooks cifrados pelo perfil aparecem até a passada diária buscar as chaves. Para não esperar, clica em Ler a chave agora em cada um: "Chave pedida a …". A coluna da chave muda para "No cofre desde …".
- Um notebook mostra "A última ação falhou: BitLocker was not turned on: …". O TPM dele precisa de atenção; o suporte abre um chamado.
Exemplo prático: um usuário preso na tela de recuperação do BitLocker
- Depois de uma atualização de firmware, SALES-NB-22 pede a chave de recuperação no boot. João liga para o suporte.
- Paulo abre a máquina no Hive › Segurança › Chave de recuperação do BitLocker › Mostrar a chave, motivo "Usuário na tela de recuperação depois da atualização da BIOS, ligação 7781".
Ele lê para o João a senha de recuperação de 48 dígitos. O painel mostra "Esta visualização está na auditoria." e "Esta chave será trocada por uma nova assim que a máquina voltar a ficar online, então ela só vale desta vez." 3. João digita e o Windows sobe. O Hive já tinha agendado a troca; quando o agente volta, a senha antiga é apagada e uma nova é guardada. A linha mostra "trocada há poucos minutos" e "mostrada por último por [email protected]".
- Se o notebook ficar desligado por muito tempo, a linha continua com "troca aguardando a máquina" (veja os limites abaixo): clique em Trocar chave quando ele estiver online.
Cuidados e limites
Ligar o BitLocker, ler e trocar chaves e mostrar uma chave exigem config:write . As ações de BitLocker só funcionam no Windows; as de LUKS só no Linux.
Classes de aparelho (ADR-0004): ler e trocar chaves funciona em todas as classes. Ligar a cifra é condicionado em servidores (precisa de uma aprovação, uma janela de manutenção ou uma liberação JIT em Ativos › Agentes › Classes) e máquinas Tier 0 só são conferidas.
A troca e a guarda da chave esperam o computador: se ele estiver desligado, a tarefa fica na fila por até 7 dias e sai quando o agente voltar. Depois disso, a linha continua com "troca aguardando a máquina": clique em Trocar chave quando ele voltar.
A passada diária de chaves só pede aos computadores que estão ligados naquele momento.
Linux: Cifrar volume funciona num volume de dados desmontado (um volume vazio vira LUKS2; ext2/3/4 é cifrado no lugar e fica 32 MiB menor). O disco do sistema é cifrado na instalação; deixe o dispositivo vazio para só guardar a chave dele.
macOS (FileVault): a chave fica com o usuário ou o MDM; o Hive não cifra.
Relacionados
Perfis de configuração
Conformidade
Controle de dispositivos (USB)
Trilha de auditoria
Agentes
