Ponto eletrônico e catracas na rede: o dispositivo esquecido pela TI

O ponto cego do inventário: quem é o dono do relógio de ponto?

Pergunte a um gestor de TI quantos servidores, notebooks e firewalls existem na empresa e a resposta vem rápida, com número e planilha. Pergunte quantos relógios de ponto, catracas, controladoras de acesso e leitores biométricos estão conectados à rede corporativa e o silêncio costuma ser longo. Esses equipamentos quase nunca aparecem no inventário de ativos porque foram comprados pelo RH, instalados pelo fornecedor da folha de pagamento e configurados por um técnico terceirizado que passou uma tarde no prédio e nunca mais voltou. Do ponto de vista contábil, é mobiliário. Do ponto de vista da rede, é um computador Linux completo, com endereço IP fixo, servidor web embarcado e banco de dados local — só que sem antivírus, sem agente de monitoramento e sem ninguém responsável por atualizá-lo.

Essa fronteira difusa de responsabilidade é exatamente o que torna o problema perigoso. Quando um servidor de arquivos fica desatualizado, alguém percebe: o backup falha, o monitoramento alerta, o usuário reclama de lentidão. Quando um relógio de ponto fica cinco anos sem atualização de firmware, nada acontece. Ele continua registrando batidas, continua exportando o arquivo AFD e continua sendo, para todos os efeitos práticos, invisível. O equipamento cumpre sua função de negócio perfeitamente enquanto acumula vulnerabilidades conhecidas e publicadas.

O primeiro passo de qualquer trabalho sério nessa área não é técnico, é organizacional: definir formalmente que dispositivos de controle de ponto e acesso físico são ativos de TI, entram no inventário, têm responsável nomeado e seguem o mesmo ciclo de vida dos demais equipamentos. Sem essa definição, todo controle técnico que você aplicar vai ser desfeito na próxima troca de fornecedor.

O que realmente roda dentro de uma catraca

É comum imaginar esses aparelhos como dispositivos simples, quase eletrônicos analógicos com um leitor acoplado. A realidade é bem diferente. A maioria dos modelos de mercado — Control iD, Henry, Madis, Dimep, Topdata, entre outros — roda um Linux embarcado sobre ARM, com kernel frequentemente muito anterior ao ano da instalação. Sobre esse sistema há um servidor web (comumente lighttpd ou uma implementação própria), uma API HTTP para integração com o software de folha, um banco SQLite ou similar guardando registros e templates biométricos, e serviços de administração remota.

Os problemas recorrentes que encontramos em auditoria de rede são bastante previsíveis:

• Credenciais padrão de fábrica mantidas na interface web e no console — combinações como admin/admin ou o número de série impresso no equipamento.
• Interface administrativa em HTTP puro, sem TLS, transmitindo senha e comandos em texto claro pela rede corporativa.
• Serviços legados abertos: Telnet na porta 23, FTP para transferência do arquivo de ponto, SNMP com community public.
• Firmware sem atualização há anos, muitas vezes porque o fabricante cobra pela versão nova ou porque atualizar exige presença física e ninguém agendou.
• Dados biométricos armazenados localmente, às vezes sem criptografia em repouso — o que, sob a LGPD, é dado pessoal sensível.
• Acesso irrestrito à rede interna: o dispositivo enxerga o Active Directory, o servidor de arquivos e o ERP, embora só precise falar com um coletor.

Some a isso o fato de que muitos desses aparelhos ficam em áreas de baixa vigilância — hall de entrada, corredor de fábrica, portaria, doca de recebimento — frequentemente com a porta RJ45 acessível. Um invasor com acesso físico não precisa comprometer o firmware: basta desconectar o cabo do equipamento e plugar o próprio notebook na mesma tomada de rede. Se aquela porta entrega uma VLAN corporativa com DHCP e rota para tudo, a catraca acabou de virar um ponto de acesso não autenticado à rede da empresa.

A catraca não precisa ser hackeada para virar problema. Na maioria dos casos, ela é apenas o cabo de rede mais desprotegido do prédio — e quem o desconecta herda o nível de acesso que a TI concedeu àquela porta.

Segmentação: a única contramedida que funciona sem depender do fabricante

Atualizar firmware é importante, mas você não controla o cronograma do fabricante nem a existência de correção para um modelo descontinuado. Segmentação, por outro lado, está inteiramente sob seu controle e reduz o impacto independentemente do estado do dispositivo. A premissa é simples: um relógio de ponto precisa conversar com pouquíssimas coisas — o servidor coletor, um servidor NTP e, em alguns casos, um serviço de nuvem específico do fabricante. Todo o resto é acesso desnecessário e deve ser negado por padrão.

Um desenho de referência que aplicamos em projetos de rede corporativa segue esta ordem:

1. VLAN dedicada para dispositivos de ponto e controle de acesso, separada de usuários, servidores, impressoras, VoIP e câmeras. Sem roteamento aberto entre ela e as demais.
2. Endereçamento estático ou reserva DHCP por MAC, com faixa reservada e documentada, para que qualquer host novo naquela VLAN seja imediatamente anômalo.
3. ACL de saída restritiva: permitir apenas as portas necessárias em direção ao IP do coletor (tipicamente TCP 3000, 80, 443 ou a porta proprietária do SDK) e ao NTP interno. Negar todo o restante, com log.
4. Bloqueio total de saída para internet, exceto quando o modelo exigir sincronismo em nuvem — e, nesse caso, liberar por FQDN ou IP específico do fabricante, nunca any.
5. Negação explícita de tráfego lateral entre dispositivos da própria VLAN (isolamento de porta ou private VLAN), já que catracas não têm motivo para conversar entre si.
6. 802.1X ou port-security nas portas de switch onde esses equipamentos estão instalados, com limite de um MAC por porta e desativação automática em violação.
7. Portas de switch não utilizadas em área pública administrativamente desligadas e atribuídas a uma VLAN morta.

Com esse conjunto aplicado, um equipamento com firmware vulnerável continua vulnerável — mas o comprometimento dele deixa de ser um trampolim. O atacante ganha acesso a um dispositivo que só sabe falar com um IP, numa porta, sem rota para o restante da infraestrutura. É a diferença entre um incidente contido e um movimento lateral até o controlador de domínio.

Firmware, credenciais e o ciclo de manutenção que ninguém agendou

Segmentação reduz impacto; atualização reduz probabilidade. As duas coisas se complementam e nenhuma substitui a outra. O obstáculo prático da atualização raramente é técnico — é a ausência de um processo. Ninguém definiu com que frequência verificar, quem baixa o pacote, quem valida em qual equipamento primeiro e quem confirma que o registro de ponto continuou íntegro depois. Sem esses quatro papéis definidos, a atualização simplesmente não acontece.

Um ciclo mínimo viável para uma base de dez a cinquenta dispositivos envolve: consulta trimestral ao portal de firmware do fabricante; aplicação primeiro em um equipamento de menor criticidade, fora do horário de pico; validação da coleta de batidas e da geração do arquivo AFD nas 24 horas seguintes; e só então a propagação para os demais, com janela agendada. Todo o processo deve estar documentado com número de versão anterior e nova, para que a próxima pessoa saiba de onde partiu.

Em paralelo, há itens de higiene que não dependem do fabricante e podem ser feitos hoje: trocar todas as senhas padrão por credenciais únicas guardadas em cofre corporativo; desabilitar Telnet, FTP e SNMP quando o modelo permitir; ativar HTTPS mesmo com certificado autoassinado; restringir a interface administrativa por IP de origem; e limitar o número de contas administrativas ativas. Vale lembrar que templates biométricos são dado pessoal sensível sob a LGPD, o que torna o controle de acesso a esses equipamentos não apenas boa prática de segurança, mas exigência regulatória — com implicações diretas no relatório de impacto e na resposta a um eventual incidente.

Como começar: um diagnóstico de meio dia

Não é necessário um projeto de seis meses para sair do zero. Um levantamento inicial bem-feito cabe em algumas horas e já entrega decisões acionáveis. Comece por um varredura de descoberta na faixa de rede interna procurando portas 80, 443, 23, 21 e as portas proprietárias conhecidas dos fabricantes presentes na empresa. Cruze o resultado com a lista física de equipamentos que o RH e a facilities conseguem apontar — a divergência entre as duas listas costuma ser reveladora, e quase sempre aparecem dispositivos que ninguém sabia estarem ligados.

Para cada item encontrado, registre: modelo, versão de firmware, IP, porta de switch, VLAN atual, se a senha padrão ainda funciona, se há dados biométricos armazenados e quem é o fornecedor responsável pelo contrato. Essa tabela sozinha já classifica o parque em três grupos — o que precisa ser segmentado imediatamente, o que precisa de atualização e o que chegou ao fim da vida útil e deve entrar em plano de substituição.

A partir daí, a sequência de execução é a que descrevemos: primeiro a VLAN e as ACLs, porque protegem mesmo o equipamento que você não vai conseguir atualizar; depois credenciais e serviços desnecessários, que são rápidos e gratuitos; e por último o firmware, que exige janela e validação. Fazer nessa ordem garante que o risco cai desde o primeiro dia, sem esperar pela resposta de nenhum fabricante.

Quando faz sentido chamar um parceiro

Esse tipo de trabalho atravessa fronteiras internas: envolve rede, RH, facilities, o fornecedor da folha e, frequentemente, o integrador que instalou as catracas anos atrás. Equipes de TI enxutas conseguem executar a parte técnica sem dificuldade, mas costumam travar na coordenação — e é justamente aí que o projeto morre, com a VLAN criada e nunca aplicada porque ninguém quis assumir o risco de parar o registro de ponto numa manhã de segunda-feira.

A Duk Informática & Cloud atua há mais de 18 anos em infraestrutura e segurança para empresas, com mais de 550 clientes atendidos e certificação Microsoft Gold Partner. Nos diagnósticos de rede que conduzimos, dispositivos de ponto e controle de acesso aparecem entre os achados mais frequentes e menos esperados pelo cliente — normalmente na mesma VLAN dos servidores, com firmware de várias versões atrás e senha de fábrica intacta. O trabalho de segmentar, endurecer e colocar esses equipamentos sob monitoramento é objetivo, tem escopo bem definido e não exige substituir nada do que já está instalado.

Se a sua empresa tem relógio de ponto, catraca ou controladora de acesso na rede e você não sabe dizer de cabeça a versão de firmware, o endereço IP e a VLAN de cada um, o diagnóstico é o ponto de partida certo. Nossa equipe pode conduzir o levantamento, apresentar o mapa de exposição e propor o desenho de segmentação adequado ao seu ambiente — com suporte 24/7 e SLA para a operação contínua depois que o projeto entrar em produção.