--- title: Monitoramento e segurança slug: monitoramento-e-seguranca docTags: createdAt: 2026-10-23T17:00:11.346Z --- ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/X2peqI2zRB4mJzfXOUQIG_image.png" size="67" isUploading="false" width="672" height="423" darkWidth="672" darkHeight="423" showCaption="false"} Tela: Fila de decisões e aprovações (1/2) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/_aT08MuahrW9u4bGwRgcC_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Fila de decisões e aprovações (2/2) O Hive pede uma segunda pessoa antes que algo arriscado chegue às máquinas: versões de pacote, pedidos da Loja, implantações, scripts, playbooks, políticas de patch e elevações de privilégio. **Início ›Decisões** reúne tudo o que espera uma decisão que você pode tomar, do mais urgente ao menos, e guarda o freio de emergência. **Entrega › Aprovações** lista os itens de entrega que esperam aprovação, agrupados por tipo. ### O que você pode fazer aqui Ver, em **Decisões**, tudo o que espera por você: aprovações, alertas críticos sem dono, avisos de contrato, devoluções de leasing, recomendações da IA e mais. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/yXh1uWKPGdvHDB-3bggdK_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Filtrar a fila por tipo e abrir cada item onde ele é decidido. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/UdRc6vfEesIP3DKTQlJLu_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Puxar ou soltar o **freio de emergência** (administradores). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/4r6HG5Om8dmiZiAro0Mje_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Consultar as abas **Estado divergente** e **Resumo do turno**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/He2MaOutnDkBJsfiCB_Mx_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Em **Aprovações**, ver os itens de entrega por tipo e ligar ou desligar a autoaprovação (administradores de configurações). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/9kIKWUOMAHhdI96MY9m75_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Fila de decisões **Início › Decisões** (aba **Esperando por você**) lista o que espera uma decisão que você pode tomar: implantações, políticas de patch, pedidos da Loja e versões de pacote, scripts, acesso remoto, resposta a incidente, exceções de USB, administradores temporários, regras de remoção, passos de workflow, aceites de risco em que você é o aprovador, recomendações da IA, alertas críticos sem dono há mais de 15 minutos, prazos de aviso de contrato nos próximos 30 dias sem decisão de renovação, devoluções de leasing e compras a curar. Cada linha mostra o tipo, o título, o detalhe, há quanto tempo espera e o prazo. Clique no título para abrir o lugar onde você decide. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/AjGHMn-EiG_pglAMzp1yk_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} As fichas no topo filtram por tipo ("Todas · N"). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/8YGCIrRvepwrBaYW2MegM_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} O que você mesmo preparou não aparece: outra pessoa decide. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/WDhQVbRSVm6qcYIP7g-ep_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Um prazo em até 7 dias sobe o item. O número ao lado de **Decisões** no menu se atualiza a cada minuto. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/4ZvuSDjmKVvI6yk_qHucp_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} ### Aprovações **Entrega › Aprovações** agrupa o que espera aprovação: **Versões de pacote**, **Pedidos da Loja**, **Implantações**, **Scripts**, **Playbooks**, **Políticas de patch** e **Elevações de privilégio**, do mais antigo ao mais novo. Cada linha diz quem preparou e quando, com **Decidir** (abre o item) ou, para o que vocêpreparou, a marca "Você preparou — outra pessoa aprova" e **Abrir**. Você só vê os grupos que o seu perfil pode aprovar. A opção **Quem prepara pode aprovar a própria versão de pacote ou implantação** (administradores de configurações) vem desligada: outra pessoa aprova (segregação de funções). Ligada, equipes pequenas podem aprovar as próprias versões de pacote e implantações, e cada autoaprovação fica registrada na auditoria. Scripts, políticas de patch e pedidos da Loja sempre precisam de outra pessoa. ### Freio de emergência **Puxar o freio de emergência** (administradores) para todas as automações da empresa de uma vez: implantações não avançam, políticas de patch não criam implantações, alertas não rodam correção automática, workflows ficam retidos e perfis de configuração só conferem, sem corrigir. Nada do que jáfoi feito é desfeito. O motivo é obrigatório; vai para a auditoria e para os canais de alerta, e um aviso vermelho aparece em todas as telas até alguém clicar em **Soltar o freio**, também com motivo. As automações voltam de onde pararam. ### Estado divergente e resumo do turno **Estado divergente** lista as máquinas em que o Hive ou o diretório discordam do que a máquina informa: aposentada mas ainda reportando, ativa mas em silêncio há 7 dias, desativada no AD/Entra mas em uso, e número de série, usuário principal, nome ou versão do Windows diferentes. Corrija a fonte errada e a linha some. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/NGhsykpMPynQxnYlrwV9j_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Resumo do turno** conta o que aconteceu nas últimas 4 a 24 horas no seu escopo: alertas abertos, resolvidos e ainda abertos, as regras que mais dispararam, implantações, mudanças nas máquinas, máquinas em silêncio e decisões esperando. Com a IA ligada, **Resumir com a IA **escreve o texto de passagem de turno só com esses números. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/K2IRcVEVOZNhy-TGAil_X_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Exemplo prático: quatro olhos numa implantação Lucas prepara a implantação "Cliente VPN 7.4 – Recife" para 115 máquinas; Rafael é o outro administrador da Loja. 1. Lucas clica em **Criar e mandar para aprovação**. Em **Entrega › Aprovações** dele, a linha mostra "Você preparou — outra pessoa aprova" e o botão **Abrir**; ela não aparece nas **Decisões** dele. 2. Um minuto depois, o menu do Rafael mostra **Decisões** com um item a mais. Ele abre: *Implantação* · "Cliente VPN 7.4 – Recife" · esperando 1 min. 3. Rafael confere os alvos e as ondas na página da implantação e clica em **Aprovar**. A implantação começa no próximo ciclo; a auditoria registra quem criou e quem aprovou. 4. Se Lucas tivesse tentado aprovar sozinho, o Hive responderia "Whoever created the deployment does not approve it." ### Exemplo prático: freio de emergência numa distribuição ruim Às 21:10 o service desk avisa que as impressoras estão falhando nas máquinas que acabaram de receber um pacote de driver. 1. Rafael abre **Início › Decisões**, clica em **Puxar o freio de emergência** e escreve "Driver de impressora 5.2 quebrando a impressão – investigando". 2. Todas as implantações em andamento param de avançar; o aviso vermelho "Freio de emergência puxado: automações paradas." aparece em todas as telas e os canais de alerta recebem o motivo. 3. Depois de cancelar a implantação do driver, Rafael clica em **Soltar o freio** com o motivo "Implantação do driver cancelada". As outras implantações continuam de onde pararam. ### Cuidados e limites A fila só mostra o que o seu perfil pode decidir; uma fila vazia diz "Nada esperando por você." ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/vR3cFSDYRqEg4BaCHKDaq_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} A autoaprovação vale só para versões de pacote e implantações. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/LyOicj_EW5bPHUU_SRUqo_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} O freio de emergência não desfaz nada do que já foi aplicado. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/qKyBa9W_dDUwQZpJOlp_0_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Relacionados Implantações ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/LwHDxys10xMsOCi69r52Z_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Pacotes e catálogo da Loja ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/xZWjF4ujkhG_LdTTHgJNk_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Scripts e assinatura ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/0KZQ1IWXemL-RIUfORDdq_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Patches ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/LCJZjgKN4_aUbUoGyYnk8_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Loja de software ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/_VPXTe7VIgWq_OtnYtVV6_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Trilha de auditoria *** ## Alertas, regras e modelos de monitoramento ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/dBfCI7bOd37lfdfEVzKf6_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Alertas, regras e modelos de monitoramento (1/4) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/D0mx_Nq8R7s7K0OxUL84j_image.png" size="67" isUploading="false" width="672" height="423" darkWidth="672" darkHeight="423" showCaption="false"} Tela: Alertas, regras e modelos de monitoramento (2/4) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/m5mzIQOolDgy3wVnVF01l_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Alertas, regras e modelos de monitoramento (3/4) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/MnNS32bJbZEE5wgVh0p1u_image.png" size="67" isUploading="false" width="672" height="423" darkWidth="672" darkHeight="423" showCaption="false"} Tela: Alertas, regras e modelos de monitoramento (4/4) Os alertas avisam quando algo numa máquina precisa de atenção: disco cheio, serviço parado, mudança proibida, agente desatualizado. Tudo fica no espaço **Monitorar**: **Monitorar › Alertas e** **eventos** é a fila de trabalho, **Monitorar › Mural do NOC** é a tela para o painel da parede e **Monitorar ›Regras de alerta** guarda as regras, os modelos de monitoramento, a política de mudanças e as janelas de manutenção. **Erros conhecidos** abre pelo cabeçalho da tela de Alertas. ### O que você pode fazer aqui Trabalhar a fila de alertas: reconhecer, assumir ("Estou tratando"), comentar, escalar, resolver, fechar ou abrir chamado. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/dmbv97raaxw5grpBonXKw_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Acompanhar o Mural do NOC em **Modo TV** numa tela grande. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/HyhD9vBh5RIyJQmCrAF4b_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Registrar o que resolveu um problema como **erro conhecido**, para a solução ser sugerida no próximo alerta igual. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/lj8MVtL33igTO2cqOEeLM_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Criar regras de alerta no assistente de 7 passos, com prévia de impacto antes de salvar. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Jj_J7VMXuO-hafQ8CIzgO_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Aplicar **modelos de monitoramento** (servidor Windows, servidor Linux, estação de trabalho, SQL Server, servidor web) a uma tag ou grupo, com exceções por ativo. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/0aPzKnqbQNV0o2GmOBmOG_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Escolher quais mudanças nas máquinas geram alerta (**Política de mudanças**) e agendar **janelas de manutenção**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/rviobWFY64RFcU9fxxNVd_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} ### Alertas e eventos A fila mostra os alertas por severidade e depois por idade, e se atualiza a cada 30 segundos. Os indicadores do topo contam alertas **Abertos**, **Críticos**, **Reconhecidos** e **Oscilando**. 1. Abra **Monitorar › Alertas e eventos**. 2. Filtre por **Severidade** (Crítico, Alto, Aviso, Info), **Estado** (padrão **Não resolvidos**; também Em tratamento, Nova, Reconhecido, Oscilando, Resolvido, Fechada), **Local** (inclui as unidades abaixo) e **Buscar** (ativo, título ou valor). 3. Clique num alerta para abrir o detalhe: ativo, regra, alvo, valor, ocorrências, responsável, a linha do tempo e as ocorrências agrupadas no evento. **Ampliar** abre numa janela maior. 4. Use os botões (precisam de permissão para administrar alertas): 5. **Reconhecer** — o alerta passa a ser seu e o escalonamento para. 5. **Estou tratando** — assume o alerta; ele vai para Reconhecido. 6. **Escalar agora** — executa na hora o próximo nível de escalonamento da regra. 7. **Resolver** — pede uma nota opcional ("O que foi feito"). 8. **Fechar** — encerra o evento de vez; a próxima detecção abre um evento novo. 9. **Abrir chamado** — abre o formulário de chamado de **Monitorar › Chamados de ITSM** para este alerta. 10. Escreva em **Comentário para a equipe** e clique em **Publicar comentário**. Como os eventos se formam: **Ocorrências.** Cada detecção de uma regra na mesma máquina e alvo entra no evento que ainda está aberto ou reconhecido; o contador (×N) sobe. Só depois de **Resolver** ou **Fechar** a próxima detecção abre um evento novo. As ocorrências ficam guardadas por 90 dias. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/amARxrSqKOwvw21B90wdt_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Oscilando.** Se o mesmo alerta foi resolvido ou fechado duas vezes ou mais nos últimos 30 minutos, o novo abre como **Oscilando**: não notifica, não escala e não roda a correção automática. Fica assim até alguém reconhecer, resolver ou fechar. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/hJiFw0a98ulNmzbN_xOdk_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Agrupado (pai fora).** Quando uma máquina acima no caminho de dependência (VM → host → switch de acesso → uplinks) está com o alerta "Device unavailable" aberto, o alerta da máquina de baixo abre sem notificar nem escalar, ligado ao pai. Quando o pai volta, os alertas que continuam falhando são liberados e notificados. Detecções de segurança (EDR, IOC, Defender) nunca são agrupadas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/aPL1Ij5_Crwh1gxalCJip_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Situações.** Abaixo da fila, **Situações** agrupa alertas que começaram juntos: o mesmo serviço de negócio (2+ máquinas em até 30 min), o mesmo site (3+ máquinas em até 15 min) ou a mesma regra (3+ máquinas em até 15 min). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Kt4rK-Uo9PX2LL3esy5j1_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Mural do NOC **Monitorar › Mural do NOC** junta o que precisa de ação agora e se atualiza a cada 30 segundos: blocos **Críticos**, **Graves**, **Avisos**, **Agentes fora do ar** (offline/total), **Portas com erros novos** e **Snapshots com mais de 7 dias**; ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/uBKFrqadqabLgeGHdEgqK_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Alertas abertos** (os 12 mais graves e recentes), **Máquinas com mais alertas**, **Portas com erros** e **Datastores acima de 85%**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ULASEYn46b7d_ualMcOrg_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} O mural conta só alertas novos (abertos); reconhecidos e oscilando não aparecem. **Modo TV** ocupa a tela inteira; **Sair do modo TV** volta. ### Erros conhecidos Um erro conhecido é uma assinatura do problema mais a solução que funcionou. Quando um alerta novo casa com ele, a solução aparece no detalhe do alerta como sugestão. Um erro conhecido **não **silencia, reconhece nem resolve alertas. 1. Num alerta que você resolveu, clique em **Salvar como erro conhecido**. 2. Preencha **Título**, **Texto que identifica o alerta (opcional)** — um pedaço do título, alvo ou valor; a regra do alerta já é a assinatura —, **Causa (opcional)** e **Solução que funcionou** (pelo menos 5 caracteres). 3. Salve. A linha do tempo do alerta registra "Registrado como erro conhecido". 4. No próximo alerta da mesma regra (e com o texto, se você digitou um), o detalhe mostra "Erro conhecido: \" com a solução. Clique em **Funcionou** para contar o uso. **Erros conhecidos** (botão no cabeçalho de Alertas, ou **Todos os erros conhecidos** no alerta) lista todos com **Assinatura**, **Solução que funcionou** e **Usos**, com **Editar** e **Remover**. Erros conhecidos novos só são criados a partir de um alerta. ### Regras de alerta **Monitorar › Regras de alerta** tem quatro abas: **Regras**, **Modelos de monitoramento**, **Política de mudanças** e **Janelas de manutenção**. Na aba **Regras**, filtre por camada (**No agente**, **Sobre o inventário**), ligue ou desligue cada regra pela chave **Ligada** (com Desfazer) e veja escopo, condição, severidade, ações e alertas abertos. Regras que vêm de um modelo, a regra da política de mudanças e as regras da plataforma (como Device unavailable) ficam travadas: modelos se mudam no modelo e, nas regras da plataforma, use **Quem** **avisar** para escolher canais, plantão e escalonamento. Excluir uma regra resolve os alertas abertos dela; as versões ficam no histórico. **Descrever em palavras** monta uma regra a partir de uma frase com a IA; revise no assistente antes de salvar. ### Criar uma regra (assistente) **Escopo.** Escolha **Todos os ativos**, **Por grupo** (grupos dinâmicos ou estáticos) ou **Por tag** (digite a tag exata, como "Departamento: Financeiro", e tecle Enter). Ativos que entrarem depois também recebem a regra. **O que observar.Uma métrica** (CPU, memória, disco, serviço, processo, ping, porta TCP, endereço web, certificado, banco de dados, servidor web e de aplicação), **Condição combinada** (até 6 condições com E/OU/NÃO e "sem dado por N minutos"), **Uma mudança no dispositivo**, **O estado do inventário** (sem contato, sem dono, agente desatualizado, sem agente, sem antivírus, firewall desligado, disco sem criptografia, vulnerabilidade KEV, problemas de licença e mais), **Uso de software**, **Uma política de portas**, **Tráfego de rede (fluxos)** ou **Aplicações** (OpenTelemetry). **Condição.** Montada escolhendo, com a frase "A regra diz:" atualizada enquanto você escolhe. Para uma métrica: **Métrica**, **Qual** (C:, /var, \* = qualquer), **Dispara quando estiver** acima/abaixo, **Aviso em**, **Crítico em** (opcional), **Volta ao normal em** (histerese opcional) e **Por pelo menos** (minutos; 0 = na hora). **Severidade.** Info, Aviso, Alto ou Crítico. Numa métrica com limites, o alerta abre como Aviso ao passar de **Aviso em** e sobe sozinho para Crítico acima de **Crítico em**. **Ações.Notificar em** (canais de **Monitorar › Canais de notificação**), **Abrir chamado em** (conexões de ITSM), **Correção automática na máquina** (reiniciar, iniciar ou parar um serviço, limpar o cache de DNS, limpar arquivos temporários, atualizar a política de grupo, reiniciar a máquina, coletar o inventário, varreduras e assinaturas do antivírus, um playbook publicado ou um script assinado aprovado; no máximo 3 vezes por dia por máquina e regra; **Resolver o evento quando a correção der certo**) e **Escalonamento** (plantão na abertura e até 5 níveis). **Prévia de impacto.** Clique em **Fazer a prévia** (obrigatório): o Hive mostra quantos ativos do escopo disparariam hoje, com até 10 exemplos. Regras de métrica também podem **Simular os últimos 7 dias**. Mais de 150 resultados mostra "Muitos disparos". **Revisar e salvar.** Digite o **Nome da regra**, deixe **Ligar ao salvar** ligado (desligado salva sem avaliar) e clique em **Criar regra** (ou **Salvar nova versão** ao editar). Os agentes recebem regras de métrica no próximo contato (até 1 minuto) e as avaliam localmente, mesmo offline; a plataforma avalia os outros tipos a cada minuto ou quando o inventário informa mudanças. ### Modelos de monitoramento Um modelo é um conjunto de itens aplicado a uma tag ou grupo; cada item vira uma regra travada chamada "Modelo · Item", e ativos novos com a tag recebem as regras sozinhos. Abra **Monitorar › Regras de alerta › Modelos de monitoramento** e clique em **Novo modelo**. **Modelo pronto.** Comece de servidor Windows, servidor Linux, estação de trabalho, SQL Server ou servidor web, ou escolha **Em branco** e inclua os itens um a um. **Aplicar a.Por tag** (por exemplo "Servidores") ou **Por grupo**. Modelos não têm a opção "todos os ativos". **Itens.** Cada item vira uma regra. Ajuste **Nome do item**, **Métrica**, alvo, **Dispara quando estiver**, **Aviso em**, **Crítico em**, **Por pelo menos** e **Severidade** (ou "A do modelo"); use **Incluir item** e **Remover item**. O aviso precisa vir antes do limite crítico. **Revisar e salvar.** Digite o **Nome do modelo**, a **Descrição**, a **Severidade padrão** e **Notificar em**, deixe **Modelo ligado** e clique em **Criar modelo** (ou **Salvar modelo**). Salvar cria ou atualiza uma regra por item. ### Exceções para um ativo Para tratar uma máquina de outro jeito, use **Exceção para um ativo**: escolha o item e o **Ativo** e, então, mude **Aviso**, **Crítico**, **Normaliza em** ou **Por pelo menos** (campos vazios herdam do modelo) ou marque **Desligar esta regra neste ativo** (os alertas abertos dela nesse ativo são resolvidos). O **Motivo**é obrigatório. Exceções valem para itens de métrica; itens de serviço só podem ser desligados. ### Política de mudanças e janelas de manutenção **Política de mudanças** lista cada tipo de mudança (software, serviços, portas, sistema operacional, hardware, rede, identidade, segurança) com uma chave e uma severidade. **Voltar ao recomendado** traz o padrão de volta; **Exceções por grupo** mudam o padrão para um grupo (quando vários grupos se aplicam, vale a configuração mais rigorosa). **Salvar política** vale a partir do próximo inventário. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/pgsAPdV9wlkvyn2zWnAX7_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Janelas de manutenção** › **Nova janela**: **Nome**, **Escopo (tags)**, **Sites**, **Máquinas**, **Quando **(**Uma vez** com início e fim, ou **Toda semana** com dia, início e **Duração (minutos)**) e então **Agendar janela**. Nada escolhido = todas as máquinas. Dentro da janela, uma detecção é registrada só como ocorrência: sem evento, sem notificação, sem chamado, sem correção automática. Um evento já aberto numa máquina que entra na janela mostra **Em manutenção**: sai do mural do NOC e da escalada até a janela acabar. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/CxACUwwZ7fb2Y94VWa7ZS_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Exemplo prático: disco acima de 90% nos servidores, a partir de um modelo** A Central IT quer um aviso quando o C: de qualquer servidor Windows passar de 90% por 10 minutos, e crítico em 95%. Os servidores têm a tag Servidores . 1. Abra **Monitorar › Regras de alerta › Modelos de monitoramento** e clique em **Novo modelo**. 2. Em **Modelo pronto**, escolha **Servidor Windows**. 2. Em **Aplicar a**, escolha **Por tag**, digite Servidores e tecle Enter. 3. Em **Itens**, abra o item de disco (alvo C: ): mude **Aviso em** de 85 para 90 , mantenha **Crítico em **95 e **Por pelo menos**10 minutos. Mantenha CPU, memória e os serviços Event Log e Windows Time. 5. Em **Revisar e salvar**, dê o nome Servidores Windows — produção , escolha **Notificar em** o canal do Teams "NOC" e clique em **Criar modelo**. 6. O modelo mostra "Aplicado a Servidores · ativos no escopo: 42 · regras: 5". Na aba **Regras **aparecem cinco regras travadas, como "Servidores Windows — produção · Disco C:". 7. O SRV-FILE-01 chega a 91% por 10 minutos: um alerta abre como **Aviso** em **Monitorar ›Alertas e eventos** e o canal NOC recebe o cartão. Se o disco passar de 95%, o mesmo evento sobe para **Crítico**. 8. O SRV-BACKUP-02 fica sempre acima de 90% por projeto: use **Exceção para um ativo**, escolha o item de disco e o SRV-BACKUP-02, defina **Aviso**97 , **Motivo** "Volume de backup, mantido cheio de propósito", e **Salvar exceção**. **Exemplo prático: alerta recorrente, erro conhecido e silenciar o ativo** O spooler de impressão do PRN-SRV-03 para toda segunda-feira e a regra do serviço "Spooler" dispara. 1. Em **Monitorar › Alertas e eventos**, abra o alerta da regra "Spooler" no PRN-SRV-03 e clique em **Estou tratando**. 2. Você reinicia o serviço e limpa a pasta da fila. Clique em **Resolver** com a nota "Reiniciei o Spooler, limpei C:\Windows\System32\spool\PRINTERS". 3. Clique em **Salvar como erro conhecido**. **Título**: "Spooler para com trabalho travado"; **Texto que identifica o alerta**: Spooler ; **Solução que funcionou**: "Parar o Spooler, apagar os arquivos de spool\PRINTERS, iniciar o Spooler." Salve. 4. Na segunda seguinte o alerta abre de novo; o detalhe mostra "Erro conhecido: Spooler para com trabalho travado" com os passos. Depois de corrigir, clique em **Funcionou**: o contador mostra "Resolveu 2 vez(es)". 5. Para parar de ser avisado enquanto o fabricante corrige o driver, o erro conhecido não basta (ele só sugere a correção). Escolha uma opção: 6\. inclua uma correção automática na regra: **Ações › Correção automática na máquina ›** **Reiniciar serviço**, serviço Spooler , com **Resolver o evento quando a correção der certo **ligado; ou 7\. se a regra vem de um modelo, inclua **Exceção para um ativo** no PRN-SRV-03 e marque **Desligar esta regra neste ativo**; ou 8\. agende uma **Janela de manutenção**: **Toda semana**, segunda-feira, 06:00, 120 minutos, **Máquinas** PRN-SRV-03. ### Cuidados e limites Ver alertas pede permissão de leitura de alertas; reconhecer, resolver, regras, modelos e janelas pedem permissão para administrar alertas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/oS3j2p1Ng1sv1KfawIbeO_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Um erro conhecido nunca silencia um alerta; use janela de manutenção, exceção do modelo ou correção automática. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ffUkK-a1dKIDSDBRiWE9Z_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} O escalonamento só para quando o alerta é reconhecido (Reconhecer ou Estou tratando). Alertas oscilando e alertas agrupados sob um pai fora não escalam. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ik8eMvA3Yq8DqxGFBto8Q_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Correções automáticas rodam no máximo 3 vezes por dia por máquina e regra, e não rodam em máquina sem agente. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/yNojAU0Ooa5VxyymXbSNv_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Condição combinada: no máximo 6, avaliadas a cada minuto; valores com mais de 15 minutos não contam. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/lwDrdBz6l4SQMf8XcYcjI_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Regras de modelo só mudam no modelo; edição direta na regra é recusada. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/pgsAPdV9wlkvyn2zWnAX7_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Janelas de manutenção: até 1000 máquinas; duração semanal de até 10080 minutos. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/5UH529MpXPNxxpNUTUfK6_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Canais de notificação e plantão ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/3TkV1jKh9AcxIJ0avWWWP_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Passo a passo: criar alertas ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ulTRN2gA086HrMiRuiftz_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Chamados de ITSM ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/98A5PdblArlJre7y8SYF0_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Serviços de negócio ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/_p8uJsvT7PydJXRA8n3JA_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Playbooks ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/0uVpo-iFcWdf9r2Hm8hQ-_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Mural do SOC ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/JxyNzQQsWkcAfkmZa4ziW_image.png" size="67" isUploading="false" width="672" height="423" showCaption="false"} Tela: Mural do SOC O Mural do SOC é o irmão de segurança do Mural do NOC: uma tela para a TV da sala de segurança que responde "estamos sob ataque, e o que corrigimos primeiro?". Abra **Monitorar › Mural do SOC**. Ele atualiza a cada 30 segundos e os números são recalculados no máximo a cada 15 segundos, então várias telas podem ficar abertas ao mesmo tempo. ### O que você pode fazer aqui Ver os **alertas de segurança** abertos por severidade (EDR, Defender, indicadores de comprometimento, iscas, adulteração do agente e aplicativos bloqueados). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/WjvpZjLyY4XHbQO-ujlAy_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Acompanhar as **detecções das últimas 24 horas** contra as 24 horas anteriores, e a tendência por hora (24 h) e por dia (7 dias). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/7RAR-qUTyUpASypec5Ay7_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Ler o feed **Últimas detecções** e as **Máquinas mais atingidas (7 dias)**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/qjuDodC9aN88VBlHtkXf7_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Trabalhar a lista **Precisa de atenção agora**, do mais grave para o menos grave; cada linha abre a tela que resolve. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/rnVsnK0-fXCvXVks6z59F_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Pôr o mural em **Modo TV** numa tela grande (tela cheia, letras maiores). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/G6RxAqd5a6QjKvbTaiLdO_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### O que cada número quer dizer **Alertas de segurança críticos**, **Alertas de segurança maiores**, **Avisos de segurança**: alertas de segurança não resolvidos nem fechados e fora de manutenção. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/sTKTxirFgbD81ozHIiab3_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Detecções (24 h)**: detecções do EDR nativo (menos falsos positivos), ameaças novas do Defender, achados de indicadores, alertas do EDR do fabricante, iscas tocadas e adulteração do agente. Embaixo: quantas são críticas, em quantas máquinas e a variação contra as 24 horas anteriores. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/DD3-urJRrG_99rrkIcLz1_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Defender desligado**: máquinas Windows com o Defender desligado ou sem proteção em tempo real, do total de máquinas Windows que informaram o estado do Defender. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/gVYYpzeuKQVoEtO__TpRa_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Defender desatualizado**: assinaturas do Defender com mais de 3 dias. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/VmgebDd5cGDuI0iUBOi5z_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Vulnerabilidades KEV abertas**: CVEs distintas do catálogo KEV da CISA ainda abertas em máquinas ativas; embaixo, quantas passaram do prazo da CISA. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/i-RH4drQSubkylP16XgoN_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Choke points**: as correções que quebram caminhos de ataque até as joias da coroa, do último cálculo de **Caminhos de ataque**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/bQJc-a-xJhTePh9Dy6Giz_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **MTTA** e **MTTR**: tempo médio para reconhecer e para resolver os alertas de segurança abertos nos últimos 30 dias. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/5EG0hBKcvNi4Cg0MNVFtu_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Passo a passo 1. Abra **Monitorar › Mural do SOC**. 2. Leia **Precisa de atenção agora** de cima para baixo: primeiro os críticos, depois os maiores, depois os avisos. 3. Clique numa linha para abrir a tela que resolve (alertas, Defender, indicadores, vulnerabilidades, identidades, postura de nuvem, caminhos de ataque ou superfície externa). 4. Na TV, clique em **Modo TV**. O mural ocupa a tela inteira; **Sair do modo TV** traz o menu de volta. ### Exemplo prático: segunda-feira de manhã no SOC Lia começa o turno e olha a TV da sala de segurança. 1. **Detecções (24 h)** mostra 14, "+250% em relação às 24 h anteriores", e **Alertas de segurança críticos** mostra 2. 2. **Precisa de atenção agora** começa com "2 alertas de segurança críticos sem reconhecimento hámais de 15 minutos" e "1 máquinas com ameaça ativa no Defender" (o Trojan ainda estárodando). 3. Em **Últimas detecções**, FIN-NB-014 aparece três vezes: **EDR** "LSASS memory read", **Defender **"Trojan\:Win32/Wacatac" e **IoC** "ip 203.0.113.45". **Máquinas mais atingidas (7 dias)** mostra a máquina no topo. 4. Lia clica na linha do **EDR**, abre **Detecção e caça**, confirma a detecção e isola a máquina pela Resposta a incidente. 5. De volta ao mural, continua a linha "3 vulnerabilidades KEV com o prazo da CISA vencido". Ela abre a linha e planeja o patch com a equipe; o primeiro **choke point** mostrado diz que corrigir o SRV-DC-01 quebra 3 caminhos. 6. No fim do turno, o **MTTA** está em 9 min e o **MTTR** em 2 h 5 min nos últimos 30 dias. ### Cuidados e limites Ver o mural exige alerts\:read . Defender e postura de nuvem exigem assets\:read ; KEV, choke points e superfície externa exigem vulnerabilities\:read ; administradores sem MFA exigem users\:read . O que você não pode ver simplesmente não aparece. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/MiPcXIOxdtHfv9mhkqc6Z_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Com escopo de dados (sites, tags ou grupos), só contam as máquinas do escopo; nuvem, superfície externa, identidades e caminhos de ataque só aparecem para quem vê a empresa inteira. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/GwTkKYp29u8iXaxQkFQm2_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Os choke points vêm do último cálculo dos caminhos de ataque (de hora em hora); o mural não os recalcula. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Wa926NDEpL1f2-VqZ-0hD_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} As ameaças do Defender contam uma vez, quando o Hive as vê pela primeira vez; a mesma ameaça repetida em relatórios seguintes não conta de novo. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/1AE3YvLPOAd60o9E2d0-o_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Achados de indicadores em fluxos de rede sem máquina identificada aparecem no feed, mas não em **Máquinas mais atingidas**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/oKno9mu0pMUggAOcVfNPr_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} MTTA e MTTR mostram "—" quando nenhum alerta de segurança foi reconhecido ou resolvido nos últimos 30 dias. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/0wWq1fR94RLQ45plUUBJw_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Alertas ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/KU_jKUhsWn_1Ls4wf9Bcz_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Detecção e caça ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/O-xXa2jR7H7bnpRM06q6b_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Antivírus (Microsoft Defender) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/YTMkScHy0T0pp9RufLNhh_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Indicadores de ataque ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/rjvZlNZnT6qB5lWikgkv0_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Caminhos de ataque ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/BhDSx1314BV-VQBlBFcBK_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} Vulnerabilidades ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/0FtklltROy1KaNByHWtnK_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Identidades ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/vqDtcv6NY2x-iGVejok6l_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} ### Canais de notificação, plantão e notificações pessoais ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/lmZNS6nDvzYa1vptV6Scg_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Canais de notificação, plantão e notificações pessoais (1/3) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/uuLKH7mxdXyA_9RGFCE3T_image.png" size="67" isUploading="false" width="672" height="423" darkWidth="672" darkHeight="423" showCaption="false"} Tela: Canais de notificação, plantão e notificações pessoais (2/3) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/T-x45tXd5DcEONPrye_Lg_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Canais de notificação, plantão e notificações pessoais (3/3) Os alertas chegam às pessoas de três formas: **canais de notificação** compartilhados pela equipe (**Monitorar › Canais de notificação**), a **escala de plantão** que diz quem atende agora (**Monitorar ›Plantão**) e **notificações push** no celular ou computador de cada pessoa (menu do usuário ›**Notificações nos meus aparelhos**). Cada canal é uma conexão da Central de integrações, com teste e histórico. ### O que você pode fazer aqui Conectar canais de e-mail (SMTP), Microsoft Teams, Slack, webhook, Telegram, WhatsApp e SMS, e enviar um teste. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/d4q4i-bywEudMMoCYrfbN_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Ver quais regras usam cada canal ("Usado por"). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/I6zcRnpCAvR9Mjf6n-VUW_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Criar escalas de plantão com rodízio diário ou semanal e cobrir um período para troca de turno ou férias. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/6LA3pe2zvxwe0XL6oiNYe_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Ligar notificações push nos seus aparelhos, com as suas severidades e horário de silêncio. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/QBELZkmGEi68PTqY45dfY_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Canais de notificação 1. Abra **Monitorar › Canais de notificação**. Há um cartão por tipo; clique em **Conectar** (ou **Conectar outro**). Isso abre o formulário de conexão da Central de integrações. 2. Preencha os campos; campos secretos vão para o cofre e não são mostrados de novo. 3. De volta ao cartão, clique em **Enviar teste** na conexão. 3. Na regra de alerta (**Ações › Notificar em**) ou num nível de escalonamento (**Escalar para**), marque o canal. | **Canal** | **Campos** | **Como envia** | **O que Enviar teste faz** | | -------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------ | | **E-mail**
**(SMTP)** | Servidor SMTP, Porta (587), Remetente, Destinatários (separados por vírgula), usuário\:senha (opcional) | Servidor de e-mail da empresa; com usuário usa AUTH e
STARTTLS | Só abre conexão com o servidor; nenhum e-mail éenviado | | **Microsoft Teams** | Endereço do webhook do canal | Cartão de mensagem no canal | Publica "Hive:
connection test ✓" | | **Slack** | Endereço do webhook de entrada | Mensagem no canal | Publica a mesma mensagem de
teste | | **Webhook** | Destino (https), Segredo de assinatura HMAC | Signature
POST assinado com o evento hive.alert.\ e os
cabeçalhos X-Hive-Timestamp , X-Hive-Event e X-Hive- | hive.test
Envia um evento
assinado | | **Telegram** | Token do bot (do @BotFather), IDs dos chats (grupo, canal ou pessoa) | Bot API sendMessage , uma mensagem por chat | Lê a conta do bot; nenhuma
mensagem é
enviada | | **WhatsApp** | ID do número de telefone, Token de acesso permanente, Números (E.164), Nome do modelo aprovado, Código do idioma do modelo | WhatsApp Business Cloud API (Meta) | Lê o número na Meta; nenhuma mensagem é
enviada | | **SMS** | Provedor de SMS (Twilio, Zenvia ou
genérico), Account SID (Twilio), Auth token / token da API, Remetente, Endereço da API do provedor e Corpo da requisição
(genérico), Números (E.164) | API do provedor; texto cortado em 320 caracteres mantendo o link | Lê a conta no
provedor (genérico: só confere o
endereço) | Os canais notificam quando um alerta abre, muda de severidade e é resolvido; um nível de escalonamento envia só para os próprios canais. ### Escalas de plantão 1. Abra **Monitorar › Plantão** e clique em **Nova escala**. 2. **Nome** (único), **Rodízio**: **Semanal** (cada pessoa cobre 7 dias, troca no dia escolhido) ou **Diário **(24 horas). 3. **Dia da troca** (semanal), **Horário da troca** e **Fuso horário** (nome IANA, como America/Sao\_Paulo). 4. **Pessoas, na ordem dos turnos**: escolha uma pessoa em **Incluir pessoa**, clique em **Adicionar **e ordene com as setas. A primeira cobre o turno atual; a fila recomeça depois da última. Sóaparecem usuários ativos que veem alertas. 5. **Canal de e-mail**: **Só notificação push** ou um canal SMTP; o e-mail vai para o endereço da pessoa de plantão. 6. **Salvar**. O cartão mostra **De plantão agora**, **Reserva (próximo da fila)** e os próximos turnos (6 na semanal ou 14 na diária). **Cobrir um período** põe outra pessoa acima da fila: escolha a **Pessoa**, **De**, **Até** (padrão 12 horas) e uma **Observação**, como "férias". A cobertura substitui só quem está de plantão; a reserva continua sendo o próximo da fila. ### Escalonamento nas regras No assistente de regras (**Ações › Escalonamento**) ou em **Quem avisar** de uma regra da plataforma: **Plantão na abertura**: uma escala e **Quem** (**Plantão** ou **Reserva**), chamado quando o alerta abre. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/5oiEA8JvPF42awXl4H1WB_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Incluir nível de escalonamento** (até 5): **Sem reconhecimento depois de (min)**, contado da abertura, uma **Escala de plantão** com **Quem** e canais em **Escalar para**. Cada nível espera mais que o anterior (1 a 1440 minutos) e precisa chamar um canal ou a pessoa de plantão. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/6u9yZZEsEwMh7wpN_MXo7_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} A pessoa de plantão recebe um push em todos os aparelhos, com o título "\[On call] …", mesmo no horário de silêncio e sejam quais forem as severidades escolhidas, mais o e-mail pelo canal da escala. **Reconhecer** (ou **Estou tratando**) para o escalonamento; **Escalar agora** executa o próximo nível. ### Notificações nos seus aparelhos 1. Abra o menu do usuário (seu avatar) › **Notificações nos meus aparelhos**. 2. Em **Este aparelho**, escolha as **Severidades que notificam** (padrão Crítico e Alto) e, se quiser, o **Horário de silêncio** com **Começa às**, **Termina às** e **Fuso horário**. O horário de silêncio pode passar da meia-noite. 3. Clique em **Ligar notificações** e permita no navegador. 4. Use **Enviar um teste**; **Preferências** muda as escolhas; **Desligar neste aparelho** encerra. **Meus aparelhos** lista todos, com a última entrega ou o último erro. Só o título do alerta e um texto curto vão na notificação; tocar nela abre o alerta. Se você pode administrar alertas daquele ativo, a notificação tem o botão **Reconhecer**. No iPhone e iPad é preciso iOS 16.4 ou mais novo, com o Hive adicionado à tela de início (Safari › Compartilhar › Adicionar à Tela de Início). ### Exemplo prático: bot do Telegram para o grupo do NOC 1. No Telegram, fale com o @BotFather, crie o bot hive\_noc\_bot e copie o token. Inclua o bot no grupo "NOC Central IT" e pegue o ID do chat do grupo, por exemplo -1001234567890 . 2. Em **Monitorar › Canais de notificação**, clique em **Conectar** no **Telegram**. Cole o token em **Token do bot**, digite -1001234567890 em **IDs dos chats** e conecte. 3. Clique em **Enviar teste**: o resultado diz que a conta foi lida. O teste não publica mensagem. 4. Abra a regra CPU do ERP em **Monitorar › Regras de alerta**, vá em **Ações** e marque a conexão do Telegram em **Notificar em**. Salve a nova versão. 4. O próximo alerta publica "\[Hive] MAJOR CPU do ERP — ERP-APP-02 (94) \" no grupo; quando ele é resolvido, vem "\[Hive] Resolved: …". O cartão na tela de canais mostra "Usado por: CPU do ERP". ### Exemplo prático: WhatsApp e SMS só para alertas críticos Os canais não têm filtro de severidade próprio: a severidade vem da regra. Então mande os casos críticos por regras cuja severidade é Crítico. 1. Conecte o **SMS** com **Provedor de SMS** Twilio, o **Account SID**AC… , o **Auth token**, o **Remetente **+15005550006 e os números +5511990001111, +5511990002222 . Ou conecte o **WhatsApp** com o **ID do número de telefone**, o **Token de acesso permanente**, os números e o modelo aprovado hive\_alerta (necessário para iniciar conversa fora da janela de 24 horas). 2. Crie a regra Motor do SQL parado : **Escopo** tag SQL , **Uma métrica** › **Serviço rodando**, **Nome do serviço**MSSQLSERVER , **SeveridadeCrítico**, **Notificar em** o canal de SMS (ou WhatsApp) e o canal do Teams. 3. Deixe o canal de SMS fora das regras de aviso e alto; elas notificam só Teams e e-mail. 4. Quando o MSSQLSERVER para no SQL-PRD-01, os dois celulares recebem "\[Hive] CRITICAL Motor do SQL parado — SQL-PRD-01 …" (no máximo 320 caracteres) e o Teams recebe o cartão. 4. No push pessoal, cada pessoa também pode deixar só **Crítico** em **Severidades que notificam**. ### Exemplo prático: plantão semanal com escalonamento 1. **Monitorar › Plantão › Nova escala**: Plantão de infraestrutura , **Semanal**, segunda-feira, 09:00, America/Sao\_Paulo, pessoas Ana → Bruno → Carla, **Canal de e-mail** o canal SMTP Relay de e-mail . **Salvar**: "De plantão agora: Ana", "Reserva: Bruno". 2. Na regra Device unavailable (regra da plataforma), clique em **Quem avisar**: **Canais na abertura **NOC Teams ; **Plantão na abertura**Plantão de infraestrutura , **Quem** Plantão. 3. **Incluir nível de escalonamento**: Nível 1 depois de 15 min → Plantão de infraestrutura , **Quem **Reserva. Nível 2 depois de 45 min → **Escalar para** o canal de SMS dos gestores. 4. Sábado 02:10, o SW-CORE-02 cai. A Ana recebe o push e o e-mail na hora. Às 02:25 ninguém reconheceu: o Bruno é chamado. Às 02:55 os gestores recebem o SMS. Quando a Ana toca em **Reconhecer**, o escalonamento para. 5. A Ana sai de férias na semana seguinte: clique em **Cobrir um período**, **Pessoa** Carla, **De **segunda 09:00, **Até** a segunda seguinte 09:00, **Observação** "Ana de férias". A Carla aparece com a marca "cobertura" nos turnos. ### Cuidados e limites Conectar e testar canais pede permissão para administrar integrações; escalas e coberturas pedem permissão para administrar alertas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/0-UN1UTshUmFkBoNtf6dF_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Telegram, WhatsApp e SMS vão para os destinos fixos da conexão, nunca para a pessoa de plantão; ela é alcançada pelo push e pelo e-mail da escala. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/kpQG0Hk9b2eGYXUAmZz5J_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} O teste de Telegram, WhatsApp, SMS e e-mail não envia mensagem; o primeiro alerta real confirma a entrega. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/gFGpSPgBTUmcS8LxK9IDO_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Uma escala para a qual regras escalam não pode ser excluída; mude essas regras antes. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/q1mTJO8XdylPWm5PNcObx_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Regras da plataforma como "Device unavailable" aparecem na lista de regras depois do primeiro alerta. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/K00SvCiRNM1su2jwBCpti_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Não há botão para remover uma cobertura; ela termina no horário de **Até**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/2qn1yca1ND-c33QsoRNuG_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} O horário de silêncio segura todos os seus pushes pessoais, inclusive críticos, exceto os chamados de plantão. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/aIPTq2Ly73qVaHfRJ2nVC_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} O Hive não chama endereços de rede interna a partir da nuvem; webhooks precisam de endereço https público. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/t0ZtBYYaPH2Jv-EcV8USe_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Alertas, regras e modelos de monitoramento ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/fzq5T_9xUKIor4xquCOhU_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Passo a passo: criar alertas ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/8oiy-aBkQm-Xg0SsCXaW1_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Central de integrações ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Q9GsD-V-c7F96gajik6dV_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Experiência digital ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/piVNLR1kJsnYAiz7BVoRr_image.png" size="67" isUploading="false" width="672" height="423" darkWidth="672" darkHeight="423" showCaption="false"} Tela: Experiência digital **Experiência digital** (Monitorar › Experiência digital) mostra como as máquinas estão para quem as usa. O agente manda, com cada inventário, o tempo de inicialização, os aplicativos que travaram ou congelaram, as quedas do sistema, a qualidade da rede e os processos mais pesados; o Hive transforma isso numa nota de 0 a 100 por máquina, aponta a provável causa e deixa você pôr uma mensagem na tela dos usuários. ### O que você pode fazer aqui Ver a **Nota média**, quantas máquinas estão **Boa (80+)**, regulares (60–79) e **Ruim (abaixo de 60)**, e a **Inicialização média**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/6Om-5ZDEy0BmU3q7rGlOR_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Ver a rede do parque: **Wi-Fi fraco**, **Latência até o gateway**, **Rede lenta** e **Na VPN**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/fCuAD0Ym4jJm0WbZ8Xc9V_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} Acompanhar a **Nota média, últimos 30 dias**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/lwyk-XH65B47CQLk2yBFC_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Achar as **Máquinas com a pior experiência** e ler **O que derruba** e a **Provável causa**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/9RrVyZQv2uWgpq1GZEfIv_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Listar as **Telas azuis, kernel panics e desligamentos inesperados (30 dias)**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/6u9yZZEsEwMh7wpN_MXo7_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Comparar a **Nota por departamento** e a **Nota por aplicativo**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/QbY4mtSK5MADQfz9kNh1p_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Ver o sentimento dos funcionários ao lado da nota (**Sentimento ao lado da experiência**), quando as pesquisas têm respostas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/yXtmeNyCU_zJ2OaiOz9OE_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Anunciar na tela**: mandar uma mensagem para as máquinas de locais ou tags escolhidos. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Ku1c3Thh8sCALJ7ofBKoS_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Em cada máquina, ver o painel **Experiência digital** na aba **Monitoramento** do ativo. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/nneAEUqC9efWbUBuPrs_T_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Como a nota é calculada Cada máquina começa com 100 e perde pontos pelo que o agente informa (nunca abaixo de 0): | **O quê** | **Pontos perdidos** | | ---------------------------------------------------------------------------- | -------------------------- | | Travamentos de aplicativo em 7 dias | 3 por travamento, até 30 | | Congelamentos de aplicativo em 7 dias | 2 por congelamento, até 20 | | Inicialização acima de 60 s / acima de 120 s | 10 / 20 | | Mais de 14 dias sem reiniciar | 10 | | Telas azuis ou kernel panics em 30 dias | 15 cada, até 30 | | Desligamentos inesperados em 30 dias | 5 cada, até 10 | | Sinal de Wi-Fi abaixo de 55% / abaixo de 40% | 5 / 10 | | Gateway acima de 30 ms / acima de 100 ms, ou 25% ou mais de pacotes perdidos | 5 / 10 / 10 | | CPU, memória ou disco em 90% ou mais | 10 cada | De onde vêm os dados: no Windows, o Visualizador de Eventos (travamentos e congelamentos de aplicativos, telas azuis do BugCheck com o código, desligamentos inesperados do Kernel-Power 41); no Linux, o systemd (tempo de inicialização, core dumps) e o pstore para kernel panics; no macOS, os relatórios de diagnóstico, inclusive os de panic. O agente também lê o Wi-Fi ativo (rede, sinal, taxa, canal), os adaptadores de VPN ligados e faz ping no gateway padrão. Só vão nomes de programa, contagens e números — nada de linha de comando, conteúdo de janela ou endereços visitados. A menor nota de cada dia fica guardada para a tendência. ### Passo a passo: achar o que prejudica uma máquina 1. Abra Monitorar › Experiência digital. 2. Em **Máquinas com a pior experiência** (as 20 notas mais baixas), leia as linhas de **O que derruba**: cada uma mostra os pontos perdidos, por exemplo "−20 · A inicialização levou 140 s". 3. Se aparecer a linha **Provável causa**, ela cita o aplicativo e a mudança de software encontrada antes dos travamentos. 4. Clique no nome da máquina. Abre o ativo na aba **Monitoramento**, onde o painel **Experiência digital** mostra a nota, o tempo de inicialização, os travamentos e congelamentos por aplicativo, as quedas do sistema, a linha do Wi-Fi (rede, sinal, taxa), a latência e a perda até o gateway, a VPN e os processos que mais usam CPU e memória agora. **Exemplo prático: o Excel fecha sozinho depois de uma atualização** Na segunda-feira o suporte recebe três chamados do time de Finanças sobre o Excel fechando sozinho. 1. Em Monitorar › Experiência digital, **Nota por aplicativo** mostra excel com nota 58 e "41 travamentos ou congelamentos em 7 dias"; em **Máquinas afetadas**, "12 de 80 onde estáinstalado (15%)". 2. **Máquinas com a pior experiência** lista a FIN-NB-014 com nota 52: "−24 · 8 travamentos de aplicativo em 7 dias", "−10 · Sem reiniciar há 21 dias", "−10 · Memória em 93%". 3. Logo abaixo, em laranja: "Provável causa: EXCEL crashes 8x; software changed on 2026-10-17: changed Microsoft 365 Apps for enterprise". 4. A **Nota por departamento** confirma: Finanças tem nota 61 e 9 máquinas **Ruins**, enquanto os outros departamentos estão acima de 80. 5. O time desfaz a atualização com uma implantação para as máquinas de Finanças. Depois dos próximos inventários, os travamentos saem da contagem de 7 dias, a FIN-NB-014 volta para acima de 80 e a **Nota média, últimos 30 dias** sobe de novo. ### Exemplo prático: avisar e corrigir automaticamente 1. Em Monitorar › Regras de alerta, clique em **Nova regra**, escolha **O estado do inventário** em **O que observar** e a condição **Experiência digital ruim** (nota abaixo de 60). Uma segunda regra pode usar **Aplicativo travando** (um aplicativo travou 5 vezes ou mais em 7 dias). 2. Em **Escopo**, escolha o grupo "Notebooks de Finanças". 3. Em **Ações**, escolha o sistema de chamados em **Abrir chamado em** e, em **Correção automática na máquina**, escolha **Playbook** e o playbook publicado "Limpar cache do Office e reiniciar". Ligue **Resolver o evento quando a correção der certo**. 4. Salve. A partir daí, quando um notebook de Finanças cai abaixo de 60, o evento abre com chamado e o agente roda o playbook (no máximo 3 vezes por dia por máquina e regra). ### Exemplo prático: anunciar uma manutenção na tela O concentrador de VPN do escritório de São Paulo será reiniciado às 18h. 1. Em Monitorar › Experiência digital, clique em **Anunciar na tela**. 2. **Título**: "Manutenção de TI". **Mensagem**: "A VPN ficará indisponível hoje das 18h às 18h30. Salve seu trabalho antes." 3\. Em **Locais (vazio: todos)** digite São Paulo ; deixe **Tags (vazio: todas)** vazio. 3. Clique em **Enviar**. O aviso diz "Anúncio enviado para 143 máquina(s)." A mensagem aparece para quem estiver usando cada uma dessas máquinas com agente 4. O anúncio sai como uma implantação chamada "Anúncio · Manutenção de TI", já aprovada, e fica no histórico de implantações e na trilha de auditoria. ### Cuidados e limites A página fica vazia ("Ainda sem dados de experiência.") até os agentes mandarem a experiência com o inventário; máquinas sem agente não têm nota. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/hKg2_Z13sW46FzI5jws2r_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} Só ativos ativos contam; as listas seguem o escopo do seu perfil. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/dUe1HTEPVMgWn0EIdC3eP_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Provável causa** só aparece quando um aplicativo travou pelo menos duas vezes; o Hive olha as mudanças de software daquela máquina nos últimos 10 dias, primeiro a que cita o aplicativo. É uma pista, não uma prova. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/yVEPQOhjRujO4-eSLYvBx_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Inicialização média** vem do Windows e do Linux. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/8Rfm5iQ--PU6iP4fcR7z4_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Nota por departamento** precisa das máquinas associadas a departamentos em Descoberta › Estrutura; sem isso aparece "Associe as máquinas aos departamentos em Estrutura para comparar." ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/_lubggPDNDCIaUtBFyK8V_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Nota por aplicativo** conta "onde está instalado" comparando o nome do aplicativo com o software instalado, então o percentual é aproximado. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/6VFs3OPLcE0zVsI5uzRaz_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Anunciar na tela** exige a permissão de administrar alertas. Precisa de pelo menos um local ou tag, e a mensagem tem até 500 caracteres de texto simples. Os locais são comparados pelo nome; com locais e tags juntos, a máquina precisa casar com os dois. Só máquinas com agente recebem; se nenhuma casar, o Hive responde "No device with an agent matches the targets." ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ltfmap9E8cUagRskcIbj4_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Máquinas com a pior experiência** mostra as 20 notas mais baixas; a lista de quedas do sistema mostra as últimas 50. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/JxSrF-VW-tZQ5XkqxE7cM_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Sentimento dos funcionários ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/B5Cn54aXVrBuFfX3QTTmA_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Alertas e regras ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/VkMvcsbW41YQN7QA8gGSo_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Playbooks gravados ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/fVd_gEZ5LyyOfgi-EB9ht_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Implantações ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/2xjjmu1wFT1OUagZSnCPJ_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Estrutura organizacional ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/AQHK8GBXq62zbrvpZJvnd_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} ### Pesquisas de sentimento do colaborador ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/w3AX13wU8F2r4XvjPFeiy_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Pesquisas de sentimento do colaborador **Monitorar › Sentimento do colaborador** faz perguntas curtas às pessoas sobre o computador e a TI— de tempos em tempos, logo depois de um chamado resolvido ou depois de um patch ou implantação— e mostra as respostas como uma nota de 0 a 100 ao lado da nota de experiência digital. A pergunta aparece no computador da pessoa pelo agente e abre uma pequena página de pesquisa; não é preciso login. ### O que você pode fazer aqui Criar **campanhas** de três tipos: **Pulso (periódico)**, **Depois de chamado** e **Depois de mudança**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/4S2y5oUxDo3mCVYNPmI7B_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Escolher de 1 a 3 perguntas respondidas com **Nota de 1 a 5** ou **Emoji**, e permitir um comentário opcional. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/iHYpjZs-6Km_fVwNSuK2Z_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Decidir o **Anonimato**: **Identificada** (só com o consentimento da pessoa), **Só departamento** ou **Anônima**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/rQ1KtzG3gJzwXYl03MGQX_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Definir o **Público** por departamentos, grupos e etiquetas, e conferir **Quantas máquinas?** antes de enviar. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Ze0zYCWBGXxtkorwWPk-w_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Acompanhar a **Visão geral**: nota, taxa de resposta, tendência, resultados por departamento, por aplicativo e por máquina, e comentários. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/sn0RXjGjiLuGzjvmB43-b_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Ver os **Resultados** de cada campanha e o veredito de cada mudança em **Depois de mudanças**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/1hoKDeycYoojKGVzHESKE_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Criar e disparar uma campanha 1. Abra **Monitorar › Sentimento do colaborador** e clique em **Nova campanha**. 2. Digite o **Nome** e escolha o **Tipo**. As perguntas vêm preenchidas com um modelo para o tipo; mude os textos se quiser. 3. Se quiser, escreva uma **Introdução (opcional)**, mostrada acima das perguntas. 4. Em **Perguntas (1 a 3)**, defina cada **Pergunta** e **Resposta com** (**Emoji** ou **Nota de 1 a 5**); use **Acrescentar pergunta** ou **Tirar**. 5. Mantenha ou desligue **Permitir comentário opcional**. 6. Escolha o **Anonimato**. Em **Só departamento** e **Anônima**, defina o **Mínimo de respostas para mostrar um grupo** (pelo menos 3, padrão 5). 7. Em **Público**, clique nos departamentos e grupos e digite etiquetas. Nada escolhido significa todas as estações com agente. Clique em **Quantas máquinas?** para ver quantas máquinas o público alcança hoje. 8. Se quiser, preencha **Aplicativo (opcional)** para ligar as respostas a um aplicativo. 9. Defina o tempo: **A cada (dias)** no pulso, ou **Esperar antes de perguntar (minutos)** nos outros tipos; **Dias de descanso por máquina** (uma máquina que recebeu qualquer pesquisa nesse período não é perguntada de novo) e **Aberta por (dias)**. Em **Depois de mudança**, escolha **Patch**, **Implantação** ou os dois. 10. Clique em **Salvar**. A campanha é criada como **Rascunho**. 11. Em **Campanhas**, clique em **Ativar**. O pulso sai para o público em cerca de um minuto e depois a cada N dias; os outros tipos esperam o seu disparo. Em **Campanhas**, cada linha mostra o tipo, o número de perguntas, a **Situação**, o **Anonimato**, a **Taxa de resposta** (respondidas de convidadas) e o **Sentimento**. Os botões são **Resultados**, **Editar**, **Ativar**, **Pausar**, **Enviar agora** (só pulso ativo), **Encerrar** e **Excluir**. ### O que o colaborador vê 1. O agente mostra um aviso na sessão do usuário: "Pesquisa rápida da TI", com **Responder** e **Depois**. Sem ninguém logado, a pesquisa fica no portal local da Loja em **Pesquisas rápidas da TI**. 2. **Responder** abre a página da pesquisa no navegador, com a empresa, o nome da campanha e o computador. Depois de um chamado ou de uma mudança, uma linha diz de qual chamado ou mudança se trata. 3. A pessoa responde cada pergunta com um botão de 1 a 5 (**Muito ruim** a **Muito bom**) ou um emoji, e pode escrever um **Comentário (opcional)** de até 1.000 caracteres. 4. Um aviso explica o que acontece com a resposta. Numa campanha identificada, uma caixa pede o consentimento para ligar a resposta à pessoa e ao computador; sem ele, só o departamento éguardado. 5. **Enviar** grava a resposta ("Obrigado!"). **Agora não** dispensa esta pesquisa. **Não perguntar neste computador (90 dias)** dispensa e para as pesquisas naquele computador por 90 dias. 6. Um link já respondido, dispensado, encerrado ou vencido mostra que a pesquisa não está mais aberta. ### Ler os resultados **Visão geral** (últimos 90 dias): **Nota de sentimento** (0 a 100, com a média "de 5"), **Taxa de resposta**, **Respostas** e **Campanhas ativas** (com quantas foram dispensadas pelos usuários), a ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/eiPDjEDib6WIWW7cKJkpO_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Tendência** semanal, **Por departamento** com a nota de experiência ao lado, **Por aplicativo**, **Por máquina (respostas identificadas)** e os últimos **Comentários**. **Resultados** de uma campanha: a média e a distribuição de 1 a 5 de cada pergunta, **Por disparo**, **Por departamento**, a tendência e os comentários. Abaixo do mínimo de respostas, só a contagem aparece. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Y0UFEVDCLIc4E3xTmnNlb_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Depois de mudanças**: cada patch ou implantação acompanhado por uma campanha **Depois de mudança**, com **Convidadas**, **Respostas**, **Sentimento** e o **Veredito**: **Bom** (média 3,5 ou mais), **Misto**, **Ruim** (abaixo de 2,5) ou **Aguardando respostas**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/6e23cPn-q5-v-VtCsj8u6_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Na página da máquina, **Monitoramento** mostra o painel **Sentimento do colaborador** com as respostas identificadas, as últimas pesquisas e, quando houver, a data até a qual o usuário pediu para não ser perguntado. **Monitorar › Experiência digital** mostra **Sentimento ao lado da experiência**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/6JLYvANd7XZtPMoJPKbC1_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} A nota de 0 a 100 é a média de 1 a 5 na escala da experiência: 1 = 0, 3 = 50, 5 = 100. ### Exemplo prático: pulso trimestral para o Financeiro O gestor de TI quer ouvir a equipe do Financeiro a cada trimestre, sem expor ninguém. 1. Em **Monitorar › Sentimento do colaborador**, clique em **Nova campanha**. **Nome**Pulso Financeiro – trimestral , **TipoPulso (periódico)**. Mantenha as duas perguntas do modelo ("Quão satisfeito você está com o seu computador e as ferramentas que usa?" com **Emoji**, "Quão fácil éfazer o seu trabalho sem a TI atrapalhar?" com **Nota de 1 a 5**). 2. **Introdução (opcional)**: Duas perguntas rápidas da TI. Leva menos de um minuto. Mantenha **Permitir comentário opcional** ligado. 3. **AnonimatoSó departamento**, **Mínimo de respostas para mostrar um grupo** 5. 4. Em **Público**, clique no departamento **Financeiro** (os subdepartamentos vêm junto). Clique em **Quantas máquinas?**: "48 máquina(s) hoje". 5. **A cada (dias)** 90, **Dias de descanso por máquina** 7, **Aberta por (dias)** 5. Clique em **Salvar**: a campanha aparece em **Campanhas** como **Rascunho**. 6. Clique em **Ativar**. Em cerca de um minuto, as 48 estações do Financeiro recebem o aviso "Pesquisa rápida da TI". 7. Cinco dias depois os convites em aberto vencem. **Campanhas** mostra **Taxa de resposta** 65% (31 de 48) e sentimento 72. **Resultados** mostra a média e a distribuição de cada pergunta, o Financeiro em **Por departamento** e os comentários, sem máquina nem nome, porque a campanha é só departamento. 8. Noventa dias depois da primeira rodada, o Hive envia a próxima sozinho; máquinas pesquisadas por outra campanha nos últimos 7 dias ficam de fora. **Exemplo prático: conferir se um patch não prejudicou os usuários** 1. **Nova campanha**: **Nome**Depois de patches , **TipoDepois de mudança**, mantenha a pergunta do modelo ("Como o seu computador está funcionando depois da mudança recente?" com **Emoji**), **AnonimatoSó departamento**. 2. Deixe o **Público** vazio (todas as estações), **Esperar antes de perguntar (minutos)** 60, **Aberta por (dias)** 3, e deixe só **Patch** ligado. **Salvar** e **Ativar**. 3. A próxima implantação de patches termina em 120 estações. Uma hora depois de cada uma terminar, a pessoa recebe a pesquisa, que diz de qual mudança se trata. 4. **Depois de mudanças** lista o patch com **Convidadas** 120, **Respostas** 47, **Sentimento** 38 e **VereditoRuim** (média abaixo de 2,5). Abra **Resultados** para ler os comentários e decidir um rollback. ### Exemplo prático: satisfação depois do chamado 1. **Nova campanha**: **Nome**CSAT da central , **TipoDepois de chamado**, **AnonimatoIdentificada**, **Esperar antes de perguntar (minutos)** 30. **Salvar** e **Ativar**. 2. Quando um chamado do ITSM ligado a uma máquina é resolvido, a pessoa naquela máquina recebe a pesquisa 30 minutos depois, com "Sobre o chamado:" e o título. 3. Joana marca o consentimento e responde 2 com o comentário "Demorou três dias". A resposta aparece em **Por máquina (respostas identificadas)** e na aba **Monitoramento** da máquina, para a central retornar. Um colega que não marca a caixa conta só pelo departamento. ### Cuidados e limites Ver exige permissão de leitura de ativos; criar, editar, ativar, pausar, enviar, encerrar e excluir campanhas exige administração de alertas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/7rJsalj0jWLPAxbhwSVa__image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Só são pesquisadas máquinas ativas com agente de estação ou VDI. Servidores, máquinas isca, máquinas cujo usuário escolheu **Não perguntar neste computador (90 dias)** e máquinas pesquisadas dentro dos **Dias de descanso por máquina** ficam de fora. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/MoGSHoQbr595IpW267_mp_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Enviar agora** só funciona em pulso ativo; respeita os dias de descanso e reinicia a contagem de **A cada (dias)** a partir daquele momento. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/lM2qMFzWrfi-_JEEFpjMQ_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **A cada (dias)** vai de 1 a 365, **Dias de descanso por máquina** de 0 a 180, **Esperar antes de perguntar (minutos)** até 10.080 (7 dias) e **Aberta por (dias)** de 1 a 30. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/_U_8FL8jPJyitrni-IOEY_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Depois que a campanha tem respostas, as perguntas e o anonimato não mudam; crie uma nova campanha. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/f6YMSxF3ktb1qHeevpFbs_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Encerrar** vence os convites ainda abertos. **Excluir** apaga a campanha e todas as respostas e não pode ser desfeito. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Xc7I2mk7s2J9WPsE21rZz_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Em campanhas **Só departamento** e **Anônima**, grupos com menos respostas que o mínimo ficam ocultos, e a resposta guarda só o dia, não a hora. **Anônima** também não guarda o departamento. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/s7DkNZF2AQTHNBCqn1SiU_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Depois de chamado** só cobre chamados ligados a uma máquina e resolvidos depois da criação da campanha (e nos últimos 3 dias). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/H7-um5lvXG6gesWu1beQ5_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Um computador desligado mantém o convite na fila; o Hive tenta entregar de novo (até 12 tentativas) até a pesquisa aparecer ou o convite vencer. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/JEEHZLzBmFggp-VocIor7_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Experiência digital ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/NhKaTidQJttU3Og7tFrLb_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Chamados no ITSM ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/l1-jdEN8ZCPJcLhEXFY4w_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Patches ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/1KRTxL8ygdYVaqbvNuzuS_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Implantações por localidade ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/X0LMbfu22JMUwscXgIfty_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Estrutura organizacional ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/cEEXIXOhm9Jt0Eoi94Dh4_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Tags e grupos ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/JEW8ASM1Om6jLuFVNq_Mo_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Integridade de arquivos e registro ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/tX6KSnjNUXQc8Dwuo_OHa_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Integridade de arquivos e registro **Segurança › Integridade** vigia arquivos e chaves do registro críticos: quem alterou, o que mudou e quando. Alterações numa janela de manutenção ou numa mudança aprovada são esperadas e não alertam; as outras abrem alerta. É uma base para requisitos como PCI DSS 11.5, ISO 27001 e os CIS Controls. ### O que você pode fazer aqui Aba **Políticas**: criar uma política com **Nova política**, editar, apagar e ver itens, ativos e alterações dos últimos 7 dias. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/KXgPlSBWO-PPv7l3zDug1_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Aba **Alterações**: cada alteração do período, filtrada por **Esperadas** ou **Não esperadas**, com quem alterou; abra uma alteração para ver antes e depois e, nos arquivos de texto, as linhas mudadas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/qbO6PB5l9KKCuh7tceutk_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Aba **Mudanças aprovadas**: **Registrar mudança aprovada** com o chamado da mudança, o período e as tags dos ativos que ela cobre. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/81WGvARPRuKFEorl5HI1e_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Em cada ativo, aba **Integridade**: cada caminho monitorado **Igual à linha de base** ou **Diferente da linha de base**, e **Aprovar como nova linha de base**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/3lzTrDfKpuzey23qhYcKu_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Criar uma política passo a passo Clique em **Nova política** (exige alerts\:admin ). O assistente tem quatro passos. **Modelo**: comece por **Windows — base** (hosts, chaves Run/RunOnce, serviços, Winlogon, LSA, política de auditoria, drivers), **Linux — base** (/etc/passwd, shadow, group, sudoers, sshd\_config, crontab e cron.d, PAM, unidades systemd), **macOS — base** (LaunchAgents, LaunchDaemons, perfis de configuração, sudoers), **Servidores web e bancos** (configuração de IIS, Nginx, Apache, PostgreSQL e SQL Server) ou **Começar vazia**. Depois escolha **Para qual sistema**. **Itens**: ajuste a lista de arquivos, pastas e chaves do registro e a **Severidade** de cada um. Use **Incluir pelo navegador** para escolher caminhos num ativo de referência com agente (a resposta chega em até 15 segundos), ou **Digitar um caminho**. Em pastas, escolha **Subpastas** e o que \*\*Excluir (como \\\*.log)**. Marque **Guardar conteúdo (diferença legível)\*\* em arquivos de configuração de texto para ver as linhas incluídas e removidas. **Onde**: as **Tags** e os **Grupos** dos ativos que recebem a política. Vazio: todos os ativos do sistema escolhido. **Prévia**: digite o **Nome da política** e a **Verificação periódica (segundos)** (de 10 segundos a 1 dia; 300 por padrão) e veja quantos itens e ativos são monitorados e o **Custo no agente** (Baixo, Médio, Alto). **Salvar política**: os agentes recebem na próxima atualização da política (até 5 minutos). ### O que chega em cada alteração Arquivos: criado, alterado ou apagado, com SHA-256, tamanho, permissões, dono e data de modificação, antes e depois. Registro: valor e tipo antes e depois. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Vpc-C8xCCsen5ibHnt4YT_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} No Linux o agente avisa na hora e, rodando como root, informa **o processo e o usuário** que alteraram; nos outros sistemas a verificação periódica acha a alteração. O agente guarda os eventos enquanto está offline e manda depois. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/6asAHUPYyApX-w_sU-Sjs_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Nos arquivos com **Guardar conteúdo**, a alteração mostra as linhas incluídas e removidas, com senhas, chaves e strings de conexão mascaradas no próprio agente antes de sair da máquina. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/uLB3VXShTeo87ztlxsSqk_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} O binário, a configuração e o serviço do próprio agente são sempre monitorados com severidade crítica (**Proteção do agente**) e não podem ser desligados por uma política. Uma atualização legítima do agente refaz essa linha de base sozinha. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/miPe81D_VaeHl2jYLDBQO_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} ### Exemplo prático: vigiar sudoers e sshd nos servidores Linux 1. Marta clica em **Nova política**, escolhe **Linux — base**, sistema Linux. 2. Em **Itens** ela mantém /etc/sudoers , /etc/sudoers.d (com **Subpastas**) e /etc/ssh/sshd\_config , põe todos em **Crítica** e marca **Guardar conteúdo** no sshd\_config . Com **Incluir pelo navegador** em SRV-APP-01 ela acrescenta /opt/erp/conf/app.properties , sem exclusões. 3. **Onde**: tag linux-server . **Prévia**: nome Servidores Linux – controle de acesso , verificação a cada 300 segundos; 14 itens em 22 ativos, custo Baixo. **Salvar política**. 4. Terça às 02:13, alguém edita /etc/ssh/sshd\_config em SRV-APP-04 . O alerta abre na hora como crítico. Em **Alterações**, a linha mostra o usuário deploy , o processo vim , **Não esperada**; ao abrir aparece a diferença: - PermitRootLogin no / + PermitRootLogin yes . 5. A equipe desfaz o arquivo e investiga. Na semana seguinte, para o endurecimento planejado do SSH, Marta usa **Registrar mudança aprovada**: chamado CHG-2291 , início quinta 22:00, fim sexta 02:00, tag linux-server . As edições feitas nessa janela aparecem como **Esperada** com "mudança aprovada CHG-2291" e não alertam. 6. Depois do endurecimento, na aba **Integridade** de cada servidor, ela clica em **Aprovar como nova linha de base**; a versão atual passa a ser a esperada, com registro na trilha de auditoria. ### Cuidados e limites Criar políticas, mudanças aprovadas e aprovar linhas de base exigem alerts\:admin . ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/lRVbAx_e2-EkU3BhAGjfb_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Uma mudança aprovada dura no máximo 31 dias e precisa do chamado e dos ativos ou tags que ela cobre. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/HCqUceFf3rpOr_ym7XGiQ_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Alterações durante a janela de manutenção do ativo também são esperadas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/G-B1Q_dsB92LmOXx5_cBe_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} O registro e o navegador de chaves do registro existem só no Windows. No Windows e no macOS é a verificação periódica que define a rapidez com que a alteração é achada; quem alterou pode ficar desconhecido ("O sistema não informou quem alterou."). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ZJrMzw2kDNraPRaN91WqO_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Pastas grandes com **Subpastas** aumentam o custo no agente: confira a **Prévia** antes de salvar. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/cTcAydSmK6uf8x7hJK51k_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} Os relatórios *Mudanças de integridade não esperadas* e *Mudanças de integridade por ativo* da biblioteca de relatórios trazem quem, o quê, quando e se foi aprovado, prontos para a auditoria. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/cKa-Y31vP6cxskiewi3c__image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Alertas ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/D81c3tz4kZp6bcT8CHP6F_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Relatórios ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/M56NGfcn_CLtSd9HrMIDe_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Conformidade ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/aEXxr-LyphahVuaHjcy1i_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Detecção e caça ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/NvNEhHXprIMHArF5zPQzY_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Trilha de auditoria ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/YWdmP-OQuOGkcyZSWh77r_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Acesso remoto ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/SQ3PrXq4XPPZkJGIhqRqA_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Acesso remoto (1/2) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/x28KU9je6tsvTlzLXD2um_image.png" size="67" isUploading="false" width="672" height="423" darkWidth="672" darkHeight="423" showCaption="false"} Tela: Acesso remoto (2/2) **Segurança › Acesso remoto** abre, pelo navegador, a tela, um terminal, transferência de arquivos, serviços e processos, chat e uma ligação de voz com uma máquina, sem VPN e sem programa extra. A conexão é WebRTC cifrado entre o seu navegador e o agente, pelo servidor TURN da plataforma. Toda sessão tem motivo, trilha encadeada e uma gravação guardada cifrada pelo prazo definido na política. ### O que você pode fazer aqui Ver as sessões (**Abertas** ou **Todas**) e buscar por motivo, chamado, dispositivo ou texto na trilha. Técnicos veem as próprias sessões; aprovadores e auditores veem todas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/84VwKZ_pTmC94RPOYGW6t_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Nova sessão**: assistida (o usuário consente), não assistida (onde a política permite, com segundo aprovador) ou **Sem agente** (SSH por um coletor). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/zkr2K49tIShCHjCh6zGF0_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Numa sessão: **Conectar**, trabalhar nas abas **Tela**, **Terminal**, **Arquivos**, **Serviços**, **Processos** e **Chat**, ligar para o usuário, convidar colegas para acompanhar, **Bloquear a tela**, **Reiniciar e reconectar** e **Encerrar sessão**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/EKgHtvMrevpnA9BAErDgU_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Trilha** e **Conferir integridade**; **Gravação** para auditores e aprovadores. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/FDNmpYZMM52MJKW-d1TUL_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} **Política de acesso remoto** (administradores): quem pode ser acessado sem o usuário, aprovações, tempo de consentimento, canais, marca d'água e retenção das gravações. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/uJIWpCMLboCVhGKszfKYW_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Abrir uma sessão passo a passo 1. Clique em **Nova sessão** (ou em **Acesso remoto** na página da máquina; exige remote\:access ). 2. Busque o **Dispositivo**, escreva o **Motivo** (pelo menos 10 caracteres; o usuário vê e vai para a trilha) e o **Chamado** (obrigatório quando a política exige). 2. Escolha **Como**: 4\. **Assistido**: o usuário logado vê quem pede, o motivo e o chamado e tem o tempo de consentimento (30 segundos por padrão) para permitir ou recusar. Sem ninguém logado, a sessão abre e é gravada. 3. **Não assistido**: só em máquinas com as tags ou grupos da política. Com **O acesso não assistido precisa de um segundo aprovador** ligado (o padrão), outra pessoa com remote\:approve decide antes; o técnico nunca aprova a própria sessão. 4. **Sem agente**: um coletor na mesma rede abre um terminal SSH com uma credencial de descoberta (a porta vem da credencial, senão 22). Só terminal. 5. Clique em **Pedir acesso**. A situação passa por **Aguardando aprovação** (não assistido), **Aguardando o usuário** (assistido), **Conectando** e **Ativa**. 6. Clique em **Conectar**. As abas aparecem conforme os canais permitidos. **Encerrar sessão** fecha tudo; o usuário também pode encerrar do lado dele. ### Trilha, gravação e retenção A **Trilha** guarda o pedido, a aprovação, o consentimento, os canais abertos, os arquivos enviados e baixados (com SHA-256), os serviços e processos mexidos, as mensagens, as ações de energia, as ligações de voz e o fim. Cada evento é encadeado ao anterior por hash; **Conferir integridade** recalcula a cadeia da trilha e da gravação ("Trilha e gravação íntegras."). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/wT4RaqA5hPb_r1QthwB47_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} A saída do terminal e os quadros da tela são **gravados**. Cada parte é cifrada (AES-GCM) com a chave de gravação da empresa, guardada no cofre, e escrita pelo núcleo na pasta de gravações em disco; o banco guarda só os hashes. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/EfzTUiv2MwAKjMvudCYh-_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Gravação** (exige audit\:read ou remote\:approve ) toca as gravações de **Tela** e **Terminal** a 1×, 2×, 4× ou 8×. Abrir uma gravação vai para o log de auditoria. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/oa_UjBMKVHMnBBNmJiZUN_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Quando a sessão termina, o Hive agenda a exclusão da gravação para depois de **Guardar as gravações por (dias)** da política: 180 dias por padrão, de 7 a 3.650. A aba **Gravação** mostra "Esta gravação é apagada em …"; depois disso, "A gravação foi apagada no fim do prazo de retenção. A trilha continua." ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/0Gs63yuUwIlMntMHPQVDL_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Exemplo prático: um técnico conserta um notebook do Financeiro e uma auditora revisa** 1. Ana (Financeiro) abre o chamado INC-5150 : o cliente do ERP não abre em FIN-NB-014 . 2. Paulo (técnico) abre **Segurança › Acesso remoto › Nova sessão**, dispositivo FIN-NB-014 , **Motivo** "Cliente do ERP não abre, verificar o serviço e os logs", **Chamado**INC-5150 , **Como Assistido**. **Pedir acesso**: situação **Aguardando o usuário**, "Aguardando o usuário permitir (no máximo 30 s)." 3\. Na tela dela, Ana vê o nome do Paulo, o motivo e o chamado, e permite. A situação vai para **Ativa**; Paulo clica em **Conectar**: "Conectado a FIN-NB-014 (Windows). Usuário: ana." O aviso "Esta sessão é gravada" fica na tela, e a marca d'água com o nome dele e o horário aparece na tela. 3. Em **Serviços** ele reinicia o ERPClientService ; em **Arquivos** baixa C:\ERP\logs\client.log (a trilha guarda o SHA-256); em **Tela** clica em **Assumir o controle** e abre o ERP para confirmar. Manda "Resolvido, pode usar" no **Chat** e clica em **Encerrar sessão**. 4. Três meses depois, Vera (auditora, audit\:read ) abre **Segurança › Acesso remoto**, **Todas**, busca INC-5150 , abre a sessão e clica em **Conferir integridade**: "Trilha e gravação íntegras." Em **Gravação** ela toca a **Tela** a 4× e lê a parte do **Terminal**. A visualização dela vai para o log de auditoria. A aba informa que a gravação é apagada 180 dias depois do fim da sessão. A aba Terminal não aparece neste exemplo de propósito: veja as classes de aparelho nos limites abaixo. ### Exemplo prático: ligar para o usuário por voz 1. Com a sessão ativa, Paulo clica em **Ligar para o usuário (voz)**. O agente abre, no navegador da sessão da Ana, uma página de uso único: "O técnico está ligando para você", com **Atender** e **Recusar**. 2. Ana atende; os dois falam pelo microfone do computador, ponto a ponto pelo mesmo relay. A página diz "A voz não é gravada." 3\. Qualquer um clica em **Desligar**. A trilha guarda que a ligação aconteceu, quem atendeu e quando terminou, nunca o áudio. Sem usuário logado, a ligação mostra "Não tocou (sem sessão de usuário)"; sem resposta, "Não atendida". ### Vários técnicos, bloqueio e reinício O técnico que conduz pode convidar um colega pelo login (**Convidar para acompanhar**). Técnicos convidados (com remote\:access ), aprovadores e auditores clicam em **Acompanhar a** ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/kVZLjRU39LbHgibWwC1jD_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **tela** enquanto a sessão está ativa: cada um tem a própria conexão, vê a mesma tela e não controla. Até 5 observadores; entradas e saídas vão para a trilha. **Bloquear a tela** bloqueia a sessão do usuário na hora (área de trabalho do Windows, Linux pelo logind, macOS desligando a tela com senha ao acordar). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/aNpZs2KziaWWFaoO4JSN5_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Reiniciar e reconectar**: a máquina reinicia e, quando o agente volta, o Hive manda a mesma sessão de novo sozinho, sem pedir consentimento outra vez, e a tela reconecta. Se a máquina não voltar em 15 minutos, a sessão expira. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/QJsUtjHC-C4GY8F9JwWlD_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} **Onde a gravação fica.** Cada pedaço da gravação é cifrado (AES-GCM) antes de sair do servidor, com o hash encadeado ao anterior. Por padrão os pedaços ficam no disco do servidor; a instalação pode guardá-los num **armazenamento de objetos compatível com S3** (AWS S3, MinIO ou outro serviço com a API S3), em \/\/\.bin no bucket configurado. O armazenamento só vêdados cifrados. Gravações feitas antes de uma troca continuam tocando, porque cada pedaço guarda onde foi gravado. **Retenção.** O padrão é **180 dias** depois do fim da sessão (de 7 a 3650 dias, na política). A cada minuto o servidor apaga os pedaços das sessões vencidas de onde estiverem; se o armazenamento não responder, tenta de novo na rodada seguinte e a gravação continua listada até ser apagada de fato. ### Cuidados e limites **Classes de aparelho (ADR-0004)**: o terminal remoto é sob demanda em todas as classes, então precisa de uma base: uma liberação JIT aprovada para remote-terminal (**Ativos › Agentes ›** **Classes**) ou uma sessão aprovada. Numa sessão assistida numa estação, sem liberação, a sessão abre sem o canal **Terminal**. Em servidores a tela, os arquivos, os processos e o terminal são todos sob demanda: use uma sessão não assistida com a segunda aprovação, ou uma liberação JIT. Máquinas Tier 0 não têm acesso remoto. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/127-k5IoBFcgb_ngCy2tT_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Um pedido esperando aprovação expira em 30 minutos; um pedido assistido expira se o usuário não responder; uma conexão que não abre expira em 5 minutos. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/FmfTrJaPCUGVSZ4CRAow7_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Uma sessão aberta por técnico e máquina. Só o técnico que abriu a sessão a conduz; aprovadores e auditores só acompanham. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Bn1PmTRn054Wx8uQIQ62J_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} A voz não existe em sessões sem agente, nem quando a política a desliga. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/YQUAA9eY-v92oBQP1wyPU_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Se não conectar**: o navegador e o agente precisam alcançar o servidor TURN (porta 3478 UDP ou TCP). No Windows o terminal é PowerShell sem pseudo-terminal: o que você digita aparece depois do Enter. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Fq8Ze95WWVOi0CUuZfV1s_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Captura de tela: no Linux usa X11 (ImageMagick, e xdotool para o controle); no macOS o screencapture (dê ao agente a permissão de Gravação de Tela; o mouse precisa do cliclick); no Windows um auxiliar na sessão do usuário. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/EjcNdS_XflRLXQ3lh5MY2_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Agentes ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/523I-sGlaDpSchX7MI2nX_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Trilha de auditoria ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/WGpSfLMLTe6uXO1vKQqcw_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Decisões ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/5fN1EisAFLEGNVsHafcd3_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Descoberta ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/1cGBgey8Gak1aYmH5miWR_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Privilégios e administrador temporário ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/t-UkKbos_sX2mq4Fa4jOZ_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Perfis de configuração ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Bx8xswVLcYy8BHlDePls4_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Perfis de configuração Um **perfil de configuração** declara como as máquinas devem estar: serviços, valores do registro, arquivos de configuração, parâmetros do kernel, administradores locais, firewall, políticas de navegador e mais. O agente confere no intervalo escolhido e, no modo **Corrigir**, ajusta o que está diferente. Os perfis ficam em **Entrega › Configuração**. ### O que você pode fazer aqui Criar um perfil para um sistema, escolher o modo, onde vale e de quanto em quanto tempo as máquinas conferem. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/YOCTkKUto5DvXp3dQnOKY_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Adicionar itens de vários tipos, incluindo uma senha de administrador local girada. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/THc_wxI9woiUi3CRSvUfC_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Ver cada máquina e item como *Conforme*, *Diferente*, *Corrigido*, *Erro* ou *Não se aplica*, com o valor esperado e o encontrado. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/JnmAI1AjmaPu8ZsTMWudv_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Na página de uma máquina, ver na aba **Configuração** os perfis que a alcançam e mostrar ou girar a senha do administrador local. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/PW9xGJ30ObVZ8-i2hg_uC_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Criar um perfil 1. Em **Entrega › Configuração**, clique em **Novo perfil**. 2. Preencha **Nome**, **Descrição** e **Sistema** (Windows, Linux ou macOS). 3. Escolha o **Modo**: **Só avisar** (mostra o que está diferente; não muda nada) ou **Corrigir** (corrige o que está diferente e registra cada correção na auditoria). 4. Em **Onde vale**, escolha localidades, tags e grupos; vazio vale para todas as máquinas do sistema. 5. Defina **Conferir a cada (minutos)** (30 por padrão) e mantenha **Perfil ligado**. 6. Clique em **Adicionar item** para cada configuração (veja a tabela) e preencha os campos. 7. Clique em **Salvar**: "Perfil salvo. As máquinas recebem em até 5 minutos." | **Item** | **O que define** | | ------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | **Serviço** | Inicialização (*Automática*, *Manual*, *Desativada* ou *Não mudar*) e estado (*Rodando* ou *Parado*). | | **Valor do registro (Windows)** | Caminho, nome do valor, tipo (DWORD ou texto) e valor. | | **Linha de arquivo de configuração** | Uma configuração e o valor num arquivo (por exemplo PermitRootLogin no no sshd\_config ), com reinício opcional de um serviço. O arquivo original é guardado uma vez como .one-bak . | | **Parâmetro do kernel (Linux)** | Um valor do sysctl. | | **Administradores locais** | **Administradores permitidos** e, se quiser, **Remover os demais (contas nativas ficam)**. | | **Firewall** | **O firewall deve estar ligado**. | | **Política de navegador** | Chrome, Edge, Brave, Chromium ou Firefox: extensões bloqueadas, permitidas ou obrigatórias, sites bloqueados ou permitidos, página inicial, gerenciador de senhas, janela anônima, ou qualquer outra política pelo nome. | | **Senha do administrador local** | Uma senha aleatória por máquina, guardada no cofre e girada (veja abaixo). | | **Tarefa agendada** | Liga ou desliga uma tarefa que já existe: caminho no Agendador de Tarefas, timer do systemd ou rótulo do launchd. | | **Energia** | Minutos até suspender e até desligar a tela na tomada (0 = nunca). | | **Pendrives e discos USB**, **Programas bloqueados**, **Criptografia de disco obrigatória**, **Microsoft Defender** | Explicados nos artigos próprios: Controle de dispositivos, Controle de aplicações, Criptografia de disco e Defender. | ### Conformidade A página do perfil mostra **Máquinas e itens**: cada máquina e item com *Conforme*, *Diferente*, *Corrigido*, *Erro* ou *Não se aplica*, o valor **Esperado** e o **Encontrado**. Até a primeira conferência: "Nenhum resultado ainda: os agentes conferem no intervalo do perfil." Na página da máquina, a aba **Configuração** lista os perfis que a alcançam. ### Senha do administrador local O item **Senha do administrador local** (campos **Conta**, **Girar a cada (dias)**, **Tamanho**) faz o Hive criar uma senha aleatória para cada máquina, guardá-la no cofre e girá-la. A senha nova chega ao agente sóem memória e só vale quando o agente confirma; sem confirmação ela fica pendente no cofre e as duas aparecem. Na aba **Configuração** da máquina, quem pode mudar configuração clica em **Mostrar** **senha** e responde **Por que você precisa dela?** (fica na auditoria); depois de mostrada, a senha égirada de novo em até 4 horas. **Girar agora** troca na hora, com a máquina ligada. ### Exemplo prático: endurecer o SSH dos servidores Linux Os 40 servidores Linux têm a tag linux-server ; alguns ainda aceitam login de root pelo SSH. 1. **Novo perfil**: Nome "Servidores Linux – padrão SSH", Sistema *Linux*, Modo **Só avisar**, **Onde vale**: tag linux-server , **Conferir a cada**60 . 2. **Adicionar item** › **Linha de arquivo de configuração**: Caminho /etc/ssh/sshd\_config , Configuração PermitRootLogin , Valor no , Separador um espaço, reiniciar o serviço sshd . 3. **Adicionar item** › **Firewall**: **O firewall deve estar ligado**. **Salvar**. 4. Em até 5 minutos os agentes informam: 34 *Conforme*, 6 *Diferente* na linha do SSH (Encontrado yes , Esperado no ). 5. Depois de conversar com os donos dos servidores, mude o modo para **Corrigir** e **Salvar**. Na próxima conferência, os 6 servidores mostram *Corrigido*: o agente reescreveu a linha, guardou o original como sshd\_config.one-bak , reiniciou o sshd e registrou cada correção na auditoria. 6. Uma semana depois alguém volta PermitRootLogin yes num servidor. Na próxima conferência (em até 60 minutos) o agente corrige e o item mostra *Corrigido* de novo. ### Exemplo prático: girar a senha do administrador local 1. **Novo perfil**: Nome "Windows – senha do admin local", Sistema *Windows*, Modo **Corrigir**, sem escopo (todas as máquinas Windows). 2. **Adicionar item** › **Senha do administrador local**: Conta Administrator , **Girar a cada (dias)**30 , **Tamanho**20 . **Salvar**. 3. Cada máquina recebe a própria senha, guardada no cofre. No FIN-NB-014, um técnico abre **Configuração**, clica em **Mostrar senha**, escreve "Atualização de BIOS no local, chamado 4521" e vê a senha; a auditoria registra quem e por quê, e a senha é girada de novo em até 4 horas. ### Cuidados e limites **Conferir a cada** vai de 5 a 1440 minutos. Os nomes de perfil são únicos e têm pelo menos 3 caracteres. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/8kJS7piAgRUGy-hJQrvNc_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} O item de energia no Linux só gerencia "nunca suspender". O controle de USB no macOS precisa de MDM. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/aZUz01emR79uT9tO98oVC_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Rotação: de 1 a 365 dias e de 14 a 64 caracteres. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/cdk1LMPXnF3Q5UG3nbcbq_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Com o freio de emergência puxado, os perfis só conferem, sem corrigir. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/c3HDC8SN38xFugBgpOxfs_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Excluir um perfil para as conferências; nada do que já foi mudado é desfeito. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/uXOQQYFWjElFOF3QHrjoc_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} ### Relacionados Controle de dispositivos ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/SbdRw7QMmJhN_Gfvq1naK_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Controle de aplicações ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/PRPPsso0foUlteuBuLdGb_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Criptografia de disco ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/G5kJYI_aj8XPGt8h7dKXo_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Defender ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/o6acvzBGKeuZD8OFnhAWo_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Conformidade ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/gIIx6ve08Aj9F4XAhXr01_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Quiosques e dispositivos compartilhados ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/RqyvuVh8TcOIl4ff-8iWA_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Playbooks gravados ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ngikjbCB_TCmC8sWWBiZ6_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Playbooks gravados Um **playbook** é a solução de um problema, gravada numa **máquina de demonstração** e depois repetida em muitas máquinas por uma implantação. Cada passo pode ter uma verificação (pula o que já está feito) e um desfazer (volta atrás se um passo seguinte falhar). Os playbooks ficam em **Entrega ›Playbooks**. ### O que você pode fazer aqui Marcar uma máquina de teste como máquina de demonstração e gravar comandos nela. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/LKKRBbMBofnhnuId74Lsw_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Deixar o Hive detectar o que mudou na máquina de demonstração por outros meios (serviços, administradores locais, programas). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/UbPiS4vDfFBJ1VGM9_BO6_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Revisar os passos: verificação, desfazer, ordem, comandos extras e passos de tela. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/DTztEWTA4u0eC6uo6Igbg_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Publicar o playbook e implantá-lo em muitas máquinas com piloto, aprovação e ondas por localidade. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/7yxiZ9mSzSp35mHrnw03d_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Gravar 1. Em **Entrega › Playbooks**, em **Gravar um playbook novo**: se ainda não há máquina de demonstração, escolha uma **Máquina de teste** com o agente online e clique em **Usar como máquina de demonstração** (ela recebe a tag demo ). Evite máquinas de produção: a gravação roda os comandos de verdade. 2. Digite o **Nome**, escolha a **Máquina de demonstração** e clique em **Começar a gravar**. O Hive tira um retrato dos serviços, administradores locais e programas. 3. No **Gravador**, digite um **Comando** e clique em **Rodar na demonstração**. A saída aparece na tela; um comando que termina com código 0 vira passo ("Passo N"), um com erro não. Os comandos rodam no PowerShell no Windows e no /bin/sh no Linux e no macOS. 4. Você também pode mudar a máquina por outros meios (acesso remoto, instaladores). Clique em **Terminar gravação**: o Hive compara com o retrato inicial. Um serviço que mudou vira passo (com o estado anterior para o desfazer), e uma mudança nos administradores locais também. Programas instalados ou removidos aparecem à parte em **Programas alterados na demonstração**: instale-os por uma implantação da Loja. ### Revisar e publicar 1. Cada passo de comando tem **Comando**, **Verificação (opcional)** e **Desfazer (opcional)**. Código de saída 0 na verificação quer dizer "já está feito": o passo é pulado; a verificação também roda depois do comando para confirmar que deu certo. O desfazer roda se um passo seguinte falhar. 2. Use **Subir** e **Descer**, remova passos, **Adicionar comando** ou **Adicionar passos de tela**. 3. **Passos de tela** são gestos na tela do usuário logado, um por linha: click X Y (ou click X Y right ), dblclick X Y , key ctrl+s , type texto e wait 500 (milissegundos). Use para o que só existe na interface (um assistente de instalação, uma janela de configuração). 4. Clique em **Salvar rascunho**, ou em **Salvar e publicar** ("Playbook publicado. Já pode ser implantado."). Editar um playbook publicado o devolve a rascunho. ### Rodar Na página do playbook clique em **Implantar** (ou, em **Nova implantação**, escolha **Playbook**). Piloto, ondas por localidade, janela, aprovação de outra pessoa e o limite de sucesso valem como em qualquer implantação, e a implantação guarda a própria cópia dos passos. Em cada máquina, se um passo falha, o agente desfaz os passos já aplicados, do último ao primeiro, e pula o resto; abaixo do limite de sucesso a implantação pausa. ### Exemplo prático: limpar o cache do Windows Update Alguns notebooks ficam presos baixando atualizações. A solução é parar o serviço de atualização, limpar a pasta de download e iniciá-lo de novo. 1. Em **Gravar um playbook novo**, escolha a **Máquina de teste** IT-LAB-W11 e clique em **Usar como máquina de demonstração**. Nome "Limpar cache do Windows Update", máquina de demonstração IT-LAB-W11, **Começar a gravar**. 2. No **Gravador**, rode um de cada vez: \`\` Stop-Service -Name wuauserv -Force Remove-Item -Path | "$env\:SystemRoot\SoftwareDistribution\Download\\\*" -Recurse -Force -ErrorAction SilentlyContinue | | -------------------------------------------------------------------------------------------------- | Start-Service -Name wuauserv \`\` Cada um termina com código 0 e vira Passo 1, 2 e 3. 3. Clique em **Terminar gravação**. O serviço wuauserv terminou no mesmo estado em que começou, então nenhum passo de serviço extra é criado; aparece "Gravação terminada. Revise os passos.". 4. No Passo 3, adicione a **Verificação**: if ((Get-Service -Name wuauserv).Status -ne 'Running') \{ exit 1 } . No Passo 1, adicione o **Desfazer**: Start-Service -Name wuauserv . 5. Clique em **Salvar e publicar** e depois em **Implantar**. Na implantação escolha a tag wu-stuck (37 notebooks), *Piloto e depois o resto* com 3 máquinas no piloto, limite 95, janela ligada. **Criar e mandar para aprovação**. 6. Depois que outro administrador aprova, o piloto roda dentro da janela. Numa máquina do piloto em que o Passo 2 falha, o agente roda o desfazer do Passo 1 (inicia o serviço de novo) e marca a máquina como *Falhou*; com 2 de 3 com sucesso (67%), a implantação pausa antes do resto. Você corrige o comando, publica o playbook de novo (ele voltou a rascunho quando foi editado) e cria uma implantação nova. ### Cuidados e limites A máquina de demonstração precisa da tag demo , do agente online e de Windows, Linux ou macOS. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Va9D95N5-DdkoyjHRngVk_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Um playbook tem até 100 passos; os comandos têm até 4000 caracteres. Os nomes são únicos. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ufj0JRLQvMgS8FKA-nRh6_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Termine a gravação antes de editar. Só um rascunho revisado pode ser publicado. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/R1t8XnfBRZ8PTptDTr51s_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} O playbook não leva programas: instale-os por uma implantação da Loja. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/AibxNut4_P_A61ODlWeQr_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Passos de tela precisam de um usuário logado com tela; senão o passo falha e os passos anteriores são desfeitos. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/2wtUNzdsIXglV-wZ_UWXL_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Implantações ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/fqqtTZliyYWtI885JLtof_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Scripts e assinatura ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ElPGnpM016CZqwyx1oKeB_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Workflows ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/D_KaF-lkacd_5qjkVqsem_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Pacotes e catálogo da Loja ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/FWFZBiLxitkpP20Z0ZDGm_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Acesso remoto ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/g-xYAJ-rf92QJ801RGUU0_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Serviços de negócio, SLA e capacidade ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/3WSThMl9-tmE0al2bcdM7_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Serviços de negócio, SLA e capacidade Um **serviço de negócio** (ERP, e-commerce, folha de pagamento) é feito dos ativos que o sustentam. **Monitorar › Disponibilidade e capacidade** mostra todos os serviços de negócio e todos os ativos acompanhados com disponibilidade, SLA, quedas e tendência de capacidade; clique num serviço para abrir a página dele, onde você define componentes, redundância e a meta de SLA. ### O que você pode fazer aqui Ver os indicadores do período (**Últimos 7, 30, 90 ou 365 dias** em **Período**): serviços de negócio, serviços fora agora, SLA violado, ativos acompanhados e ativos fora agora. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/sJAyshZQDatuBWlsFLNSD_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Consultar a **Previsão de SLA do mês**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/isQDX7E0ml_GZLAcu5n2g_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Criar um serviço com **Novo serviço de negócio** e editá-lo em **Configuração**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Zv3mI7Fu-aqDiwWwJiHQT_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Agrupar componentes em **Grupos de redundância** (mínimo no ar). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/dx2WM5uD10pye71C375dF_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Acompanhar um serviço na página dele: últimos 30 dias, **Componentes**, tráfego **Ponta a ponta **e **Componentes sugeridos**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/N4IVqqety-YxUzw8jH5tD_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Ver a **Capacidade**: maior uso de CPU, memória e disco agora, a média e o pico de 7 dias, e quando os discos enchem. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/jnW6_HJ4P99Fx8tlVuTGW_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Passo a passo: criar um serviço de negócio 1. Abra **Monitorar › Disponibilidade e capacidade** e clique em **Novo serviço de negócio** (exige alerts\:admin ). 2. Em **Configuração**, preencha **Nome** (2 a 120 caracteres, único), **Descrição**, **Responsável** e **Criticidade** (baixa, média, alta ou crítica). 3. Defina a **Meta de SLA (%)** (padrão 99,5). Marque **SLA só no horário de atendimento (seg–** **sex)** e preencha **Das** e **Até** (padrão 08:00 às 18:00) se só esses minutos devem contar. 4. Se alguns componentes se cobrem, clique em **Adicionar grupo** em **Grupos de redundância** e preencha **Chave** (letras, dígitos, - e \_), **Nome** e **Mínimo no ar**. 5. Em **Componentes**, digite em **Adicionar ativo (busque pelo nome)** e escolha os ativos (até500). Para cada um defina o **Papel** e o **Grupo**: **Obrigatório** ou um dos seus grupos de redundância. 6. Clique em **Salvar**: "Serviço de negócio salvo." e a página do serviço abre. ### Como o estado é calculado A cada minuto o núcleo avalia cada serviço a partir dos componentes: Um componente **obrigatório** fora do ar deixa o serviço **fora**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/8TFPp3YH0yIPrs5UHWuqp_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Num **grupo de redundância**, o serviço fica no ar enquanto pelo menos o mínimo estiver no ar; abaixo disso, cai. Com um membro fora mas o mínimo mantido, o serviço fica **degradado** (sem redundância), o que não conta como queda. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/NGtXHuj6IqIxsJLTOj2Bo_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Um componente só conta como fora se a disponibilidade dele é acompanhada (página do ativo, aba Monitoramento); senão aparece "disponibilidade não acompanhada (conta como no ar)". ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/KNWJ55srZKkwcbEmT95ot_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Uma queda do serviço abre o evento **Business service down** (crítico) e a volta o resolve ("Service back up"). Uma queda causada só por componentes em janela de manutenção não abre evento e não conta contra o SLA (cinza na linha do tempo). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/p1N-rkouqvm2iKFwhqJez_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### SLA, orçamento e previsão A página do serviço mostra os **Últimos 30 dias**: **Disponibilidade**, **SLA** (cumprido ou violado), **Orçamento de indisponibilidade (min)** ("restantes de total"), **Quedas**, **MTTR** e **MTBF**. Ativos acompanhados também aceitam meta de SLA própria. A **Previsão de SLA do mês** lista cada serviço e ativo com meta de SLA: indisponibilidade já gasta, a projeção no ritmo dos últimos 7 dias e a **Previsão**: **Dentro**, **Em risco** (a projeção passa do orçamento antes do fim do mês, com a data estimada da quebra) ou **Quebrado** (orçamento já gasto). Cada item abre o alerta **SLA at risk** uma vez por mês por estado (maior quando em risco, crítico quando quebrado), resolvido com "Back within the SLA budget". ### Ponta a ponta e componentes sugeridos Na página do serviço, **Ponta a ponta — últimos n minutos** mostra cada componente com a saúde, agente no ar ou fora do ar, alertas abertos e o tráfego de entrada separado em **internet**, **interna** e **de outros saltos**, com as principais origens, mais o volume **Entre os saltos**. Os dados vêm dos fluxos NetFlow/IPFIX/sFlow que o firewall e os switches mandam ao coletor; sem eles o painel avisa. **Componentes sugeridos** lista os ativos com que o serviço conversa e que ainda não são componentes, achados a partir dos componentes pelo tráfego do agente, pelo NetFlow dos switches e pelas sessões nos bancos. **Aprovar**, **Recusar**, **Restaurar** e **Buscar agora** funcionam como descrito em Caminho do serviço e mapa lógico. ### Exemplo prático: ERP com dois servidores web e um banco 1. **Novo serviço de negócio**, **Nome**ERP , **Responsável**Equipe ERP , **Criticidade** crítica, **Meta de SLA (%)**99.9 , marque **SLA só no horário de atendimento (seg–sex)** das 08:00 às 18:00. 2. **Adicionar grupo**: **Chave**web , **Nome**Servidores web , **Mínimo no ar**1 . 2. **Componentes**: adicione erp-web-01 e erp-web-02 com **Papel**web e **Grupo**Servidores web ; adicione erp-db-01 com **Papel**banco e **GrupoObrigatório**. Clique em **Salvar**. 3. Na página de cada ativo, aba Monitoramento, escolha como verificar (por exemplo **Ping pelo coletor**), para a disponibilidade ser acompanhada. 4. Às 10:05 erp-web-02 cai: o serviço mostra **Degradado (sem redundância)**; sem evento, sem minutos de SLA perdidos. 5. Às 10:20 erp-db-01 cai: o serviço fica **Fora do ar** e o evento **Business service down** abre com "Down: erp-db-01". Às 10:32 ele volta e o evento é resolvido. A página mostra 1 queda, MTTR 12 min, e o orçamento do horário de atendimento cai 12 minutos. 6. No sábado, uma queda de 3 horas do erp-db-01 não conta: está fora do horário de atendimento. ### Exemplo prático: previsão de SLA em risco 1. No dia 10 do mês, o ERP já gastou 9 dos 13 min de orçamento (0,1% de cerca de 13.200 minutos de horário de atendimento no mês). 2. A **Previsão de SLA do mês** mostra o ERP**Em risco**, projeção 24 min, com a data estimada da quebra; o alerta **SLA at risk** (maior) abre uma vez. 3. Depois de uma semana tranquila a projeção fica abaixo do orçamento, o item volta para **Dentro** e o alerta é resolvido. ### Exemplo prático: disco enchendo 1. Em **Capacidade**, o disco D: do erp-db-01 mostra 87% agora, pico de 7 dias 88% e **Cheio em **"19 dias". 2. Aumente o volume; nas próximas leituras a previsão se afasta. ### Cuidados e limites Criar, editar e remover serviços exige alerts\:admin ; ver exige alerts\:read . ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/08Bj2aVby6JhOwZNBsApR_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Um componente sem disponibilidade acompanhada sempre conta como no ar. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/WpJOHF2TeIJJhSoJWETe4_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Cada grupo de redundância precisa de chave e de pelo menos 1 membro no ar; um componente só pode apontar para um grupo que existe. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Q8-u5LVQQHHxZuQiOL9Ok_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Remover serviço** apaga o serviço e o histórico dele; os ativos ficam. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/IjLY_UFxR5jfU0qtX9Tmp_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Ponta a ponta** precisa de fluxos mandados ao coletor; sem eles só a saúde e os alertas aparecem. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/X3uGUK_q-J-SzGFY894Hl_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Relacionados Caminho do serviço e mapa lógico ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/QEvmDFvwt5DDnt47JrdEe_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Alertas ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/vf-ddhZjQsUTzKcWhNI7n_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Construtor de mapas ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/7p5e0FbRJ45x8DaWYq6e2_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Mapa de rede ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/TrdomduLWXJgbacTGB5Rc_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Resposta a incidente ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/iwdsXLLn4_aPki-dYlClL_image.png" size="67" isUploading="false" width="672" height="426" showCaption="false"} Tela: Resposta a incidente A resposta a incidente age numa máquina pela console com duas pessoas: uma pede, outra aprova, e tudo vai para a trilha de auditoria e para a linha do tempo do alerta. Você pede na página da máquina (aba **Segurança**, painel **Resposta a incidente**) ou a partir de uma detecção; os pedidos são decididos em **Segurança › Resposta a incidente** ou em **Decisões**. ### O que você pode fazer aqui Aba **Aguardando aprovação**: pedidos feitos por outras pessoas, com **Aprovar** (**Aprovar e executar**) e **Rejeitar** (com o motivo). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/KXqbUGusurXMoifPzyW-y_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Aba **Histórico**: cada pedido com a situação (**Aguardando aprovação**, **Rodando na máquina**, **Feito**, **Falhou**, **Rejeitado**, **Expirou (24 h)**), quem pediu, quem decidiu e o resultado. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/PXRmp7ED7mWHkJ0PUOjVk_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Baixar evidência** de uma coleta, exatamente como foi guardada, e **Devolver** um arquivo em quarentena. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/yEwo70Dxkk7BvvP_ceN8Q_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### As ações **Encerrar processo**: pelo nome (todos os processos com esse nome, até 50) ou pelo ID do processo (encerrado só se ainda tiver esse nome). Com o SHA-256 do executável, só aquele ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Ipii6X4zYFhijFczr_A_p_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} programa é encerrado. Processos protegidos do sistema e o próprio agente são recusados. **Coletar evidência**: processos com o hash do executável, conexões de rede, usuários logados, persistência e o hash, tamanho e data dos arquivos que você listar, nunca o conteúdo. A evidência é guardada com o SHA-256 dela; o arquivo baixado tem o mesmo hash, e cada download vai para a trilha de auditoria. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/FKcK1GVPzAAGXKfMmitOH_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Isolar da rede**: pelo **Agente do Hive (firewall do sistema)**, que bloqueia todo o tráfego menos o canal com o Hive, o DNS e o DHCP e acaba sozinho no **Prazo de segurança (minutos)** (5 minutos a 7 dias, 240 por padrão), mesmo sem o Hive; ou pelo **Sensor do EDR** (Defender, CrowdStrike, SentinelOne) conectado em Integrações. Em servidores dá para manter até 20 **Portas do serviço mantidas abertas (servidores)**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/z5xg5rOKKz-tNRBYo5DhF_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Liberar do isolamento de rede**: o agente tira as regras do firewall (ou o EDR libera a máquina). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/AYORP-3htbecjX2q9dpPC_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Pôr arquivo em quarentena**: o arquivo sai do lugar e vai para a quarentena do agente (só o sistema lê), opcionalmente só se ainda tiver um certo SHA-256. **Devolver o arquivo** o põe de volta onde estava. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/y-jPK4OwsD9Gt_ktl-s2S_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Restaurar da cópia de sombra** (Windows): copia um arquivo de volta da cópia de sombra mais nova feita antes do horário que você informar; o arquivo atual fica ao lado com .before-restore . ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/FrTDxzs2xIHkytX8YTmuC_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Devolver o que o Defender pôs em quarentena**: o Defender devolve o arquivo (use só para um falso positivo conhecido). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/e4CKWmge0RdczK_VBgReZ_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Passo a passo 1. Abra a máquina, aba **Segurança**, painel **Resposta a incidente**, e escolha a ação (exige alerts\:admin ). 2. Preencha os campos da ação e o **Motivo** (10 a 1.000 caracteres; vai para a trilha de auditoria e para o alerta). Clique em **Pedir aprovação**: "Pedido criado: outro administrador aprova em Decisões." 3\. Outra pessoa com alerts\:admin abre **Decisões** ou **Segurança › Resposta a incidente**, lê o motivo e o efeito e clica em **Aprovar** › **Aprovar e executar**. Se a sua empresa exige assinatura dos operadores, a aprovação pede a passkey dessa pessoa. A tarefa vai para a máquina na hora. 3. Acompanhe a situação em **Histórico**. Um pedido sem decisão em 24 horas fica **Expirou (24 h)**. ### Resposta automática por alerta (SOAR) Numa regra de alerta (por exemplo a regra de detecção do EDR), em **Quem avisar**, a seção **Resposta quando o alerta abre** oferece: **Isolar pelo EDR** (**Não**, **Pedir aprovação** ou **Automático a partir de uma gravidade**, com **Isolar automaticamente a partir de**), **Coletar evidência da máquina** e **Coletar o pacote de diagnóstico**. Evidência e diagnóstico não mudam a máquina e rodam na hora; o isolamento espera aprovação, a menos que seja automático para aquela gravidade. Com o chamado no ITSM e um playbook, isso monta a sequência isolar → abrir chamado → coletar diagnóstico. ### Exemplo prático: ransomware num notebook do Financeiro 1. 10:02 — **Detecção e caça** levanta "Criptografia em massa de arquivos (padrão de ransomware)" em FIN-NB-014 : 1.240 arquivos alterados, 1.180 renomeados para .locked , em C:\Users\ana\Documents . A **Linha do tempo** da máquina em volta desse momento mostra o processo que começou logo antes: C:\Users\ana\AppData\Local\Temp\svc\_upd.exe . 2. 10:04 — Lia abre FIN-NB-014 › **Segurança** › **Isolar da rede**: **Isolar porAgente do Hive (firewall do sistema)**, **Prazo de segurança (minutos)** 480, motivo "Padrão de ransomware detectado, impedir a propagação". **Pedir aprovação**. 3. 10:05 — Marcos aprova em **Decisões**. O painel mostra "Isolada até 18:05". O notebook só fala com o Hive. 4. Lia pede **Coletar evidência** (arquivos para tirar o hash: o caminho do svc\_upd.exe ) e **Encerrar processo** pelo nome svc\_upd.exe com o SHA-256 que está na linha do tempo; Marcos aprova os dois. **Baixar evidência** entrega um JSON cujo SHA-256 bate com o do pedido. 5. Ela pede **Pôr arquivo em quarentena** para C:\Users\ana\AppData\Local\Temp\svc\_upd.exe , aprovado; o arquivo vai para a quarentena do agente. 6. Para a planilha da Ana ela pede **Restaurar da cópia de sombra**: caminho C:\Users\ana\Documents\orcamento-2027.xlsx , **Antes de (data e hora)**2026-10-21T09:55:00-03:00 . O arquivo restaurado volta e o cifrado fica como orcamento-2027.xlsx.before-restore . 7. Depois da limpeza, ela pede **Liberar do isolamento de rede**; aprovado, o agente tira as regras do firewall. Se ninguém liberasse, o agente liberaria a máquina sozinho às 18:05. ### Cuidados e limites Quem pede nunca aprova o próprio pedido; os dois precisam de alerts\:admin . ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/FaxvV73OYXESdgvO4WB_n_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Uma máquina sem agente só pode ser isolada ou liberada por um EDR conectado; as outras ações precisam do agente. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/7zsdUmwlI4UrJl7kXM_k7_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} O isolamento pelo agente acaba no prazo de segurança mesmo se o Hive estiver inacessível: escolha um tempo suficiente para a investigação e peça de novo se precisar. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/7Zun4f_MX-L376H_SMs2P_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Liberar nunca fica retido pelo limite de alcance; as outras ações são tarefas de impacto e, acima do limite da classe (por padrão 200 estações ou 5 servidores por hora), esperam uma segunda pessoa em **Ativos › Agentes › Classes**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/YxDguN7gL_qolLKuFn9pS_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Arquivos do sistema e do próprio agente não podem ir para a quarentena. Um arquivo só é devolvido se não houver outro no caminho original. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/yRJUo5Gwi0pX3vSimqiga_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Cópias de sombra existem só no Windows e só se as Cópias de Sombra de Volume estavam ligadas antes do ataque. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/O5FLU89tOzNdffR-SNvjB_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Detecção e caça ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/hvPyiUQo2sB-v2SGTTunz_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Indicadores de ataque (caça de IoC) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/s4qiTmOPfdElvHIm5Cx4u_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Antivírus (Microsoft Defender) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ak1P1hOIwzKEImoOdExkg_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Alertas ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/etquktLuOXHGdq6hUdPdM_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Decisões ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/BJ-KtMz7ym38oIBkJWb-p_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Playbooks ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/9cqhDYqzrRif76D5wrwg4_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Detecção e caça ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ZV3SP_WcSdds_-vadssyy_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Detecção e caça **Segurança › Detecção e caça** transforma a telemetria do agente em detecções de comportamento (MITRE ATT\&CK), deixa você procurar no histórico de processos das máquinas e mostra a linha do tempo de cada máquina. ### O que você pode fazer aqui **Detecções**: o que as regras acharam nos últimos 1, 7, 30 ou 90 dias, filtrado por **Abertas**, **Fechadas**, **Falso positivo** ou **Todas**, com a evidência; **Fechar** ou marcar **Falso positivo** com observação; **Encerrar processo** a partir de uma detecção. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/BtllDG6mw-3oeOLrnlFuu_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Caça**: procurar no histórico por dispositivo, tipo (**Processo iniciado**, **Rajada de arquivos**), processo, linha de comando, usuário, pai (**Iniciado por**), SHA-256 e período. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/HPpR1SEhWR0lDyvCX6jjH_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} **Linha do tempo**: processos, rajadas de arquivos, detecções, alertas, mudanças de inventário e conexões de uma máquina, em ordem; a partir de uma detecção ela abre em volta daquele momento. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/a7-h5Ff8FQW3rBUgUv1hX_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Telemetria**: ligar ou desligar cada parte e definir a retenção. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ftkiazWvwBFeDLEim1ziJ_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Telemetria O agente informa cada processo novo (linha de comando, pai, usuário e SHA-256 do executável) e rajadas de alterações de arquivos nas pastas dos usuários (só contagens, extensões e até 10 caminhos de exemplo; o conteúdo dos arquivos nunca é lido). As conexões vêm dos fluxos da máquina. Em **Telemetria** (exige settings\:admin ) você define **Telemetria de processos**, **Rajadas de** **arquivos nas pastas dos usuários**, **Editor do executável** (confere a assinatura de cada executável novo; desligado por padrão porque no Windows custa uma chamada do PowerShell por programa novo) e **Guardar a telemetria por (dias)** (1 a 90, 14 por padrão). Eventos mais antigos saem de hora em hora; as detecções ficam. Os agentes aplicam a mudança na próxima conferência da política. ### Detecções (MITRE ATT\&CK) As regras rodam no Hive à medida que a telemetria chega: | **Detecção** | **Técnica** | **Severidade** | | -------------------------------------------------------- | ----------- | -------------- | | PowerShell ofuscado ou codificado | T1059.001 | Alta | | Roubo de credenciais do LSASS | T1003.001 | Crítica | | Cópias de sombra ou recuperação apagadas | T1490 | Crítica | | Inicialização automática adicionada na chave Run | T1547.001 | Média | | Tarefa agendada criada pela linha de comando | T1053.005 | Média | | Cron alterado pela linha de comando | T1053.003 | Média | | Programa do sistema usado para baixar ou rodar código | T1218 | Alta | | Aplicativo do Office abriu um shell | T1566.001 | Alta | | Shell reverso | T1059.004 | Crítica | | Logs de eventos ou histórico do shell apagados | T1070.001 | Alta | | Criptografia em massa de arquivos (padrão de ransomware) | T1486 | Crítica | | Muitos arquivos alterados em poucos segundos | T1486 | Média | Cada detecção abre um alerta de segurança que nunca é suprimido, entra na correlação e no mapa e pode isolar a máquina pela regra de alerta. A mesma regra no mesmo dispositivo e com a mesma evidência dentro de 10 minutos conta uma vez só. ### Passo a passo: caçar 1. Abra **Segurança › Detecção e caça**, aba **Caça**. 2. Preencha os filtros que precisar: todo filtro de texto é "contém", sem diferenciar maiúsculas; **SHA-** **256** e o dispositivo são exatos. 3. Escolha o **Período** (últimas 1, 24, 168 ou 720 horas) e clique em **Procurar**. Voltam até 500 eventos. 4. Numa linha de processo, use **Encerrar processo** ou **Pôr arquivo em quarentena**: os dois criam um pedido de resposta a incidente que outra pessoa aprova. **Exemplo prático: caçar PowerShell codificado aberto pelo Office** Uma onda de phishing usou documentos do Word que abrem o PowerShell com um comando codificado. 1. Em **Caça**: **Processo**powershell , **Linha de comando**-enc , **Iniciado por**winword , **Período** últimas 168 horas. **Procurar**. 2. Voltam três eventos, todos em HR-NB-07 , usuário carla , o último ontem às 16:41, com a linha de comando completa e o SHA-256 do executável. 3. A aba **Detecções** já tem "Aplicativo do Office abriu um shell" e "PowerShell ofuscado ou codificado" para HR-NB-07 . Lia abre a **Linha do tempo** dessa máquina com **Últimas 6 hora(s)** em volta da detecção: o processo do Word, o do PowerShell, uma conexão com um IP externo e uma tarefa agendada criada um minuto depois. 4. Na linha do PowerShell ela clica em **Encerrar processo**; Marcos aprova em **Decisões**. Ela também pede a coleta de evidência em Resposta a incidente. 5. Uma segunda caça pelo **SHA-256** do arquivo baixado, sem dispositivo, não acha nenhuma outra máquina. 6. Ela fecha as duas detecções com **Fechar**, observação "Contido, chamado INC-5133". Uma terceira detecção, do script de administração da própria TI, ela marca como **Falso positivo**, com o motivo. ### Cuidados e limites O agente olha os processos a cada 3 segundos: um programa que começa e termina mais rápido pode não aparecer. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/z_BJtqb1o6fNF91Ttwsil_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} As rajadas de arquivos ainda não são vigiadas no macOS. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/G6ZwV38_fdgBGYi3bJlxE_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} A caça devolve no máximo 500 eventos; restrinja os filtros ou o período. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ohf2KjbnefmsIrEmnsxyL_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Fechar, marcar falso positivo, encerrar processos e pôr em quarentena exigem alerts\:admin ; as opções de telemetria exigem settings\:admin . ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/q1mTJO8XdylPWm5PNcObx_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} O que você vê depende da retenção: eventos mais velhos que **Guardar a telemetria por (dias) **já saíram. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/e6TzLZIF3qqDR_mSAvOa9_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Resposta a incidente ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/64ZnjaMliNSl0hT2hPFa0_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Indicadores de ataque (caça de IoC) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/2bWN3Ob6rFLikRQ2CHSrT_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Antivírus (Microsoft Defender) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ujXnGRiRZYlFWL_13RTak_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Alertas ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ZonKiuESs4SPUbHCaOjjr_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} Integridade de arquivos e registro ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ja-raDk-P6ENS2boEzZ2C_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Antivírus (Microsoft Defender) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/dL1uCUSsUaRgorbtSPKUI_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Antivírus (Microsoft Defender) **Segurança › Antivírus (Defender)** gerencia o Microsoft Defender que já vem no Windows: estado da proteção, assinaturas, varreduras, ameaças, ações em lote e exclusões com aprovação. O Hive não tem motor de antivírus próprio; no macOS e no Linux lê o Defender for Endpoint (mdatp) quando instalado. ### O que você pode fazer aqui **Visão geral**: para cada computador, o **Modo** (Ativo, Passivo (outro antivírus), Modo de bloqueio do EDR, Desligado, Não instalado), proteção em tempo real, proteção contra adulteração, proteção na nuvem, PUA, número de exclusões, idade das assinaturas, últimas varreduras rápida e completa e ameaças em 30 dias. Filtre por **Todos os computadores**, **Com problema** ou **Com ameaças**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/BA1J9q7f6eXXISj2CmEgb_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Selecionar computadores e rodar **Varredura rápida**, **Varredura completa** ou **Atualizar assinaturas** em lote. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/TmWJi4AZGEzYvY3_0fHR3_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Ameaças**: o que o Defender achou nos últimos 30 dias, onde e o resultado; **Devolver (quarentena)** um arquivo que o Defender pôs em quarentena, com aprovação de outra pessoa. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/nUvO7XVZX9T232RRUuHPo_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Exclusões**: **Pedir exclusão** (pasta ou arquivo, extensão ou programa) com motivo; outra pessoa aprova antes de chegar às máquinas; **Remover** tira do Defender também. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/miHnc8VnWA-XF67_DEHUv_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Políticas**: como configurar o Defender com um perfil de configuração. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/xxLhx9fWnQ2FyLCzVczs1_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} ### Alertas Uma ameaça achada pelo Defender abre o alerta de segurança **Microsoft Defender detected a threat**: crítico quando a ameaça ainda está ativa, senão pela severidade (severe → crítico, high → alto, as outras → aviso). Ele abre só na primeira vez que o Hive vê aquela ameaça naquele computador. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/DYLywDBko1U0ulp9VbiDV_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Um computador Windows sem Defender, com o Defender desligado, com a proteção em tempo real desligada estando ativo, ou com assinaturas de mais de 3 dias abre o alerta de conformidade **Microsoft Defender not protecting** (alto com o Defender desligado, aviso nos outros casos). Ele fecha sozinho quando o computador volta ao normal. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/LngQiSt3q91OwQVljtl85_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} O agente informa a cada 15 minutos, e de novo logo depois de uma varredura ou atualização pedida pela console. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/bATe6nyVgM9xRbufYubOl_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Passo a passo: políticas e exclusões 1. Abra **Entrega › Configuração**, **Novo perfil**, sistema Windows, escolha o modo e **Onde vale**. 2. **Adicionar item** › **Microsoft Defender** e ajuste **Proteção em tempo real**, **Monitoramento de comportamento**, **Proteção na nuvem** (Desligada, Básica, Avançada (recomendado)), **Enviar amostras à Microsoft** (Amostras seguras automaticamente (recomendado), Perguntar ao usuário, Todas automaticamente, Nunca) e **Aplicativos potencialmente indesejados (PUA) **(Bloquear, Só auditar, Desligado). Salve. 2. A proteção contra adulteração só é lida: muda pelo Intune ou pelo portal do Defender. Ligada, o Windows pode recusar mudanças de qualquer ferramenta. 3. Para uma exclusão, abra **Exclusões**, clique em **Pedir exclusão**, escolha o **Tipo** (Pasta ou arquivo, Extensão, Programa), o **Valor** e **Por que é necessária** (10 a 500 caracteres), e clique em **Pedir**. Outra pessoa com config\:write clica em **Aprovar**; o pedido também aparece em **Decisões**. 4. Perfis não aceitam exclusões; elas só entram por esta aba. ### Exemplo prático: um surto em dois notebooks 1. Segunda-feira 9:10, o alerta **Microsoft Defender detected a threat** abre como crítico para SALES- NB-22 : Trojan\:Win32/Wacatac.B!ml , ainda ativo, em C:\Users\joao\Downloads\proposta.pdf.exe . 2. Em **Visão geral**, filtre **Com ameaças**: SALES-NB-22 e SALES-NB-31 têm ameaças em 30 dias. Selecione os dois e clique em **Varredura completa**: "Enviado a 2 computador(es); 0 sem agente." Depois **Atualizar assinaturas** em todo o filtro de Vendas. 3. Os resultados chegam com o próximo relatório do Defender: última varredura completa "hápoucos minutos", ameaças agora em quarentena (a aba **Ameaças** mostra o resultado por arquivo). 4. Um arquivo em SALES-NB-31 era a ferramenta de macros da própria equipe de vendas, um falso positivo. Lia clica em **Devolver (quarentena)**: isso cria um pedido de resposta a incidente "Devolver o que o Defender pôs em quarentena" com o nome da ameaça; outro administrador aprova e o Defender devolve o arquivo. 5. Para evitar novos falsos positivos, Lia abre **Exclusões** › **Pedir exclusão**: **Programa**, pricingtool.exe , "Ferramenta de preços de vendas assinada pelo fornecedor, marcada pelo ML a cada atualização". Marcos aprova; na próxima atualização da política os computadores aplicam. Quando o fornecedor corrigir a assinatura, Lia clica em **Remover** e o Hive tira a exclusão do Defender também. ### Cuidados e limites Varreduras e atualizações exigem alerts\:admin ; exclusões exigem config\:write , e quem pediu não aprova. Uma ação em lote vale para 1 a 1.000 computadores; computadores sem agente são pulados. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/szbS1ac1OqRCxosMQs-B9_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} As exclusões valem para todos os computadores Windows gerenciados pelo Hive; o formulário não tem alcance. Exclusão de caminho precisa de caminho completo do Windows ( C:\Build ou %ProgramData%\Tool ); extensões como .tmp ; programas como tool.exe ou um caminho completo terminando em .exe . Aspas, ponto e vírgula e quebras de linha são recusados. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/-jB52apOFewP_xB3_N8J6_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Remover uma exclusão no Hive a tira do Defender; exclusões criadas fora do Hive ficam como estão. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/amgBdqV92JWrbeRF28kQl_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Com o freio de emergência puxado, perfis e exclusões só são conferidos, não aplicados. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/L7B60bFzH7gwWrZgIhqGd_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} O Defender em **Passivo (outro antivírus)** não conta como desligado; a idade das assinaturas continua sendo conferida. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/5W3o7p83vHFySl1wjrhlH_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Resposta a incidente ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/2kW7xJoA5AeFlI90A-FNq_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Perfis de configuração ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/tnpYS_BCwO2NvHHU8sJUh_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Detecção e caça ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Yw2QU6keEHWas13GzUhEj_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Alertas ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/bF_ZoN_qyovNf_4f2Miog_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Conformidade ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/7peRDZaNKEJfmupb-Qu3m_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Privilégios e administrador temporário ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/w0JcaeoE5fSmM4LIdbX6Z_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Privilégios e administrador temporário Ninguém precisa ser administrador local permanente. Em **Entrega › Privilégios › Administrador temporário** alguém pede direito de administrador local para uma conta numa máquina, por um tempo limitado e com motivo; outra pessoa aprova; o agente põe a conta nos administradores locais e a tira no fim. A aba **Remoção de software** da mesma tela tem artigo próprio. ### O que você pode fazer aqui **Pedir administrador temporário** para uma conta local ou do domínio numa máquina, de 15 minutos a 8 horas, com motivo e chamado opcional. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/qkmKCelMVJvTbLe2lyBK9_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} **Aprovar** ou **Negar** pedidos feitos por outras pessoas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/KEmjtpf33Rm1bS6QUPqUX_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Encerrar agora** uma elevação ainda ativa. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Tis0wezGLV5zkzOOXvHch_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Acompanhar cada pedido com a situação: **Esperando aprovação**, **Começando**, **Ativo** (com "até …"), **Encerrado**, **Negado** ou **Falhou** (com a mensagem do agente). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/0H3Z8SEX1nikwOj_FhgXQ_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Passo a passo 1. Abra **Entrega › Privilégios** (aba **Administrador temporário**) e clique em **Pedir administrador temporário** (exige assets\:write ). 2. Em **Máquina**, digite parte do nome e escolha em **Escolha a máquina**. Quando a máquina tem usuário principal, **Conta** já vem preenchida com ele. 3. Confira a **Conta**: uma conta local ( ana ) ou do domínio ( AURORA\ana ). As contas nativas root , administrator e administrador são recusadas. 4. Escolha **Por quanto tempo**: 15, 30, 60, 120, 240 ou 480 minutos. 5. Escreva o **Motivo** (5 a 500 caracteres) e, se tiver, o **Chamado (opcional)**. Clique em **Enviar para aprovação**. 6. Outra pessoa com agents\:admin ou settings\:admin clica em **Aprovar** na lista, ou em **Decisões**. Quem pediu nunca vê **Aprovar** no próprio pedido. 7. A situação vai para **Começando** e, quando o agente confirma, para **Ativo** com o horário do fim. O agente põe a conta no grupo de administradores locais: Administrators no Windows, admin no macOS, wheel ou sudo no Linux. 8. No fim do prazo o agente tira a conta: ele mesmo agenda a retirada quando concede o direito, e o Hive, que confere a cada minuto, também manda a retirada quando o tempo acaba, então ela acontece mesmo se o agente reiniciar no meio. **Encerrar agora** tira antes do prazo. ### Liberações sob demanda (JIT) e classes de aparelho Cada agente tem uma classe (ADR-0004): **Estação**, **Host de VDI**, **Servidor** ou **Tier 0**. A classe define um teto do que o agente aceita, e a console só consegue baixá-lo. **Administrador temporário** é liberado em estações e hosts de VDI, **desligado em servidores** e ausente no Tier 0. Num servidor o pedido pode ser aprovado, mas o agente recusa e a situação vai para **Falhou** com "The device class "server" does not allow "elevate"." Para servidor, use uma conta privilegiada gerenciada fora do Hive. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/IKNRKPWaGcol9kn5xPpDW_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Algumas capacidades são **sob demanda** (JIT) ou **condicionadas** numa classe, por exemplo o terminal remoto em qualquer classe, scripts e a Loja em servidores, ou desinstalar em servidores. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/I0BFVQetuUZncMu_aHBaF_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Elas só chegam à máquina com uma base que o núcleo assina e o agente confere: uma liberação JIT aprovada, uma tarefa aprovada (implantação, resposta a incidente, pedido da Loja, sessão remota), uma janela de manutenção (só condicionadas) ou, nas estações, o rollout por anel. Para pedir uma liberação JIT, abra **Ativos › Agentes › Classes**, seção **Liberações sob** **demanda (JIT)**, escolha a máquina em **Teto de um aparelho** e clique em **Pedir liberação** na capacidade: 5 a 480 minutos (60 por padrão) e motivo de 10 a 500 caracteres. Outra pessoa com agents\:admin aprova; dá para revogar a qualquer momento. Uma capacidade já liberada, ou que a classe não permite, não pode ser liberada. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/NlbVYhDl8ccnv80oTKKu-_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} ### Exemplo prático: Ana instala o driver de uma impressora Ana, do Financeiro, precisa instalar o driver de uma impressora de etiquetas nova no notebook FIN-NB-014 . 1. Paulo (service desk) abre **Entrega › Privilégios**, clica em **Pedir administrador temporário**, digita FIN-NB e escolhe FIN-NB-014 · ana\@aurora.com . **Conta** vem com ana ; ele troca para AURORA\ana , a conta do domínio com que ela entra. 2. **Por quanto tempo**: 30 minutos. **Motivo**: "Instalar o driver da impressora de etiquetas Zebra ZD421". **Chamado (opcional)**: INC-4821 . **Enviar para aprovação**. A lista mostra "30 min · pedido por paulo\@aurora.com" e **Esperando aprovação**. 3. Marta (administradora de endpoints) vê o pedido em **Decisões** e clica em **Aprovar**: "Aprovado; o agente concede agora." A situação vai para **Começando** e, segundos depois, **Ativo · até 14:42**. 4. Ana instala o driver. Às 14:42 o agente tira AURORA\ana dos administradores locais e a situação mostra **Encerrado**. Se ela terminasse antes, Paulo poderia clicar em **Encerrar agora**. 5. A trilha de auditoria guarda o pedido, a aprovação, o início e o fim, com o chamado. ### Exemplo prático: por que o servidor de banco recusa Paulo pede 60 minutos de administrador para svc-deploy em SRV-SQL-02 . Marta aprova. O agente de SRV-SQL-02 tem a classe **Servidor**, então o pedido termina em **Falhou** com "The device class "server" does not allow "elevate"." É de propósito: em servidores, uma console comprometida não pode distribuir direito de administrador. Para uma mudança pontual, a equipe usa uma implantação aprovada por outra pessoa, cuja aprovação vai como base assinada, ou pede uma liberação JIT em **Ativos ›Agentes › Classes** para uma capacidade que é sob demanda em servidores (scripts, por exemplo). ### Cuidados e limites Uma pessoa sozinha não consegue: quem pede nunca aprova o próprio pedido. Quem aprova precisa de agents\:admin ou settings\:admin . ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/oQ5taF5tPqHKnx4-V5fGG_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} A máquina precisa de agente do Hive; sem ele a aprovação é recusada ("The device has no Hive agent."). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/iCZSEaQddSNYibohaGXGo_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} A console oferece de 15 minutos a 8 horas; a API aceita de 5 a 480 minutos. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/U-voBRWL5qPW9lOth1Cw0_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} A retirada mandada pelo Hive espera a máquina: se ela estiver desligada quando o prazo acabar, a tarefa fica na fila por até 7 dias e sai quando o agente voltar. Máquina desligada por mais tempo: confira, por exemplo com o item **Administradores locais** de um perfil de configuração e a opção **Remover os demais (contas nativas ficam)**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/3Ua6wARf_LtJIkwwjrbCR_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Pedidos não expiram sozinhos enquanto esperam: negue os que você não quer. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Uo17287Ui3_RZNpeWiD5X_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Muitas tarefas de impacto de uma vez (mais de 200 estações por hora, por padrão) ficam retidas para uma segunda pessoa em **Ativos › Agentes › Classes**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/tBDpCDgGs3Isb0mpZCIwd_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Regras de remoção de software ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/fw4y-Nql1sgeas6oW6vC9_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Controle de aplicações ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/YxDguN7gL_qolLKuFn9pS_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Agentes ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/NBX4HDfXDgs_-0bM4kgVb_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Decisões ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/dcmHFmP7bUo7M3akUzalR_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} Trilha de auditoria ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/yRJUo5Gwi0pX3vSimqiga_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Regras de remoção de software ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/4NXF42F_UiRHu45nZg1_V_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Regras de remoção de software Uma regra de remoção mantém um programa de alto risco fora das suas máquinas: ela diz qual programa, em quais máquinas e quem é exceção. Depois que outra pessoa aprova, o Hive procura o programa de hora em hora e manda a desinstalação para cada máquina onde o encontra. Fica em **Entrega › Privilégios › Remoção de software**. ### O que você pode fazer aqui Criar uma regra com **Nova regra de remoção**: o programa (nome exato ou qualquer nome que o contenha), o sistema (Windows ou Linux), onde ela age (locais e tags) e as exceções (máquinas, grupos ou pessoas). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/szOEhDiXVVW7bGGTOKklL_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Ver **Onde está**, antes e depois da aprovação: quantas máquinas perderiam o programa e quantas as exceções mantêm. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/E5B9cmGzG0xhAEXufVC6u_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Aprovar** uma regra escrita por outra pessoa (quatro olhos). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/uf--B8_tZZ_mRfSTfhpea_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Rodar agora** em vez de esperar a passada de hora em hora. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/MVYL6LcOlLtk2x8Ewhlf8_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Editar**, desligar (**Regra ligada**) ou **Remover** uma regra. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/u9cB-oLxdooQ3XcdoRZkH_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Acompanhar a situação de cada regra (**Esperando aprovação**, **Ligada**, **Desligada**), quantas remoções ela enviou e quando rodou pela última vez. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/1qnSMPEnxwl48qkyVQzZk_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Passo a passo 1. Abra **Entrega › Privilégios** e a aba **Remoção de software**. 2. Clique em **Nova regra de remoção** (exige a permissão de alterar configuração, config\:write ). 3. Preencha **Nome da regra** e **Programa**, digitado como o inventário mostra (2 a 200 caracteres: letras, números, espaços e . \_ + ( ) - ). 4. Deixe **Nome exato (desligado: qualquer nome que contenha)** ligado para casar só aquele nome exato (sem diferenciar maiúsculas), ou desligue para pegar todo nome que contenha o texto, como versões no nome. 5. Escolha o **Sistema**: Windows ou Linux. Uma regra cobre um sistema. 6. Limite onde ela age com **Locais (vazio: todos)** e **Tags (vazio: todas)**. Locais casam pelo nome e tags pelo texto; preenchendo os dois, a máquina precisa casar com ambos. Vazio vale para todas as máquinas daquele sistema com agente do Hive. 7. Acrescente as **Exceções**: **Máquinas (ID)** (cole o ID da máquina, da página dela), **Grupos (ID) **(máquinas nesses grupos ficam com o programa) e **Pessoas** (o usuário principal da máquina, como ana ou ana\@empresa.com ; só a parte antes do @ é comparada). Até 500 de cada tipo. 8. Mantenha **Regra ligada** e clique em **Salvar**. A regra fica **Esperando aprovação**. 9. Clique em **Onde está** para ver a lista: cada máquina, o nome do programa encontrado e a marca **Exceção** nas máquinas que ficam com ele. 10. Outra pessoa com a permissão de administrar pacotes ( store\:admin ) clica em **Aprovar**. O pedido também aparece para ela em **Decisões**. Quem criou a regra nunca vê o botão **Aprovar** nela. 11. A partir daí a regra roda de hora em hora. Clique em **Rodar agora** para criar a implantação de remoção na hora. ### Exemplo prático: remover o qBittorrent das estações A equipe de segurança achou o qBittorrent em vários notebooks. Carla (service desk, config\:write ) escreve a regra e Bruno (administrador de pacotes, store\:admin ) aprova. 1. Carla abre **Entrega › Privilégios › Remoção de software** e clica em **Nova regra de remoção**. 2. **Nome da regra**: Remover qBittorrent . **Programa**: qBittorrent . O inventário mostra nomes como qBittorrent 4.6.5 , então ela desliga **Nome exato**. 2. **Sistema**: Windows. **Locais**: vazio. **Tags**: workstation , a tag que a equipe põe em notebooks e desktops, para deixar os servidores de fora. 3. **Exceções**: em **Máquinas (ID)** ela cola o ID de LAB-SEC-07 , o notebook do laboratório de malware; em **Pessoas** digita rafael , o pesquisador que testa tráfego de torrent. Salva. 4. Clica em **Onde está**: "37 máquina(s) para remover, 2 mantida(s) pelas exceções." LAB-SEC-07 e o notebook do Rafael aparecem com a marca **Exceção**. 5. Bruno abre **Decisões**, vê Remover qBittorrent , abre a aba e clica em **Aprovar**. A regra fica **Ligada**. Se a Carla tentasse aprovar a própria regra, o Hive recusaria: "Whoever created the rule does not approve it." 7\. Bruno clica em **Rodar agora**: "Implantação de remoção criada." O Hive cria uma implantação por nome de programa encontrado. Com qBittorrent 4.6.5 e qBittorrent 5.0.1 no inventário, aparecem duas implantações em **Entrega › Implantações**, com os nomes Remover qBittorrent · remover qBittorrent 4.6.5 e Remover qBittorrent · remover qBittorrent 5.0.1 . Elas já nascem aprovadas (vale a aprovação da regra), têm uma única onda e começam a rodar. 6. Em cada notebook o agente procura o programa entre os programas instalados da máquina. Um pacote MSI é removido com msiexec /x … /qn /norestart ; outro instalador roda o comando de desinstalação silenciosa ou o comando de desinstalação com /S . Se o programa já saiu, a máquina responde "not installed". 9. A linha da regra passa a mostrar "37 remoção(ões) enviada(s)" e quando rodou. De hora em hora a regra roda de novo: máquinas que já receberam a remoção não recebem outra enquanto o programa continuar listado, e máquinas novas com qBittorrent recebem a sua. E se o usuário reinstalar: na primeira passada depois que o inventário daquele notebook deixa de listar o qBittorrent, o Hive limpa a marca de "enviado" daquela máquina e programa. Quando o usuário instala de novo e o próximo inventário o lista, a passada seguinte manda uma nova remoção. O programa volta e é removido de novo. **Exemplo prático: bloquear antes e remover o que está instalado** Remover as cópias instaladas não impede um qbittorrent.exe portátil rodando da pasta Downloads. Combine a regra com o controle de aplicações: 1. Em **Entrega › Configuração**, clique em **Novo perfil**: nome Bloquear qBittorrent , sistema Windows, modo **Corrigir**, **Onde vale**: tag workstation . 2. **Adicionar item** › **Programas bloqueados**. Em **Modo na máquina** escolha **Só registrar (teste antes)**. Em **Regras conferidas pelo agente (qualquer sistema)**, clique em **Adicionar regra**: tipo **Nome**, valor qbittorrent.exe , ação **Negar**. Salve; as máquinas recebem o perfil em até 5 minutos. 3. Durante uma semana, acompanhe **Segurança › Controle de aplicações**: qbittorrent.exe aparece com o resultado **Seria bloqueado**, o número de máquinas e quantas vezes rodou. Nadaé parado ainda. 4. Enquanto isso, a regra de remoção acima desinstala as cópias instaladas de hora em hora. 5. Quando a lista não trouxer surpresas (só o qBittorrent, só onde você esperava), edite o item e passe **Modo na máquina** para **Bloquear**. A partir daí o agente encerra o qbittorrent.exe cerca de um segundo depois que ele começa, a tela mostra **Bloqueado** e o alerta **Application blocked** abre para cada máquina e programa. Veja os detalhes das regras em Controle de aplicações. ### Cuidados e limites **Aprovação**: criar, editar, remover e **Rodar agora** exigem config\:write ; aprovar exige store\:admin e precisa ser outra pessoa, não quem criou. O freio de emergência para a passada de hora em hora e recusa o **Rodar agora** ("The emergency brake is pulled"). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/NyNN2JAzPeUf142vMNsij_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Volta para aprovação**: mudar o programa, o nome exato, o sistema, os locais ou as tags volta a regra para **Esperando aprovação**. Mudar o nome, as exceções ou **Regra ligada** não volta. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/4PycFgiC1vsowYhGjbj5e_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **O editor mostra só locais e tags.** Grupos e departamentos só podem ser usados como alcance pela API; salvar a regra de novo pela console manda só locais e tags. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/dNwNvKq9kpc9q3s5CCb-y_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Exceções por ID**: máquinas e grupos são informados pelo ID, não pelo nome. Uma máquina cai na exceção de **Pessoas** pelo seu usuário principal. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/DfjcmGBe3vdl-778Z-jwX_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} **O que é encontrado**: só máquinas ativas com agente do Hive, do sistema escolhido, cujo inventário lista o programa. No Windows o agente desinstala programas instalados para a ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ynTDuQXJ9PqSRPFG9mr2K_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} máquina toda; uma cópia instalada só para um usuário, ou um programa portátil, não é removida (bloqueie com o controle de aplicações). **Passada de hora em hora**: a primeira passada roda cerca de 90 segundos depois que o núcleo sobe e depois uma vez por hora. **Onde está** lista até 2.000 máquinas (a janela mostra as 200 primeiras). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/LwoHTeHwak4gsHlPBqA-a_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Janelas de manutenção**: a implantação de remoção respeita a janela de implantação de cada local; uma máquina num local fora da janela espera ("waiting-window"). Máquinas desligadas são tentadas de novo; quando a implantação já roda há 24 horas, a máquina ainda desligada fica como falha ("device offline"). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/nlvBiwHgZeamzr0pO6YC7_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Classes de aparelho (ADR-0004)**: desinstalar é liberado em estações; em hosts de VDI e servidores é condicionado e precisa de uma base assinada (uma aprovação, uma janela de manutenção ou uma liberação JIT). A aprovação da regra vai com cada remoção como essa base, então os servidores no alcance não precisam de liberação JIT para ela; uma desinstalação manual num servidor sem aprovação precisaria. Em máquinas Tier 0 (controladores de domínio, os servidores do Hive, CA, backup) desinstalar nunca é permitido e a tarefa falha com "The device class "tier0" does not allow "uninstall"." ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/2fIPKPpH9GQkuRvUIYiXH_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Limite de alcance**: por padrão uma classe aceita tarefas de impacto em no máximo 200 estações, 200 hosts de VDI, 5 servidores ou 1 máquina Tier 0 por hora. Acima disso, as tarefas ficam retidas e esperam uma segunda pessoa em **Ativos › Agentes › Classes** (**Retidas pelo limite de alcance**); sem aprovação em 24 h, são recusadas. Mantenha pequenas as remoções em servidores ou aprove as tarefas retidas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/-DDSUIp-F5RNYsJfpan5f_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Remover uma regra** mantém as implantações que ela já enviou. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/VEMa-yzSwfRc3E0Zc50Cr_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Controle de aplicações ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/fNQvNRJkUpT1fgdJWLnFb_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Privilégios e administrador temporário ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/kqrOXDW8izt3gzTjyr20J_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Implantações ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/BR3ic88YLiueETPXdQGPg_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Perfis de configuração ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/noaQddVvwbJynO1LoP4Pf_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Decisões ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/deXObF5NeSGl_EZi1VOEL_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Agentes ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/nkumMYFgNgqVu1cPdnyeY_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Elevação por aplicativo ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/sZ3OPoJShkdOYwhfYp-TN_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Elevação por aplicativo A elevação por aplicativo deixa uma pessoa rodar um programa específico como administrador sem virar administradora da máquina. As regras dizem quais programas: pelo hash do arquivo (SHA-256), pelo publicador (o assinante Authenticode no Windows, o team ID no macOS) ou pelo caminho com curingas. Cada regra eleva automaticamente, pede aprovação ou nega. Fica em **Entrega › Privilégios› Elevação por aplicativo**. ### O que você pode fazer aqui Criar uma regra com **Nova regra**: nome, modo (**Elevar automaticamente**, **Pedido e aprovação **ou **Negar**), **Hash SHA-256**, **Publicador**, **Caminho**, alcance (**Grupos** e **Tags**) e **Duração máxima (minutos)**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/eIZjQLXO7J8D9sZkbrv8G_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Editar uma regra (desligue com **Ligada**) ou removê-la. Remover uma regra devolve os programas que ela liberava ao padrão, **Pedido e aprovação**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/hFfiSB6sS9KkSE3quTID0_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Pedir uma elevação com **Pedir elevação**: **Aparelho** (busque e use **Escolha o aparelho**), **Conta**, **Caminho**, **Hash SHA-256**, **Publicador** e **Motivo**; depois **Enviar pedido**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/L1MC63e465tjewu5kyGRi_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Aprovar** ou **Negar** pedidos na fila de **Pedidos**, com **Observação (opcional)**. Quem pediu nunca aprova. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/cWX7hk6jXhJoSqQs-Z_DD_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Filtrar a fila pela **Situação**: **Aguardando aprovação**, **Iniciando**, **Rodando elevado**, **Negado**, **Recusado**, **Encerrado** ou **Falhou**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/CKpP-YEYuiJLcROVpszlz_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Passo a passo 1. Abra **Entrega › Privilégios** e a aba **Elevação por aplicativo**. 2. Clique em **Nova regra** (criar, mudar e remover regras precisa de agents\:admin ou settings\:admin ). 3. Preencha pelo menos um entre **Hash SHA-256**, **Publicador** e **Caminho**. Quando preencher mais de um, o programa precisa casar com todos. O caminho aceita os curingas \* e ? (caminhos do Windows comparam sem caixa, com / igual a \ ) e não pode ser amplo demais. 4. Escolha o **Modo**. Um programa que não casa com nenhuma regra segue **Pedido e aprovação **com 60 minutos. 5. Limite a regra com **Grupos** e **Tags** (vazio vale para todas as estações e hosts de VDI). 6. Escolha a **Duração máxima (minutos)** (5 a 480). No macOS e no Linux é quanto tempo vive a regra de sudo de uso único; no Windows o agente não a usa (veja os limites). 7. Clique em **Salvar**. 8. Quando uma pessoa precisar de um programa elevado, alguém com assets\:write clica em **Pedir elevação** e preenche o aparelho, a conta, o caminho (sem curingas), o hash ou o publicador quando souber e o motivo (5 a 500 caracteres). O núcleo escolhe a regra usando exatamente o que foi digitado. 9. Com **Elevar automaticamente** o pedido vai direto ao agente; com **Negar** fica **Negado** na hora. Nos outros casos um administrador com agents\:admin ou settings\:admin aprova ou nega. Aprovado, o agente confere o arquivo e abre só aquele processo elevado. **Exemplo prático: deixar o financeiro rodar o instalador do token do banco** Ana (central de serviços) precisa que os notebooks do financeiro rodem C:\Program Files\BankCo\TokenSetup\setup.exe como administrador, mas ninguém do financeiro deve ser administrador local. 1. Ana abre **Entrega › Privilégios › Elevação por aplicativo** e clica em **Nova regra**. 2. **Nome**: Instalador do token do banco . **Modo**: **Pedido e aprovação**. 3. **Publicador**: BankCo S.A. (o nome simples do assinante, como o Windows mostra na assinatura digital do arquivo); **Caminho**: C:\Program Files\BankCo\\\*\setup.exe . Os dois precisam casar, então uma cópia renomeada assinada por outro não passa. 4. **Tags**: financeiro . **Duração máxima (minutos)**: 30. Ela clica em **Salvar**. 5. Carla, do financeiro, liga para a central. Ana clica em **Pedir elevação**, escolhe FIN-NB-12 , digita a conta carla , o caminho, o publicador BankCo S.A. e o motivo Instalar o novo token do banco e clica em **Enviar pedido**. Sem o publicador a regra não casaria e o pedido seguiria o padrão. 6. Bruno ( agents\:admin ) abre a fila de **Pedidos**, lê o motivo, clica em **Aprovar** e de novo em **Aprovar** na janela. Ana não conseguiria aprovar o próprio pedido. 7. O agente do FIN-NB-12 lê o arquivo, calcula o SHA-256, confere que o assinante Authenticode válido é BankCo S.A. e abre só o setup.exe elevado na sessão da Carla, por uma tarefa agendada de uso único. A Carla fica no grupo Administradores só nos poucos segundos da partida da tarefa. 8. O pedido mostra **Rodando elevado**. A auditoria registra quem pediu, quem aprovou e quando o processo começou; o pedido guarda o hash que o agente calculou. 9. A Carla termina a instalação. No Windows o agente não encerra o processo depois de 30 minutos: ele roda até o instalador fechar. ### Cuidados e limites **Servidores e Tier 0 sempre recusam.** Pela ADR-0004 a classe servidor não permite elevação e o Tier 0 não tem o módulo. Aparelho de classe ainda desconhecida também é recusado. O núcleo recusa o pedido e o agente recusa a tarefa de novo; o pedido mostra **Recusado**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/-R5c4az-sGfO9WXjYfDsp_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **Caminho sozinho é fraco.** Quem consegue gravar na pasta troca o arquivo. Combine o caminho com o publicador ou use o hash. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/1hZ3o5npGAijsjf1O5XYJ_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **O hash quebra a cada atualização.** Uma versão nova do programa tem outro hash; atualize a regra ou case pelo publicador. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/pKmM7yYu2GVXjDGqIod-t_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Negar vence.** Quando uma regra de negar e uma de liberar casam com o mesmo programa, o programa é negado. Entre as outras vence a mais específica: hash, depois publicador, depois caminho. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/xbOqk6bOp62Usg2nay-_f_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **O casamento usa o que foi digitado.** Uma regra com hash ou publicador só casa com um pedido que traga o mesmo hash ou publicador. O agente depois compara com o arquivo real: hash mudado ou outro assinante deixa o pedido em **Falhou**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ZDg-bHi6M1ZbWXUZ09eWk_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Windows**: o agente confere o hash de novo logo antes da partida, roda o programa por uma tarefa agendada de uso único (nível mais alto) na sessão da pessoa, põe a pessoa em Administradores só durante a partida e apaga a tarefa logo depois. Nenhum driver de kernel é usado. A duração não é aplicada: o processo não é encerrado quando ela acaba. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/mVZ6VzgtosEvoq71xhNYD_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} **macOS e Linux**: o agente grava uma regra do sudoers de uso único presa ao hash do arquivo (resumo sha256: ), validada com visudo , e a apaga no fim da duração; a pessoa roda o programa com sudo . Um processo que já está rodando continua. O publicador é o team ID do codesign no macOS; o Linux não confere publicador, então um pedido com publicador falha lá. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/js1IdrqWf9kOnlO83t3iG_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **O que vai para a auditoria**: mudanças de regra, pedido, decisão e o início (ou a falha) do processo. O fim do processo e da duração ainda não são informados, então o pedido fica em **Rodando elevado**; **Encerrado** ainda não é marcado. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/wbIC0z6x2RBs3tzoLIXT1_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Privilégios e administrador temporário ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/b05kSKHKgKpghnuRfdnzA_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Controle de aplicativos ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/rulzjz0wIbKNfKQyztJiL_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Decisões ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/veeoC8eayrzQOciSGMZKO_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} Agentes ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/-8qjeOFzG_OcWzA62x9yd_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Aplicações (OpenTelemetry) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/vdSSHqNGvzhdCSoMUs1cq_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Aplicações (OpenTelemetry) **Aplicações** (Monitorar › Aplicações) mostra os serviços que mandam OpenTelemetry ao Hive: requisições por minuto, percentual de erros, latência média e máxima, logs de erro, o host onde rodam e quem chama quem. Você manda traces, métricas e logs por OTLP/HTTP com o token de uma conta de integração; o Hive não instala nada no servidor da aplicação. ### O que você pode fazer aqui Ver cada serviço que manda telemetria, com **Req/min**, **Erros**, **Média**, **Máximo**, **Logs de erro** e **Último dado**, numa **Janela** dos últimos 15 minutos aos últimos 30 dias. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/hPtPYOOuPmTfgv-Ppqcpy_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Buscar um serviço pelo nome, ambiente ou host. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/KSaHxpDtCuTyWchR80HBX_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Abrir um serviço para ver o mapa de tráfego (**Chamado por** à esquerda, **Chama** à direita), requisições e erros por minuto, as operações e os últimos avisos e erros dos logs. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/p-K49qgLYZAlAjvBywA2t_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Clicar numa caixa do mapa (outro serviço, um banco, uma API de fora) para ver as chamadas entre ela e o serviço. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Y1OjEq3Av51UnVnJA2fCA_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Abrir **Quem chama quem**, o grafo de dependências de todos os serviços. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/4wWQdQh1eq8FKg7YLNO-m_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Ir da coluna **Host** para o ativo quando o host é uma máquina do inventário. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/sMAedvZtzHqfhySwuJYDc_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Pegar o endereço OTLP e uma configuração pronta do OpenTelemetry Collector para copiar. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/s5ZdmsUSAad1Oi1-EWUyk_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Mandar telemetria ao Hive 1. Crie uma conta de integração com o escopo **Telemetria (OpenTelemetry: enviar métricas, traces e logs)** e copie o token (o link **Criar a conta de integração (Integrações › API)** desta tela abre essa página). O token aparece uma vez só. 2. Aponte o OpenTelemetry Collector, ou o SDK da aplicação direto, para o endereço mostrado na tela: https\://\/api/v1/otlp , com o cabeçalho Authorization: Bearer \ . O Hive aceita OTLP/HTTP em protobuf ou JSON, com ou sem gzip, em /v1/traces , /v1/metrics e /v1/logs . 3. No recurso de cada aplicação, informe service.name , deployment.environment.name e host.name . O Hive agrupa por serviço e ambiente e liga o serviço ao ativo cujo nome, hostname ou FQDN éigual ao host.name (ou ao k8s.node.name ). 4. Abra Monitorar › Aplicações. Os serviços aparecem assim que chega o primeiro lote; escolha a **Janela** e clique no nome de um serviço. A tela mostra esta configuração do Collector (copie e troque a variável do token): | exporters: | | ---------- | | otlphttp/hive: | | -------------- | | endpoint: https\://\/api/v1/otlp | | ------------------------------------------------------ | | headers: | | -------- | | Authorization: "Bearer $\{env\:HIVE\_TOKEN}" | | -------------------------------------------- | | service: | | -------- | | pipelines: | | ---------- | | traces: \{ receivers: \[otlp], exporters: \[otlphttp/hive] } | | ------------------------------------------------------------ | | metrics: \{ receivers: \[otlp], exporters: \[otlphttp/hive] } | | ------------------------------------------------------------- | | logs: \{ receivers: \[otlp], exporters: \[otlphttp/hive] } | | ---------------------------------------------------------- | ### O que o Hive faz com cada sinal **Traces:** os spans são somados por minuto, serviço, ambiente, tipo e operação. Spans de servidor e de consumidor contam como requisições; spans com status Error contam como erros. A operação é o método e a rota HTTP ( GET /orders/ ) quando o http.route vem preenchido. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/-yL04caS6IYHB3K9Z3phv_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Spans de cliente e de produtor viram dependências: o destino é o peer.service , o server.address\:porta , o messaging.destination.name , o rpc.service ou, para bancos, db.system/db.name . **Logs:** contados por minuto e severidade; de cada minuto fica a última mensagem como amostra. **Logs de erro** conta error e fatal; a página do serviço lista avisos e erros. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/SzqVjDosZVyOyZ003G-8A_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} **Métricas:** pontos de hosts que estão no inventário viram métricas do ativo com o prefixo otel. (por exemplo otel.http.server.duration ), mostradas na aba **Monitoramento** do ativo. A mesma aba tem o painel **Aplicações nesta máquina** com os serviços daquele host nos últimos 15 minutos. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/H8e1HvPqAawzVqVeaxmKl_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} **Exemplo prático: acompanhar o serviço de checkout da loja online** A equipe roda checkout e catalog (Java, agente OpenTelemetry) no srv-shop01 , que já é um ativo com o agente do Hive, e um banco PostgreSQL shop . 1. Na página de API e contas de integração, o administrador cria a conta "OTel Collector – loja" com o escopo **Telemetria (OpenTelemetry: enviar métricas, traces e logs)** e copia o token. 2. No srv-shop01 , o Collector recebe a configuração copiada da tela, com HIVE\_TOKEN igual ao token. Os agentes Java rodam com OTEL\_SERVICE\_NAME=checkout (e catalog ), OTEL\_RESOURCE\_ATTRIBUTES=deployment.environment.name=prod,host.name=srv-shop01 e exportam para o Collector local. 3. Um minuto depois, Monitorar › Aplicações mostra **Serviços** 2. checkout · prod tem 420 **Req/min**, **Erros** 0,4% (selo verde), **Média** 85 ms, **Máximo** 1.900 ms, e a coluna **Host** é um link para o srv-shop01 . 4. Clicar em checkout abre **Mapa de checkout · prod**: à esquerda, **Chamado por** ainda não mostra nada (as chamadas vêm do navegador); à direita, **Chama** mostra catalog e postgresql/shop (marcado como "dependência externa"), cada ligação com o número de chamadas e o tempo médio. 5. Embaixo, **Dados de checkout** mostra as barras de requisições e erros por minuto e as operações: POST /cart/checkout com 3.100 chamadas e 12 erros, GET /cart com 9.400 chamadas. 6. Clicar na caixa postgresql/shop troca o painel de baixo para **Dados de postgresql/shop**: 18.000 chamadas, 0 erros, média de 4 ms. 7. No ativo srv-shop01 , a aba **Monitoramento** agora lista checkout e catalog em **Aplicações nesta máquina**. ### Exemplo prático: ser avisado quando o checkout falhar 1. Vá em Monitorar › Regras de alerta e clique em **Nova regra**. 2. Em **O que observar**, escolha **Aplicações**. 3. Em **Condição**: **Medida** = **Percentual de erros**, **Alertar acima de (%)** = 5, **Nos últimos (min)** = 10, **Serviço (vazio = todos)** = checkout . 4. Em **Severidade**, escolha **Alto**; em **Ações**, escolha o canal da equipe da loja; salve em **Revisar e salvar**. 5. O Hive confere a regra a cada minuto. Quando o checkout passa de 5% de erros nos últimos 10 minutos, abre um alerta para checkout\@prod com um texto como "7.2% errors (31 of 430) in 10 min", ligado ao srv-shop01 . Quando a taxa volta para menos de 5%, o alerta se resolve sozinho ("The service is back within the limit"). Outras medidas: **Latência média** com **Alertar acima de (ms)**, e **Requisições por minuto (abaixo de) **com **Alertar abaixo de (req/min)** para pegar um serviço que parou de receber tráfego. ### Cuidados e limites Só uma conta de integração com o escopo Telemetria pode mandar; a sessão de uma pessoa ou outro escopo recebe "Sending telemetry needs an integration account with the telemetry scope." ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/QF2DcXbZFVyygo_2KvdDQ_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Um lote pode ter até 8 MB (depois de desfeito o gzip); lotes maiores são recusados — diminua o tamanho do lote do exportador. Cada lote é lido até 50.000 spans ou registros de log. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/e2Ah_yLGepWFwtTQ2J7k__image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Sem service.name o serviço aparece como unknown\_service . Sem host.name (ou k8s.node.name ) o serviço fica sem host e sem link para ativo; o host precisa ser um ativo ativo com o mesmo nome, hostname ou FQDN. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/31zJtPqVBE2Sitp84Png7_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Métricas só viram histórico do ativo quando o host está no inventário; métricas de outros hosts não são guardadas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/b1HrlWQXR1Utt4nuUi6Xc_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Minutos de spans e logs, e serviços sem dados, ficam 30 dias. Se a janela escolhida não tem chamadas, **Quem chama quem** mostra o último tráfego visto em 30 dias e avisa. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/j1M2H6SscKHF3DhW4-kuc_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} O indicador **Serviços acima de 5% de erros** e o selo vermelho usam 5%; o selo amarelo começa em 1%. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Ho4vibfLnSatkYdzS30g6_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Ver a tela exige permissão de ler ativos; as regras de telemetria seguem o escopo da regra: um serviço cujo host está fora do escopo não dispara. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/5nKjp2MKvN3clTApr_Ep4_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Relacionados Alertas e regras ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/yHp9pRjLBGS5Yp0m7obR6_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} API e contas de integração ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/WZZjGj--ufm7cWY1Hn6wd_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Caminho do serviço e mapa lógico ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/4KCmUoJyzE6XGSRcAKdje_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Servidores web e de aplicação ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/yZ7MyFqFsw3zf0WnFtJ8p_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Ativos e inventário ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/zFbTsl3MyluztcwpqOgD6_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Controle de aplicações ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/mRKoQH24PLAb9SaVCvbYr_image.png" size="67" isUploading="false" width="672" height="423" showCaption="false"} Tela: Controle de aplicações O controle de aplicações decide quais programas podem rodar nas suas máquinas. As regras ficam no item **Programas bloqueados** de um perfil de configuração; a tela **Segurança › Controle de** **aplicações** mostra o que essas regras negaram, ou negariam enquanto ainda estão em auditoria, por programa e máquina, para você ligar o bloqueio sem surpresas. ### O que você pode fazer aqui Ver, nos últimos 1, 7, 30 ou 90 dias, quantas execuções **Seria bloqueado** (auditoria), foram **Bloqueado** ou **Não conseguiu encerrar**, e em quantas **Máquinas**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/HThy31Tzl2k-Y3-W5YKvb_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Listar cada programa negado com caminho, SHA-256, editor, a regra que casou, o resultado, máquinas, vezes e quando foi visto por último. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/mr1kQemqDkihhbHFuXXpD_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Clicar no **SHA-256** de um programa para ver quais máquinas o rodaram e quem estava logado. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/xKp2Z00nyv7K144oz5iCz_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Ir para **Perfis de configuração** para escrever ou mudar as regras. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/DG5z8bAL6R_VjxsCc7qIK_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Como as regras funcionam Um item **Programas bloqueados** tem duas camadas: **Programas a bloquear (nome do arquivo ou caminho completo)**: aplicados pelo sistema operacional antes de o programa começar. No Windows usa o AppLocker (as pastas Windows e Arquivos de Programas continuam liberadas e administradores não são bloqueados); no Linux usa o fapolicyd quando instalado. **Adicionar outros navegadores (deixar só Chrome e Edge) **preenche a lista com os outros navegadores comuns. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Wd3SKSPitqF04wUZt8Ozn_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Regras conferidas pelo agente (qualquer sistema)**: o agente olha cada processo novo cerca de uma vez por segundo e compara pelo **SHA-256** do arquivo, pelo **Editor** assinado (Authenticode no Windows, codesign no macOS; o texto digitado é procurado dentro do nome do editor), pelo **Caminho** ( \* casa qualquer coisa) ou pelo **Nome** ( putty.exe , com ou sem .exe ). Uma regra **Negar** sempre vence uma regra **Permitir**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/TmzhqncnD_sxn0Rb0sSqw_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Lista de permissão: negar o que nenhuma regra permite** inverte a lógica: tudo o que nenhuma regra de permitir cobre é negado, menos os programas das pastas do sistema e dos programas instalados. Processos protegidos do sistema e o próprio agente nunca são tocados. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ur1GECwRfXgI37DfLkaeg_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Modo na máquina** decide o que acontece quando casa: **Só registrar (teste antes)** só registra (**Seria bloqueado**); **Bloquear** encerra o processo logo depois que ele começa (**Bloqueado**) e abre o alerta **Application blocked**, um por máquina e programa. O agente só bloqueia quando o item está em **Bloquear** e o perfil está no modo **Corrigir**; um perfil em **Só avisar** mantém todas as regras em auditoria. ### Passo a passo 1. Abra **Entrega › Configuração** e clique em **Novo perfil** (ou edite um existente). Escolha o sistema, o modo e **Onde vale** (localidades, tags e grupos; vazio vale para todas as máquinas daquele sistema). 2. Clique em **Adicionar item** e escolha **Programas bloqueados**. 3. Mantenha **Modo na máquina** em **Só registrar (teste antes)**. 4. Preencha **Programas a bloquear** e/ou clique em **Adicionar regra** em **Regras conferidas pelo agente**: escolha o **Tipo da regra** (SHA-256, Editor, Caminho, Nome), digite o **Valor** e escolha **Negar** ou **Permitir**. 5. **Salvar**. As máquinas recebem o perfil em até 5 minutos. 6. Abra **Segurança › Controle de aplicações**, escolha o **Período** e revise a lista **Programas**. Clique num SHA-256 para ver as máquinas. 7. Quando a lista tiver só o que você queria parar, edite o item e passe **Modo na máquina** para **Bloquear** (com o perfil em **Corrigir**). **Exemplo prático: bloquear o qBittorrent em auditoria, depois de verdade, enquanto uma regra de remoção limpa** 1. Em **Entrega › Configuração**, crie o perfil Bloquear qBittorrent : sistema Windows, modo **Corrigir**, **Onde vale**: tag workstation . 2. **Adicionar item** › **Programas bloqueados**. **Modo na máquina**: **Só registrar (teste antes)**. **Adicionar regra**: **Nome**qbittorrent.exe , **Negar**. Salve. 3. Em **Entrega › Privilégios › Remoção de software**, crie a regra Remover qBittorrent (programa qBittorrent , nome exato desligado, Windows, tag workstation ) e peça para um colega aprovar. Veja Regras de remoção de software. 4. Depois de um dia, **Segurança › Controle de aplicações** com **Últimos 7 dias** mostra **Seria bloqueado: 54** em **Máquinas: 12**, com a nota "execuções em auditoria: nada foi parado". A lista **Programas** tem qbittorrent.exe com a regra name\:qbittorrent.exe e o caminho C:\Program Files\qBittorrent\qbittorrent.exe em 10 máquinas e C:\Users\joao\Downloads\qbittorrent\_portable\qbittorrent.exe em 2. Você clica no SHA-256 da cópia portátil e vê os dois notebooks e os usuários. 5. A regra de remoção desinstala as cópias em Arquivos de Programas nas passadas de hora em hora. As cópias portáteis não são programas instalados, então a regra de remoção não mexe nelas. 6. Uma semana depois nada inesperado apareceu. Você edita o item e passa **Modo na máquina **para **Bloquear**. Na próxima atualização da política, quando o João abre a cópia portátil, o agente a encerra cerca de um segundo depois que ela começa. A tela mostra **Bloqueado** e o alerta **Application blocked** abre para o notebook dele com "Blocked C:\Users\joao\Downloads\…\qbittorrent.exe (name\:qbittorrent.exe)". 7. Se uma linha mostrar **Não conseguiu encerrar**, confira as permissões do agente naquela máquina: o programa continuou rodando. ### Cuidados e limites As regras do agente encerram o programa depois que ele aparece (a conferência é cerca de uma vez por segundo); uma execução muito curta pode terminar antes. Para impedir antes de começar no Windows ou no Linux, ponha também em **Programas a bloquear** (AppLocker ou fapolicyd). O AppLocker não bloqueia administradores. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/SA1IeJFK_KKDekphkCdCI_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Programas a bloquear** no macOS precisa de MDM; no macOS use as regras do agente. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/syF_-lIRNr1-i_l5SJkuW_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Regras de **hash** precisam do SHA-256 de 64 caracteres; uma versão nova do programa tem outro hash. Regras de **Nome** são fáceis de driblar renomeando o arquivo; **Editor** ou **Hash** são mais difíceis. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Y52SriwyCxFIMIcGVYwK9_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Ligar a **Lista de permissão** sem testar pode parar programas de negócio instalados fora de Arquivos de Programas: sempre comece em **Só registrar**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/n19vlF6nU-nl2s-gdtQ2D_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Um item aceita até 200 programas a bloquear e 500 regras do agente. Os eventos ficam guardados por 180 dias. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/NKmc6cYgNW7UCxSkhDLOG_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Só o que as regras do agente decidem chega a esta tela, enviado pelo agente em lotes a cada 30 segundos; as decisões do AppLocker e do fapolicyd não aparecem aqui. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Kr6zqddV89QceaLGnlqvL_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Relacionados Regras de remoção de software ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/0i0IziqqVyijq_tuyEIBL_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Perfis de configuração ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/iwA2Y5_gLTWFc2PavNB7A_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Privilégios e administrador temporário ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Z34v0VVbsaYgdzKy0sXEE_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Alertas ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/LWrLcEM8uY0FnFe8H5Wx3_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Controle de dispositivos (USB) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/rU4Q3J9JBSVFCQlhjBjcP_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} ### Indicadores de ataque (caça de IoC) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/GE8B_SIccHpDCNBdRhJKB_image.png" size="67" isUploading="false" width="672" height="423" showCaption="false"} Tela: Indicadores de ataque (caça de IoC) Um indicador de comprometimento é o SHA-256 de um arquivo, um domínio ou um endereço IP ligado a uma campanha de ataque. **Segurança › Indicadores de ataque** guarda os seus indicadores e os procura em todas as máquinas com agente e nos fluxos de rede; cada achado abre um alerta, que pode isolar a máquina. ### O que você pode fazer aqui **Adicionar indicadores** colando uma lista, com a gravidade do alerta quando um for achado. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/OcIzFHEFccW8mG96Mgrz4_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Trazer indicadores sozinho do **MISP** ou do **AlienVault OTX** e **Ler agora** as fontes. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Mp_mIJkslZyx_KT8PvNv6_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Caçar agora** em todas as máquinas, incluindo, se quiser, os arquivos das pastas de usuário e temporárias. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/nr7aKR_SeAlPwKGCVVZZ3_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Ver os **Achados** (máquina, indicador, onde foi achado, quando), os **Indicadores** (fonte, validade, achados, **Remover**) e as **Caças** (quem iniciou, máquinas que responderam, achados). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/amfOjSKiz9BKuzKySZV_G_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### De onde vêm os indicadores **À mão**: **Adicionar indicadores**, um por linha. O tipo é detectado (SHA-256 de 64 hexadecimais, domínio ou IP); tipo,valor também funciona ( sha256,… , domain,… , ip,… ). Linhas que começam com # são ignoradas. Até 20.000 linhas por vez; as linhas inválidas voltam na resposta. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Oy0Y4bmsN2EnTfCkvotTH_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} **MISP**: conecte em **Integrações** com o endereço e a chave de automação; entram os atributos marcados para IDS dos últimos 30 dias (sha256, domain, hostname, ip-dst, ip-src). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/EEVi6ht6-5djMUmr2m_tj_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **AlienVault OTX**: conecte com a chave da conta; entram os indicadores dos pulses que você assina. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Mmyin8Rsnemz9qKtG2X3R_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} As fontes são lidas a cada 6 horas. Depois de cada leitura, se algum indicador entrou ou mudou desde a última caça, uma caça começa sozinha (aparece como **automática** em **Caças**). ### Onde a caça procura **Processo rodando**: o SHA-256 de cada executável em execução. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/X5Gvxm4c19jaGZicM-MZ8_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Conexão de rede**: o IP do outro lado das conexões abertas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/bvVIN1CHNOCZXJkvqwHAm_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} **Cache de DNS** (Windows): o domínio e os subdomínios. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/yG6olNIAb7cVsm3PGf0tX_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Arquivo** (só com **Conferir também os arquivos das pastas de usuário e temporárias**): Downloads, Área de Trabalho e pastas temporárias de cada usuário e as pastas temporárias do sistema, até 50.000 arquivos e 3 minutos por máquina. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ugROPCfszPE5d8ywa-jnm_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Fluxo de rede (7 dias)**: os IPs nos fluxos dos últimos 7 dias de switches e nuvens, mesmo de máquinas sem agente ("fluxo de rede (máquina não identificada)" quando o Hive não sabe qual é a máquina). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/gSxsD3M9K7ms9S7LglRo7_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Só o que casou sai da máquina. Cada achado abre o alerta **Indicator of compromise found** com a gravidade do indicador. ### Passo a passo 1. Abra **Segurança › Indicadores de ataque**. 2. Clique em **Adicionar indicadores** (exige alerts\:admin ), cole a lista em **Indicadores, um por linha**, escreva a **Descrição (campanha, chamado)** e escolha a **Gravidade do alerta quando achado** (Crítico, Alto, Aviso ou Baixo). Clique em **Adicionar**. A mensagem diz quantos entraram e quantas linhas eram inválidas. 3. Clique em **Caçar agora**, decida sobre **Conferir também os arquivos das pastas de usuário e temporárias** e clique em **Começar a caça**. 4. Acompanhe a aba **Caças**: " de \{máquinas} responderam" e **em andamento **enquanto roda (uma caça é considerada terminada em no máximo 30 minutos). 5. Leia a aba **Achados**. Clique na máquina para abrir a aba **Segurança** dela. **Exemplo prático: alerta do CERT sobre uma campanha de phishing** O CERT nacional manda um boletim sobre uma campanha com dois hashes, um domínio e um IP. 1. Lia abre **Adicionar indicadores** e cola: \`\` # Boletim CERT 2026-117 | sha256,9f2c4e1b7a0d3c5e8f6a1b2c3d4e5f60718293a4b5c6d7e8f9a0b1c2d3e4f5a6 | | ----------------------------------------------------------------------- | | 3b8d0e2f4a6c8e0a2b4c6d8e0f1a3b5c7d9e1f3a5b7c9d1e3f5a7b9c1d3e5f7a invoice-portal.example.net | | ------------------------------------------------------------------------------------------- | 203.0.113.45 \` Descrição: CERT 2026-117 – boleto falso\`. **Gravidade do alerta quando achado**: **Crítico**. **Adicionar**: "4 indicadores adicionados (0 linhas inválidas)." 2\. Ela clica em **Caçar agora**, liga **Conferir também os arquivos das pastas de usuário e temporárias** (a campanha deixa o arquivo em Downloads) e **Começar a caça**. Em **Caças** a linha mostra "lia\@aurora.com · 4 indicadores · com arquivos" e "312 de 340 responderam", depois todas as que estão no ar (só agentes vistos no último dia são consultados). 3. **Achados** mostra duas linhas: FIN-NB-014 , o segundo hash, **Arquivo**, C:\Users\ana\Downloads\invoice\_0425.exe ; e 203.0.113.45 em **Fluxo de rede (7 dias)** saindo de FIN- NB-014 para a porta 443 no dia anterior. 4. O alerta **Indicator of compromise found** abriu como crítico para FIN-NB-014 . Lia pede para isolar a máquina e pôr o arquivo em quarentena em Resposta a incidente; outra pessoa aprova. 5. Uma semana depois o CERT encerra o boletim. Lia remove os quatro indicadores com **Remover **para que deixem de ser procurados. ### Cuidados e limites Adicionar, remover, ler as fontes e caçar exigem alerts\:admin ; ver exige assets\:read . ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/gf9H_65rmfIi_wwrQtciL_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Indicadores adicionados à mão não expiram; remova quando a campanha acabar. Indicadores do MISP e do OTX entram com a gravidade **Alto** e expiram 90 dias depois da última leitura que os trouxe. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/xfvTdgri5tfXaQLvwkR-7_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Uma importação manual não caça na hora: clique em **Caçar agora**, ou espere a verificação automática a cada 6 horas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/PjAc_tzqdiUgMkvFlKuJV_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} A caça só alcança agentes vistos no último dia. Uma máquina que estava desligada é conferida na próxima caça. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ZakC0AvE88DgDZOS0cWan_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} O cache de DNS só é lido no Windows; nos outros sistemas os domínios não são procurados na máquina. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/fNQvNRJkUpT1fgdJWLnFb_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} A varredura de arquivos lê hashes só nas pastas listadas e para em 50.000 arquivos ou 3 minutos por máquina. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/iWFYXZ7O5lDdmm8Ow4e3h_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} No máximo 20.000 indicadores ativos entram numa caça (os atualizados mais recentemente primeiro). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/f_2E-eZSSQEXz-kKcYy8A_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Resposta a incidente ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/f_qgmfcydGr0wkKvN-QRr_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Detecção e caça ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/htNmez57ONihlC1YRWXw-_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Vulnerabilidades ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/4fjy2KUBPBalIZ0vIn62U_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Alertas ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/mw-JkAlzYi6FG6SCRrTsd_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Integrações ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/tMFiAZxdDxz0Jf-ywzD5p_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Inteligência de ameaças: TAXII, STIX e YARA ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/S5LJ4HaIz1g0oiMxeiMu4_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Inteligência de ameaças: TAXII, STIX e YARA A tela **Inteligência de ameaças**, no menu **Segurança** logo abaixo de **Indicadores de ataque** (essa tela também tem um botão **Inteligência de ameaças**), amplia a caça de IoC com os formatos padrão de inteligência de ameaças: lê indicadores de servidores **TAXII 2.1**, importa e exporta pacotes **STIX 2.1 **e guarda regras **YARA** que os agentes comparam com os arquivos. Tudo o que entra cai na mesma lista de indicadores e é caçado como qualquer outro indicador. A tela tem três abas: **Fontes TAXII**, **STIX** e **Regras YARA**. ### O que você pode fazer aqui Cadastrar fontes TAXII 2.1 em **Fontes TAXII** e listar as **Coleções** do servidor. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/uE7h6TsIqJp6QYLcTMZaz_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Importar um pacote STIX 2.1 em **STIX**, colando o JSON ou usando **Ler de arquivo**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/9QBD8jAQwdEFmsG8J98mV_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} **Exportar STIX** com os indicadores ativos do Hive e os seus avistamentos, para compartilhar com um SIEM ou uma plataforma de inteligência de ameaças (TIP). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/C2uY4wcvOCS2mIYX8s2An_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Escrever **Regras YARA**, validá-las, ativá-las ou desativá-las, escolher a gravidade e o alcance por tags de dispositivo. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/9AQ5cbtZzKwcpLQDmNLmz_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Fontes TAXII 2.1 1. Em **Fontes TAXII**, clique em **Adicionar fonte** e preencha o **Nome**, a **URL da raiz da API** (por exemplo https\://taxii.example.com/api1/ ) e o **ID da coleção**. Se precisar, informe **Usuário** e **Senha** ou um **Token (Bearer)**; os segredos ficam guardados cifrados e nunca mais são mostrados. Clique em **Salvar**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/-c5KXb517qnirw09C4vJc_image.png" size="14" isUploading="false" width="143" height="17" darkWidth="143" darkHeight="17" showCaption="false"} ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/8CIUuI_Yu4f4Vd-0YA2vg_image.png" size="19" isUploading="false" width="193" height="17" darkWidth="193" darkHeight="17" showCaption="false"} ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/hUSsLddppD-KPt09PdgZp_image.png" size="36" isUploading="false" width="360" height="17" darkWidth="360" darkHeight="17" showCaption="false"} ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/nD6TDGvaQayRvrBDn3-0Y_image.png" size="22" isUploading="false" width="217" height="17" darkWidth="217" darkHeight="17" showCaption="false"} 2. Na linha da fonte, **Coleções** lista as coleções que o servidor oferece, com o id de cada uma e se você pode lê-la (**com leitura** / **sem permissão de leitura**); a configurada aparece marcada. Uma fonte não pode ser editada: se o id estiver errado, use **Excluir** e cadastre a fonte de novo com o id certo. 3. As fontes ativas são lidas a cada 6 horas junto com os feeds MISP e OTX, e na hora com **Ler agora**, que mostra "N adicionados, N ignorados em N páginas". Cada leitura pede só os objetos adicionados depois da última leitura ( added\_after ) e segue a paginação do servidor ( more / next ), até 20 páginas de 1.000 objetos e 20.000 indicadores por leitura. Os indicadores entram com a fonte taxii:\ e gravidade **Alta**. Excluir uma fonte mantém os indicadores já importados. ### Importação e exportação STIX 2.1 Na aba **STIX**, cole o pacote em **Pacote STIX (JSON)** ou use **Ler de arquivo** ( .json , até 20 MB), dê um **Nome da fonte**, escolha a **Gravidade** (padrão **Alta**) e clique em **Importar**. O resultado diz "N adicionados, N ignorados, N inválidos". A importação lê os objetos indicator (tipo de padrão stix , não revogados) cujo padrão compara um destes: \[file\:hashes.'SHA-256' = '...'] \[ipv4-addr\:value = '...'] e \[ipv6-addr\:value = '...'] \[domain-name\:value = '...'] \[url\:value = '...'] — a URL vira o seu domínio. Observáveis soltos (SCOs) também contam: file com hash SHA-256, ipv4-addr , ipv6-addr , domain-name e url . Comparações ligadas por OR num mesmo padrão geram um indicador cada. Padrões com AND (ou FOLLOWEDBY , REPEATS , WITHIN ), arquivos só com MD5 ou SHA-1 e outros tipos de objeto são ignorados e contados. valid\_until vira a validade, e indicadores já vencidos não são importados. Todo indicador importado recebe a gravidade escolhida na importação, e a fonte é stix:\ . **Exportar STIX** baixa hive-indicators.stix.json , um pacote STIX 2.1 com os indicadores ativos como objetos indicator com padrões, e os achados como objetos sighting (um por indicador e dispositivo, com contagem e primeira/última vez visto; where\_sighted\_refs é a identidade desta instalação do Hive). ### Regras YARA 1. Em **Regras YARA**, clique em **Nova regra**, dê um **Nome** e, se quiser, uma **Descrição**, e cole o texto da regra em **Código YARA** (um mesmo código pode ter várias regras). Clique em **Validar**: aparece **Válida: \** ou **Inválida: \**. O código também é conferido ao **Salvar**. 2. Escolha a **Gravidade** (ela vira a gravidade do alerta de uma correspondência), deixe **Ativa** ligada e preencha **Tags dos dispositivos** (vazio roda em todos os dispositivos). Clique em **Salvar**. 3. Em **Indicadores de ataque**, clique em **Caçar agora**, marque **Conferir também os arquivos das pastas de usuário e temporárias** e comece a caça. As regras ativas vão para os agentes no ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/U8LomfQKGH0GB7VWPQmYc_image.png" size="13" isUploading="false" width="127" height="16" darkWidth="127" darkHeight="16" showCaption="false"} alcance, que as comparam com um motor embutido — sem binário yara externo e nada a mais para instalar. Uma correspondência aparece nos **Achados** da caça com tipo **YARA**, **Achado emArquivo**, o caminho, o nome da regra e os ids das strings encontradas, e abre o alerta "Indicador de comprometimento encontrado". Subconjunto de YARA suportado: Strings de texto com nocase , wide , ascii e fullword ; strings hexadecimais com curingas ?? e de meio byte, saltos \[n-m] e alternativas ( 01 | 02 ) ; expressões regulares na sintaxe do Go (RE2), com as flags i e s (sem retrorreferências nem lookarounds). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/7ANgu-T_3RWruO8fP7H2e_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Condições: true , false , $a , #a , $a at N , any / all / none / N of them , of ($a, $b\*) , filesize (com sufixos KB / MB ), uint8 / uint16 / uint32(offset) e as variantes be , comparações, and , or , not e parênteses. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/__3jxHt51BiAjXZ2uNO3H_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} private e global são aceitos e ignorados. Não suportado, recusado pelo validador: import / include e módulos ( pe , math …), laços for , intervalos in , @a e !a , variáveis externas, referências a outras regras, xor / base64 e aritmética. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Ja46Zed-00cDPv0kkeucO_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} ### Exemplo prático: um feed TAXII do CERT e uma regra YARA 1. Lia abre **Inteligência de ameaças** › **Fontes TAXII**, clica em **Adicionar fonte**: **Nome**Feed CERT , **URL da raiz da API**https\://taxii.cert.example/api1/ , **ID da coleção** informado pelo CERT, um **Token (Bearer)**. Clica em **Salvar** e depois em **Coleções** na linha para confirmar que a coleção está **com leitura**. 2. Ela clica em **Ler agora**: "1240 adicionados, 0 ignorados em 2 páginas". Em **Indicadores de ataque** › **Indicadores** eles aparecem com a fonte taxii\:Feed CERT ; as próximas leituras trazem sóos novos. 3. Um parceiro manda campanha-117.json . Em **STIX** ela clica em **Ler de arquivo**, põe **Nome da fonte**campanha-117 , mantém **Alta** e clica em **Importar**: "38 adicionados, 4 ignorados, 0 inválidos" (padrões com AND ou só MD5). 4. Em **Regras YARA** ela clica em **Nova regra**, **Nome**FakeInvoiceDropper , e cola em **Código YARA**: | \`\` rule FakeInvoiceDropper \{ strings: $a = "invoice\_portal" nocase wide ascii $b = \{ 4D 5A ?? ?? \[4- | | ---------------------------------------------------------------------------------------------------------- | 16] 50 45 } condition: uint16(0) == 0x5A4D and filesize \< 2MB and all of them } \` Validar mostra "Válida: FakeInvoiceDropper". Gravidade Crítica, Tags dos dispositivos financeiro\`, **Salvar**. 5. Em **Indicadores de ataque** ela clica em **Caçar agora** com **Conferir também os arquivos das pastas de usuário e temporárias**. Os **Achados** mostram FIN-NB-014 , tipo **YARA**, **Arquivo**, C:\Users\ana\Downloads\fatura\_0425.exe , strings $a , $b , e o alerta crítico abre. 6. No fim da semana ela clica em **Exportar STIX** e manda o pacote, com o avistamento em FIN-NB- 014 , para o SIEM do SOC. ### Cuidados e limites Cadastrar ou excluir fontes, lê-las, importar e gerenciar regras exige alerts\:admin , como na caça de IoC; ver a tela e **Exportar STIX** exigem assets\:read . ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/RoUCjlhL4Ojfl-VM0PXc__image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Uma fonte não pode ser editada; para mudar a URL, a coleção ou as credenciais, exclua e cadastre de novo (os indicadores já importados ficam). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/4cMAX_i4ffVO331J93EMO_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Uma leitura TAXII para em 20 páginas ou 20.000 indicadores; o resto vem na próxima leitura. Indicadores TAXII sempre entram como **Alta**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/g3wbiwnhTylhyM7pigwHy_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Padrões STIX com AND , hashes só MD5/SHA-1 e outros tipos de objeto (malware, attack-pattern, relacionamentos) não são importados; só são contados. Indicadores revogados ou já vencidos também são ignorados. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/o7ZMWxcDPV--wvtutt20n_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} As regras YARA só rodam quando a caça inclui arquivos, e só nas pastas que a varredura de arquivos cobre (até 50.000 arquivos e 3 minutos por máquina); arquivos acima de 32 MB são pulados. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/_63T0DX0oJ5IZSUIkBRfn_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} O código de uma regra tem limite de 1 MB, 1.000 strings por regra e 10.000 ocorrências por string. Regras com módulos, laços for ou outros recursos não suportados são recusadas — reescreva com strings e condições simples. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/QN1aS4H8HJjnLavABgi9Y_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Expressões regulares rodam sobre os bytes lidos como UTF-8; para bytes binários use strings hexadecimais. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Q4UxlEW5plwWXjlORTqLH_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Indicadores de ataque (caça de IoC) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/UrepZxvLpV_A1lI3wxqhw_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Detecção e caça ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/RI41K3CVkWI1GQuz6weoz_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Resposta a incidente ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Jgiz-L-tonsZ2mEoskpZB_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Enviar eventos ao SIEM ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/BltOZntNr_vIv-VaAV-up_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Central de integrações ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/gOIUhJhb4BNi_YQC2E6MA_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Controle de dispositivos (USB) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/nyKFP4rvxJ0rE-TJiq2FA_image.png" size="67" isUploading="false" width="672" height="426" darkWidth="672" darkHeight="426" showCaption="false"} Tela: Controle de dispositivos (USB) O armazenamento USB é bloqueado ou liberado pelo item **Pendrives e discos USB** dos perfis de configuração, que alcançam as máquinas por localidade, tag ou grupo. **Segurança › Controle de dispositivos** cuida do que os perfis não fazem: exceções temporárias aprovadas por outra pessoa e o registro de mídia removível conectada e retirada. ### O que você pode fazer aqui Aba **Exceções**: ver todas as exceções de USB (esperando, ativas, encerradas), **Aprovar** ou **Rejeitar** pedidos feitos por outras pessoas e **Encerrar agora** uma ativa. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/cnaENVLwZFQujhZjfiJoL_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Aba **Mídia removível**: nos últimos 1, 7, 30 ou 90 dias, cada pendrive ou disco USB **Conectada** e **Retirada**, com fabricante, modelo, rótulo, número de série, tamanho, sistema de arquivos, usuário logado e se aconteceu **com exceção aprovada**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/AbddcSm4XCJk4IA1f3YJg_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Ir para **Perfis de configuração** para mudar a política de USB. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Q3U11aH1FRv7Q4GOiNnb2_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Passo a passo 1. Defina a política: em **Entrega › Configuração**, acrescente o item **Pendrives e discos USB** a um perfil e escolha **Liberados**, **Só leitura (Windows)** ou **Bloqueados**. Teclado, mouse e celular continuam funcionando; só o armazenamento é controlado. No Windows o agente usa o serviço USBSTOR; no Linux o módulo usb-storage (lá, só leitura vira bloqueado). macOS precisa de MDM. 2. Quando alguém precisa de USB numa máquina bloqueada, abra a página da máquina, aba **Segurança**, painel **USB e mídia removível**, e clique em **Pedir exceção de USB** (exige assets\:write ). 3. Escolha o **Prazo** (1, 2, 4, 8, 24 ou 72 h), escreva o **Motivo** (10 a 500 caracteres) e clique em **Pedir aprovação**. "Pedido criado: outro administrador aprova em Decisões." 4\. Outra pessoa com config\:write abre **Decisões** ou **Segurança › Controle de dispositivos** e clica em **Aprovar** (com observação opcional) ou **Rejeitar** (com o motivo). Quem pediu não aprova. 4. Na aprovação a máquina recebe a política de novo na hora, com o USB liberado até o fim do prazo. A situação mostra **Ativa** e "até …". 5. No fim do prazo o Hive encerra a exceção (conferido a cada minuto) e a máquina volta a bloquear o USB sozinha. **Encerrar agora** encerra antes: "Exceção encerrada: a máquina volta a bloquear o USB." **Exemplo prático: o Financeiro entrega os arquivos de fechamento aos auditores** O perfil Base Financeiro bloqueia pendrives em todas as máquinas com a tag finance . Na sexta-feira, Ana precisa copiar as planilhas de fechamento para o Kingston IronKey cifrado do auditor externo. 1. Paulo abre FIN-NB-014 › **Segurança** › **Pedir exceção de USB**: **Prazo** 72 h, **Motivo** "Copiar os arquivos do fechamento de 2026 para o pendrive cifrado do auditor externo, chamado INC-5120". **Pedir aprovação**. 2. Marta vê em **Decisões**, abre **Controle de dispositivos** e clica em **Aprovar**, observação "Só o IronKey do auditor". A exceção mostra **Ativa · até segunda 10:15**. 3. Ana conecta o pendrive. **Mídia removível** mostra Kingston IronKey · S/N 0019E0… · 16 GB · exFAT, **Conectada**, usuário ana , "com exceção aprovada". Depois, **Retirada**. 4. Na segunda às 10:15 a exceção fica **Encerrada** e FIN-NB-014 volta a bloquear o USB; um pedido que ninguém decidisse em 48 horas teria sido rejeitado sozinho. O que este exemplo não consegue fazer: o Hive não tem lista de permissão por modelo ou número de série de USB, e uma exceção dura no máximo 72 horas numa máquina. Liberar "só o modelo IronKey, para toda a equipe do Financeiro, por 7 dias" não é suportado. As opções são: uma exceção por máquina, pedida de novo quando acaba (uma máquina só pode ter um pedido esperando por vez), ou mudar os perfis para que essas máquinas não sejam mais alcançadas por um perfil que bloqueia USB. Nos dois casos, o registro de mídia mostra qual modelo foi usado de fato. ### Cuidados e limites Uma exceção libera todo armazenamento USB daquela máquina durante o prazo, não um pendrive só. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/hDzKvJzzdNuzS1A_QjPoo_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} As exceções são por máquina e precisam de agente do Hive e de um perfil que bloqueie USB; sem perfil bloqueando, não há o que liberar. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/1_0QEilaACEt3R_GSam5Z_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Pedidos esperando há mais de 48 horas são rejeitados sozinhos ("no decision in 48 h"). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/h0KltNt97vX6EmrBHxpti_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} O conteúdo dos arquivos nunca é lido; o registro guarda só a mídia, o usuário e o horário. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/7UtVLIPfgd56gBBuv5q4p_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} O controle de USB no macOS precisa de MDM; no Linux, **Só leitura (Windows)** se comporta como **Bloqueados**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/f2m8_CD5UrNzMOBPf1zZL_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} ### Relacionados Perfis de configuração ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/8kSOK-x93QmcXtIjN40CX_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Decisões ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/K4lVn3aOnkY_ST4vp6TCm_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Controle de aplicações ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/fX10eYez3ux3CLLWoo_oJ_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} Criptografia de disco ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/leVQrVCoCcsvJViy3SQz4_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Trilha de auditoria ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/psO5GPEGJhkTToO9lwoiN_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} ### Criptografia de disco ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/4EbZfGes7UfJNEf98_e34_image.png" size="67" isUploading="false" width="672" height="423" showCaption="false"} Tela: Criptografia de disco **Segurança › Criptografia de disco** mostra o disco do sistema de cada computador (cifrado, sem cifra ou ainda sem leitura) e a chave de recuperação que o Hive guarda no cofre. No Windows o Hive liga o BitLocker e guarda e troca a chave de recuperação; no Linux acrescenta uma chave de recuperação ao LUKS, guarda e pode cifrar volumes de dados desmontados; no macOS (FileVault) confere e alerta pelo perfil de conformidade. ### O que você pode fazer aqui Ver os contadores: **Cifrados**, **Sem cifra**, **Chaves de recuperação no cofre** e **Sem leitura ainda**, e filtrar por **Todos os computadores**, **Sem cifra**, **Cifrados sem chave no cofre** ou **Sem leitura ainda**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/MAcZwbpsl6HPBzDOnb_Hn_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Numa linha Windows: **Ligar BitLocker** (quando sem cifra), **Ler a chave agora** (cifrado mas sem chave no cofre) e **Trocar chave** (chave no cofre). ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/0mrWh0v0Ptm73y377Le_q_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Numa linha Linux: **Cifrar volume** (um volume de dados desmontado, ou só guardar a chave do disco do sistema já cifrado) e **Trocar a chave**. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/C5Ry9i-Q9Nd36UAYc-WLp_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Ver quando a chave foi guardada, trocada e mostrada por último (e por quem), uma troca pendente e o último erro. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/UEg7AYOWk3b6QTxczQnsS_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Na página da máquina, aba **Segurança**, painel **Chave de recuperação do BitLocker**: **Mostrar a chave** com motivo. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Ya2QiH9zZyjrc2USr2OOM_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} ### Passo a passo 1. Para exigir cifra em muitos computadores, abra **Entrega › Configuração**, crie um perfil para Windows em **Corrigir**, escolha **Onde vale** e **Adicionar item** › **Criptografia de disco** **obrigatória**. Salve. Os computadores recebem em até 5 minutos; o agente liga o BitLocker onde está desligado. Em **Só avisar** ele só informa. 2. Para um computador, use **Ligar BitLocker** na linha dele (exige config\:write ). O agente cifra o espaço usado do disco do sistema em segundo plano com um protetor de senha de recuperação e manda a chave para o cofre na hora. 3. As chaves chegam ao cofre de três jeitos: quando o Hive liga o BitLocker por esta tela, com **Ler a chave agora**, e por uma passada diária que pede a chave a todo computador Windows ligado que está cifrado e não tem chave guardada (ou tem uma com mais de 30 dias). No banco ficam só os metadados; a chave em si fica no cofre. 4. Para mostrar uma chave, abra a máquina, aba **Segurança**, painel **Chave de recuperação do BitLocker** › **Mostrar a chave**, escreva o motivo (5 a 300 caracteres) e confirme. A visualização vai para a trilha de auditoria. 5. Depois que uma chave é mostrada, o Hive agenda a troca sozinho: o agente cria uma nova senha de recuperação, guarda no cofre e só então apaga a antiga. Se a nova não puder ser criada, nada é apagado. **Trocar chave** faz o mesmo quando você quiser. ### Exemplo prático: exigir BitLocker nos notebooks de Vendas 1. Marta cria o perfil Notebooks cifrados : Windows, **Corrigir**, **Onde vale**: tag notebook , item **Criptografia de disco obrigatória**. Salva: "Perfil salvo. As máquinas recebem em até 5 minutos." 2. Em **Segurança › Criptografia de disco**, filtra **Sem cifra**: 18 notebooks no começo. Nos minutos seguintes eles passam para **Cifrado** à medida que os agentes ligam o BitLocker (a cifra do espaço usado continua em segundo plano). 2. Ela filtra **Cifrados sem chave no cofre**: os notebooks cifrados pelo perfil aparecem até a passada diária buscar as chaves. Para não esperar, clica em **Ler a chave agora** em cada um: "Chave pedida a …". A coluna da chave muda para "No cofre desde …". 3. Um notebook mostra "A última ação falhou: BitLocker was not turned on: …". O TPM dele precisa de atenção; o suporte abre um chamado. **Exemplo prático: um usuário preso na tela de recuperação do BitLocker** 1. Depois de uma atualização de firmware, SALES-NB-22 pede a chave de recuperação no boot. João liga para o suporte. 2. Paulo abre a máquina no Hive › **Segurança** › **Chave de recuperação do BitLocker** › **Mostrar a chave**, motivo "Usuário na tela de recuperação depois da atualização da BIOS, ligação 7781". Ele lê para o João a senha de recuperação de 48 dígitos. O painel mostra "Esta visualização está na auditoria." e "Esta chave será trocada por uma nova assim que a máquina voltar a ficar online, então ela só vale desta vez." 3\. João digita e o Windows sobe. O Hive já tinha agendado a troca; quando o agente volta, a senha antiga é apagada e uma nova é guardada. A linha mostra "trocada há poucos minutos" e "mostrada por último por paulo\@aurora.com". 4. Se o notebook ficar desligado por muito tempo, a linha continua com "troca aguardando a máquina" (veja os limites abaixo): clique em **Trocar chave** quando ele estiver online. ### Cuidados e limites Ligar o BitLocker, ler e trocar chaves e mostrar uma chave exigem config\:write . As ações de BitLocker só funcionam no Windows; as de LUKS só no Linux. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/5j03oJ9VcGJPznsBCMVeu_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Classes de aparelho (ADR-0004): ler e trocar chaves funciona em todas as classes. Ligar a cifra é condicionado em servidores (precisa de uma aprovação, uma janela de manutenção ou uma liberação JIT em **Ativos › Agentes › Classes**) e máquinas Tier 0 só são conferidas. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Er1Wgni8wIC0yrbXEx3uG_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} A troca e a guarda da chave esperam o computador: se ele estiver desligado, a tarefa fica na fila por até 7 dias e sai quando o agente voltar. Depois disso, a linha continua com "troca aguardando a máquina": clique em **Trocar chave** quando ele voltar. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/soQ_thmSfGtyYvpKWM9-L_image.png" size="10" isUploading="false" width="5" height="4" showCaption="false"} A passada diária de chaves só pede aos computadores que estão ligados naquele momento. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Lmry3ChHSiZngui-ZSCRp_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} Linux: **Cifrar volume** funciona num volume de dados desmontado (um volume vazio vira LUKS2; ext2/3/4 é cifrado no lugar e fica 32 MiB menor). O disco do sistema é cifrado na instalação; deixe o dispositivo vazio para só guardar a chave dele. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/g63lXU7_uUt6b59uK0dTD_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} macOS (FileVault): a chave fica com o usuário ou o MDM; o Hive não cifra. ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/98R59FPjtraZVe1UaVAAY_image.png" size="10" isUploading="false" width="5" height="5" showCaption="false"} ### Relacionados Perfis de configuração ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/Tm6bcfkg_NSYM7u5bFmZd_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Conformidade ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/8wMRJQoPrpNUJ5WMc5CNn_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Controle de dispositivos (USB) ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/ceweUsQdmiLp-EjUciSt5_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"} Trilha de auditoria ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/3QgUVuGDR1qzYBKfCY2Ub_image.png" size="10" isUploading="false" width="5" height="4" darkWidth="5" darkHeight="4" showCaption="false"} Agentes ::Image[]{src="https://api.archbee.com/api/optimize/pu5VMc-2TW3GQX4ly5Xp7/cIDsZV1FkEIyoXohHM_DT_image.png" size="10" isUploading="false" width="5" height="5" darkWidth="5" darkHeight="5" showCaption="false"}