Identificador de Dispositivo

Nenhum atributo único serve para todos os fins. Cada tipo identifica algo diferente: uma interface, um rádio, uma unidade inteira ou um modelo.

O número de série é atribuído pelo fabricante, costuma estar impresso na etiqueta e normalmente pode ser lido pelo sistema operacional. O endereço MAC tem 48 bits e identifica uma interface de rede, e um notebook costuma ter vários. O IMEI é usado pelas operadoras para reconhecer um telefone na rede. O UUID do sistema, armazenado no firmware, sobrevive a reinstalações do sistema operacional. O par VID:PID é atribuído por marca e modelo.

Os identificadores ligam o hardware observado aos registros de ativos. Quando um agente informa o que está conectado, o número de série e os dados do modelo mostram se o dispositivo já é conhecido, novo ou desapareceu. As políticas de controle de dispositivos referenciam identificadores diretamente: um drive criptografado corporativo pode ser liberado pelo número de série, enquanto uma linha inteira de modelos pode ser bloqueada ou configurada como somente leitura pelo fabricante e pelo ID do produto.

Os mesmos identificadores aparecem nos registros de eventos. Quando um arquivo é copiado para mídia removível ou um dispositivo se conecta em horário incomum, o registro traz a identidade do dispositivo, e o investigador consegue atribuir a ação a um hardware específico. Da compra ao descarte, o identificador também liga registros de compra, atribuições, reparos e baixa contábil.

A distinção mais prática é o que o identificador aponta. O número de série atua no nível da instância e separa dois drives idênticos comprados no mesmo dia. O par VID:PID atua no nível do modelo, de modo que cada unidade daquele produto informa os mesmos valores.

Nenhum dos dois é melhor. Políticas maduras combinam ambos: uma regra de classe define o que uma categoria de dispositivos pode fazer, e uma exceção de instância libera uma unidade específica. Interpretar mal o alcance é um erro comum: bloquear um par VID:PID sujeito a falsificação pode desativar centenas de drives legítimos.

Os identificadores diferem quanto ao grau de confiança. Endereços MAC são reescritos com facilidade, e os sistemas desktop e móveis atuais os randomizam por padrão. Números de série em armazenamento removível barato costumam se repetir dentro de um lote. UUIDs de firmware mudam quando a placa-mãe é substituída. Um atributo isolado deve ser tratado como indício, e não como prova: confirme a identidade com vários atributos observados juntos, como fabricante, modelo e número de série.

No console Anexet, a aba Dispositivos da estação lista o hardware detectado com tipo e fabricante. O filtro de controle de dispositivos mostra os identificadores de um dispositivo escolhido: ID do fabricante, ID do produto e número de série.

1 / 2

• 
• 

Os identificadores de dispositivos ficam na fronteira dos dados pessoais. O IMEI ou o endereço MAC de um celular pessoal usado no trabalho pode ser vinculado a uma pessoa, o que submete esse tratamento a regras de proteção de dados, como a LGPD no contexto de trabalho. Organizações que coletam identificadores em escala, como fazem os sistemas de inventário, devem definir a finalidade, limitar o acesso aos dados e mantê-los só pelo tempo que a finalidade exige. Em ambientes de BYOD, identificar o aparelho pessoal do funcionário significa tratar dados sobre essa pessoa.

Comece pelos identificadores de que suas regras realmente precisam. O número de série serve a uma lista curta de drives da empresa que precisam ser rastreados um a um, enquanto o par de modelo serve a uma classe inteira de hardware.

Uma regra com escopo errado ou deixa passar o dispositivo que deveria bloquear, ou bloqueia hardware do qual o negócio depende. Teste cada regra com dispositivos conhecidos antes de aplicá-la e combine-a com DLP nos canais mais importantes.