empresariais utilizam aplicações instaladas localmente, plataformas em nuvem, componentes embarcados, serviços virtualizados e diferentes modalidades de acesso. Essa diversidade torna o exame de ativos de software uma atividade dependente da integração de múltiplas fontes.
O objetivo do exame técnico é descrever o ambiente observado, identificar os produtos e componentes relevantes, correlacionar registros e comparar os resultados com critérios previamente definidos. Seu alcance depende do objeto, do período analisado, das fontes disponíveis e das limitações dos procedimentos empregados.
Delimitação do objeto
O planejamento deve identificar quais ambientes, organizações, unidades, dispositivos, usuários, produtos e períodos integram o exame.
O objeto pode compreender:
- estações de trabalho;
- servidores físicos;
- máquinas virtuais;
- dispositivos móveis;
- ambientes de desenvolvimento;
- plataformas em nuvem;
- aplicações disponibilizadas como serviço;
- componentes embarcados;
- bancos de dados;
- ferramentas de administração;
- sistemas desativados ou substituídos;
- serviços operados por terceiros.
A delimitação também deve registrar exclusões e restrições. Resultados obtidos em um segmento da infraestrutura não devem ser automaticamente estendidos a ambientes que não foram examinados.
Categorias de informação
A análise pode envolver diferentes categorias, que precisam ser distinguidas.
Produto é a identificação comercial ou técnica de determinado software.
Versão representa uma etapa de desenvolvimento ou lançamento do produto.
Edição pode indicar um conjunto específico de funcionalidades, recursos ou condições técnicas.
Instalação corresponde à presença de arquivos, pacotes ou componentes em determinado dispositivo.
Disponibilidade indica que o software pode ser acessado ou utilizado por determinado grupo ou ambiente.
Atribuição relaciona uma licença, assinatura ou acesso a um usuário, dispositivo ou unidade.
Execução representa a inicialização ou o funcionamento do software.
Utilização pode envolver frequência, duração, funcionalidades acessadas ou outras métricas definidas.
Essas categorias não são equivalentes. A presença de arquivos não demonstra, isoladamente, utilização, assim como a existência de uma conta não significa que o serviço tenha sido efetivamente acessado.
Construção do inventário
O inventário técnico pode ser produzido a partir de diferentes fontes, entre elas:
- ferramentas de descoberta;
- agentes instalados nos dispositivos;
- sistemas de gestão de ativos;
- diretórios corporativos;
- consoles administrativos;
- registros de nuvem;
- bancos de dados de configuração;
- inventários manuais;
- imagens de dispositivos;
- sistemas de implantação;
- registros de rede;
- documentação fornecida pelas equipes responsáveis.
Cada fonte apresenta cobertura e limitações próprias. Uma ferramenta pode identificar aplicações instaladas, mas não componentes removidos anteriormente. Outra pode registrar execução, mas não distinguir usuários em determinadas configurações.
Por isso, o inventário deve indicar a origem de cada informação e o período ao qual ela se refere.
Identificação e normalização dos produtos
O mesmo produto pode aparecer com nomes, fabricantes, versões ou abreviações diferentes. A normalização busca reunir registros tecnicamente equivalentes sem eliminar diferenças relevantes.
Esse procedimento pode considerar:
- nome do fabricante;
- nome do produto;
- versão;
- edição;
- arquitetura;
- idioma;
- identificadores de pacote;
- caminho de instalação;
- assinaturas de arquivos;
- componentes adicionais;
- datas de instalação e atualização.
Regras de normalização devem ser documentadas. Agrupamentos inadequados podem reunir produtos distintos, enquanto critérios excessivamente restritivos podem fragmentar registros que representam o mesmo componente.
Ambientes físicos e virtualizados
Em ambientes virtualizados, a relação entre software e infraestrutura pode envolver hosts, máquinas virtuais, clusters, processadores, núcleos, imagens e recursos alocados.
O exame pode considerar:
- topologia de virtualização;
- localização das máquinas;
- recursos atribuídos;
- movimentações entre hosts;
- períodos de ativação;
- imagens e modelos utilizados;
- mecanismos de alta disponibilidade;
- registros da plataforma de gerenciamento;
- mudanças realizadas durante o período analisado.
A configuração observada em uma única data pode não representar todo o período. Registros históricos podem ser necessários para compreender alterações na distribuição dos recursos.
Serviços e plataformas em nuvem
Serviços em nuvem podem utilizar métricas relacionadas a usuários, consumo, instâncias, capacidade, funcionalidades ou períodos de acesso.
Entre as fontes possíveis estão:
- portais administrativos;
- registros de atribuição;
- relatórios de consumo;
- logs de autenticação;
- históricos de provisionamento;
- faturas e demonstrativos;
- integrações com diretórios;
- registros de ativação e desativação;
- configurações de grupos e perfis.
A existência de uma assinatura, sua atribuição e seu uso efetivo são eventos diferentes. O exame deve preservar essa distinção.
Documentos de aquisição e licenciamento
Contratos, pedidos, notas, certificados, termos e registros de aquisição podem fornecer parâmetros documentados para a análise técnica.
Essas fontes podem apresentar:
- identificação dos produtos;
- versões ou edições;
- quantidades;
- métricas;
- períodos;
- usuários ou dispositivos abrangidos;
- unidades organizacionais;
- referências a documentos complementares;
- datas de aquisição ou renovação.
No exame técnico, esses elementos são tratados como dados e critérios documentados. Divergências, lacunas ou ambiguidades podem ser registradas sem que se atribua automaticamente significado externo à constatação.
Métricas técnicas
Diferentes produtos podem utilizar métricas baseadas em:
- usuário identificado;
- usuário habilitado;
- dispositivo;
- instalação;
- processador;
- núcleo;
- servidor;
- instância;
- capacidade;
- volume processado;
- transação;
- acesso simultâneo;
- período de utilização.
A aplicação de uma métrica exige compreender quais dados são necessários, como foram produzidos e quais transformações foram realizadas.
Quando as fontes não permitirem calcular determinada métrica com precisão suficiente, a limitação deve ser informada. Não é metodologicamente adequado substituir dados ausentes por pressupostos sem identificá-los.
Correlação entre fontes
A análise frequentemente depende da correlação de informações provenientes de inventários, diretórios, plataformas, documentos e registros operacionais.
A correlação pode utilizar:
- nomes de dispositivos;
- identificadores únicos;
- endereços de rede;
- contas de usuário;
- números de série;
- chaves de instalação;
- identificadores de produto;
- períodos de atividade;
- unidades organizacionais.
Antes de associar registros, devem ser consideradas duplicidades, alterações de nomes, reutilização de equipamentos, contas compartilhadas, migrações e diferenças temporais.
Uma correspondência aproximada pode ser útil para formular hipóteses, mas deve ser diferenciada de uma associação confirmada por identificadores consistentes.
Exame de utilização
A utilização de software pode ser analisada por meio de diferentes registros:
- inicialização de aplicações;
- autenticação;
- consumo de serviços;
- acesso a funcionalidades;
- arquivos de log;
- conexões;
- sessões;
- transações;
- telemetria;
- registros produzidos por ferramentas de gestão.
A interpretação depende da forma como o sistema registra a atividade. Uma aplicação pode permanecer aberta sem interação, enquanto outra pode executar tarefas sem interface visível.
Por isso, a métrica de utilização deve ser definida antes do processamento dos dados e relacionada às limitações da fonte.
Amostragem
O volume de dispositivos, usuários e registros pode exigir amostragem. A seleção pode ser:
- estatística;
- aleatória;
- estratificada;
- temporal;
- orientada por produtos;
- direcionada a determinados ambientes;
- baseada em critérios técnicos.
O relatório deve informar a população considerada, a forma de seleção, o tamanho da amostra e as limitações de generalização.
Amostras direcionadas podem ser úteis para examinar situações específicas, mas não representam necessariamente todo o ambiente.
Qualidade e confiabilidade das fontes
A qualidade dos resultados depende da confiabilidade dos dados de entrada. Entre os aspectos que podem ser examinados estão:
- cobertura;
- atualização;
- completude;
- consistência;
- duplicidade;
- retenção histórica;
- sincronização;
- origem;
- possibilidade de alteração;
- rastreabilidade das exportações.
Divergências entre fontes não devem ser eliminadas apenas para produzir um resultado único. Elas podem representar limitações, diferenças de período ou características relevantes do ambiente.
Apresentação das divergências
O resultado pode organizar as informações em categorias, como:
- registros convergentes;
- registros divergentes;
- componentes não identificados;
- instalações sem correspondência documental;
- documentos sem correspondência no inventário;
- atribuições sem evidência de utilização;
- utilizações sem dados suficientes de atribuição;
- informações que dependem de fontes adicionais.
Essas categorias descrevem a relação entre as evidências examinadas. Não constituem, por si mesmas, qualificação de condutas ou definição de consequências.
Rastreabilidade dos procedimentos
A documentação do trabalho pode incluir:
- fontes consultadas;
- datas de coleta;
- ferramentas e versões;
- parâmetros empregados;
- consultas executadas;
- regras de normalização;
- critérios de exclusão;
- transformações realizadas;
- procedimentos de correlação;
- amostras selecionadas;
- resultados intermediários;
- limitações identificadas.
A rastreabilidade permite compreender como os dados originais foram transformados nos resultados apresentados.
Comunicação dos resultados
O produto do exame pode assumir a forma de relatório técnico, parecer, base estruturada, documentação de testes ou apresentação executiva.
A comunicação deve distinguir:
- fatos diretamente observados;
- critérios documentados;
- resultados de correlação;
- estimativas;
- hipóteses técnicas;
- informações não confirmadas;
- limitações das fontes;
- componentes não abrangidos.
O grau de precisão deve permanecer compatível com a qualidade e a cobertura dos dados disponíveis.
Exame técnico orientado por evidências
A análise de ativos e licenciamento de software não se resume à contagem de instalações. Ela exige compreender produtos, versões, ambientes, usuários, métricas, períodos e fontes documentais.
A utilidade do trabalho decorre da capacidade de demonstrar como as evidências foram identificadas, normalizadas, correlacionadas e comparadas. Quanto mais clara essa relação, mais tecnicamente avaliáveis serão as constatações apresentadas.
Nota editorial: Este artigo possui caráter técnico e informativo. Os métodos devem ser selecionados conforme o objeto, os critérios documentados, as fontes disponíveis e as competências profissionais aplicáveis.