O que esta ligado na sua rede que voce nao sabe: descoberta de ativos

Por que ninguém sabe exatamente o que está ligado na rede

Em praticamente toda empresa que atendemos existe uma diferença entre o inventário oficial de equipamentos e o que realmente responde na rede. O inventário costuma nascer bem: alguém monta uma planilha na implantação, registra os desktops, os notebooks, os servidores e as impressoras. O problema é que a rede não para. Um estagiário conecta o notebook pessoal para acessar o e-mail, o setor de marketing compra uma smart TV para a sala de reunião, o financeiro instala um leitor de código de barras com Wi-Fi próprio, a manutenção pluga um DVR de câmeras num switch qualquer do rack. Nenhum desses eventos gera um chamado, e nenhum deles aparece na planilha.

O resultado é um fenômeno conhecido como shadow IT — tecnologia em uso dentro da empresa sem passar pelo crivo de TI. Não é sabotagem nem má-fé: quase sempre é alguém tentando resolver um problema real com o recurso que tinha à mão. Mas cada aparelho não catalogado é um ponto que ninguém atualiza, ninguém monitora e ninguém desliga quando o funcionário sai. Uma câmera IP com firmware de 2018 e senha padrão pode ser exatamente o ponto de entrada que um invasor procura para se mover lateralmente até o servidor de arquivos.

Existe ainda uma segunda camada de invisibilidade, mais sutil: equipamentos que a TI conhece, mas que mudaram de identidade. O servidor que foi renomeado, a VM que foi clonada para teste e nunca foi apagada, o IP fixo que alguém reaproveitou. Essa deriva silenciosa faz com que o inventário envelheça mesmo sem ninguém plugar nada de novo. Por isso, descoberta de ativos não é um projeto com data de término — é um processo contínuo.

Varredura de rede: o retrato inicial e seus limites

O ponto de partida natural é a varredura ativa. Uma ferramenta percorre as faixas de IP da empresa, envia pacotes e registra quem responde. Com ferramentas gratuitas e maduras — nmap, masscan, Angry IP Scanner, ou os módulos de discovery de plataformas como Zabbix e Lansweeper — é possível levantar em poucos minutos endereço IP, endereço MAC, fabricante da placa de rede, portas abertas, sistema operacional provável e serviços expostos.

Esse retrato inicial costuma ser desconfortável. É comum a primeira varredura revelar de 20% a 40% mais dispositivos do que o inventário previa. O que aparece normalmente se distribui em algumas categorias previsíveis:

• Impressoras e multifuncionais com painel web aberto, sem senha de administrador e com firmware de vários anos atrás.
• Câmeras, DVRs e NVRs instalados por terceiros, muitas vezes com portas abertas para a internet.
• Access points e roteadores domésticos plugados por setores que reclamaram de sinal fraco.
• Dispositivos pessoais — celulares, tablets, notebooks — no mesmo segmento dos servidores.
• Servidores e VMs esquecidos, ligados há anos sem dono definido e sem atualizações.
• Automação predial e IoT: relógios de ponto, controladores de ar-condicionado, catracas, sensores.

A varredura, porém, tem limites claros que precisam ser entendidos antes de tratá-la como verdade absoluta. Ela enxerga apenas o que estava ligado no momento em que rodou — o notebook que só aparece às quartas-feiras passa despercebido. Ela não atravessa VLANs e firewalls sem regra explícita, então varrer da rede administrativa não revela o que existe na rede de convidados ou na rede industrial. Dispositivos com firewall de host bem configurado podem simplesmente não responder. E varreduras agressivas em equipamentos frágeis — CLPs, controladores industriais, algumas impressoras antigas — chegam a travá-los, o que exige perfis de varredura mais leves nesses segmentos.

DHCP, ARP e DNS: as fontes passivas que ninguém explora

Se a varredura é uma foto, as fontes passivas são o filme. Elas já estão gerando dados dentro da sua infraestrutura, todos os dias, e na maioria das empresas esses dados nunca são lidos com intenção de inventário.

O servidor DHCP é a fonte mais rica e mais subutilizada. Toda vez que um dispositivo se conecta à rede, ele pede um endereço e, nesse pedido, entrega informações: endereço MAC, nome de host solicitado, e frequentemente uma assinatura de fabricante e de sistema operacional através das opções DHCP. Exportar a tabela de concessões diariamente e comparar com a lista do dia anterior é uma das formas mais baratas de detectar equipamento novo. Um MAC que nunca apareceu antes é, por definição, um ativo desconhecido — e você descobre isso no mesmo dia, não seis meses depois numa auditoria.

A tabela ARP dos switches e roteadores complementa o quadro, ligando IP a MAC e, no caso dos switches gerenciáveis, MAC a porta física. Essa última informação é decisiva: saber que o dispositivo desconhecido está na porta 14 do switch do segundo andar transforma uma caçada abstrata numa caminhada de dois minutos até o rack. O DNS interno, por sua vez, revela nomes registrados e ajuda a identificar o dono lógico do equipamento, e os logs do controlador Wi-Fi cobrem tudo que nunca toca um cabo.

Regra prática: nenhuma fonte isolada dá o inventário completo. Varredura ativa mais DHCP mais ARP mais Wi-Fi, cruzados pelo endereço MAC como chave, cobrem entre 90% e 95% do que existe. É esse cruzamento — não a ferramenta mais cara — que produz um inventário confiável.

Vale ainda um alerta sobre a chave de cruzamento. Sistemas operacionais modernos, incluindo Windows, Android e iOS, usam por padrão MAC aleatório em redes Wi-Fi, justamente para dificultar rastreamento. Isso significa que o mesmo celular pode aparecer como três dispositivos diferentes em três semanas. Em rede corporativa, a solução é desabilitar essa função nos dispositivos gerenciados por política e usar autenticação por identidade, e não por endereço físico, para os demais.

802.1X: passar de descobrir para controlar

Descobrir é o primeiro passo, mas descobrir depois do fato tem valor limitado. O objetivo final é que nenhum equipamento consiga entrar na rede sem se identificar. É exatamente isso que o padrão IEEE 802.1X entrega: controle de acesso na porta, cabeada ou sem fio.

O funcionamento é direto. Quando um dispositivo se conecta a uma porta do switch, essa porta fica bloqueada para tráfego normal e só permite pacotes de autenticação. O switch atua como intermediário e encaminha as credenciais para um servidor RADIUS — pode ser o NPS do Windows Server, o FreeRADIUS, ou um serviço em nuvem. O servidor consulta o Active Directory ou uma base de certificados e responde autorizando ou negando. Só depois da autorização o switch libera a porta e, muitas vezes, atribui dinamicamente a VLAN correta ao dispositivo.

A implantação bem-sucedida quase sempre segue a mesma sequência, e pular etapas é a principal causa de projetos de 802.1X que param no meio:

1. Inventariar antes de autenticar. Sem saber o que existe, ligar 802.1X derruba metade da empresa numa manhã de segunda.
2. Escolher o método por tipo de ativo. Certificado de máquina (EAP-TLS) para desktops e notebooks do domínio; credencial de usuário para BYOD; MAB (MAC Authentication Bypass) para impressoras, câmeras e IoT que não falam 802.1X.
3. Rodar em modo monitor. Todo switch sério tem um modo que autentica e registra, mas não bloqueia. Deixe rodando de duas a quatro semanas e trate as falhas com calma.
4. Definir a política de falha. O que acontece com quem não autentica? Bloqueio total, VLAN de quarentena com acesso apenas à internet, ou VLAN de convidados. A quarentena costuma ser o melhor equilíbrio.
5. Ativar o bloqueio por segmento. Nunca na empresa inteira de uma vez. Um andar, um prédio, uma unidade por semana.

Onde 802.1X não é viável — redes industriais antigas, filiais com switches não gerenciáveis, prazos curtos — a alternativa é segmentação rigorosa por VLAN e regras de firewall entre segmentos. Não é o mesmo nível de controle, mas transforma um dispositivo comprometido num problema contido em vez de um problema geral.

O dispositivo desconhecido apareceu: o que fazer agora

Descoberta sem procedimento de tratamento vira apenas uma lista mais longa de coisas que ninguém resolve. É preciso ter um fluxo definido, com prazos e responsáveis, para o momento em que o alerta chega.

O primeiro movimento é identificar sem desligar. A tentação de arrancar o cabo é grande, e é um erro caro: aquele aparelho anônimo pode ser o servidor de licenças do ERP ou o controlador da linha de produção. Antes de qualquer ação, colete o máximo de contexto: OUI do MAC para descobrir o fabricante, portas abertas e banners de serviço, nome DNS reverso, porta física no switch, histórico de concessões DHCP para saber desde quando ele existe, e volume de tráfego. Um aparelho que fala com dez servidores internos e transfere gigabytes por dia não é um brinquedo esquecido.

O segundo movimento é classificar por risco e por dono, com uma decisão associada a cada classe:

• Ativo corporativo não catalogado — entra no inventário, recebe agente de monitoramento e antivírus, entra no ciclo de atualização.
• Dispositivo pessoal — vai para a rede de convidados, isolada da rede corporativa, com política formalizada e comunicada.
• IoT ou automação predial — VLAN dedicada, sem acesso a servidores, senha padrão trocada, firmware atualizado, acesso externo bloqueado.
• Equipamento de terceiro ou fornecedor — exige contrato, responsável nomeado e segmento isolado com regra de firewall explícita.
• Origem realmente desconhecida — isolamento imediato em quarentena e investigação com prioridade, tratado como possível incidente de segurança.

O terceiro movimento é fechar o ciclo. Todo dispositivo tratado precisa terminar em um dos três estados: catalogado com dono, isolado com justificativa, ou removido com registro. Nada pode ficar em "vendo depois". E, tão importante quanto: se o mesmo tipo de aparelho aparece toda semana, o problema não é o aparelho — é o processo de compra ou a política de acesso, e é isso que precisa ser corrigido.

Transformando descoberta em rotina, com quem já fez isso 550 vezes

A diferença entre empresas que controlam a própria rede e empresas que apenas reagem a incidentes raramente está na ferramenta. Está na cadência. Varredura completa semanal, comparação diária das concessões DHCP, revisão mensal do inventário com os gestores de cada área, e um responsável nomeado para tratar cada item novo dentro de um prazo definido. Sem essa rotina, qualquer inventário volta a ficar desatualizado em cerca de noventa dias.

Também é importante calibrar a expectativa: o objetivo não é chegar a zero dispositivos desconhecidos e congelar ali. Redes saudáveis mudam o tempo todo. O objetivo é reduzir a janela — o tempo entre um equipamento entrar na rede e a TI saber que ele existe, quem é o dono e a qual segmento ele pertence. Passar de "descobrimos na auditoria anual" para "descobrimos no mesmo dia" é a mudança que realmente altera o perfil de risco da empresa.

É esse tipo de trabalho que a Duk Informática & Cloud conduz há mais de 18 anos, em mais de 550 empresas atendidas. Como Microsoft Gold Partner e com data center próprio em Alphaville, estruturamos descoberta contínua de ativos integrada ao monitoramento, à segmentação de rede e à gestão de atualizações — do primeiro levantamento até a operação em regime, com suporte 24/7 e SLA definido. Se você não sabe responder com segurança quantos dispositivos estão conectados à sua rede neste momento, esse é o ponto de partida da conversa.