Inteligência de ameaças e gerenciamento de vulnerabilidades
Aprenda a acompanhar vulnerabilidades, priorizá-las com CVSS e inteligência de ameaças e executar um ciclo contínuo de correção em um fluxo de DevSecOps.
Inteligência de ameaças e gerenciamento de vulnerabilidades é uma aula grátis de Secure Coding & OWASP Top 10 for Backend no CoddyKit. Esta é a aula 4 de 4. Você pode ler a aula completa abaixo gratuitamente — depois pratica ao vivo no navegador com um editor de código integrado e um tutor de IA 24/7. Faz parte do caminho de aprendizado de Secure Coding & OWASP Top 10 for Backend, e seu progresso é sincronizado entre a web e o app CoddyKit. O curso de Secure Coding & OWASP Top 10 for Backend inclui 4 aulas no total.
Partes desta aula ainda não foram traduzidas e aparecem em inglês.
Why Vulnerability Management?
New vulnerabilities appear daily. Vulnerability management is the ongoing process of discovering, prioritizing, and remediating weaknesses before attackers exploit them. It is a continuous loop, not a one-time scan.
The Management Lifecycle
The lifecycle has clear stages:
- Discover: find vulnerabilities via scans and feeds
- Prioritize: rank by risk
- Remediate: patch, mitigate, or accept
- Verify: confirm the fix
- Report: track metrics over time
CVE and CVSS
A CVE is a unique identifier for a known vulnerability. CVSS is a 0-10 score describing severity based on factors like attack vector and impact. CVSS gives a baseline, but it is not the whole story.
Reading a CVSS Score
CVSS bands roughly map to urgency. Use them to triage, but always combine with context.
def severity(score):
if score >= 9.0:
return 'Critical'
if score >= 7.0:
return 'High'
if score >= 4.0:
return 'Medium'
if score > 0.0:
return 'Low'
return 'None'
for s in [9.8, 7.5, 4.3, 2.1]:
print(s, severity(s))Threat Intelligence
Threat intelligence adds real-world context: Is this CVE being actively exploited? Is there public exploit code? Feeds like CISA KEV and EPSS help you focus on what attackers are actually using right now.
Risk-Based Prioritization
Severity alone is misleading. A medium-CVSS bug under active exploitation on an internet-facing system may outrank a critical bug on an isolated internal tool. Combine severity, exploitability, and asset exposure.
def priority(cvss, exploited, internet_facing):
score = cvss
if exploited:
score += 3
if internet_facing:
score += 2
return round(min(score, 15), 1)
print(priority(5.0, True, True)) # medium CVE but urgent
print(priority(9.0, False, False)) # critical but isolatedSoftware Bill of Materials
An SBOM lists every component and version in your software. When a new CVE drops, an SBOM lets you instantly answer: are we affected, and where?
Integrating into CI/CD
In DevSecOps, vulnerability scanning runs automatically on every build: dependency scanning, container image scanning, and IaC scanning. Builds can fail when a new critical issue is found, shifting detection left.
Remediation Options
Remediation is not always a patch. Your options are:
- Patch or upgrade the component
- Mitigate with a workaround or compensating control
- Accept the risk formally if impact is low
Track each decision with an owner and a deadline.
SLAs and Metrics
Define remediation SLAs by severity (for example, critical within days, high within weeks). Track metrics like mean time to remediate so the program improves measurably over time.
Feeding Incident Response
Vulnerability data and threat intel inform incident response: knowing which CVEs are exploited helps responders recognize attacks faster and patch the right systems first during an incident.
Quick Check
Test your understanding of vulnerability management.
Recap
You learned the vulnerability management lifecycle, how to read CVSS, and how threat intelligence and SBOMs enable risk-based prioritization. Integrating scanning into CI/CD, setting remediation SLAs, and feeding incident response close the loop in a mature DevSecOps program.
Perguntas Frequentes
A aula “Inteligência de ameaças e gerenciamento de vulnerabilidades” é grátis?
Sim — o texto completo de “Inteligência de ameaças e gerenciamento de vulnerabilidades” é grátis para ler aqui na web. Para praticá-la interativamente (um editor de código integrado e um tutor de IA 24/7) e desbloquear o restante do curso de Secure Coding & OWASP Top 10 for Backend, atualize para CoddyKit PRO. O curso de Secure Coding & OWASP Top 10 for Backend inclui 4 aulas no total.
O que vou aprender em “Inteligência de ameaças e gerenciamento de vulnerabilidades”?
Aprenda a acompanhar vulnerabilidades, priorizá-las com CVSS e inteligência de ameaças e executar um ciclo contínuo de correção em um fluxo de DevSecOps. Você pratica Secure Coding & OWASP Top 10 for Backend com código prático que executa diretamente no navegador, e um tutor de IA 24/7 responde suas dúvidas enquanto trabalha na aula.
Preciso ter experiência prévia para começar Secure Coding & OWASP Top 10 for Backend?
Nenhuma experiência prévia é necessária. Secure Coding & OWASP Top 10 for Backend no CoddyKit é estruturado para alunos iniciantes até avançados, então você pode começar aqui ou desde o início e aprender no seu ritmo. Esta é a aula 4 de 4.
Quanto tempo leva a aula “Inteligência de ameaças e gerenciamento de vulnerabilidades”?
A maioria das aulas CoddyKit leva cerca de 5–10 minutos. Cada uma é compacta e interativa, então você faz progresso constante e retoma exatamente de onde parou entre web e app.
Posso escrever e executar código nesta aula de Secure Coding & OWASP Top 10 for Backend?
Sim. Cada aula de Secure Coding & OWASP Top 10 for Backend inclui um editor de código integrado, então você escreve e executa código real direto no navegador e recebe feedback de IA instantaneamente — nenhuma configuração local necessária.
Todas as aulas deste curso
- Integração da segurança em CI/CD (DevSecOps)
- Testes de segurança (SAST, DAST, IAST)
- Resposta a incidentes e recuperação de desastres
- Inteligência de ameaças e gerenciamento de vulnerabilidades