.
Resposta rápida: Uma avaliação de vulnerabilidade analisa e avalia os riscos de deficiências de segurança nos sistemas de informações e segurança de uma organização.
Existem mais de 180.000 vulnerabilidades de segurança conhecidas, e mais são descobertas a cada ano. Com tantas possibilidades de fraqueza de infraestrutura e ataques ao sistema, não é surpresa que cibercrime aumentou significativamente nos últimos anos. Quando realizadas regularmente e corretamente, as avaliações de vulnerabilidade podem atuar como uma medida preventiva contra essas crescentes ameaças à segurança.
Mesmo com defesas de segurança premium, os sistemas de informação e segurança de uma organização podem ser atacados, invadidos ou sequestrados por cibercriminosos. Nosso guia mostrará por que é importante investir em avaliações de vulnerabilidades, como elas funcionam e suas diferentes funções.
O que é uma Avaliação de Vulnerabilidade?
Uma avaliação de vulnerabilidade refere-se ao processo de revisão e avaliação de todas as possíveis falhas de segurança na infraestrutura de um sistema de informação. Esse tipo de avaliação é usado para identificar vulnerabilidades e, em seguida, priorizá-los e mitigá-los para minimizar as ameaças à segurança. Essas avaliações também descobrem e compreendem vulnerabilidades no ambiente físico de uma organização. Os objetivos de uma avaliação de vulnerabilidade podem ser divididos em três ideias principais:
- Identifique todas as vulnerabilidades
- Documente vulnerabilidades para identificação e soluções futuras
- Fornecer orientação para desenvolvedores que criam soluções de ameaças
As avaliações de vulnerabilidade devem ser realizadas regularmente, especialmente quando novos equipamentos são instalados, portas são adicionadas ou serviços são introduzidos. Além disso, as avaliações de vulnerabilidade podem impedir ataques do sistema em dispositivos novos e antigos devido a ameaças como:
- Ataques de injeção, incluindo Ataques XSS e ataques SQL
- Configurações padrão fracas, como senhas de administração e nomes de usuário adivinhos
- Malware e ataques de malware
- Ferramentas e dispositivos de autenticação defeituosos
- Dados não criptografados
Para organizações em risco – incluindo bancos, sistemas governamentais e aquelas com acesso a informações pessoais, como instalações de saúde – as avaliações de vulnerabilidade podem ajudar a identificar e reduzir os pontos fracos antes que sejam explorados por hackers.
Tipos de Avaliações de Vulnerabilidade
Diferentes tipos de avaliações de vulnerabilidade usam ferramentas individuais para identificar pontos fracos do sistema e da rede. Sistemas independentes podem precisar usar uma variedade de avaliações para identificar todas as suas possíveis vulnerabilidades.
Avaliações do anfitrião
Uma avaliação de host concentra-se em servidores críticos, estações de trabalho e outros hosts de rede. Embora portas e serviços possam ser escaneados com avaliações de rede, uma avaliação de host é capaz de destacar o histórico de patches anteriores e as configurações do host.
Avaliações de rede
Uma avaliação de rede é usada para identificar possíveis vulnerabilidades de rede. Estes podem ser executados para redes com e sem fio. Essas avaliações ajudam a evitar ataques de segurança que visam redes públicas e privadas, bem como informações acessíveis pela rede.
Avaliações sem fio
O foco de uma avaliação sem fio é a rede Wi-Fi de uma organização. Redes sem fio inseguras, incluindo aqueles com pontos de acesso não autorizados, podem levar a ataques à infraestrutura de uma organização. Essas avaliações também verificam se a rede de uma organização está configurada com segurança com HTTPS.
Avaliações de banco de dados
As avaliações de banco de dados examinam o banco de dados de uma organização em busca de vulnerabilidades. Ataques maliciosos, como injeções de SQL, visam bancos de dados com configurações incorretas, bancos de dados não autorizados e testes de desenvolvimento fracos (DevTest). Essas avaliações também ajudam as organizações a identificar onde as informações pessoais em uma infraestrutura precisam ser classificadas.
Avaliações de aplicativos
Uma avaliação de aplicativos verifica aplicativos da Web, sites e código-fonte em busca de downloads de software incorretos, configurações quebradas e outras vulnerabilidades de segurança. Geralmente, são varreduras automatizadas para código e infraestrutura de front-end.
Avaliação de vulnerabilidade vs. teste de penetração
As avaliações de vulnerabilidade e os testes de penetração não são a mesma coisa, mas como as avaliações de vulnerabilidade também podem incluir um teste de penetração, elas podem ser facilmente confundidas. Essas avaliações duplas são geralmente conhecidas como testes de avaliação/penetração de vulnerabilidade ou VAPTs, mas esses testes não precisam ser realizados juntos todas as vezes.
O teste de penetração é usado especificamente para encontrar pontos fracos no pessoal e nos procedimentos de uma organização e é um processo adicional que pode ser adicionado a uma avaliação de vulnerabilidade. O teste de penetração também tenta danificar um aplicativo ou rede explorando possíveis pontos fracos em um ambiente controlado para provar que as vulnerabilidades realmente existem.
O teste de penetração usa manobras automáticas e manuais ao testar vulnerabilidades. Essas fraquezas são então analisadas por pesquisadores para que proteções e defesas específicas possam ser criadas. No entanto, o teste de penetração não é suficiente por si só e deve ser acompanhado de uma avaliação completa da vulnerabilidade.
| Avaliação de vulnerabilidade | Testes de penetração |
|---|---|
| Geralmente usa técnicas automatizadas | Usa técnicas automatizadas e manuais |
| Pode ser realizado sem um teste de penetração | Deve ser seguido por uma avaliação de vulnerabilidade |
| Identifica pontos fracos | Explora pontos fracos |
| Concentra-se em varreduras de rede e sistema | Concentra-se em varreduras de pessoal e procedimento |
| Relatório de correção automática | Relatório manual de prevenção e defesa |
Executando uma avaliação de vulnerabilidade: 4 estágios de identificação de vulnerabilidades
Se você estiver realizando uma avaliação de vulnerabilidade sem um teste de penetração, há quatro etapas principais.
1. Identificação de Ativos e Vulnerabilidades
A identificação é a primeira etapa ao realizar uma avaliação de vulnerabilidade. Antes de iniciar uma verificação, você precisa identificar seus ativos escaneáveis, incluindo ferramentas populares como dispositivos móveis, Internet das Coisas dispositivos e programas baseados em nuvem. Em seguida, sua infraestrutura é verificada por ferramentas automatizadas ou manualmente por analistas de segurança. Um relatório de avaliação de vulnerabilidade é preenchido e descreve os pontos fracos identificados.
2. Análise
Na fase de análise de uma avaliação de vulnerabilidade, o objetivo é encontrar a fonte e a causa de cada fraqueza. Para identificar a causa raiz, os componentes da infraestrutura responsáveis por cada vulnerabilidade devem ser verificados e analisados posteriormente. A etapa de análise também verifica se há sistemas instalados ou atualizados incorretamente.
Os scanners de vulnerabilidade — e seus bancos de dados integrados de vulnerabilidades conhecidas — podem identificar possíveis pontos fracos do sistema, dispositivos vulneráveis e software em risco para ajudar a concluir esse estágio. Como muitas vulnerabilidades são relatadas publicamente, elas podem ser identificadas rapidamente e sua causa raiz analisada.
3. Avaliação e priorização de riscos
Depois de identificar e analisar as vulnerabilidades de sua organização, é hora de realizar uma avaliação de risco e determinar a priorização. Seu primeiro estágio deve ter fornecido relatórios de avaliação, que podem ser usados para determinar quais vulnerabilidades são mais perigosas para uma organização.
Durante uma avaliação de risco, os analistas de segurança atribuem a cada vulnerabilidade uma pontuação de gravidade, e números mais altos indicam pontos fracos que devem ser resolvidos o mais rápido possível. As vulnerabilidades são classificadas com base em vários fatores, incluindo:
- Os sistemas afetados
- A informação posta em risco
- Facilidade de ataque ou compromisso
- Infraestrutura potencial e danos organizacionais
4. Remediação e Mitigação
O estágio final ao realizar uma avaliação de vulnerabilidade é a correção e a mitigação. Essa etapa geralmente é realizada por profissionais de segurança e equipes de operações e é dedicada a encontrar maneiras de aliviar as fraquezas enquanto desenvolve planos para diminuir a chance de reaparecer vulnerabilidades. Ao criar planos de remediação e mitigação, os profissionais devem se concentrar em dois fatores:
- Gravidade: Após a priorização, as equipes devem abordar primeiro as vulnerabilidades mais graves. Eventualmente, as equipes devem ser capazes de criar e liberar correções para cada vulnerabilidade detectada, mas a correção antecipada se concentra nos pontos fracos mais perigosos.
- Exposição à vulnerabilidade: Determinar se uma vulnerabilidade é voltada para o público ou para a Internet também deve ser a principal preocupação dos profissionais de correção. As vulnerabilidades da Internet são mais fáceis para cibercriminosos alcançar, portanto, essas fraquezas devem ser mitigadas primeiro, seguidas pelos dispositivos de propriedade dos funcionários e daqueles que armazenam informações confidenciais.
Se forem lançados patches do sistema ou correções de vulnerabilidades, o processo de avaliação de vulnerabilidades deve começar novamente. É importante executar uma avaliação quando qualquer tipo de novo sistema ou patch for instalado para identificar, analisar, priorizar e corrigir rapidamente quaisquer novas vulnerabilidades.
Ferramentas de avaliação de vulnerabilidade
Frequentemente, as ferramentas de avaliação de vulnerabilidades são processos automatizados que podem ser usados por qualquer pessoa, desde especialistas em segurança cibernética e caçadores de ameaças ao trabalhador doméstico. Essas ferramentas verificam os sistemas em busca de vulnerabilidades existentes e pontos fracos novos e não relatados. Além disso, cada ferramenta de avaliação tem uma finalidade específica com base no tipo de avaliação que se destina a realizar.
Tipos de ferramentas de avaliação de vulnerabilidade:
- Scanners de aplicativos da web
- Scanners de protocolo
- Scanners de rede
- Scanners de vulnerabilidade externos e internos
- Scanners ambientais
Além do tipo de avaliação que cada ferramenta realiza, elas possuem características próprias que o usuário precisa considerar. Ao escolher uma ferramenta de avaliação, lembre-se do seguinte:
- Frequência de atualizações
- Capacidade de minimizar falsos positivos e negativos
- Capacidade de integração com outras ferramentas de avaliação e segurança
- Resultados acionáveis
Embora as avaliações de vulnerabilidade sejam uma parte necessária do cíber segurança processo, existem precauções adicionais que você pode tomar para manter sua infraestrutura protegida. Investir em um VPN pode ajudar a proteger sua navegação na rede pública e privada, enquanto um antivírus pode ajudar a manter os dispositivos móveis e estáticos seguros.
.
