Varredura e inventário de ativos

Todo programa de gerenciamento de vulnerabilidades se apoia em uma base: saber o que você tem. Um inventário de ativos preciso define o escopo da varredura; tudo o que estiver ausente dele será um ponto cego não monitorado.

IT sombra, instâncias de nuvem esquecidas e contêineres sem gerenciamento são onde as violações se escondem. Primeiro faça o inventário, depois a varredura.

O inventário moderno é mais amplo do que os servidores:

• Máquinas físicas e virtuais, notebooks e dispositivos de rede.
• Instâncias na nuvem, funções sem servidor e contêineres de armazenamento.
• Contêineres e imagens.
• Softwares instalados e versões do OS.
• Domínios expostos publicamente, IP e certificados.

Registre um responsável, o ambiente e a criticidade de cada ativo, não apenas um IP.

A descoberta ativa sonda a rede (varreduras de ping e de portas) para encontrar máquinas ativas. Ela é abrangente, mas gera ruído e pode não detectar ativos que estejam desligados durante a varredura.

A descoberta passiva observa o tráfego, o DHCP e os registros para identificar ativos sem sondá-los. Combine as duas: passiva para obter visibilidade contínua e ativa para alcançar profundidade e validar.

Essa distinção determina a precisão:

• As varreduras não autenticadas veem o que um invasor externo vê: portas abertas, identificadores e serviços expostos. Têm profundidade limitada e mais falsos positivos.
• As varreduras autenticadas (com credenciais) acessam o sistema e leem pacotes instalados, níveis de correção e configurações. São muito mais precisas.

Prefira a varredura autenticada para ativos internos; reserve a não autenticada para obter visões da superfície de ataque externa.

Os Scanner de rede acessam os ativos conforme um cronograma; são ótimos para alcançar amplitude, mas não detectam máquinas desconectadas ou temporárias.

Os agentes instalados nos pontos de extremidade fazem relatórios continuamente, inclusive para notebooks em trânsito e cargas de trabalho efêmeras na nuvem. Muitos programas combinam os dois: agentes para pontos de extremidade gerenciados e varreduras de rede para dispositivos da Internet das Coisas, OT e dispositivos sem gerenciamento.

Os Scanner comparam as versões observadas dos softwares e as configurações com um banco de dados de vulnerabilidades indexado pelos identificadores CVE e CPE.

• CVE — ID exclusivo de uma vulnerabilidade específica.
• CPE — nome padronizado de um produto ou versão.

Se uma máquina tiver um CPE associado a CVEs conhecidos, o Scanner sinalizará o problema. A precisão depende da detecção correta da versão.

Os Scanner não são perfeitos:

• Falsos positivos — sinalizados, mas não exploráveis de fato (por exemplo, uma correção incorporada retroativamente oculta a versão real).
• Falsos negativos — não detectados por causa de uma autenticação malsucedida, portas bloqueadas ou software desconhecido.

A varredura autenticada e a validação reduzem ambos. Sempre ajuste e verifique os resultados antes de encaminhar os achados às equipes de remediação.

A varredura causa impacto operacional. Planeje-a:

• Limite o ritmo para evitar sobrecarregar sistemas frágeis ou sistemas OT e legados.
• Agende varreduras pesadas para janelas de manutenção.
• Use modos de verificação segura; evite complementos intrusivos na produção.
• Coordene com o NOC para que as varreduras não sejam confundidas com ataques.

Uma varredura que derrube um controlador de produção fará você perder o apoio ao programa.

Os ativos na nuvem são efêmeros, portanto os inventários estáticos ficam desatualizados rapidamente. Use a descoberta orientada por interfaces de programação:

• Consulte as interfaces dos provedores de nuvem para obter instâncias, funções, contêineres de armazenamento e grupos de segurança.
• Verifique as imagens de contêiner no registro, não apenas os contêineres em execução.
• Atribua etiquetas aos recursos no momento da criação para que a atribuição de responsabilidade seja automática.

Integre a varredura à integração e entrega contínuas para que as imagens sejam verificadas antes da implantação.

Um inventário só é útil se estiver atualizado. Alimente-o com fontes confiáveis:

• Concilie as varreduras de rede, os agentes e as interfaces de nuvem em uma única fonte confiável (CMDB).
• Sinalize para análise os ativos não vistos há N dias.
• Emita alertas sobre ativos novos ou inesperados (possível IT sombra).

O percentual de cobertura (ativos verificados em relação aos conhecidos) é uma métrica central do programa.

O inventário e os resultados da varredura produzem achados, mas o contexto os transforma em risco. Atribuir aos ativos as características de criticidade, exposição e sensibilidade dos dados permite priorizá-los: um servidor essencial exposto à Internet supera um VM de teste isolado com o mesmo CVE.

Esse contexto dos ativos alimenta diretamente as técnicas de priorização abordadas a seguir.

Um inventário preciso é a base do VM: acompanhe máquinas, recursos na nuvem, contêineres, softwares e a superfície externa, com responsáveis e criticidade. Combine descoberta ativa e passiva, prefira a varredura autenticada ou baseada em agentes para obter precisão e leve em conta falsos positivos, falsos negativos e a segurança das varreduras.

Mantenha o inventário atualizado por meio de conciliação orientada por interfaces e atribua contexto aos ativos para que os achados possam ser priorizados. A seguir: como decidir o que corrigir primeiro usando CVSS, EPSS e KEV.