Gestão de vulnerabilidades x proteção das empresas: qual importância?
CIOs e proprietários de empresas estão sob pressão para gerenciar riscos e vulnerabilidades. Com a segurança cibernética em constante estado de mudança, a implementação de uma solução robusta de gestão de vulnerabilidades pode ajudar a proteger sua organização contra ameaças.
Assim, qualquer organização que realiza negócios pela internet é suscetível a um ataque decorrente de uma vulnerabilidade dentro de um sistema conectado. Isso significa que qualquer dispositivo, aplicativo ou ferramenta de nuvem que esteja conectado à rede e não seja gerenciado adequadamente poderá criar uma entrada de backdoor para um agente de ameaça.
Inúmeros incidentes de violação de dados decorrentes de uma única vulnerabilidade poderiam ter sido evitados. Por exemplo, você se lembra do ataque WannaCry de 2017? Os hackers aproveitaram as organizações que não corrigiram e atualizaram o software, em tempo hábil, consequentemente, permitindo que o agente de ameaças utilizasse uma vulnerabilidade conhecida.
A gestão de vulnerabilidades, nesse caso, poderia ter evitado as consequências que, mesmo muito tempo depois, ainda são lembradas quando o assunto é segurança da informação.
Mas o que é uma gestão de vulnerabilidade eficaz?
A gestão de vulnerabilidades é mais do que executar um scanner de vulnerabilidades e remediar as vulnerabilidades resultantes anualmente. Um programa de gestão de vulnerabilidades deve ser robusto e incluir várias verificações por ano, rastreamento e correção detalhados, análise de vulnerabilidades e causas raiz, além de relatórios.
A verificação de vulnerabilidades deve ocorrer com frequência. Ela deve ser determinada pelo apetite de segurança da organização e por quaisquer requisitos regulatórios são aplicáveis. No entanto, é recomendável pelo menos varreduras trimestrais como parte de um programa robusto.
A realização de apenas uma única verificação de vulnerabilidade a cada ano coloca as empresas em risco de não descobrir novas vulnerabilidades por um período prolongado. Esse período do limbo é tudo o que um invasor precisa para comprometer uma rede.
Isso acontece muito com clientes que só querem marcar o check na caixa de segurança para atender aos requisitos regulamentares. Esses clientes geralmente têm as mesmas vulnerabilidades ano após ano e, à medida que o tempo avança, o mesmo ocorre com o número de vulnerabilidades descobertas.
Um programa robusto de gestão de vulnerabilidades segue os quatro processos que abrangem o gerenciamento de vulnerabilidades: descoberta, geração de relatórios, priorização e resposta.
- Descoberta: o processo pelo qual os ativos de rede são encontrados, categorizados e avaliados quanto aos riscos;
- Relatório: o relatório dos dados encontrados cria uma matriz de priorização que pode ser usada para determinar o que precisa ser tratado primeiro. Isso também pode ser usado para mostrar a progressão na correção de vulnerabilidades e na auditoria de conformidade.
- Priorização: priorizar os riscos encontrados ajuda as organizações a entender onde o foco, o orçamento e os processos precisam ser implementados.
- Resposta: a resposta ao risco vem em duas categorias: corrigir (eliminar o risco) e mitigar (atenuar as chances de o risco acontecer novamente).
Como classificar as vulnerabilidades encontradas?
As vulnerabilidades resultantes das verificações podem ser numerosas e esmagadoras. Usando o Common Vulnerability Scoring System (CVSS), essas vulnerabilidades podem ser priorizadas com base no risco. O CVSS é composto por três categorias: base, temporal e ambiental.
A pontuação base representa as qualidades fundamentais da vulnerabilidade e considera as seguintes áreas:
- Vetor de acesso;
- Complexidade;
- Autenticação;
- Impacto da confidencialidade, na integridade e na disponibilidade.
A pontuação temporal representa as características de uma vulnerabilidade que pode mudar ao longo do tempo e considera as seguintes áreas:
- Exploração;
- Nível de correção;
- Relatório de confiança.
A pontuação ambiental representa as características de uma vulnerabilidade que são exclusivas do ambiente de um usuário e considera as seguintes áreas:
- Potencial de dano colateral;
- Distribuição de destino;
- Requisito de confidencialidade, integridade e disponibilidade.
As medições de base e temporais são normalmente atribuídas por profissionais de segurança nos boletins de vulnerabilidade e segurança. Ou seja, as pontuações do CVSS podem ser refinadas ainda mais, calculando as métricas ambientais com base no ambiente da organização.
Embora o processo de execução da gestão de vulnerabilidades seja parte integrante de qualquer organização, o ato de descobrir vulnerabilidades e determinar prioridades de correção geralmente é reservado aos profissionais de segurança (na equipe ou terceirizados). Se uma organização tiver a equipe para isso, um programa completo de gerenciamento de vulnerabilidades poderá ser executado internamente.
O que fazer depois de descobrir as vulnerabilidades?
Uma análise completa deve ser realizada contra vulnerabilidades descobertas para identificar tendências nos dados. Simplesmente corrigir as vulnerabilidades descobertas não é uma opção. O sistema pode voltar a estar funcional, após a correção, mas o risco reaparecerá continuamente nos relatórios de vulnerabilidade, a menos que o processo de correção seja examinado de forma holística.
Juntamente com as tendências na natureza das vulnerabilidades descobertas, um analista deve examinar os principais indicadores de desempenho (KPIs), que podem incluir métricas referentes às vulnerabilidades por sistema operacional e host mais vulnerável. Essas áreas adicionais ajudam a ilustrar os pontos fortes e fracos da organização e permitem que os recursos sejam alocados adequadamente.
Por exemplo, imagine que por meio do processo de gestão de vulnerabilidades, você identificou que tinha um sólido programa de gerenciamento de patches do Windows. Porém, análises posteriores revelaram que negligenciaram o gerenciamento de patches de infraestrutura de rede. Assim, resultando em vulnerabilidades em toda a rede em vários roteadores e switches. Para resolver o problema, você deve fazer um orçamento e obter uma solução de correção de terceiros que atendesse às suas necessidades gerais.
No final do dia, as vulnerabilidades devem ser corrigidas e mitigadas. As listas de vulnerabilidades descobertas podem variar de uma única página a um romance. No entanto, é muito comum descobrir que uma única tarefa de correção resolverá várias vulnerabilidades na lista.
Também é importante rastrear cuidadosamente todos os esforços de correção e seguir os procedimentos de gerenciamento de mudanças organizacionais para garantir que nenhuma vulnerabilidade seja ignorada. Após a conclusão dos esforços de correção, a rede deve ser reavaliada para garantir que todas as vulnerabilidades descobertas foram resolvidas e que novas vulnerabilidades não foram introduzidas.
Como avaliar um fornecedor de segurança
Um programa de gestão de vulnerabilidades de qualquer tamanho requer recursos. Ou seja, ao comprar recursos externos, é recomendável o uso de um fornecedor com experiência na implementação de programas de gestão de vulnerabilidades.
Assim, os fornecedores serão capazes de modificar sua abordagem com base no tamanho, na complexidade e no nível de segurança da sua empresa.
Se você for usar um fornecedor, verifique se a análise pós-avaliação fornece informações valiosas sobre as vulnerabilidades descobertas e as tendências observadas. Os relatórios devem conter informações técnicas detalhadas, como uma lista de vulnerabilidades e uma lista de ativos. Isso permitirá que você faça uma análise mais profunda das vulnerabilidades e identifique tendências de dados.
Além disso, ter um relatório de síntese formal que documente completamente a metodologia utilizada para que possa adaptá-la à liderança executiva, auditores e examinadores é um diferencial.
Um programa de segurança robusto — especialmente um focado no gerenciamento de vulnerabilidades — não precisa ser uma proposta assustadora. Seguir algumas diretrizes básicas pode ajudar sua organização a implementar um e manter-se atualizado sobre os possíveis riscos à segurança.
Não optar por implementar um programa de gestão de vulnerabilidades é aceitar riscos evitáveis. A verificação de vulnerabilidades deve ocorrer com frequência — e, muitas vezes, é exigida várias vezes ao ano por certos regulamentos de conformidade.
Se sua organização precisar de ajuda para gerenciar riscos e vulnerabilidades, veja como a automação de segurança da informação pode te ajudar!
