A segurança da informação depende diretamente do conhecimento e controle dos ativos que compõem o ambiente de TI. Sem um inventário preciso e atualizado, é impossível proteger adequadamente os sistemas, dados e infraestrutura. O Asset Inventory (inventário de ativos) é a base para a gestão de riscos, conformidade, resposta a incidentes e operações diárias. Nesta aula, vamos explorar os quatro pilares essenciais para um inventário seguro: Discovery (descoberta), Ownership (propriedade), Tagging (etiquetagem) e Lifecycle (ciclo de vida). Cada um desses processos contribui para que a organização tenha visibilidade total, atribua responsabilidades, categorize recursos e gerencie mudanças de forma controlada.

Imagine tentar proteger uma casa sem saber quantas portas e janelas existem, quem tem as chaves e quais estão em desuso. O mesmo acontece com a TI: ativos desconhecidos são vetores de ataque, ativos sem dono ficam sem manutenção e vulneráveis, e ativos fora do ciclo de vida podem violar políticas de segurança. Portanto, dominar cada etapa do inventário é fundamental para qualquer profissional de segurança.

Discovery

O Discovery é o processo de identificação de todos os ativos presentes no ambiente, sejam eles físicos, virtuais, na nuvem ou de rede. O objetivo é criar uma lista abrangente que inclua servidores, estações de trabalho, dispositivos móveis, roteadores, switches, firewalls, bancos de dados, aplicações, serviços, contas de usuário, certificados digitais, entre outros. Sem uma descoberta completa, o inventário fica incompleto e a segurança fica cega para possíveis pontos de entrada.

Existem diversas técnicas e ferramentas para realizar o discovery, desde varreduras de rede (network scanning) até integrações com APIs de provedores de nuvem. A escolha da abordagem depende do ambiente e da necessidade de granularidade. Por exemplo, em uma rede local, ferramentas como Nmap podem identificar hosts e serviços ativos. Em nuvens, serviços como AWS Config ou Azure Resource Graph podem enumerar recursos. É importante combinar métodos passivos (como análise de logs e fluxos de rede) e ativos (como scanners) para obter uma visão mais completa.

Um bom discovery deve ser contínuo, pois novos ativos são criados o tempo todo. Além disso, é crucial documentar os dados coletados: endereço IP, MAC, hostname, sistema operacional, versão de software, localização, responsável, etc. Essa base de dados será a fonte de verdade para os próximos passos.

# Exemplo de comando Nmap para descobrir hosts ativos na rede 192.168.1.0/24
nmap -sn 192.168.1.0/24

# Exemplo de consulta ao Azure Resource Graph para listar máquinas virtuais
resources
| where type == "microsoft.compute/virtualmachines"
| project name, resourceGroup, location

Ownership

Ownership (propriedade) refere-se à atribuição de um responsável claro para cada ativo. Cada item do inventário deve ter um proprietário que seja responsável por sua manutenção, segurança, atualizações e decisões relacionadas. Isso é essencial para a responsabilização e para garantir que ninguém fique sem dono. Quando um ativo não tem proprietário, ele tende a ser negligenciado, acumulando vulnerabilidades e se tornando um risco.

O proprietário pode ser uma pessoa física, um time ou um departamento. No entanto, é importante que haja um contato direto e que a função esteja formalizada. Em muitos casos, o proprietário é o gerente da área de negócio que utiliza o ativo, mas em outros pode ser o time de TI ou de segurança. Para ativos críticos, é recomendável ter um proprietário principal e um substituto.

Para implementar o ownership, é necessário definir políticas que indiquem como os ativos serão atribuídos, como mudanças de propriedade serão tratadas (por exemplo, quando um funcionário sai da empresa) e como o proprietário será treinado sobre suas responsabilidades. Ferramentas de inventário geralmente possuem campos para registrar o proprietário e seus dados de contato. Além disso, é importante revisar periodicamente a propriedade para garantir que ainda está correta.

// Exemplo de estrutura de dados para registro de ativo com proprietário
{
  "id": "asset-001",
  "name": "servidor-web-01",
  "owner": {
    "name": "João Silva",
    "email": "joao.silva@empresa.com",
    "department": "TI"
  },
  "backupOwner": {
    "name": "Maria Santos",
    "email": "maria.santos@empresa.com",
    "department": "TI"
  }
}

Tagging

Tagging (etiquetagem) é a prática de atribuir metadados aos ativos para classificá-los e organizá-los. Tags são pares de chave-valor que permitem agrupar ativos por critérios como ambiente (produção, desenvolvimento, teste), criticidade (alta, média, baixa), conformidade (LGPD, PCI-DSS), localização, ou qualquer outro atributo relevante. Essa categorização facilita a aplicação de políticas de segurança diferenciadas, a geração de relatórios e a tomada de decisões.

Por exemplo, um ativo com a tag "environment=production" e "criticality=high" pode exigir controles de acesso mais rígidos e monitoramento contínuo, enquanto um ativo de desenvolvimento pode ter menos restrições. Tags também são úteis para automatizar processos, como backups, atualizações e alertas. Em nuvens, as tags são amplamente suportadas e podem ser usadas para gerenciar custos e segurança.

Para que o tagging seja eficaz, é necessário definir uma taxonomia clara e padronizada, evitando tags inconsistentes ou ambíguas. Deve-se criar uma política de tagging que especifique quais tags são obrigatórias, seus valores permitidos e quem pode alterá-las. Além disso, é importante auditar as tags regularmente para garantir que estão sendo aplicadas corretamente.

# Exemplo de tags em uma instância EC2 na AWS
aws ec2 create-tags --resources i-1234567890abcdef0 --tags Key=Environment,Value=Production Key=Criticality,Value=High Key=Owner,Value=TI

Lifecycle

O ciclo de vida de um ativo abrange todas as fases, desde sua aquisição ou criação até sua desativação e descarte. Gerenciar o ciclo de vida é essencial para garantir que os ativos sejam mantidos, atualizados e removidos de forma segura quando não forem mais necessários. Um ativo fora do ciclo de vida pode conter dados sensíveis ou apresentar vulnerabilidades que não são corrigidas.

As fases típicas do ciclo de vida incluem: planejamento, aquisição, implantação, operação, manutenção, atualização, e descomissionamento. Em cada fase, a segurança deve ser considerada. Por exemplo, na implantação, é preciso configurar o ativo de acordo com as políticas de segurança; na operação, é necessário monitorar e aplicar patches; no descomissionamento, é preciso apagar dados de forma segura e revogar acessos.

Ferramentas de inventário podem integrar o ciclo de vida, registrando datas de aquisição, datas de expiração de contratos, status do ativo (ativo, inativo, em descomissionamento) e histórico de mudanças. Isso permite que a equipe de segurança saiba quando um ativo está chegando ao fim e possa planejar sua substituição ou remoção. Além disso, a integração com fluxos de trabalho de change management ajuda a controlar alterações no ciclo de vida.

// Exemplo de fluxo de aprovação para descomissionamento de um ativo
1. Requisição de descomissionamento
2. Verificação de dados sensíveis
3. Backup e arquivamento (se necessário)
4. Remoção de acessos
5. Apagamento seguro (wipe)
6. Atualização do inventário

Boas Práticas e Observações Finais

Para manter um inventário de ativos seguro e eficaz, considere as seguintes boas práticas:

  • Realize o discovery continuamente, utilizando ferramentas automatizadas e integrações com fontes de dados.
  • Estabeleça um processo claro de ownership, com revisões periódicas e treinamento para os responsáveis.
  • Defina uma taxonomia de tags e aplique-as de forma consistente em todos os ativos.
  • Integre o inventário com outros sistemas de segurança, como SIEM, CMDB e ferramentas de automação.
  • Mantenha o histórico de mudanças e auditorias para garantir rastreabilidade.
  • Desenvolva políticas de ciclo de vida que incluam critérios para atualização, aposentadoria e descarte seguro.

Lembre-se de que o inventário de ativos é um processo contínuo, não um projeto único. A segurança da informação depende de uma visão precisa e atualizada do que existe no ambiente, e isso só é possível com um bom gerenciamento de asset inventory.

Referências

Exercícios

  1. Explique por que o discovery é considerado a base de um inventário de ativos seguro. Dê dois exemplos de técnicas ou ferramentas para realizar o discovery.

    2. ✓ Resposta: O discovery é a base porque sem conhecer todos os ativos, não é possível protegê-los. Ativos desconhecidos podem conter vulnerabilidades e serem explorados. Exemplos: varredura de rede com Nmap para identificar hosts e serviços; integração com APIs de nuvem (como AWS Config ou Azure Resource Graph) para listar recursos em nuvem.
  2. Qual a importância de definir um proprietário (owner) para cada ativo? Como essa definição impacta a segurança da informação?

    3. ✓ Resposta: A definição de um proprietário garante que haja alguém responsável pela manutenção, atualização e segurança do ativo. Sem um dono, o ativo pode ser negligenciado, ficando vulnerável. Isso impacta a segurança porque ativos sem dono são mais propensos a violações de políticas e não recebem patches de segurança em tempo hábil.
  3. Cite três exemplos de tags que você usaria para classificar ativos em uma organização e explique como cada uma auxilia na segurança.

    4. ✓ Resposta: Exemplos: 1) "Environment=Production" - identifica ativos que estão em uso real, exigindo maior proteção e monitoramento. 2) "Criticality=High" - indica ativos cuja indisponibilidade causaria grande impacto, priorizando investimentos em segurança. 3) "Compliance=LGPD" - identifica ativos que processam dados pessoais, auxiliando na aplicação de controles de privacidade.
  4. Descreva as fases do ciclo de vida de um ativo e a importância de gerenciá-las para a segurança.

    5. ✓ Resposta: As fases típicas são: planejamento, aquisição, implantação, operação, manutenção, atualização e descomissionamento. Gerenciar o ciclo de vida é importante porque permite garantir que os ativos sejam configurados com segurança desde o início, recebam manutenção e atualizações durante a operação, e sejam descartados de forma segura no final, evitando vazamento de dados ou exposição a vulnerabilidades.
  5. Proponha um processo de descomissionamento de um servidor que contém dados sensíveis, incluindo as etapas de segurança necessárias.

    6. ✓ Resposta: Processo: 1) Identificar o servidor e seus dados. 2) Realizar backup e arquivamento dos dados necessários. 3) Notificar os usuários e partes interessadas. 4) Remover o servidor da rede e revogar acessos. 5) Apagar todos os dados de forma segura (por exemplo, usando ferramentas de wipe ou destruição física do disco). 6) Atualizar o inventário para refletir o descomissionamento e documentar o processo.