O que é priorização de vulnerabilidades?

• Sistemas tradicionais de classificação de severidade, como a pontuação do CVSS, ajudam a medir a severidade técnica, mas não indicam quais vulnerabilidades os agentes de ameaças têm mais chances de explorar em seu ambiente.
• A priorização de vulnerabilidades com base no risco combina threat intel, contexto dos ativos, análise das vias de ataque e contexto de negócio para identificar vulnerabilidades com alto nível de explorabilidade que merecem atenção imediata.
• Os modelos de IA de ponta aceleraram drasticamente a descoberta e a exploração de vulnerabilidades, fazendo com que nunca fosse tão importante priorizá-las de forma eficaz e com base nos riscos.
• Uma priorização eficaz das vulnerabilidades concentra suas iniciativas de correção nas vulnerabilidades com maior probabilidade de causar impacto significativo ao negócio.

A priorização de vulnerabilidades é o processo de classificar as vulnerabilidades de segurança de acordo com o risco que representam para a organização. A priorização de vulnerabilidades com base no risco faz com que suas equipes de correção se concentrem em resolver as vulnerabilidades mais importantes. O desafio é a escala.

A maioria das organizações gerencia milhares ou mesmo dezenas de milhares de vulnerabilidades em TI, nuvem, OT, identidade, aplicações e outros ambientes. Os métodos tradicionais de avaliação de vulnerabilidades frequentemente classificam uma grande porcentagem desses achados como urgentes. Por exemplo, o Common Vulnerability Scoring System (CVSS) sozinho sinaliza aproximadamente 60% das vulnerabilidades como críticas ou de alta severidade, criando um volume de trabalho que nenhuma equipe de segurança consegue abordar de forma realista.

Os sistemas tradicionais de pontuação e priorização de vulnerabilidades, como o CVSS, levam a uma lacuna cada vez maior entre o que se sabe e o que se consegue corrigir.

A priorização de vulnerabilidades com foco no risco ajuda a reduzir essa lacuna. Em vez de tratar todos os achados da mesma maneira, identifica quais podem ser explorados, quais afetam os ativos mais críticos para o negócio e onde a correção terá maior impacto na redução do risco cibernético.

O problema das vulnerabilidades mudou nos últimos anos.

Você não precisa mais gerenciar algumas centenas de ativos e um backlog gerenciável de descobertas. As superfícies de ataque modernas e híbridas abrangem a infraestrutura da nuvem, a tecnologia operacional, terminais remotos e não gerenciados, sistemas de identidade, aplicações SaaS, contêineres e muito mais. A complexidade e a amplitude da superfície de ataque moderna aumentam a exposição da sua organização: isso proporciona aos agentes de ameaças mais pontos de entrada para explorar e mais vias de ataque que levam aos seus ativos e dados mais críticos.

Ao mesmo tempo, o número de vulnerabilidades está aumentando. 

Em um ambiente comum, os profissionais de segurança gerenciam muitas falhas pendentes enquanto lidam com outras responsabilidades, incluindo operações, manutenção e conformidade. Sem uma maneira clara de determinar quais vulnerabilidades exigem atenção imediata, as medidas de correção tornam-se reativas e inconsistentes.

A IA intensifica o desafio do gerenciamento de vulnerabilidades. Modelos de vanguarda, como o Claude Mythos, demonstraram a rapidez com que os grandes modelos de linguagem (LLMs) podem identificar vulnerabilidades no código.

A aplicação reativa de patches não consegue acompanhar a velocidade da IA ​​de ponta. Se o seu processo de gereciamento de vulnerabilidades depende de triagem manual e opera com um ciclo de verficiações semanal, você adota uma abordagem inerentemente inadequada para enfrentar ataques modernos impulsionados pela IA. Aqueles que priorizam as vulnerabilidades com base na sua explorabilidade no mundo real e no potencial impacto ao negócio, e que utilizam IA para automatizar a correção, estão em melhor posição para defender suas organizações contra ataques impulsionados pela IA.

Por anos, as equipes de segurança se basearam no Common Vulnerability Scoring System (CVSS) para determinar a severidade das vulnerabilidades.

O CVSS é valioso: ele oferece uma maneira padronizada de avaliar características técnicas, como a complexidade do ataque, os privilégios necessários e o possível impacto.

No entanto, o CVSS não foi concebido para avaliar o risco para o negócio. Não leva em consideração se uma vulnerabilidade com pontuação alta está presente em um sistema crítico ou não crítico, nem se ela se encontra na via que leva a dados confidenciais.

O CVSS não aborda os seguintes fatores de risco:

• Criticidade de ativos
• Possível impacto ao negócio
• Presença de controles compensatórios 
• Viabilidade da via de ataque 

À medida que a quantidades de vulnerabilidades aumenta, as limitações do CVSS tornam-se mais evidentes. Quando cerca de 60% dos achados são classificados como críticos ou altos, a definição de prioridades se complica.

O Exploit Prediction Scoring System (EPSS) ajuda, em certa medida, ao estimar a probabilidade de ocorrer uma exploração.

Esse contexto adicional ajuda a identificar vulnerabilidades que os adversários possam explorar. No entanto, o EPSS ainda avalia, em grande parte, as vulnerabilidades de forma isolada. Ele não tem como saber se o ativo afetado sustenta um processo de negócios de missãocrítica, se identidades privilegiadas podem acessá-lo ou se ele está localizado em uma via de ataque viável.

Nem o CVSS nem o EPSS respondem à pergunta que mais interessa: Quais vulnerabilidades um invasor poderia explorar para acessar seus ativos críticos?

Sem esse contexto, você corre o risco de perder tempo corrigindo problemas de baixo impacto, enquanto as exposições que representam a maior ameaça permanecem sem solução.

O resultado é previsível:

• Fadiga de alertas
• Atrasos na correção
• Ineficiência no uso de recursos
• Risco cibernético não mitigado

A Continental AG passou a adotar uma priorização de vulnerabilidades com base no risco após um grave incidente cibernético. Ela substituiu a metodologia baseada no CVSS pela plataforma de gerenciamento de exposição Tenable One , que utiliza threat intel, contexto técnico e de negócio, análise das vias de ataque e outros recursos para priorizar as vulnerabilidades de maior risco em uma organização. Como observou o gerente de segurança de TI da empresa, a mesma vulnerabilidade no dispositivo de um CEO representa um risco muito maior do que no dispositivo de um estagiário. É esse contexto que direciona a correção para os locais certos.

Uma grande empresa de telecomunicações dos EUA passou de uma abordagem orientada pela conformidade para uma baseada em cenários reais de ataque, pois os índices de severidade, por si só, não indicavam o que deveria ser corrigido primeiro. A priorização com base no contexto de negócio e na explorabilidade real é o que leva a uma redução significativa dos riscos.

Uma priorização eficaz das vulnerabilidades foca na exposição. Adotar uma abordagem baseada em riscos para a priorização, utilizando a análise das vias de ataque, incluindo identidade e contexto na nuvem, e incorporar o hábito de avaliar continuamente os riscos são as melhores maneiras de fortalecer as iniciativas de priorização e, consequentemente, de correção.

Adotar uma abordagem baseada no risco

A priorização de vulnerabilidades com base no risco utiliza diversas fontes de contexto para determinar quais resultados requerem ação imediata.

Esses fatores geralmente incluem:

• Explorabilidade
• Threat intel
• Criticidade de ativos
• Impacto para o negócio
• Tempo de existência da vulnerabilidade
• Atividade de exploração ativa

O objetivo é identificar vulnerabilidades que representem um risco significativo, em vez de simplesmente gerar pontuações de risco altas.

Quando as equipes de correção identificam quais vulnerabilidades ameaçam os serviços essenciais, elas podem alocar recursos de forma mais eficaz e limitar o risco rapidamente.

Utilizar a análise das vias de ataque

Os invasores raramente exploram uma única vulnerabilidade e param por aí.

Eles exploram uma combinação de vulnerabilidades, configurações incorretas e falhas de identidade para se deslocarem pelos ambientes e atingirem alvos de alto valor.

Na prática, essa é a diferença entre vasculhar um volume enorme de descobertas abertas e se concentrar nas poucas que estão relacionadas aos seus ativos mais valiosos.

A análise das vias de ataque ajuda você a entender como os riscos individuais se relacionam em todo o seu ambiente. Em vez de analisar as vulnerabilidades isoladamente, identifica o caminho que um invasor poderia, de fato, utilizar para se deslocar pela sua rede e acessar sistemas ou dados confidenciais.

Esse contexto ajuda a diferenciar as vulnerabilidades sem saída daquelas que fazem parte de uma via de ataque viável e de alto risco para que você possa concentrar as iniciativas de correção onde elas interrompam as vias de ataque e impeçam uma violação importante.

Incluir identidade e contexto de nuvem

A mesma vulnerabilidade apresenta riscos muito diferentes, dependendo de onde se encontra e de quem tem acesso a ela. Uma falha de severidade média em uma workload na nuvem exposta à Internet, associada a uma conta de serviço com excesso de privilégios, costuma ser mais urgente do que um CVE crítico em um servidor isolado e rigidamente controlado.

O contexto de identidade indica o que um invasor poderia fazer após explorar uma vulnerabilidade: quais contas têm acesso ao ativo afetado, quais privilégios elas têm e se levam a dados confidenciais ou ao controle administrativo. O contexto na nuvem indica, em primeiro lugar, o nível de exposição do ativo: se ele é acessível publicamente, como está configurado e a quais recursos ele se conecta.

A priorização que inclui ambos os sinais classifica as vulnerabilidades de acordo com o dano que um invasor poderia realmente causar, não apenas com base na pontuação de severidade. Isso ajuda você a concentrar as medidas de correção nas exposições com maior probabilidade de afetar o negócio.

Avaliar continuamente os riscos

A definição de prioridades deve ser contínua, e não um processo estático, restrito a um determinado momento.

Novos CVEs surgem diariamente, e os agentes de ameaças acompanham, mudando de tática. As prioridades do negócio mudam com o tempo, e a infraestrutura evolui.

Uma vulnerabilidade que hoje é de baixa prioridade pode se tornar significativamente mais importante amanhã, caso haja um aumento nas tentativas de exploração ou se o ativo afetado se torne essencial para o negócio.

A avaliação contínua ajuda a ajustar as prioridades conforme as condições mudam. Isso ajuda suas equipes a se concentrarem nos riscos atuais, não em suposições históricas.

A Tenable desenvolveu seus recursos de priorização de vulnerabilidades com base em uma premissa simples: não é possível tratar todas as vulnerabilidades da mesma forma.

Focar nas vulnerabilidades mais importantes

O Vulnerability Priority Rating (VPR) da Tenable é uma pontuação dinâmica que avalia cada vulnerabilidade com base na probabilidade de ela ser explorada e na severidade do impacto que ela causaria.

O CVSS classifica aproximadamente 60% das vulnerabilidades como críticas ou de severidade alta, mas uma pesquisa da Tenable Research mostra que apenas cerca de 1,6% representa um risco significativo para o negócio.

O VPR utiliza machine learning, threat intel, características de vulnerabilidades, atividades de exploração e outros sinais para identificar resultados de alta prioridade.

Isso permite que você concentre as iniciativas de correção onde possam ter maior impacto.

Adicionar contexto de ativos com o Tenable One

Risco e contexto andam de mãos dadas. 

O Tenable One combina o VPR com o Asset Criticality Rating (ACR), análise de vias de ataque e contexto de identidade para criar uma visão completa da exposição.

Essa abordagem ajuda você a entender:

• Quais ativos são os mais importantes
• Quais vulnerabilidades podem ser exploradas
• Quais vias de ataque podem comprometer seus sistemas críticos
• Quais medidas de correção mais reduzem o seu risco

Em vez de analisar resultados isolados, você pode estabelecer prioridades com base na exposição e no impacto ao negócio.

Oferecer cobertura de vulnerabilidades contínua

A Tenable oferece suporte ao gerenciamento de vulnerabilidades em escala empresarial.

A plataforma utiliza mais de 318 mil plug-ins para detectar 138.896 CVEs em 20 mil produtos que podem receber patches. Entre 6–24 horas após a descoberta de uma vulnerabilidade, detecções costumam já estar disponíveis, permitindo que você avalie rapidamente as ameaças emergentes.

Identificar a exploração ativa mais cedo

Os agentes de ameaças nunca esperam os prazos de conformidade.

A Tenable rastreia vulnerabilidades exploradas ativamente, além das listadas no Catálogo de vulnerabilidades exploradas da CISA. A Tenable Research identificou 201 CVEs ativamente explorados que ainda não foram incluídos no catálogo KEV, o que representa um prazo médio de 37 dias até que as determinações governamentais se alinhem a essa realidade.

Essa visibilidade adicional ajuda você a definir prioridades com base no comportamento dos invasores, não nos prazos de conformidade.

Apoiar decisões precisas e auditáveis

A precisão da verificação é importante quando a priorização determina as decisões de correção.

A taxa de precisão de verificação do six-sigma da Tenable, de 0,32 defeito por milhão de verificações, fornece dados confiáveis para programas de gerenciamento de vulnerabilidades, auditorias e relatórios de conformidade.

Acelerar a mobilização com o Tenable Hexa AI

Identificar as vulnerabilidades certas é parte do desafio, mas é preciso agir.

O Tenable Hexa AI ajuda a reduzir o tempo médio para corrigir, automatizando a mobilização de resultados priorizados para fluxos de trabalho de triagem, emissão de tíquetes, investigação e correção. As organizações que utilizam esses recursos reduziram os prazos de correção de 90 dias para 90 minutos em processos específicos.

À medida que a IA acelera a detecção de vulnerabilidades, os processos de correção também precisam acelerar.

A SRF Limited, uma empresa global de manufatura, estendeu o Tenable One ao seu ambiente de TI e ao de OT para obter essa visão unificada. Conforme descreveu o CISO da empresa, a segurança cibernética não consiste em eliminar todas as vulnerabilidades. Trata-se de saber quais são as mais importantes e agir antes que os agentes de ameaças ajam.

As vulnerabilidades e os CVEs fazem parte do panorama de exposição, assim como configurações incorretas eacesso com excesso de privilégios.O Tenable One reúne esses riscos cibernéticos evitáveis em uma única visualização para que você possa tomar decisões de correção com base na exposição,não no que seu verificador sinalizou na última terça-feira.

Se desejar explorar a próxima etapa após a priorização, consulte o guia complementar de correção de vulnerabilidades. Os programas de segurança de aplicações também desempenham um papel importante ao tratar pontos fracos em fases iniciais do ciclo de vida de desenvolvimento de software.