Uma vulnerabilidade de segurança é qualquer fraqueza na estrutura, função ou implementação de um ativo de TI ou rede que hackers ou outros agentes de ameaças possam explorar para obter acesso não autorizado e causar danos à rede, aos usuários ou à empresa. As vulnerabilidades comuns incluem:

•  Falhas de codificação, como aplicativos da web suscetíveis a scripts entre sites, injeção SQL e outros ataques de injeção devido à forma como lidam com as entradas do usuário.
  
  
• Portas abertas desprotegidas em servidores, notebooks e outros endpoints, que os hackers podem usar para espalhar malware.
  
  
• Configurações incorretas, como um bucket de armazenamento em nuvem que expõe dados confidenciais à Internet pública porque tem permissões de acesso inadequadas . 
  
  
• Patches ausentes, senhas fracas ou outras deficiências na higiene da cibersegurança.

Milhares de novas vulnerabilidades são descobertas todos os meses. Dois órgãos do governo dos Estados Unidos mantêm catálogos pesquisáveis de vulnerabilidades de segurança conhecidas - o National Institute of Standards and Technologies, ou NIST, e a Cybersecurity and Infrastructure Security Agency, ou CISA (os links estão fora do ibm.com).

Infelizmente, embora as vulnerabilidades sejam completamente documentadas depois de descobertas, hackers e outros agentes de ameaças geralmente as encontram primeiro, permitindo que peguem as organizações de surpresa.

Para adotar uma postura de segurança mais proativa face a estas ameaças cibernéticas, as equipas de TI implementam programas de gestão de vulnerabilidades . Esses programas seguem um processo contínuo para identificar e resolver riscos de segurança antes que os hackers possam explorá-los. As verificações de vulnerabilidades são normalmente a primeira etapa no processo de gerenciamento de vulnerabilidades, revelando os pontos fracos de segurança que as equipes de TI e de segurança precisam resolver. 

Muitas equipes de segurança também usam verificações de vulnerabilidade para

• Valide medidas e controles de segurança — depois de implementar novos controles, as equipes geralmente executam outra verificação para confirmar que as vulnerabilidades identificadas foram fechadas e que os esforços de correção não introduziram novos problemas.
   

• Mantenha a conformidade normativa — algumas regulamentações exigem explicitamente verificações de vulnerabilidade. Por exemplo, o Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI-DSS) exige que as organizações que lidam com os dados dos titulares de cartão verificam trimestralmente (link reside fora de ibm.com).

Existem muitos tipos diferentes de verificadores, e as equipes de segurança muitas vezes usam uma combinação de ferramentas para obter uma visão abrangente das vulnerabilidades da rede. 

Alguns verificadores se concentram em tipos específicos de ativos. Por exemplo, os verificadores de nuvem se concentram em serviços de nuvem, enquanto as ferramentas de verificação de aplicativos da web procuram falhas em aplicativos da web. 

Os verificadores podem ser instalados localmente ou entregues como apps software-as-a-service (SaaS). Verificadores de vulnerabilidade de código aberto e ferramentas pagas são comuns. Algumas organizações terceirizam totalmente a verificação de vulnerabilidades para provedores de serviços terceirizados.

Embora os verificadores de vulnerabilidades estejam disponíveis como soluções independentes, cada vez mais os fornecedores os oferecem como parte de conjuntos holísticos de gerenciamento de vulnerabilidades. Essas ferramentas combinam vários tipos de verificadores com gerenciamento de superfície de ataque, gerenciamento de ativos, gerenciamento de patches e outras funções importantes em uma única solução. 

Muitos verificadores oferecem suporte a integrações com outras ferramentas de segurança cibernética, como sistemas de gerenciamento de eventos e informações de segurança (SIEMs) e ferramentas de detecção e resposta de endpoints (EDR).

As equipes de segurança podem executar diferentes tipos de verificações, dependendo de suas necessidades. Alguns dos tipos mais comuns de verificações de vulnerabilidades incluem: 

• As verificações de vulnerabilidades externas examinam a rede de fora. Eles se concentram em falhas em ativos voltados para a Internet, como apps da Web e controles de perímetro de teste, como firewalls. Essas verificações mostram como um hacker externo pode invadir uma rede.
   

• As verificações de vulnerabilidades internas analisam as vulnerabilidades de dentro da rede. Eles esclarecem o que um hacker poderia fazer se conseguisse entrar, incluindo como ele poderia se mover lateralmente e as informações confidenciais que poderia roubar em uma violação de dados.
   

• As verificações autenticadas, também chamadas de "verificações credenciadas", exigem os privilégios de acesso de um usuário autorizado. Em vez de apenas ver um aplicativo do lado de fora, o verificador pode ver o que um usuário conectado veria. Essas verificações ilustram o que um hacker poderia fazer com uma conta sequestrada ou como uma ameaça interna pode causar danos. 
   

• As verificações não autenticadas, também chamadas de verificações não credenciadas ", " não têm permissões ou privilégios de acesso. Eles só veem os ativos do ponto de vista de alguém de fora. As equipes de segurança podem executar verificações internas e externas não autenticados.

Embora cada tipo de verificação tenha seus próprios casos de uso, há alguma sobreposição e eles podem ser combinados para atender a diferentes fins. Por exemplo, uma verificação interna autenticada mostraria a perspectiva de uma ameaça interna. Em contraste, uma verificação interna não autenticada mostraria o que um hacker desonesto veria se ultrapassasse o perímetro da rede.

A verificação de vulnerabilidades e o teste de penetração são formas distintas, mas relacionadas, de testes de segurança de rede. Embora tenham funções diferentes, muitas equipes de segurança as usam para complementar umas às outras. 

As verificações de vulnerabilidade são verificações automatizadas e de alto nível dos ativos. Eles encontram falhas e as relatam à equipe de segurança. O teste de penetração, ou teste de caneta, é um processo manual. Os testadores de penetração usam skill de hacking ético não apenas para encontrar vulnerabilidades de rede, mas também para explorá-las em ataques simulados. 

As verificações de vulnerabilidades são mais baratas e fáceis de executar, portanto, as equipes de segurança as usam para acompanhar um sistema. Os testes de penetração exigem mais recursos, mas podem ajudar as equipes de segurança a entender melhor suas falhas de rede.

Usados em conjunto, as verificações de vulnerabilidades e os pen tests podem tornar o gerenciamento de vulnerabilidades mais eficaz. Por exemplo, as verificações de vulnerabilidades oferecem aos testadores de caneta um ponto de partida útil. Enquanto isso, os testes de penetração podem adicionar mais contexto aos resultados da verificação, descobrindo falsos positivos, identificando as causas raiz e explorando como os cibercriminosos podem agrupar vulnerabilidades em ataques mais complexos.