O que é o ciclo de vida do gerenciamento de vulnerabilidades?

Todos os meses, o Instituto Nacional de Padrões e Tecnologia dos EUA (NIST) adiciona mais de 2.000 novas vulnerabilidades de segurança ao National Vulnerability Database. As equipes de segurança não precisam monitorar todas essas vulnerabilidades, mas precisam de uma maneira de identificar e resolver aquelas que representam uma ameaça potencial aos seus sistemas. É para isso que serve o ciclo de vida do gerenciamento de vulnerabilidades.

Um ciclo normal de gerenciamento de vulnerabilidades inclui cinco etapas:

1. Inventário de ativos e avaliação de vulnerabilidades.
2. Priorização de vulnerabilidades.
3. Resolução de vulnerabilidades.
4. Verificação e monitoramento.
5. Relatórios e melhorias.

O ciclo de vida do gerenciamento de vulnerabilidades permite que as organizações melhorem sua postura de segurança, adotando uma abordagem mais estratégica para o gerenciamento de vulnerabilidades. Em vez de reagir a novas vulnerabilidades conforme elas surgem, as equipes de segurança procuram ativamente falhas em seus sistemas. As organizações podem identificar as vulnerabilidades mais críticas e colocar proteções em prática antes que os invasores ajam.

Uma vulnerabilidade é qualquer fraqueza na estrutura, função ou implementação de uma rede ou ativo que hackers podem explorar para prejudicar uma empresa.

As vulnerabilidades podem surgir de falhas fundamentais na construção de um ativo. Foi o caso da infame vulnerabilidade Log4J, em que erros de codificação em uma biblioteca Java popular permitiam que hackers executassem malwares remotamente nos computadores das vítimas. Outras vulnerabilidades surgem de erros humanos, como uma configuração incorreta de um bucket de armazenamento em nuvem, que expõe dados sensíveis à internet pública.

Toda vulnerabilidade é um risco para as organizações. De acordo com oX-Force Threat Intelligence Index da IBM, a invasão de vulnerabilidades em aplicativos voltados para o público é um dos vetores de ataques cibernéticos mais comuns. 

Os hackers têm um estoque crescente de vulnerabilidades à disposição. Em resposta, as empresas tornaram o gerenciamento de vulnerabilidades um componente essencial de suas estratégias de gerenciamento de riscos cibernéticos. O ciclo de vida do gerenciamento de vulnerabilidades oferece um modelo formal para programas eficazes de gerenciamento de vulnerabilidades em um cenário de ameaças cibernéticas em constante mudança. Com a adoção do ciclo de vida, as organizações podem experimentar alguns dos seguintes benefícios:

• Descoberta e resolução proativas de vulnerabilidades: muitas empresas só descobrem suas vulnerabilidades quando os hackers já as exploraram. O ciclo de vida do gerenciamento de vulnerabilidades é baseado em monitoramento contínuo, permitindo que as equipes de segurança encontrem vulnerabilidades antes dos adversários.
  
  
• Alocação estratégica de recursos: com dezenas de milhares de novas vulnerabilidades descobertas a cada ano, apenas algumas são relevantes para uma organização. O ciclo de vida do gerenciamento de vulnerabilidades ajuda as empresas a identificar as vulnerabilidades mais críticas e priorizar os maiores riscos para remediação.
  
  
• Um processo de gerenciamento de vulnerabilidades mais consistente: o ciclo de vida do gerenciamento de vulnerabilidades oferece às equipes de segurança um processo padronizado, que vai da identificação das vulnerabilidades até sua remediação e etapas posteriores. Um processo mais consistente gera resultados mais previsíveis e permite que as empresas automatizem fluxos de trabalho importantes, como inventário de ativos, avaliação de vulnerabilidades e gerenciamento de patches.

Novas vulnerabilidades podem surgir em uma rede a qualquer momento, por isso o ciclo de vida do gerenciamento de vulnerabilidades é um ciclo contínuo, em vez de uma série de eventos distintos. Cada rodada do ciclo de vida alimenta diretamente a próxima. Um ciclo normal geralmente contém os seguintes estágios:

Estágio 0: planejamento e pré-trabalho

Tecnicamente, o planejamento e o pré-trabalho ocorrem antes do início do ciclo de vida do gerenciamento de vulnerabilidades, daí a designação "Estágio 0". Durante esse estágio, a organização define os detalhes críticos do processo de gerenciamento de vulnerabilidades, incluindo:

• Quais stakeholders estarão envolvidos e seus papéis.
  
  
• Recursos, incluindo pessoas, ferramentas e financiamento, disponíveis para o gerenciamento de vulnerabilidades
  
  
• Diretrizes gerais para a priorização e resposta a vulnerabilidades
  
  
• Métricas para medir o sucesso do programa.

As organizações não passam por esse estágio antes de cada ciclo do gerenciamento de vulnerabilidades. Geralmente, uma empresa realiza uma fase extensiva de planejamento e pré-trabalho antes de lançar um programa formal de gerenciamento de vulnerabilidades. Quando o programa está em funcionamento, os stakeholders revisitam regularmente o planejamento e as atividades preparatórias para ajustar suas diretrizes e estratégias, se necessário.

Estágio 1: descoberta de ativos e avaliação de vulnerabilidades

O ciclo de vida do gerenciamento formal de vulnerabilidades começa com um inventário de ativos, um catálogo de todo o hardware e software na rede da organização. O inventário inclui aplicativos e endpoints oficialmente sancionados e todos os ativos de TI invisível que os funcionários usam sem aprovação.

Como novos ativos são adicionados regularmente às redes da empresa, o inventário de ativos é atualizado antes de cada rodada do ciclo de vida. As empresas costumam usar ferramentas de software, como plataformas de gerenciamento de superfície de ataque, para automatizar seus inventários.

Após identificar os ativos, a equipe de segurança os avalia em busca de vulnerabilidades. A equipe pode utilizar uma combinação de ferramentas e métodos, incluindo scanners automatizados de vulnerabilidades, testes de penetração manuais e inteligência de ameaças externas da comunidade de cibersegurança.

Avaliar cada ativo em todas as etapas do ciclo de vida seria uma tarefa pesada, por isso as equipes de segurança geralmente trabalham em grupos. Cada rodada do ciclo de vida foca em um grupo específico de ativos, com os grupos mais críticos sendo avaliados com mais frequência. Algumas ferramentas avançadas de escaneamento de vulnerabilidades avaliam continuamente todos os ativos da rede em tempo real, permitindo que a equipe de segurança adote uma abordagem mais dinâmica para a descoberta de vulnerabilidades.

Estágio 2: priorização de vulnerabilidades

A equipe de segurança prioriza as vulnerabilidades encontradas no estágio de avaliação. A priorização garante que a equipe lide primeiro com as vulnerabilidades mais críticas. Este estágio também ajuda a equipe a evitar dedicar tempo e recursos a vulnerabilidades de baixo risco. 

Para priorizar as vulnerabilidades, a equipe considera os seguintes critérios:

• Classificações de criticidade de inteligência de ameaças externas: isso pode incluir a lista de Vulnerabilidades e Exposições Comuns (CVE) da MITRE ou o Common Vulnerability Scoring System (CVSS).
  
  
• Criticidade do ativo: uma vulnerabilidade não crítica em um ativo essencial costuma ter prioridade mais alta do que uma vulnerabilidade crítica em um ativo de menor importância. 
  
  
• Impacto potencial: a equipe de segurança avalia o que pode acontecer se os hackers explorarem uma vulnerabilidade específica, incluindo os efeitos nas operações empresariais, perdas financeiras e possibilidade de ações legais
  
  
• Probabilidade de invasão: a equipe de segurança presta mais atenção às vulnerabilidades com explorações conhecidas que os hackers estão utilizando ativamente.
  
  
• Falsos positivos: a equipe de segurança garante que as vulnerabilidades realmente existam antes de alocar recursos para elas.

Estágio 3: resolução da vulnerabilidade

A equipe de segurança lida com a lista de vulnerabilidades priorizadas, começando pelas mais críticas até as menos críticas. A equipe de segurança lida com a lista de vulnerabilidades priorizadas, começando pelas mais críticas até as menos críticas.

1. Remediação: lidar completamente com uma vulnerabilidade para que ela não possa mais ser explorada, como corrigir um bug no sistema operacional, resolver uma configuração incorreta ou remover um ativo vulnerável da rede. A remediação nem sempre é viável. Para algumas vulnerabilidades, correções completas não estão disponíveis no momento da descoberta (por exemplo, vulnerabilidades de dia zero). Para outras vulnerabilidades, a remediação consumiria muitos recursos.
   
   
2. Mitigação: tornar uma vulnerabilidade mais difícil de explorar ou reduzir o impacto da exploração sem removê-la totalmente. Por exemplo, adicionar medidas de autenticação mais rígidas a uma aplicação da web dificultaria a invasão de contas por hackers. A elaboração de planos de resposta a incidentes para vulnerabilidades identificadas pode diminuir o impacto dos ataques cibernéticos. As equipes de segurança geralmente escolhem mitigar quando a remediação é impossível ou muito cara. 
   
   
3. Aceitação: algumas vulnerabilidades tem um impacto tão baixo ou tão improváveis de serem exploradas que não valeria a pena corrigi-las do ponto de vista financeiro. Nesses casos, a organização pode optar por aceitar a vulnerabilidade.

Estágio 4: verificação e monitoramento

Para verificar se os esforços de mitigação e remediação funcionaram conforme o esperado, a equipe de segurança realiza novas varreduras e testes nos ativos que acabaram de ser trabalhados. Essas auditorias têm dois objetivos principais: determinar se a equipe de segurança tratou com sucesso todas as vulnerabilidades conhecidas e garantir que a mitigação e a remediação não introduziram novos problemas.

Como parte desse estágio de reavaliação, a equipe de segurança também monitora a rede de forma mais ampla. A equipe procura por novas vulnerabilidades desde a última varredura, mitigações antigas que se tornaram obsoletas ou outras alterações que possam exigir ação. Todas essas descobertas ajudam a informar a próxima rodada do ciclo de vida.

Estágio 5: relatório e melhoria

A equipe de segurança documenta as atividades da rodada mais recente do ciclo de vida, incluindo vulnerabilidades encontradas, etapas de resolução tomadas e os resultados. Esses relatórios são compartilhados com stakeholders relevantes, incluindo executivos, proprietários de ativos, departamentos de conformidade e outros. 

A equipe de segurança também reflete sobre como a rodada mais recente do ciclo de vida foi conduzida. A equipe pode avaliar métricas importantes, como o tempo médio para detectar (MTTD), o tempo médio para responder (MTTR), o número total de vulnerabilidades críticas e as taxas de recorrência de vulnerabilidades. Ao monitorar essas métricas ao longo do tempo, a equipe de segurança pode estabelecer uma base de referência para o desempenho do programa de gerenciamento de vulnerabilidades e identificar oportunidades para melhorar o programa. As lições aprendidas em uma rodada do ciclo de vida podem tornar a próxima mais efetiva.