Como auditar e limpar endpoints órfãos em vários tenants ou clientes

Quando endpoints são desligados, reimaginados, perdidos ou abandonados sem um offboarding adequado, viram dispositivos órfãos.

Esses sistemas não gerenciados ficam parados no RMM e nas ferramentas de PSA. Eles criam pontos cegos na postura de segurança, inflam os gastos com licenças e poluem os dados dos clientes.

Para evitar que esses dispositivos se tornem um grande passivo para o seu MSP, é preciso fazer auditorias de endpoints regulares em todos os tenants.

Esse processo ajuda a recuperar licenças ociosas e a gerar faturamento e relatórios precisos para os clientes. Também complementa fluxos de auditoria mais amplos, como um processo de auditoria de configuração física ou a revisão de uma lista de verificação de auditoria de rede.

Neste guia, mostramos como fazer auditorias de endpoints órfãos e a respectiva limpeza. Continue lendo para entender a diferença entre dispositivos gerenciados e não gerenciados.

Para ver o tema explicado em vídeo, assista a Como auditar e limpar endpoints órfãos em vários tenants ou clientes.

Como identificar, auditar e limpar endpoints órfãos em vários tenants

Pré-requisitos:

• Acesso aos sistemas de RMM e PSA para acompanhar atividade, status e propriedade dos endpoints
• PowerShell versão 5.1 ou superior para executar scripts que consultam informações do sistema e verificam o status dos dispositivos
• Acesso à Política de Grupo e ao Registro para verificar as configurações dos endpoints
• Documentação de baseline de dispositivos por cliente ou departamento para comparar inventários de endpoints
• Dados de monitoramento de rede para detectar endpoints ativos que não constam no RMM nem no PSA. Esses dados são opcionais, mas ajudam a reduzir pontos cegos durante a limpeza.

Estratégias de implantação recomendadas:

Clique para escolher um método	💻 Melhor para usuários individuais	💻💻💻 Melhor para empresas
Método 1: consultar a atividade do dispositivo com PowerShell	✓	✓
Método 2: acompanhar atividade do dispositivo ou status do agente pelo Registro		✓
Método 3: usar o CMD para verificar conectividade ou presença do agente	✓	✓
Método 4: usar Política de Grupo ou Tarefas Agendadas para sinalizar dispositivos dormentes		✓
Método 5: cruzar dados de RMM, domínio e PSA		✓

Etapa 1: defina o que caracteriza um endpoint órfão

Primeiro, estabeleça critérios claros para o que é um endpoint órfão. Entre os indicadores mais comuns de que um dispositivo foi abandonado, estão:

• O dispositivo não se reporta à plataforma de RMM há mais de 30 dias.
• Não há registro recente de login de usuário nem de autenticação no domínio.
• Os agentes esperados de antivírus, backup ou aplicação de patches estão ausentes ou deixaram de reportar.
• O dispositivo tem entradas duplicadas por causa de reinstalação do sistema operacional ou de imagem.
• O dispositivo foi descomissionado, mas ainda não foi removido dos sistemas.

Dica: para facilitar a identificação e o acompanhamento de possíveis dispositivos órfãos, marque-os com base na data do último check-in, na atividade do usuário, no status do antivírus e na validação do hostname.

Etapa 2: escolha um ou mais métodos para auditar a atividade dos dispositivos

Em seguida, audite a atividade dos seus endpoints usando um ou mais dos métodos abaixo. Também dá para combinar os que fizerem mais sentido para a sua necessidade.

Método 1: consultar a atividade do dispositivo com PowerShell

Caso de uso: avaliar rapidamente se um dispositivo foi usado recentemente, verificando indicadores de atividade como horário da última inicialização, logon de usuário e tempo de atividade do sistema.

1. Verifique o horário da última inicialização.

Caso de uso: permite ver quando o sistema foi reiniciado pela última vez.

(Get-CimInstance Win32_OperatingSystem).LastBootUpTime

2. Identifique o último logon de usuário.

Caso de uso: ajuda a determinar se algum usuário local fez login no sistema recentemente.

Get-LocalUser | Select Name, LastLogon

3. Confira o tempo de atividade do sistema.

Caso de uso: esses logs mostram há quanto tempo o sistema está em execução desde a última inicialização.

(New-TimeSpan -Start (Get-CimInstance Win32_OperatingSystem).LastBootUpTime).Days

Não é preciso executar todas essas verificações juntas. Dá para focar em uma métrica específica ou em qualquer combinação delas e cruzar o resultado com os logs de atividade do RMM ou do domínio.

Método 2: acompanhar atividade do dispositivo ou status do agente pelo Registro

Caso de uso: automatizar a detecção de dispositivos obsoletos com PowerShell ou varreduras pelo RMM. Esse método é ideal para MSPs que têm uma política padronizada de registro de logs no Registro.

Se a sua organização usa scripts ou agentes para registrar atividade no Registro, verifique chaves personalizadas como:

HKEY_LOCAL_MACHINE\SOFTWARE\Org\DeviceAudit

Procure valores como:

• LastLoginDate (String) = "2025-07-01T10:05Z"
• LastBackupStatus (String) = "Success"
• LastCheckIn (String) = "2025-07-01T09:00Z"

Método 3: usar o CMD para verificar conectividade ou presença do agente

Caso de uso: validar manualmente possíveis sistemas não gerenciados antes da limpeza.

1. Teste de ping:

ping device01.domain.local

2. Verificar o status do antivírus (Windows Defender):

sc.exe query WinDefend

3. Listar softwares de RMM/antivírus/backup instalados:

Get-Package | Where-Object Name -Match "Ninja|Avast|Veeam"

Método 4: usar Política de Grupo ou Tarefas Agendadas para sinalizar dispositivos dormentes

Caso de uso: acompanhar de forma proativa a atividade dos dispositivos em vários tenants com uma GPO ou tarefa agendada.

Configure uma GPO ou tarefa agendada para executar o comando abaixo, que grava um carimbo de data/hora no Registro:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceAudit" `

-Name "LastCheckIn" -Value (Get-Date).ToString("u")

Agende a execução no logon do usuário ou na inicialização do sistema. Os dispositivos que não atualizarem o carimbo de data/hora dentro do período de inatividade definido (por exemplo, 30 dias) podem então ser identificados para revisão.

Método 5: cruzar dados de RMM, domínio e PSA

Caso de uso: validar se um dispositivo foi abandonado ou está apenas temporariamente offline. O cruzamento de dados segue as boas práticas de uma lista de verificação de auditoria de cibersegurança.

Triangule as seguintes fontes de dados:

• Último check-in no RMM
• Logon anterior no Active Directory
• Histórico de tickets no PSA (por exemplo, solicitações de ativos abertas/fechadas)
• Painel do antivírus e status do agente de backup

Etapa 3: crie um processo de limpeza para o descomissionamento

Depois de identificar quais dispositivos atendem aos seus critérios de endpoint órfão, siga os passos abaixo para iniciar a limpeza:

• Desinstale todos os agentes de antivírus, RMM e backup.
• Arquive os dados de Registro e de login do dispositivo.
• Remova o dispositivo do AD e das plataformas de RMM.
• Marque o dispositivo como Descomissionado no PSA ou no sistema de ativos.

Dica: crie uma lista de verificação para o processo de limpeza e garanta um offboarding consistente.

Problemas comuns na auditoria de endpoints e como resolvê-los

Falsos positivos

Há casos em que o dispositivo parece inativo ou abandonado, mas ainda está em uso; ele só não está reportando corretamente ao sistema.

Quando isso acontece, valide a atividade com logs de autenticação no domínio e registros de tarefas de backup antes de excluí-lo. Esse passo evita exclusões acidentais.

Chaves de Registro ausentes

Chaves de Registro ausentes costumam ser vistas como sinal de dispositivo não gerenciado. Mas parte dessas lacunas vem de scripts de login que falharam.

Se encontrar um endpoint sem algumas chaves de Registro, verifique se o script de login responsável por elas ainda está ativo antes de descomissioná-lo.

Entradas duplicadas no RMM

Algumas plataformas de RMM criam várias entradas para o mesmo dispositivo, principalmente quando ele passa por nova imagem ou troca de nome.

Nesse caso, tente casar as entradas usando identificadores de hardware, como número de série ou endereço MAC. Os números de série costumam ser mais estáveis, enquanto os endereços MAC fornecem informações adicionais de correspondência. Esses identificadores ajudam a encontrar registros duplicados e a limpar os dados de inventário.

Dispositivos formatados recentemente

Se um dispositivo aparece como endpoint novo ou desconhecido no sistema, isso não significa necessariamente que foi abandonado. Alguns desses endpoints podem ter passado por formatação ou nova imagem há pouco tempo.

A boa notícia é que dá para rastrear o histórico pela etiqueta de ativo na BIOS ou pela recuperação do Registro.

Pontos de atenção

Tenha estas armadilhas em mente ao usar este guia:

Riscos	Possíveis consequências	Como reverter
Executar scripts do PowerShell sem privilégios de administrador	Coleta de dados incompleta ou com falha	Execute o PowerShell como administrador antes de implantar os scripts.
Não validar as chaves de Registro	Pode gerar falsos positivos se houver scripts que não atualizaram as chaves	Cruze os dados com o RMM ou com arquivos de log.
GPO ou agendador de tarefas mal configurado	O dispositivo não registra carimbos de data/hora, o que pode indicar inatividade falsa.	Teste a implantação e monitore os logs de execução da tarefa.

Observações adicionais sobre auditoria e limpeza de endpoints órfãos

Como não existem dois dispositivos abandonados iguais, considere estes pontos ao fazer auditorias de endpoints em ambientes grandes e distribuídos:

Trate os dispositivos BYOD de forma diferente

Políticas de Bring Your Own Device (BYOD) acrescentam uma camada extra de complexidade à auditoria de endpoints.

Dispositivos pessoais não seguem os mesmos protocolos de gerenciamento das máquinas da empresa. São bem mais difíceis de rastrear e podem aparecer de forma diferente no sistema.

Por isso, vale estabelecer um conjunto próprio de regras de auditoria e limpeza para dispositivos BYOD. Assim, você não remove por engano um computador pessoal que ainda é usado para trabalho.

Fique atento a nomes de dispositivos reutilizados

É muito comum que equipes de TI reaproveitem os mesmos nomes ao reinstalar a imagem ou redestinar hardware. Mas essa prática gera confusão nos relatórios de auditoria.

Por exemplo, um notebook recém-formatado pode ser marcado por engano como dispositivo abandonado só porque mantém o nome antigo.

Para evitar identificações erradas, cruze os nomes dos dispositivos com endereços MAC ou números de série.

Não esqueça dos dispositivos gerenciados na nuvem

Dispositivos gerenciados na nuvem podem ser administrados por plataformas como o Microsoft Intune e provisionados por serviços como o Windows Autopilot.

Dependendo de como o ambiente está configurado, esses endpoints podem não aparecer nas fontes tradicionais de gerenciamento on-premises e, por isso, passar despercebidos nas auditorias.

Inclua no processo de auditoria os dados relevantes das plataformas de gerenciamento na nuvem, como o Intune.

Defina uma periodicidade fixa de auditoria

Auditorias de endpoints não podem ser algo pontual. Sua organização deve agendar auditorias mensais ou trimestrais para manter o inventário de ativos atualizado.

Um calendário regular de auditoria ajuda a acompanhar as mudanças nos dispositivos e impede que endpoints abandonados escapem da sua visão.

Qual é a diferença entre dispositivos gerenciados e não gerenciados?

Dispositivos gerenciados são sistemas inscritos ou controlados por uma solução centralizada de gerenciamento de dispositivos, como uma ferramenta de RMM.

Os administradores de TI monitoram, configuram e gerenciam essas máquinas para garantir consistência e conformidade com as políticas da organização. Ou seja, elas seguem as mesmas políticas padronizadas de configuração de sistema, controle de acesso e atualização de software.

Já os dispositivos não gerenciados não estão inscritos nem são controlados pelos sistemas de gerenciamento da organização. Podem ser pessoais, de terceiros ou da própria empresa.

As equipes de TI não monitoram nem controlam esses endpoints, então eles normalmente não têm as mesmas configurações padronizadas dos sistemas gerenciados.

Por que limpar endpoints órfãos faz diferença

Rastrear e limpar endpoints órfãos é essencial para os MSPs porque:

São um risco de segurança

Endpoints abandonados são alvos fáceis para cibercriminosos, que podem usá-los para roubar dados sensíveis, principalmente quando não têm antivírus atualizado nem patches de segurança.

Limpar esses ativos reduz bastante a superfície de ataque da organização.

Aumentam o desperdício de licenças

Dispositivos que continuam inscritos em sistemas de RMM, antivírus ou backup podem seguir consumindo licenças, dependendo do modelo de licenciamento do produto. Descomissionar endpoints ociosos ajuda a reduzir custos desnecessários com licenças.

Geram relatórios imprecisos

Endpoints não gerenciados no inventário de ativos levam a relatórios imprecisos e comprometem QBRs e auditorias de conformidade.

Comprometem a higiene do inventário e a visibilidade

Boa higiene de endpoints significa saber exatamente quais dispositivos existem no ambiente e como eles se comportam.

Enquanto não forem limpos, os dispositivos órfãos continuarão aparecendo nos painéis, relatórios e alertas, o que dificulta ter uma visão clara da infraestrutura.

Como NinjaOne simplifica a auditoria e a limpeza de endpoints órfãos

NinjaOne ajuda a refinar o processo de auditoria e limpeza de endpoints órfãos ao:

• Marcar endpoints pela data do último check-in ou da última execução de script
• Implantar automaticamente scripts do PowerShell para verificar chaves de Registro ou atividade de login
• Criar relatórios de inventário e backup que revelam dispositivos com dados de agente ausentes ou falhas de backup
• Disparar fluxos de alerta para dispositivos offline por mais tempo do que o limite definido na política
• Automatizar ações de descomissionamento, como desinstalar softwares e remover marcações

Com a plataforma NinjaOne, os MSPs padronizam o processo manual de auditoria entre clientes: marcam dispositivos, agendam verificações por script e automatizam as etapas de remediação assim que um dispositivo é confirmado como órfão, sempre com fluxos consistentes e repetíveis.

Para dúvidas frequentes sobre monitoramento de dispositivos com RMM, acesse o FAQ de RMM de NinjaOne.

Melhore a higiene dos ativos com auditorias regulares de endpoints órfãos

Para os MSPs, auditar e limpar endpoints órfãos não é opcional: é obrigatório. Esses dispositivos abrem brechas na postura de segurança da organização e aumentam os gastos com licenças ao longo do tempo.

Definir um calendário regular de auditoria e aplicar um processo completo de limpeza e descomissionamento para os diferentes tipos de dispositivo abandonado garante que nenhum endpoint descomissionado passe despercebido.

Mais importante: isso posiciona o seu MSP como um parceiro proativo e focado em segurança.

Temas relacionados:

• O que é gerenciamento de endpoints? Como funciona e quais são os benefícios
• Visibilidade de endpoints: o que é e como alcançá-la
• Endpoints explicados (com exemplos)
• Visão geral do gerenciamento do ciclo de vida de endpoints
• Relatórios de inventário de hardware