Détecte les disques retirés · par le numéro de série de chaque support

Quelqu'un a retiré un disque. Vous le savez sous 15 minutes.

Pas le jour où les données refont surface. L'agent enregistre le numéro de série de chaque support, et la fiche du poste indique si le chiffrement est activé : toute la différence entre une perte à 100 euros et une fuite à déclarer à vos clients et à la CNIL.

BUH-07 · comptabilité · Windows 11online

Composants · disques 1 → 0 · instantané #2 214 · 14:02

CPUIntel Core i5-12400BX8071512400OK

RAM2 × 8 GB Kingston8C5A…1D · 8C5A…22OK

SSDSamsung 870 EVO 1 TBS6PPNX0T4… → —ABSENT

GPUIntel UHD 730—OK

14:02 disque absent · CRITICAL → Telegram, e-mail, ticket #418

Détecte les cartes graphiques échangées · avant et après

Votre carte graphique a été remplacée par un modèle bas de gamme. Nous le voyons.

Un GPU vaut plusieurs centaines d'euros : c'est le premier composant qui disparaît des labos et des salles de formation. Nous gardons le modèle de chaque carte graphique et indiquons ce qui était installé, ce qui l'est maintenant et quand le changement a eu lieu. L'alerte arrive avant que quiconque ouvre un ticket.

LAB-12 · laboratoire · instantané #124 → #125online

Changements · vendredi 13:47 · hors heures de bureau

avantNVIDIA GeForce RTX 4090 · 24 GBinstantané #124

aprèsNVIDIA GeForce RTX 3060 · 12 GB · dix fois moins chèreinstantané #125

CPUAMD Ryzen 9 7950XinchangéOK

RAM4 × 16 GBinchangéeOK

13:47 carte graphique remplacée · CRITICAL → Telegram, ticket #419

Détecte les accès à distance non autorisés · sous 15 minutes après l'installation

AnyDesk vient d'apparaître sur le poste de la comptable. Sachez-le avant l'attaquant.

Un outil d'accès à distance que vous n'avez pas installé est la principale porte d'entrée des attaques contre les entreprises. Tout nouveau logiciel est visible sous 15 minutes, et comme vous marquez vos propres outils comme autorisés, le reste saute aux yeux.

BUH-03 · comptabilité · logiciels sur 24 honline

Logiciels installés · 41 → 43 · deux nouveaux cette nuit

+ newAnyDesk 8.1.0installé à 13:10 · hors listeNOUVEAU

okScreenConnect 24.1votre outil · autoriséOK

+ newTeamViewer 15installé à 09:42 · hors listeNOUVEAU

okSlack 4.39—OK

13:10 règle « nouvel outil d'accès à distance » → Telegram au dirigeant, ticket

Détecte les clés USB inconnues · vérification toutes les 15 s

Clé USB inconnue bloquée jusqu'à votre validation.

Le périphérique est comparé à la liste des supports autorisés ; sous Windows et Linux, l'agent le bloque jusqu'à votre décision. Vous êtes prévenu sur Telegram, et l'autoriser se fait en un clic dans la console.

Telegram · hw·keeper bot · USB sur REC-01 : 0 → 1 inconnue12:58

hw·keeper

REC-01 · accueil
Clé USB inconnue bloquée.

Kingston DataTraveler 64 GB · VID 0951 · PID 1666
utilisateur reception · 12:58

Ouvrir dans la console hw·keeper

Détecte les barrettes échangées · numéro de série de chaque module

Une barrette mémoire a été remplacée par une plus petite. 32 Go avant, 24 maintenant.

Un inventaire classique affichera « 24 Go » sans dire quelle barrette est partie, ni quand. Nous conservons le numéro de série de chaque module et détectons l'échange même quand la capacité totale n'a pas bougé.

CLASS-2-09 · salle informatique · mémoireonline

4 emplacements · ~~32 GB~~ → 24 GB · moins 8 GB

DIMM1 · remplacé à 12:15

~~16 GB~~ → 8 GB

~~8C5A…1D~~ → 2F19…7B

DIMM2 · inchangé

16 GB

8C5A…22

DIMM3

—

vide

DIMM4

—

vide

12:15 module mémoire remplacé · 16 GB → 8 GB · CRITICAL → Telegram, ticket #420 · PDF pour les services généraux

Détecte les mineurs et logiciels interdits · sous 15 minutes

La nuit, un mineur tourne sur une station de travail. L'électricité est à vous, les cryptos pour un autre.

Tout nouveau logiciel est visible sous 15 minutes après son installation, pas à l'arrivée de la facture d'électricité. Une liste de mineurs prête à l'emploi s'active en un clic.

DESIGN-04 · design · logiciels sur 24 honline · 9 h 40 min

Logiciels installés · 58 → 60 · les deux la nuit

+ newXMRig 6.21installé à 02:14 · mineurINTERDIT

+ newNiceHash Minerinstallé à 02:16 · mineurINTERDIT

okAdobe Photoshop 2026—OK

okFigma—OK

02:14 mineur · poste allumé sans interruption depuis 17:30 · CRITICAL → Telegram, ticket #421

Détecte les modifications du BIOS · dès l'instantané suivant

Cette nuit, quelqu'un a touché au BIOS. Ce matin, personne n'avoue.

Un changement de version du BIOS est un signe précoce d'intrusion. Nous le voyons dès l'instantané suivant, à l'heure près, avant que le pire n'arrive. L'état de Secure Boot et du TPM figure dans la fiche de chaque poste.

SRV-02 · salle serveurs · BIOS et firmwaresonline

Changements cette nuit · 0 → 1 · 03:14

BIOSversion2.17.0 → 2.18.0 · 03:14REVIEW

Secure Bootdémarrage sécuriséactivéOK

TPM 2.0activéinchangéOK

03:14 version du BIOS modifiée pendant la nuit → Telegram à l'astreinte, ticket #422

Détecte les écrans débranchés · par numéro de série

Écran débranché à 23:40. Le matin, il n'est plus dans le bureau.

Nous identifions chaque écran par son numéro de série (inscrit dans l'écran lui-même, on parle d'EDID). Un débranchement hors heures de bureau arrive dans le journal à l'heure près, pas dans le procès-verbal d'inventaire un an plus tard.

OFFICE-15 · bureau 15 · écrans et périphériquesonline

Écrans · 2 → 1 · hors heures de bureau

ÉcranDELL U2722D 27"S/N CN0…7K → — · débranché à 23:40ABSENT

ÉcranDELL P2422H 24"S/N CN0…3MOK

USBclavier, sourisinchangésOK

23:40 écran débranché · CRITICAL → Telegram à la sécurité, ticket #423 · PDF avec numéro de série

Détecte les portables disparus · dernière connexion au réseau

Un portable ne donne plus signe de vie depuis trois jours. Le salarié est parti hier.

L'agent enregistre chaque connexion du poste. Si un portable reste muet plus de 24 heures, un événement apparaît dans le journal : vous le savez avant que les RH ne clôturent le départ, pas un mois plus tard à l'inventaire.

LT-042 · portable · Dell Latitude 5540offline · 3 j 4 h

Statut · ~~online~~ → offline · muet depuis lundi

Connexiondernière connexionlun. 27.09 · 18:12 · depuis le bureau3 JOURS

D'habitudechaque jour ouvré09:00–19:00NORMAL

DisqueSamsung PM9A1 512 GBchiffrement activéOK

mar. 18:12 portable muet depuis plus de 24 h → événement « hors ligne », ticket #425

Commencer gratuitement Comment ça marche

01 / 09

50postes gratuits

4 OSwindows · macos · linux · android

~10 Moagent — un seul fichier

15 scontrôle USB

hw·keeper — tous les postes de l'entrepriseen direct · 15:07:43

Postes

248

En ligne

23193%

Changements sur 24 h

Alertes

42 graves

14:02BUH-07 disque absentCRITICALSamsung 870 EVO 1 To · S6PPNX0T4… → —

13:47LAB-12 carte graphique remplacéeCRITICALRTX 4090 → RTX 3060

13:10SALES-03 AnyDesk 8.1 installéNOUVEAUabsent de la liste des outils d'accès à distance autorisés

12:58REC-01 clé USB inconnueREVIEWKingston DataTraveler 64 Go · bloquée, en attente de validation

// Ce que nous détectons

Ce que nous détectons.

Toutes les 15 minutes, l'agent compare ce que contenait le poste et ce qu'il contient maintenant. Voici ce qu'il trouve, en termes simples.

S6PPNX0T4… → —CRITICAL

Un disque a été retiré

Quelqu'un a retiré d'un poste un disque contenant des fichiers de travail. Sous 15 minutes, vous recevez un message : quel disque, quel numéro de série, à quelle heure.

~~RTX 4090~~ → RTX 3060

Carte graphique échangée

Une carte graphique haut de gamme a été discrètement remplacée par un modèle bon marché. Nous connaissons le modèle de chacune et vous indiquons aussitôt ce qui était installé, ce qui l'est maintenant et quand.

AnyDesk NOUVEAUScreenConnect OK

Accès à distance non autorisé

Un logiciel de prise en main à distance que vous n'avez pas installé est apparu sur un poste. C'est exactement ainsi que les escrocs entrent chez vous. Nous le repérons sous 15 minutes après l'installation.

Kingston 64GBREVIEW

Une clé USB inconnue a été branchée

Quelqu'un a branché une clé absente de la liste des supports autorisés. Sous Windows et Linux, elle reste bloquée jusqu'à votre décision. Vous êtes prévenu sur Telegram, et l'autoriser se fait en un clic dans la console.

~~32GB~~ → 16GBS/N 8C5A…1D → 2F19…7B

Mémoire échangée

Une barrette a été retirée ou remplacée par une plus petite. Dans un inventaire classique, la capacité peut rester la même — le numéro de série, non. C'est lui que nous suivons.

BIOS 2.17 → 2.1803:14 · la nuit

BIOS et écrans

Quelqu'un a mis à jour le BIOS ou débranché un écran pendant la nuit. Cela aussi arrive dans le journal, à l'heure près.

// Pourquoi un inventaire classique ne le voit pas — et HWKeeper si

Un inventaire classique montre ce qui est installé aujourd'hui. Il ne se souvient pas d'hier.

Les logiciels d'inventaire et les outils de gestion à distance (les RMM) n'enregistrent que l'état actuel. HWKeeper retient le numéro de série de chaque composant et compare les instantanés : avant, après. Le même poste vu par les deux outils :

Inventaire classique · aujourd'hui

Mémoire8 Go

Disque1 × 1 To

Carte graphiqueRTX 3060

Clés USB—

TOUT VA BIEN

HWKeeper · le même poste

Mémoire~~16 Go~~ → 8 Go · barrette 8C5A…1D disparue à 14:02

Disque1 × 1 To · n° de série ~~S6PPNX0T4…~~ → S6PP3Q1R8… · ce n'est plus le même disque

Carte graphique~~RTX 4090~~ → RTX 3060 · remplacée hier à 13:47

Clés USBKingston 64 Go · branchée à 12:58 · bloquée

4 CHANGEMENTS · 2 GRAVES

HWKeeper ne remplace pas l'outil avec lequel vous gérez vos postes : les mises à jour et l'accès à distance y restent. Nous nous installons à côté et vous signalons ce qui lui a échappé.

// Comment ça marche

Un petit programme. Opérationnel une minute après l'installation.

Rien à configurer, rien à maintenir. Un seul fichier de 10 Mo pour Windows, macOS et Linux, qui tourne en arrière-plan sans gêner personne. Pour les téléphones et tablettes, il existe une application Android.

processeur · mémoire · disque · clés USB
→ instantané n° 1

Le programme mémorise le contenu du poste

Dès l'installation, il enregistre tout le matériel avec les numéros de série, la liste des logiciels et des périphériques connectés. C'est le point de départ. Installation via l'installeur ou en une seule commande dans le terminal.

~~32 Go~~ → 16 Go
instantané n° 124 → n° 125

Toutes les 15 minutes, il vérifie ce qui a changé

Chaque nouvel instantané est comparé au précédent. Si quelque chose diffère — barrette, disque, logiciel, clé USB —, une entrée est créée : avant, après, et à quelle heure.

SI AnyDesk apparaît
↓
ALORS alerte · blocage

Vous décidez de ce qui doit être signalé

Les règles sont simples : « si un outil d'accès à distance apparaît, prévenir le dirigeant sur Telegram ». Et des heures calmes, pour n'être dérangé la nuit que pour les cas graves.

e-mail · Telegram
→ ticket #419

L'alerte arrive là où vous la verrez

Par e-mail, sur Telegram ou dans votre outil de ticketing via webhook. Et si vous le souhaitez, un bref récapitulatif hebdomadaire de tous les postes.

// Rapport sur 30 jours BIENTÔT

Au bout d'un mois, vous savez exactement ce qui est arrivé à vos postes.

Imaginez que chaque poste tienne un journal de bord. Toutes les 15 minutes, on y note ce qui a changé. Au bout de 30 jours, tous les journaux sont réunis en un seul rapport : une page, des chiffres, zéro jargon.

Rapport sur 30 jours · Exemple SARL · 1–30 septembre48 postes · EXEMPLE

17changements à votre insu

4graves — à examiner

44 sur 48postes sans incident

Calendrier du mois un carré = un jour

journée calmequelque chose a changéévénement grave

Ce qui a changé 17 événements

Clés USB hors liste branchéestoutes bloquées · 6 autorisées · 3 refusées9

Outils d'accès à distance installésAnyDesk ×2, TeamViewer ×1 · pas par vous3

Composants changés dans un postecarte graphique LAB-12 · barrette mémoire CLASS-2-092

Réglages du BIOS modifiésSRV-02 · les deux fois la nuit2

Disque retiréBUH-07 · chiffrement désactivé1

À faire 3 actions

Retrouver le disque de BUH-07. Retiré le 10 septembre à 14:02, il contenait la base clients.
Vérifier la carte graphique de LAB-12. Une RTX 3060 remplace la RTX 4090 depuis le 17 septembre.
Demander qui a installé AnyDesk sur BUH-03. Si personne ne sait, le poste part chez le responsable sécurité.

Télécharger le PDF Envoyer au dirigeant Voir le mois précédent

15m

Comment il est construit

Toutes les 15 minutes, le programme contrôle chaque poste et note ce qui a changé : barrette, disque, clé USB, logiciel. Comme un journal qui se tient tout seul.

30j

Ce qu'il contient

Combien de changements au total, lesquels sont graves, quels jours ils ont eu lieu, et la liste des actions dès la première page. Pas de courbes de charge processeur ni de termes à chercher sur Google.

À qui il sert

Au dirigeant, pour savoir que rien ne disparaît dans l'entreprise. Aux services généraux, pour ne pas chercher les pertes lors de l'inventaire annuel. Aux prestataires d'infogérance, pour montrer au client ce qu'il paie.

Ce rapport est en cours de développement ; les chiffres de l'exemple sont fictifs. Le produit propose déjà 180 rapports prêts à l'emploi et un récapitulatif hebdomadaire par e-mail.

// Un document à présenter BIENTÔT

Une disparition constatée ? Obtenez une attestation : quoi, où, quand, qui.

Constater la disparition, c'est la moitié du travail. Il faut ensuite la prouver : au dirigeant, à la sécurité, à l'assureur. Nous conservons chaque événement avec les numéros de série et l'heure exacte, et en un clic nous en tirons une attestation PDF.

EXEMPLE

Attestation d'événement #418hwkeeper.com · Exemple SARL

Ce qui s'est passé: Un disque a été retiré du poste
Poste: BUH-07 · comptabilité
Composant: Samsung 870 EVO 1 To · numéro de série S6PPNX0T4…
Avant: Présent · contrôle du 10.09 à 13:47
Après: Absent · contrôle du 10.09 à 14:02
Quand exactement: 10 septembre, entre 13:47 et 14:02
Chiffrement: Désactivé sur ce poste : les données du disque sont lisibles
Personnes prévenues: dirigeant (Telegram, 14:02) · ticket #418

généré automatiquement · 10.09 14:03hwkeeper.com

👔

Pour le dirigeant

Ce qui a disparu, quand et de quel poste, sur une seule page. Pas un « on dirait que quelque chose cloche », mais un fait avec numéro de série.

🔒

Pour la sécurité

Pour tirer une disparition au clair, il faut un numéro de série et une heure. L'attestation contient les deux, à 15 minutes près.

🛡️

Pour l'assureur

L'assureur demandera quand c'est arrivé et comment vous l'avez su. La réponse est prête avant la question.

🙋

Pour le salarié

Elle protège aussi les personnes honnêtes : si quelqu'un déjeunait à 14:02, l'attestation le montre, et personne n'est accusé à tort.

L'attestation en un clic est en cours de développement. Dès aujourd'hui, le journal des événements de n'importe quelle période s'exporte en tableur ou s'imprime en PDF.

// Installer

Une minute après l'installation, le poste apparaît dans la liste.

Téléchargez l'installeur, lancez-le, c'est tout. Le programme commence aussitôt à envoyer des données : le premier instantané du poste arrive en moins d'une minute. Aucun réglage, aucun redémarrage, aucune attente.

1min

Premières données une minute après le lancement de l'installeur.Ensuite, le programme travaille seul : il contrôle le poste toutes les 15 minutes et vous prévient si quelque chose change.