Dispositivo Não Autorizado (Rogue Device)

Um dispositivo não autorizado é definido por uma divergência, não pelo seu tipo. Um teclado, um pendrive ou um switch de rede são hardware comum. Ele passa a ser não autorizado quando é conectado a um computador ou à rede e não consta na configuração aprovada registrada para aquela máquina.

A lacuna é mais fácil de ver ao comparar com o registro de gestão de ativos de hardware. A maioria dos dispositivos não autorizados não é plantada por um invasor. Eles são subproduto de atividades comuns do dia a dia que ninguém registrou, por isso o problema costuma aparecer na gestão de ativos de TI, e não em um único alerta de segurança.

Os dispositivos não autorizados costumam entrar no ambiente por uma de cinco vias, e nenhuma delas exige intenção maliciosa:

Um dispositivo não autorizado é uma lacuna entre o que a TI acredita estar em funcionamento e o que está de fato conectado. Essa lacuna traz consequências além de um registro de ativos desorganizado:

• Ponto cego de segurança. Um dispositivo fora da configuração também fica fora dos controles aplicados ao hardware gerenciado, como atualizações, política de criptografia e monitoramento. Ele se torna uma porta de entrada fácil ou um caminho de saída sem monitoramento para os dados.
• Risco de exfiltração de dados. Um dispositivo de armazenamento ou adaptador de rede sem registro pode permitir a saída de dados sem deixar rastro em nenhuma trilha de auditoria baseada no inventário aprovado.
• Exposição à conformidade. Regulamentos e políticas internas que exigem um inventário de hardware completo e preciso perdem efeito a cada dispositivo que o inventário desconhece.
• Custo operacional. Hardware não rastreado distorce o planejamento de capacidade, complica decisões de garantia e ciclo de vida e consome tempo quando uma falha precisa ser rastreada até equipamentos que ninguém cadastrou.

A detecção compara o que está conectado com o que deveria estar conectado. Quatro etapas tornam isso contínuo, e a descoberta é a etapa que revela o que ninguém registrou:

1. 1

   Comparar a configuração

   O que está fisicamente conectado a um computador é verificado contra a configuração aprovada. Uma divergência em qualquer sentido é sinalizada.

2. 2

   Descobrir hardware novo

   Agentes nos endpoints gerenciados informam o que está conectado. Varreduras periódicas revelam hardware novo antes que alguém abra um chamado.

3. 3

   Verificar continuamente

   Equipamentos são trocados entre auditorias. Contagens pontuais deixam passar dispositivos que aparecem e somem nesse intervalo, por isso o monitoramento precisa ser contínuo.

4. 4

   Alertar as pessoas certas

   Um dispositivo sinalizado só é útil se chegar à equipe de TI ou de segurança responsável pelo computador ou pela localização afetada.

Um dispositivo não autorizado não é o mesmo que um dispositivo não gerenciado em geral. Não gerenciado significa apenas que ninguém o administra, esteja ele conectado ou não. Um dispositivo não autorizado é, especificamente, aquele que está conectado agora, em contradição com o registro.

Ele se sobrepõe ao Shadow IT, mas é mais restrito, porque o Shadow IT descreve com mais frequência softwares, serviços em nuvem ou contas não autorizados do que hardware físico. Também é diferente de um dispositivo malicioso ou falsificado plantado por um invasor. A maioria dos dispositivos não autorizados são equipamentos comuns que simplesmente nunca foram registrados.

No Anexet Inventory, o cartão de cada computador tem uma aba Dispositivos que lista o hardware encontrado pela detecção. Cada dispositivo é associado pelo seu identificador de dispositivo, então um componente conectado, mas ausente da configuração, recebe um ícone de alerta. A captura mostra o cartão de um servidor em que dispositivos conectados não listados aparecem marcados dessa forma.

Comece com uma lista clara do que conta como hardware configurado para cada computador e deixe a detecção informar cada diferença. Os alertas de detecção devem disparar uma atualização do inventário, e não apenas a remoção do dispositivo. Quem troca um monitor ou adiciona uma impressora precisa de um jeito simples de registrar a mudança, e não de um incentivo para pular esse passo.

Ferramentas de detecção reduzem a lacuna. Manter o registro atualizado é o que a mantém reduzida.

Leitura adicional: Como prevenir o acesso não autorizado ao seu computador.