5 principais etapas do processo de gestão de vulnerabilidades

A mitigação do risco é a peça central do processo de gestão de vulnerabilidades. Embora a correção continue a ser sempre um objetivo válido, não é possível eliminar totalmente o risco, por mais reforçadas que pareçam estar as defesas do seu sistema. Além disso, a principal fonte de vulnerabilidades nas aplicações de software está no interior, no próprio código.

Neste artigo, explicarei as etapas envolvidas na gestão de vulnerabilidades e a forma como esta é utilizada para gerir, mitigar e corrigir riscos de cibersegurança.

Porque é importante o processo de gestão de vulnerabilidades?

Em Code Complete, Steve McConnell afirma que existem cerca de 15 a 50 erros ou falhas por cada 1000 linhas de código entregue. McConnell observou, no entanto, que a aplicação de missão crítica da NASA, o software do vaivém espacial, não tinha quaisquer defeitos de código. Mas este feito impressionante foi alcançado a um custo de milhares de dólares por linha de código!

Escusado será dizer que este custo é simplesmente demasiado proibitivo para a maioria das empresas. Além disso, a maioria não envia naves espaciais para a órbita, onde as vidas dos astronautas são literalmente postas em risco. A gestão de vulnerabilidades é, portanto, um objetivo mais alcançável para as empresas comuns.

Enquanto processo, a gestão de vulnerabilidades implica identificar, avaliar e estabelecer prioridades relativamente às vulnerabilidades de segurança em sistemas, cargas de trabalho e pontos terminais. Depois de as vulnerabilidades terem sido classificadas, o processo centra-se normalmente na correção, na elaboração de relatórios e na resolução satisfatória das ameaças descobertas.

Qual é a diferença entre um programa e um processo de gestão de vulnerabilidades?

Os termos "programa de gestão de vulnerabilidades" e "processo de gestão de vulnerabilidades" estão relacionados, mas representam diferentes aspetos do tratamento das vulnerabilidades nas práticas de segurança de uma organização.

Um programa de gestão de vulnerabilidades é uma abordagem abrangente e estratégica para gerir vulnerabilidades no software e nos sistemas de infraestrutura de TI de uma organização. Trata-se de um conceito de nível superior que envolve vários elementos, incluindo políticas, procedimentos, ferramentas e recursos, destinados a reduzir o risco global causado pelas vulnerabilidades.

Um programa de gestão de vulnerabilidades inclui normalmente os seguintes componentes:

• Avaliações de vulnerabilidades: Analisar regularmente sistemas, aplicações e redes para identificar potenciais vulnerabilidades.
• Priorização dos riscos: Avaliar e estabelecer prioridades relativamente às vulnerabilidades com base na sua gravidade e no potencial impacto na organização.
• Gestão de patches: Desenvolver processos para aplicar patches e atualizações de segurança, de modo a mitigar as vulnerabilidades identificadas (o que é frequentemente facilitado por ferramentas de testes de segurança).
• Informações sobre ameaças: Integrar informações sobre ameaças para compreender as vulnerabilidades mais recentes e os potenciais vetores de ataque.
• Relatórios e métricas: Gerar relatórios e métricas para acompanhar a eficácia dos esforços de gestão de vulnerabilidades.
• Responsabilidades e funções: Definir claramente as responsabilidades e funções do pessoal envolvido no processo de gestão de vulnerabilidades.

O processo de gestão de vulnerabilidades é uma parte mais específica e operacional do programa de gestão de vulnerabilidades. Refere-se aos procedimentos e ações passo a passo realizados ao lidar com uma única vulnerabilidade ou com um conjunto de vulnerabilidades. O processo envolve a execução de tarefas e segue uma abordagem estruturada para tratar eficazmente as vulnerabilidades.

O processo de gestão de vulnerabilidades inclui normalmente as seguintes fases:

• Identificação: Esta fase envolve a descoberta e catalogação de vulnerabilidades através de vários métodos, como a análise de vulnerabilidades, avaliações manuais ou testes de penetração.
• Avaliação: Depois de identificadas, as vulnerabilidades são avaliadas para determinar a sua gravidade e o potencial impacto nos ativos e nas operações da organização.
• Correção: Nesta fase, a organização toma medidas para resolver as vulnerabilidades identificadas. Isto pode envolver a aplicação de patches de segurança, alterações de configuração ou a implementação de soluções alternativas.
• Verificação: Depois de tomadas as medidas de correção, a organização verifica se as vulnerabilidades foram efetivamente resolvidas e mitigadas.
• Elaboração de relatórios: Ao longo do processo, a documentação e a elaboração de relatórios são essenciais para acompanhar o progresso, manter a conformidade e comunicar com as partes interessadas.

Em resumo, um programa de gestão de vulnerabilidades é uma estratégia abrangente que engloba vários elementos para gerir eficazmente as vulnerabilidades numa organização. Por outro lado, o processo de gestão de vulnerabilidades é um conjunto específico de etapas e ações realizadas para identificar, avaliar e corrigir vulnerabilidades individuais como parte do programa mais amplo. O processo é parte integrante do programa e contribui para o seu sucesso global.

As cinco etapas do processo de gestão de vulnerabilidades

Ao contrário da avaliação de vulnerabilidades, que é um evento único, a gestão de vulnerabilidades é um processo contínuo e permanente. Estas são as etapas a seguir no ciclo de vida da gestão de vulnerabilidades.

Etapa 1: Identificação de vulnerabilidades

Esta etapa centra-se na identificação e classificação das vulnerabilidades. As vulnerabilidades são normalmente classificadas utilizando o Sistema Comum de Pontuação de Vulnerabilidades (CVSS).

O papel do CVSS é mais proeminente na segunda etapa; no entanto, o que assume o papel central neste momento é a análise de vulnerabilidades. A análise de vulnerabilidades é frequentemente realizada como parte de um exercício de testes de penetração por um testador de penetração ou por uma equipa de segurança composta por testadores de penetração.

Neste processo, um analisador de vulnerabilidades é uma ferramenta automatizada utilizada para procurar, identificar e comunicar as vulnerabilidades conhecidas presentes na infraestrutura de TI de uma empresa.

Cria um inventário de todos os ativos de TI disponíveis no sistema, especialmente os que estão ativamente ligados à rede da organização. Estes incluem normalmente firewalls, servidores, sistemas operativos, contentores, máquinas virtuais, routers, impressoras, computadores portáteis, computadores de secretária e comutadores.

Também analisa pontos finais, como portas abertas, dispositivos IoT, configurações do sistema, software instalado, aplicações de terceiros e estruturas do sistema de ficheiros.

Como os analisadores de vulnerabilidades efetuam análises na rede de uma organização para procurar vulnerabilidades, é elevado o potencial de perturbar o sistema ou os seus elementos. Por isso, os hackers éticos costumam ajustar os seus métodos para ter isto em conta durante os testes de penetração. Como resultado, podem excluir sistemas suscetíveis a comportamentos instáveis ou erráticos, ou adaptar os seus métodos para serem menos perturbadores. Por exemplo, se a largura de banda da rede for um problema, podem decidir realizar análises à rede fora do horário de maior atividade, quando a largura de banda da rede não é limitada. 

As soluções de gestão de vulnerabilidades também são eficazes na recolha contínua de dados dos sistemas através de agentes de pontos finais. À medida que evoluíram, tornaram-se também mais ágeis; por isso, analisam um novo sistema ou dispositivo imediatamente depois de este se ligar à rede.

Mas a análise do sistema, por si só, não é o principal objetivo desta etapa. 

De forma geral, a segurança do sistema e da rede de uma organização é reforçada pelo roteiro dos ativos de TI criado nesta etapa. Com esta descoberta de ativos, uma organização pode determinar facilmente quais os dispositivos que estão protegidos, quais os componentes que não estão e de que forma os pontos finais do sistema podem ser potencialmente acedidos.

Esta etapa é crucial porque ajuda a determinar a superfície de ataque exposta ou vulnerável a exploração. Além disso, as informações recolhidas pela solução de gestão de vulnerabilidades são utilizadas para criar relatórios e métricas do sistema usados na etapa seguinte do processo de gestão de vulnerabilidades.

Garantir o armazenamento seguro dos dados é crucial na gestão de vulnerabilidades. Uma forma de o conseguir é utilizar software de gestão de bases de dados de primeira categoria.

Etapa 2: Avaliação das vulnerabilidades

Depois de descobertas as vulnerabilidades, o passo seguinte consiste em avaliar o grau de risco das vulnerabilidades identificadas. Na etapa 1, mencionei brevemente o CVSS e a forma como é utilizado como sistema de classificação das vulnerabilidades de cibersegurança.

O CVSS é uma norma gratuita e aberta utilizada para comunicar a gravidade das vulnerabilidades. Fornece uma pontuação entre 0.0 e 10.0. Para complementar a avaliação de vulnerabilidades, a Base de Dados Nacional de Vulnerabilidades (NVD) inclui uma classificação de gravidade para as pontuações CVSS, conforme indicado na tabela abaixo.

Estas pontuações comunicam às organizações o risco que cada vulnerabilidade representa para a sua infraestrutura. Assim, as organizações conseguem definir prioridades relativamente às vulnerabilidades e ameaças a abordar. Esta avaliação também orienta a estratégia de gestão de riscos e os esforços de correção da organização.

Embora os analisadores de vulnerabilidades e as pontuações CVSS sejam ferramentas excelentes, podem nem sempre fornecer uma visão abrangente dos riscos enfrentados por uma organização.

Isto deve-se ao facto de estas pontuações de classificação prontas a utilizar nem sempre proporcionarem a melhor perspetiva sobre as ameaças que a sua empresa enfrenta, devido ao seu perfil de risco peculiar. Embora as ferramentas inteligentes de gestão de vulnerabilidades possam dar prioridade aos riscos, podem nem sempre ser suficientemente detalhadas para compreender outros fatores adicionais.

Os profissionais de cibersegurança podem fornecer um contexto mais completo e abrangente da sua exposição ao risco, utilizando o inventário de informações de inteligência sobre ameaças recolhidas. Estes profissionais de segurança consideram frequentemente uma grande variedade de fatores, como os seguintes, para determinar uma avaliação de risco adequada:

• Trata-se de uma vulnerabilidade verdadeira ou apenas de um falso positivo?
• Qual é o grau de dificuldade para explorar a vulnerabilidade?
• Esta vulnerabilidade pode ser explorada remotamente?
• Quão fácil é explorar esta vulnerabilidade?
• Existem explorações desta vulnerabilidade publicadas publicamente?
• Quantos dispositivos foram identificados com esta vulnerabilidade?
• É uma vulnerabilidade nova (as vulnerabilidades mais antigas tendem a representar uma carga de risco maior) e sabe há quanto tempo existe na sua rede?
• Existem políticas, protocolos e controlos de segurança na sua infraestrutura para mitigar o impacto da vulnerabilidade caso esta seja explorada?
• Qual será o impacto na organização em geral no caso de uma exploração bem-sucedida da vulnerabilidade?

Passo 3: Corrigir vulnerabilidades

Este passo centra-se no tratamento e na mitigação das vulnerabilidades identificadas. São implementadas várias estratégias para dar prioridade às vulnerabilidades e eliminá-las com base no nível de risco que representam para a empresa.

Aplicação de correções

A aplicação de correções é frequentemente a medida mais simples para corrigir uma grande parte das vulnerabilidades encontradas no software. Na verdade, a maioria das violações de cibersegurança resulta de software sem as correções aplicadas. Por isso, é vital dispor de um sistema de gestão de correções que garanta que os sistemas operativos e o software de terceiros estão atualizados.

No entanto, pode haver ocasiões em que um fornecedor ainda não tenha lançado uma correção para uma determinada vulnerabilidade. Neste caso, as organizações devem recorrer a medidas de mitigação para reduzir o impacto da possível exploração da vulnerabilidade.

Estas medidas podem incluir a limitação das permissões dos utilizadores para essas atividades ou — dependendo da sua gravidade — a remoção ou colocação em lista negra dos dispositivos afetados na rede.

Quando as ameaças e vulnerabilidades são corrigidas, é necessário estabelecer controlos e demonstrar progressos no sentido de uma postura de segurança mais robusta dentro da organização.

Aceitação

A aceitação é também uma estratégia contraintuitiva de gestão de vulnerabilidades. Consiste em não tomar qualquer medida relativamente às vulnerabilidades identificadas. Esta estratégia faz sentido no caso de vulnerabilidades de baixo risco que representem ameaças mínimas para a empresa. Sobretudo quando o custo da correção da vulnerabilidade excede o possível custo resultante da sua exploração. 

Mesmo quando existem apenas vulnerabilidades inofensivas a corrigir, as organizações devem continuar a procurar otimizar as métricas de vulnerabilidades comunicadas. Assim, quanto mais o sistema de gestão de vulnerabilidades estiver orientado para melhorar essas métricas, mais reduzirá a superfície de ataque da organização.

Além disso, este processo de correção pode estabelecer uma base de referência para a gestão de riscos que a organização pode redefinir constantemente com objetivos novos e mais ambiciosos.

Passo 4: Verificar vulnerabilidades

Este passo garante, através de auditorias de acompanhamento, que as ameaças presentes no sistema foram eliminadas. Também devem ser utilizados testes de intrusão para verificar a eficácia das medidas de correção adotadas. Além disso, garante que não são criadas inadvertidamente novas vulnerabilidades durante o processo.

Passo 5: Comunicar vulnerabilidades

É importante documentar não só as vulnerabilidades identificadas, mas também um plano de segurança sobre como descrever as vulnerabilidades conhecidas e monitorizar atividades suspeitas. Estes relatórios são vitais porque deixam registos que ajudam as empresas a melhorar as suas respostas de segurança no futuro.

É igualmente importante partilhar estes relatórios com a administração de topo e para auditorias de conformidade. Isto deve-se ao facto de a demonstração e o registo de vulnerabilidades e problemas corrigidos evidenciarem responsabilização. E esta responsabilização é frequentemente necessária para manter as normas de conformidade.

Felizmente, existem software inteligente e sofisticado de gestão de vulnerabilidades e ferramentas de testes de intrusão de aplicações Web que podem gerar automaticamente estes relatórios, para que não tenha de o fazer manualmente.

A importância da gestão de vulnerabilidades

Os processos de gestão de vulnerabilidades são vitais se quiser manter a sua rede segura, minimizando a presença de ameaças e explorações. 

Saiba mais sobre a gestão de vulnerabilidades e ameaças consultando outros artigos no nosso blogue, ou pode subscrever a newsletter da The QA Lead.