O que é a verificação de vulnerabilidade?

Uma vulnerabilidade de segurança é qualquer fraqueza na estrutura, função ou implementação de um ativo ou rede de TI.Hackers ou outros agentes de ameaças podem explorar essa fraqueza para obter acesso não autorizado e causar danos à rede, aos usuários ou à empresa. As vulnerabilidades comuns incluem:

•  Falhas de codificação, como aplicativos da web suscetíveis a scripts entre sites, injeção SQL e outros ataques de injeção devido à forma como lidam com as entradas do usuário.
  
  
• Portas abertas desprotegidas em servidores, notebooks e outros endpoints, que os hackers podem usar para espalhar malware.
  
  
• Configurações incorretas, como um bucket de armazenamento em nuvem que expõe dados sensíveis à internet pública devido a permissões de acesso inadequadas.
  
  
• Patches ausentes, senhas fracas ou outras deficiências na higiene de cibersegurança.

Milhares de novas vulnerabilidades são descobertas todos os meses. Duas agências do governo dos Estados Unidos mantêm catálogos pesquisáveis de vulnerabilidades de segurança conhecidas—o National Institute of Standards and Technologies, ou NIST, e a Cybersecurity and Infrastructure Security Agency, ou CISA (links fora de ibm.com).

Infelizmente, embora as vulnerabilidades sejam completamente documentadas depois de descobertas, hackers e outros agentes de ameaças geralmente as encontram primeiro, permitindo que peguem as organizações de surpresa.

Para adotar uma postura de segurança mais proativa diante dessas ameaças cibernéticas, as equipes de TI implementam programas de gerenciamento de vulnerabilidades. Esses programas seguem um processo contínuo para identificar e resolver riscos de segurança antes que os hackers possam explorá-los. As varreduras de vulnerabilidades são tipicamente o primeiro passo no processo de gerenciamento de vulnerabilidades, descobrindo as fraquezas de segurança que as equipes de TI e segurança precisam resolver.

Muitas equipes de segurança também usam verificações de vulnerabilidade para

• Validar medidas e controles de segurança—depois de implementar novos controles, as equipes geralmente realizam outra varredura. Essa varredura confirma se as vulnerabilidades identificadas foram corrigidas. Ela também confirma que os esforços de remediação não introduziram novos problemas.
  

• Manter a conformidade regulatória—algumas regulamentações exigem explicitamente varreduras de vulnerabilidades. Por exemplo, o Payment Card Industry Data Security Standard (PCI-DSS) exige que organizações que lidam com dados de titulares de cartões realizem varreduras trimestrais (link fora de ibm.com).

Existem muitos tipos diferentes de verificadores, e as equipes de segurança muitas vezes usam uma combinação de ferramentas para obter uma visão abrangente das vulnerabilidades da rede. 

Alguns verificadores se concentram em tipos específicos de ativos. Por exemplo, os verificadores de nuvem se concentram em serviços de nuvem, enquanto as ferramentas de verificação de aplicativos da web procuram falhas em aplicativos da web. 

Scanners podem ser instalados localmente ou fornecidos como aplicativos de software como serviço (SaaS). Scanners de vulnerabilidades de código aberto e ferramentas pagas são comuns. Algumas organizações terceirizam completamente a varredura de vulnerabilidades para provedores de serviços terceirizados.

Enquanto scanners de vulnerabilidades estão disponíveis como soluções independentes, os fornecedores cada vez mais os oferecem como parte de pacotes holísticos de gerenciamento de vulnerabilidades. Essas ferramentas combinam vários tipos de scanners com gerenciamento de superfície de ataque, gerenciamento de ativos, gerenciamento de patches e outras funções fundamentais em uma solução única.

Muitos scanners suportam integrações com outras ferramentas de cibersegurança, como sistemas de gerenciamento de informações e eventos de segurança (SIEM) e ferramentas de detecção e resposta de endpoints (EDR).

As equipes de segurança podem executar diferentes tipos de verificações, dependendo de suas necessidades. Alguns dos tipos mais comuns de verificações de vulnerabilidades incluem: 

• As verificações de vulnerabilidades externas examinam a rede de fora. Eles se concentram em falhas em ativos voltados para a Internet, como apps da Web e controles de perímetro de teste, como firewalls. Essas verificações mostram como um hacker externo pode invadir uma rede.
   

• Varreduras de vulnerabilidades internas examinam vulnerabilidades a partir do interior da rede. Elas esclarecem o que um hacker poderia fazer se conseguisse entrar, incluindo como ele poderia se mover lateralmente e as informações sensíveis que poderia roubar em uma violação de dados.
  

• Varreduras autenticadas, também chamadas de "varreduras credenciadas", requerem os privilégios de acesso de um usuário autorizado. Em vez de apenas olhar um aplicativo de fora, o scanner pode ver o que um usuário logado veria. Essas varreduras ilustram o que um hacker poderia fazer com uma conta sequestrada ou como um agente interno poderia causar danos.
  

• As verificações não autenticadas, também chamadas de verificações não credenciadas ", " não têm permissões ou privilégios de acesso. Eles só veem os ativos do ponto de vista de alguém de fora. As equipes de segurança podem executar verificações internas e externas não autenticados.

Embora cada tipo de verificação tenha seus próprios casos de uso, há alguma sobreposição e eles podem ser combinados para atender a diferentes fins. Por exemplo, uma verificação interna autenticada mostraria a perspectiva de uma ameaça interna. Em contraste, uma verificação interna não autenticada mostraria o que um hacker desonesto veria se ultrapassasse o perímetro da rede.

A verificação de vulnerabilidades e o teste de penetração são formas distintas, mas relacionadas, de testes de segurança de rede. Embora tenham funções diferentes, muitas equipes de segurança as usam para complementar umas às outras.

As verificações de vulnerabilidade são verificações automatizadas e de alto nível dos ativos. Eles encontram falhas e as relatam à equipe de segurança. O teste de penetração, ou teste de caneta, é um processo manual. Os testadores de penetração usam skill de hacking ético não apenas para encontrar vulnerabilidades de rede, mas também para explorá-las em ataques simulados. 

As verificações de vulnerabilidades são mais baratas e fáceis de executar, portanto, as equipes de segurança as usam para acompanhar um sistema. Os testes de penetração exigem mais recursos, mas podem ajudar as equipes de segurança a entender melhor suas falhas de rede.

Usados em conjunto, as verificações de vulnerabilidades e os pen tests podem tornar o gerenciamento de vulnerabilidades mais eficaz. Por exemplo, as verificações de vulnerabilidades oferecem aos testadores de caneta um ponto de partida útil. Enquanto isso, os testes de penetração podem adicionar mais contexto aos resultados da verificação, descobrindo falsos positivos, identificando as causas raiz e explorando como os cibercriminosos podem agrupar vulnerabilidades em ataques mais complexos.