O que é uma avaliação de vulnerabilidade? E como conduzir um

A avaliação de vulnerabilidades é o processo de identificar, classificar e priorizar vulnerabilidades de segurança na infraestrutura de TI. Uma avaliação abrangente de vulnerabilidades avalia se um sistema de TI está exposto a vulnerabilidades conhecidas, atribui níveis de gravidade às vulnerabilidades identificadas e recomenda etapas de correção ou mitigação quando necessário.

As avaliações de vulnerabilidade são um procedimento de segurança comum, pois fornecem uma visão detalhada dos riscos de segurança que uma organização pode enfrentar, permitindo que ela proteja melhor sua tecnologia da informação e dados confidenciais contra ameaças cibernéticas.

As vulnerabilidades podem ser encontradas em aplicativos gerenciados por fornecedores terceirizados ou software feito internamente, e muitas falhas são facilmente corrigidas depois de identificadas.

Por que a avaliação de vulnerabilidades é importante?

A avaliação de vulnerabilidades é importante porque fornece informações sobre os pontos fracos de segurança em seu ambiente e fornece orientação sobre como corrigir ou mitigar os problemas antes que eles possam ser explorados.

Esse processo fornece uma melhor compreensão de sua infraestrutura de TI, falhas de segurança e risco geral, o que melhora muito os padrões de segurança da informação e segurança de aplicativos, reduzindo a probabilidade de um cibercriminoso obter acesso não autorizado à sua organização.

Quais são os diferentes tipos de avaliação de vulnerabilidade?

Existem vários tipos de avaliação de vulnerabilidade:

Avaliação baseada em rede: usada para identificar possíveis problemas de segurança de rede e pode detectar sistemas vulneráveis em redes com e sem fio.
Avaliação baseada em host: usada para localizar e identificar vulnerabilidades em servidores, estações de trabalho e outros hosts de rede. Essa análise normalmente examina portas e serviços abertos e pode oferecer visibilidade das definições de configuração e do gerenciamento de patches dos sistemas analisados.
Avaliação de rede sem fio: Usado para verificar redes Wi-Fi e vetores de ataque na infraestrutura de rede sem fio. Ele pode validar que a rede da sua empresa está configurada com segurança para impedir o acesso não autorizado e também pode identificar pontos de acesso não autorizados.
Avaliação de aplicativos: a identificação de vulnerabilidades de segurança em aplicativos da Web e seu código-fonte usando ferramentas automatizadas de verificação de vulnerabilidades no front-end ou análise estática/dinâmica do código-fonte.
Avaliação de banco de dados: a avaliação de bancos de dados ou sistemas de big data quanto a vulnerabilidades e configuração incorreta, identificando bancos de dados não autorizados ou ambientes de desenvolvimento/teste inseguros e classificando dados confidenciais para melhorar a segurança dos dados.

O que é o processo de avaliação de vulnerabilidades de segurança?

O processo de vulnerabilidade de segurança consiste em cinco etapas:

Identificação de vulnerabilidades: analisar verificações de rede, resultados de testes de penetração, logs de firewall e resultados de verificação de vulnerabilidades para encontrar anomalias que sugerem que um ataque cibernético pode tirar proveito de uma vulnerabilidade.
Análise de vulnerabilidade: decida se a vulnerabilidade identificada pode ser explorada e classifique a gravidade da exploração para entender o nível de risco de segurança.
Avaliação de risco: Avalie quais vulnerabilidades serão mitigadas ou corrigidas primeiro com base em sua capacidade de wormability e outros riscos.
Correção: atualize o software ou hardware afetado sempre que possível.
Mitigação: Decida sobre contramedidas e como medir sua eficácia no caso de um patch não estar disponível.

O processo de avaliação de vulnerabilidades é um componente crítico dos ciclos de vida de gerenciamento de vulnerabilidades e gerenciamento de riscos de TI e deve ser feito regularmente para ser eficaz.

Para obter mais informações, consulte nosso guia sobre gerenciamento de vulnerabilidades.

1. Identificação de vulnerabilidades

A identificação de vulnerabilidades é o processo de descobrir e fazer uma lista completa de vulnerabilidades em sua infraestrutura de TI.

Isso geralmente é obtido por meio de uma combinação de verificação automatizada de vulnerabilidades e testes manuais de penetração.

Um scanner de vulnerabilidades pode avaliar computadores, redes ou aplicativos da Web em busca de vulnerabilidades conhecidas, como as listadas no Common Vulnerabilities and Exposures (CVE).

O teste de vulnerabilidade pode ser executado por meio de verificações autenticadas ou não autenticadas:

Verificações autenticadas: permita que os scanners de vulnerabilidade acessem recursos em rede usando protocolos administrativos remotos e autentiquem usando as credenciais do sistema fornecidas. O benefício das verificações autenticadas é que elas fornecem acesso a dados de baixo nível, como serviços específicos, detalhes de configuração e informações precisas sobre sistemas operacionais, software instalado, problemas de configuração, controle de acesso, controles de segurança e gerenciamento de patches.
Verificações não autenticadas: não forneça acesso a recursos em rede, o que pode resultar em falsos positivos e informações não confiáveis sobre sistemas operacionais e software instalado. Esse tipo de verificação geralmente é usado por invasores cibernéticos e analistas de segurança de TI para tentar determinar a postura de segurança de ativos externos, fornecedores terceirizados e para encontrar possíveis vazamentos de dados.

Saiba como identificar > de software de terceiros vulneráveis

Como qualquer teste de segurança, a verificação de vulnerabilidades não é perfeita, e é por isso que outras técnicas, como testes de penetração, são usadas. O teste de penetração é a prática de testar um ativo de tecnologia da informação para encontrar vulnerabilidades exploráveis e pode ser automatizado com software ou executado manualmente.

Seja executado automaticamente ou manualmente por uma equipe de segurança, o teste de penetração pode encontrar falhas de segurança e possíveis vetores de ataque que são perdidos pelas ferramentas de verificação de vulnerabilidades. Ele também pode ser usado para testar controles de segurança no local, adesão às políticas de segurança da informação, suscetibilidade dos funcionários a ataques de engenharia social, como phishing ou spear phishing, bem como para testar planos de resposta a incidentes.

2. Análise de vulnerabilidade

Depois que as vulnerabilidades são identificadas, você precisa identificar quais componentes são responsáveis por cada vulnerabilidade e a causa raiz dos pontos fracos de segurança. Por exemplo, a causa raiz da vulnerabilidade pode ser uma versão desatualizada de uma biblioteca de software livre.

Nessa situação, há um caminho claro para a correção, atualizando a biblioteca. No entanto, nem sempre há uma solução simples, e é por isso que as organizações geralmente precisam executar cada vulnerabilidade por meio de um processo de avaliação de segurança que classifica a gravidade da vulnerabilidade, identifica possíveis soluções e decide se aceita, corrige ou mitiga o risco identificado com base na estratégia de gerenciamento de riscos da organização.

3. Avaliação de Risco

O objetivo desta etapa é priorizar vulnerabilidades. Isso geralmente envolve o uso de uma ferramenta de avaliação de vulnerabilidade que atribui uma classificação ou gravidade a cada vulnerabilidade.

Por exemplo, o UpGuard BreachSight, uma ferramenta de gerenciamento de superfície de ataque, usa as pontuações do Common Vulnerability Scoring System (CVSS) para atribuir uma pontuação numérica de 0 a 10 com base nas principais características e gravidade da vulnerabilidade.

Com isso dito, qualquer bom relatório de avaliação de vulnerabilidade levará em consideração fatores adicionais, como:

Qual sistema é afetado
Quais dados confidenciais são armazenados no sistema, por exemplo, informações de identificação pessoal (PII) ou informações de saúde protegidas (PHI)
Quais funções de negócios dependem do sistema
A facilidade de ataque ou comprometimento
O impacto comercial de uma exploração bem-sucedida
Se a vulnerabilidade pode ser acessada pela Internet ou requer acesso físico
Quantos anos tem a vulnerabilidade
Qualquer requisito regulatório que sua organização tenha, por exemplo, CCPA, FISMA, GLBA, PIPEDA, LGPD, 23 NYCRR 500, FIPA, PCI DSS, HIPAA ou SHIELD Act
O custo de uma violação de dados em seu setor

Leia nosso guia sobre como realizar uma avaliação de risco de segurança cibernética de TI >

4. Remediação

A correção de vulnerabilidades envolve a correção de quaisquer problemas de segurança considerados inaceitáveis no processo de avaliação de risco. Normalmente, esse é um esforço conjunto entre as equipes de desenvolvimento, operações, conformidade, gerenciamento de riscos e segurança, que decidem sobre um caminho econômico para corrigir cada vulnerabilidade.

Muitos sistemas de gerenciamento de vulnerabilidades fornecerão técnicas de correção recomendadas para vulnerabilidades comuns, que podem ser tão simples quanto instalar patches de segurança prontamente disponíveis ou tão complexas quanto substituir hardware.

As etapas específicas de correção variam de acordo com a vulnerabilidade, mas geralmente incluem:

Atualização de procedimentos operacionais
Desenvolvendo um processo robusto de gerenciamento de configuração
Software de aplicação de patches

5. Mitigação

Nem todas as vulnerabilidades podem ser corrigidas, e é aí que entra a mitigação. A mitigação se concentra na redução da probabilidade de uma vulnerabilidade ser explorada ou na redução do impacto da exploração.

As etapas específicas de mitigação variam muito, dependendo de sua tolerância ao risco e orçamento, mas geralmente incluem:

Introduzindo novos controles de segurança
Substituindo hardware ou software
Encriptação
Gerenciamento de risco do fornecedor
Gerenciamento da superfície de ataque
Monitoramento contínuo de segurança

Quais ameaças potenciais podem ser evitadas pela avaliação de vulnerabilidade?

Exemplos de ataques cibernéticos que podem ser evitados pela avaliação de vulnerabilidades incluem:

Ataques de escalonamento de privilégios: o escalonamento de privilégios é a exploração de um erro de programação, vulnerabilidade, falha de design, supervisão de configuração ou controle de acesso em um sistema operacional ou aplicativo para obter acesso não autorizado a recursos que geralmente são restritos ao aplicativo ou usuário. Leia mais sobre o escalonamento de privilégios aqui.
Injeções de SQL: os ataques de injeção de SQL acontecem quando dados invalidados ou não confiáveis são enviados a um interpretador de código por meio da entrada de formulário ou de outro campo de envio de dados em um aplicativo da Web. Ataques de injeção bem-sucedidos podem resultar em vazamentos de dados, corrupção de dados, violações de dados, perda de responsabilidade e negação de acesso.
Ataques XSS: Cross-site scripting (XSS) é um tipo de vulnerabilidade de segurança normalmente encontrada em aplicativos da web. O XSS permite que os invasores injetem scripts do lado do cliente em páginas da Web visualizadas por outros usuários e podem ser usados para ignorar o controle de acesso, como a política de mesma origem. O impacto do XSS pode variar de um pequeno incômodo a um risco significativo de segurança cibernética, dependendo da sensibilidade dos dados tratados pelo site vulnerável e da natureza de quaisquer mitigações implementadas. Leia mais sobre cross-site scripting aqui.
Padrões inseguros: é comum que software e hardware sejam fornecidos com configurações inseguras, como senhas fáceis de adivinhar, para facilitar a integração. Embora isso seja bom do ponto de vista da usabilidade, muitas pessoas deixam essas configurações padrão intactas, o que pode deixá-las expostas.

Quais são os diferentes tipos de ferramentas de avaliação de vulnerabilidades?

As ferramentas de avaliação de vulnerabilidades são projetadas para verificar automaticamente ameaças novas e existentes em sua infraestrutura de TI. Os tipos de ferramentas incluem:

Scanners de aplicativos da Web que mapeiam a superfície de ataque e simulam vetores de ataque conhecidos
Scanners de protocolo que procuram protocolos, portas e outros serviços vulneráveis
Scanners de rede que ajudam a visualizar redes e descobrir vulnerabilidades de rede, como endereços IP perdidos, pacotes falsificados e geração de pacotes suspeitos

É uma prática recomendada agendar verificações regulares e automatizadas de toda a infraestrutura e usar os resultados como parte de seu processo contínuo de avaliação de vulnerabilidades.

O UpGuard BreachSight verificará automaticamente sua superfície de ataque diariamente em busca de vulnerabilidades.

Qual é a diferença entre avaliação de vulnerabilidade e teste de penetração?

Conforme observado acima, uma avaliação de vulnerabilidade geralmente inclui testes de penetração para identificar vulnerabilidades que podem não ser detectadas pela verificação automatizada. Esse processo é comumente chamado de avaliação de vulnerabilidade/teste de penetração (VAPT).

Com isso dito, o teste de penetração por si só não é suficiente como uma avaliação completa da vulnerabilidade. A avaliação de vulnerabilidades visa descobrir vulnerabilidades e recomendar as etapas apropriadas de mitigação ou correção para reduzir ou remover o risco identificado.

Por outro lado, o teste de penetração envolve a identificação de vulnerabilidades e a tentativa de explorá-las para atacar um sistema, causar uma violação de dados ou expor dados confidenciais. Embora isso possa ser realizado como parte de uma avaliação de vulnerabilidade, o objetivo principal do teste de penetração é verificar se existe uma vulnerabilidade explorável.

Leia nosso post completo sobre testes de penetração para obter mais informações.

Empresas como Intercontinental Exchange, Taylor Fry, Bolsa de Valores de Nova York, IAG, First State Super, Akamai, Morningstar e NASA usam as classificações de segurança da UpGuard para proteger seus dados, evitar violações de dados e avaliar suas operações de segurança.

Para a avaliação de seus controles de segurança da informação, o UpGuard BreachSight pode monitorar sua organização para 70+ controles de segurança, fornecendo uma classificação de segurança cibernética simples e fácil de entender e detectar automaticamente credenciais vazadas e exposições de dados em buckets S3, servidores Rsync, repositórios GitHub e muito mais.

O módulo Vulnerabilidades do UpGuard BreachSight lista as vulnerabilidades publicadas que podem ser exploradas no software que está sendo executado em sua infraestrutura de TI. Essas vulnerabilidades são identificadas automaticamente por meio de informações expostas em cabeçalhos HTTP e conteúdo do site.

Cada vulnerabilidade identificada recebe um CVSS, um padrão publicado desenvolvido para capturar as principais características de uma vulnerabilidade, que produz uma pontuação numérica entre 0 e 10 refletindo sua gravidade.

O UpGuard Vendor Risk pode minimizar a quantidade de tempo que sua organização gasta avaliando controles de segurança da informação relacionados e de terceiros, automatizando questionários de fornecedores e fornecendo modelos de questionários de fornecedores.

Nossa experiência foi apresentada em jornais como The New York Times, The Wall Street Journal, Bloomberg, The Washington Post, Forbes, Reuters e TechCrunch.

Você pode ler mais sobre o que nossos clientes estão dizendo nas avaliações do Gartner.