O que verificar antes de instalar um agente de gerenciamento remoto

Um agente de gerenciamento remoto é, por definição, um programa com privilégio de administrador em todas as máquinas da empresa, comandado de fora. É exatamente o que um invasor gostaria de ter. Antes de instalar qualquer um, vale fazer as perguntas abaixo. Elas valem para qualquer fornecedor, inclusive para nós.

1. Como o agente se comunica?

Procure conexões de saída, por HTTPS, para um endereço conhecido. Desconfie de produtos que exigem abrir portas de entrada nas estações.

2. Como o servidor sabe que é mesmo o agente?

Cada computador deve ter uma credencial própria, e não uma chave compartilhada por todos os clientes. Pergunte o que acontece se essa credencial vazar: dá para revogar só aquele computador?

3. O que acontece se o servidor do fornecedor for invadido?

Esta é a pergunta mais importante. Se o servidor pode mandar qualquer agente executar qualquer coisa, uma invasão ali vira uma invasão em todos os clientes. Boas respostas incluem: lista fechada de ações, e atualizações assinadas com uma chave que não fica no servidor.

4. Como o agente se atualiza?

O agente deve conferir, por conta própria, a assinatura e a integridade do que vai instalar, recusar versões mais antigas e conseguir voltar atrás se a nova versão falhar. “O servidor manda o arquivo e o agente instala” não é resposta suficiente.

5. Que ações remotas existem?

Terminal remoto e execução de scripts são poderosos — e são o que um atacante usa. Se você não precisa deles, prefira um produto que não os tenha, ou que permita desligá-los. Para as ações que existem, veja se cada uma exige permissão específica.

6. Fica registrado quem fez o quê?

Toda ação remota precisa de autor, horário, origem e resultado, em um registro que o próprio usuário do painel não consegue apagar.

7. O que exatamente é coletado?

Peça a lista. Verifique se há captura de teclas, gravação de tela ou leitura de conteúdo — e se dá para ter certeza de que não há. O ideal é que o próprio agente mostre, no computador, o que está enviando.

8. Os dados dos clientes ficam separados?

Em um serviço na nuvem, os seus dados dividem a infraestrutura com os de outras empresas. Pergunte como a separação é garantida e se a equipe do fornecedor enxerga os seus computadores — sempre, ou só com a sua autorização.

9. Como é o acesso ao painel?

Autenticação em duas etapas, perfis com privilégios diferentes, bloqueio depois de tentativas erradas e a possibilidade de encerrar sessões.

10. Como o agente convive com o antivírus?

Um agente legítimo não desativa a proteção, não cria exclusões por conta própria e não se esconde. Ele deve aparecer na lista de programas, ter assinatura digital e poder ser desinstalado pelo Windows. Desconfie também de quem promete que o produto “nunca será detectado”: ninguém pode garantir isso.

E depois de instalar

• Dê a cada pessoa o menor perfil que resolve o trabalho dela.
• Exija duas etapas de quem pode executar ações remotas.
• Revise de tempos em tempos quem tem acesso e os tokens de instalação em aberto.
• Leia a trilha de auditoria de vez em quando. Ela só protege se alguém olha.

As respostas do SynapseOne a cada uma dessas perguntas estão na página de segurança e privacidade.