Sua TI sabe quais máquinas existem. Consegue agir nelas?

Um usuário liga: o computador está lento. O técnico abre o programa de acesso remoto e cai na tela de quem está trabalhando. Para descobrir o que há de errado, precisa tomar o mouse da pessoa e abrir janela por janela, enquanto ela espera parada. E o histórico de quem entrou em qual computador, quando existe, fica na conta do fornecedor do programa, não com a empresa.

O inventário, ou a planilha, diz que o computador existe, qual Windows ele tem e quando foi visto pela última vez. Mas não diz o que está acontecendo nele agora, e não deixa fazer nada. Na maioria das empresas a gestão do parque é isso: uma lista de um lado, um acesso remoto avulso do outro, e nada no meio.

Do inventário ao controle da máquina

Esse meio tem nome, gestão de endpoints: um console no seu servidor e um agente, um programa pequeno, em cada computador. A máquina aparece no console com o estado dela à vista, e o técnico pode:

• ver a tela do usuário sem tomar o controle, ou assumir mouse e teclado quando precisar;
• abrir um terminal, ver o que está rodando e encerrar o que travou, sem atrapalhar quem está trabalhando;
• parar ou iniciar um serviço, ler o registro de eventos, reiniciar a máquina;
• travar o teclado e o mouse do usuário, ou apagar a tela dele, enquanto trabalha, dentro da regra de aviso que a empresa definir.

Para mudar algo em todos os computadores de uma vez, o caminho continua sendo o diretório da empresa, o mesmo que controla logins e senhas. O console é para a máquina que precisa de atenção agora.

Por que essa solução é boa

• Menos gente parada. O técnico investiga pelo terminal e pelos registros sem tomar a tela de quem está trabalhando, e só assume o mouse quando precisa.
• O registro é da empresa. Quem entrou, em qual computador, quando e por quanto tempo fica no seu servidor. Se a empresa tem um SIEM, o sistema que concentra os eventos de segurança, o registro segue para lá, e o acesso remoto passa a ser auditável como qualquer outro.
• Nada passa por terceiros. O servidor é da empresa. A sessão, o que é digitado nela e o inventário não passam pela nuvem do fornecedor de um programa.

Quer ver isso numa máquina de verdade? Veja o Endpoint Management funcionando.

Os cuidados de ter o parque na mão

• Entrar na máquina de alguém é decisão da empresa, não do técnico. Avisar o funcionário quando alguém entra, pedir licença antes, gravar a sessão: cada um se liga, e a escolha deve ser feita de propósito, não herdada da configuração padrão. O registro mostra quem entrou, onde e quando; se a sua política exige ver também o que foi feito, a gravação da sessão pode ser ligada.
• O console vale tanto quanto o servidor que guarda as senhas da empresa. O agente roda com privilégio máximo em cada computador: quem tomar o console toma o parque. Por isso ele fica fora da internet e cada técnico só alcança o que o trabalho dele pede. O console tem confirmação em dois passos, e ligá-la é decisão de cada empresa: a nossa recomendação é ligar sempre, porque sem ela o acesso a todos os computadores fica protegido só por uma senha. E quem tem acesso ao próprio servidor tem acesso ao console.
• Fora do escritório, alguém tem de abrir o caminho. O mais fechado é a VPN: com ela ligada, o notebook de casa aparece no console; desligada, ele fica fora de alcance até voltar. Abrir uma entrada só para os agentes estende o alcance, mas abre uma porta para o ativo mais poderoso do parque. É uma escolha da implantação, feita com o risco na mesa.
• É mais um servidor para manter. Atualização, cópia de segurança e alguém responsável por ele. Isso entra na conta antes da primeira máquina.
• O antivírus pode estranhar o agente. Ele faz o que um programa de acesso remoto faz, e há antivírus que o tratam como ameaça. A saída é uma exceção só para o agente, nunca para uma pasta inteira, e nunca desligar a proteção.
• Instalado não é o mesmo que conectado. A instalação pelo diretório costuma acontecer quando o computador reinicia, e o desligamento rápido do Windows não conta como reinício: um computador que só é desligado pode passar semanas sem o agente. A conta dos conectados no console tem de bater com a do inventário.

Por onde começar

Se hoje o suporte depende de tomar a tela de quem está trabalhando para descobrir o que há de errado, ou se ninguém consegue dizer, sem ir até a mesa, o que está rodando num computador, é por aí que vale começar. Em 30 minutos de conversa, a gente vê com você quais máquinas entrariam primeiro, quem da equipe teria acesso a quê e que regra de aviso ao funcionário faz sentido no seu caso.