Você sabe o que é Gestão de Vulnerabilidades?

A partir de uma análise simplista, Gestão de Vulnerabilidades é o processo de identificar e proteger adequadamente os equipamentos e sistemas de sua empresa contra falhas de segurança.

Neste contexto, equipamentos e sistemas são chamados de ativos.

Entre outros, ativos podem ser: sistemas operacionais, servidores de rede, roteadores ou estações de trabalho.

O primeiro passo consiste em identificar e classificar os ativos conforme a sua criticidade para o negócio, afinal, como proteger o que não se conhece?

Um exemplo: para uma instituição financeira, os ativos que processam dados dos correntistas são mais importantes do que aqueles que armazenam o site da empresa, logo, eles são mais críticos e precisam de mais proteção.

Nesta etapa, também é possível eliminar ativos desconhecidos ou desnecessários para a organização, aumentando a segurança.

Após a classificação dos ativos, é necessário verificar quais vulnerabilidades eles possuem - aqui são utilizadas metodologias e ferramentas específicas para este propósito, com a finalidade de diminuir que um destes ativos seja atacado.

Como funciona?

Quando um ativo é introduzido na rede, geralmente ele vem com funcionalidades e configurações ativas para facilitar a sua implementação e o seu uso no dia a dia, o que pode agilizar e facilitar o processo.

Acontece, que nesta linha inversamente proporcional a segurança, o processo é facilitado para que um hacker possa invadir a sua empresa e roubar dados também, a não ser que seja executado um hardening (otimização) no ativo.

O ativo "funcionando" pode ser como a ponta de um iceberg, lá em cima, tudo normal, por baixo da água, a ponto de ruir.

Além das funcionalidades e configurações ativas, existe também o mau uso deste ativos, o que aumenta a chance de possíveis vulnerabilidades serem exploradas.

Abaixo, seguem alguns exemplos práticos para melhor entendimento sobre o que podem ser vulnerabilidades:

• funcionalidades extras desnecessárias, habilitadas por padrão;
• usuários e senhas padrão;
• usuários desnecessários habilitados;
• usuários com permissões excessivas para o seu trabalho;
• senhas fracas;
• bancos de dados desnecessários em operação;
• falta de atualização de sistemas operacionais;
• falta de atualização de softwares instalados;
• softwares desnecessários instalados;
• utilização de configuração padrão de fábrica nos ativos;
• sistemas operacionais obsoletos;
• equipamentos obsoletos;
• sistemas legados;
• permissões excessivas de acesso via rede;
• logon remoto administrativo permitido;
• aplicações inseguras;

Após a identificação das vulnerabilidades, em conjunto com a identificação de ativos, é possível priorizar o que é um risco real o que pode aguardar um tempo maior para ser mitigado.

Conforme dito no começo do texto, aqui é onde entram as metodologias e os softwares específicos para o processo de Gestão de Vulnerabilidades.

Através deles, além de identificar, classificar e priorizar as vulnerabilidades, é possível que elas sejam mitigadas também, muitas vezes de forma automática e através de grupos específicos de pessoas com esta função, e em outros casos, onde não é possível mitigá-las, aceitar o risco.

Gestão de Vulnerabilidades é uma das vertentes de Segurança da Informação que auxiliam, entre outros, na proteção contra destruição, roubo, vazamento, adulteração ou acesso não autorizado a dados.

Gostou do texto?

Compartilhe, obrigado!