Priorização e Correção de Descobertas

Uma varredura de vulnerabilidades empresarial típica retorna milhares de descobertas. Sem uma abordagem sistemática de priorização, as equipes acabam ignorando tudo ou apagando incêndios aleatoriamente. Uma correção eficaz começa pela triagem.

A pontuação base do CVSS fornece uma referência de gravidade independente do fornecedor. Comece pelos níveis Crítico, de 9,0 ou mais, e Alto, de 7,0 a 8,9. Porém, o CVSS sozinho é insuficiente: ele não considera o seu ambiente específico nem a possibilidade de exploração.

Ajuste a prioridade com base em: criticidade do ativo, como um servidor de pagamentos; exposição à internet, isto é, se a porta pode ser acessada externamente; sensibilidade dos dados, como o armazenamento de PII ou credenciais; e controles compensatórios.

As pontuações do EPSS preveem a probabilidade de exploração nos próximos 30 dias. Uma vulnerabilidade com CVSS alto e EPSS baixo, sem exploração conhecida, pode ser menos urgente do que uma vulnerabilidade com CVSS médio e EPSS alto, que esteja sendo explorada ativamente no ambiente real.

O catálogo KEV da CISA lista CVEs com exploração ativa confirmada. Qualquer CVE presente na lista KEV deve ser tratado como prioridade máxima, independentemente da pontuação do CVSS.

Crie uma matriz simples: CVSS × criticidade do ativo × exposição à internet = pontuação de risco. Aplique primeiro as correções para os casos Crítico × Crítico × Externo; deixe os casos Baixo × Interno × Sem exploração para ciclos posteriores.

Priorize → atribua um chamado ao responsável → defina o SLA (Crítico: 24 horas, Alto: 7 dias, Médio: 30 dias, Baixo: 90 dias) → verifique a aplicação da correção → faça uma nova varredura para confirmar o encerramento.

Muitas descobertas são configurações incorretas, não correções ausentes: painéis administrativos abertos, credenciais padrão, mensagens de erro detalhadas e listagens de diretórios. Em geral, elas são corrigidas com alterações de configuração, sem necessidade de indisponibilidade.

Um bom chamado inclui: ID de CVE, máquina e serviço afetados, pontuação do CVSS, evidências, como a saída da ferramenta de varredura, etapas detalhadas da correção, etapas de verificação e prazo. Elimine ambiguidades — os desenvolvedores não devem precisar pesquisar como aplicar a correção.

Acompanhe o tempo médio para remediação (MTTR) por gravidade. Informe semanalmente à administração as taxas de conformidade com a aplicação de correções. A análise de tendências revela se sua postura de segurança está melhorando ou se deteriorando.

Documente os falsos positivos aceitos, incluindo a justificativa e a aprovação do revisor. Reavalie as exceções aceitas trimestralmente. Suprimir falsos positivos sem documentação é uma dívida técnica.

O gerenciamento eficaz de vulnerabilidades envolve triagem, não perfeição. Use o CVSS como referência inicial, o EPSS para a probabilidade de exploração, o KEV para explorações confirmadas no mundo real e o contexto do ativo para ajustar a prioridade. Escreva tickets claros, defina SLAs e meça o MTTR para demonstrar melhoria contínua às partes interessadas.