Gestão de vulnerabilidades · rede interna, OT e IoT
Encontre as vulnerabilidades da sua rede interna antes dos atacantes.
O BeforeTHEM é uma plataforma de gestão de vulnerabilidades para a rede interna, com cobertura de servidores, estações de trabalho, equipamentos de rede, Active Directory e dispositivos de OT e IoT. A plataforma descobre os ativos, identifica vulnerabilidades e configurações inseguras com um motor de detecção próprio, prioriza o que um atacante exploraria primeiro e acompanha cada correção até a conclusão, na ferramenta de tickets que a sua equipe já usa.
Visão da rede interna
As vulnerabilidades da rede, ordenadas pela exploração real.
O console reúne as vulnerabilidades de servidores, estações de trabalho e equipamentos por severidade e destaca as que têm exploração ativa conhecida, com o número de ativos afetados em cada uma.
Assim, a equipe começa pelo que já está sendo usado em ataques e acompanha a redução desse grupo a cada ciclo de correção.
Janela de exploração
O tempo entre a publicação e o ataque é cada vez menor.
é a mediana entre a publicação de uma CVE e o primeiro exploit público.
das CVEs já tinham código de exploração disponível na data da publicação.
das ameaças monitoradas exigem ação imediata pela categorização SSVC.
Fonte: relatório Estado da Exposição Digital 2026, da CSURFACE.
Por que o BeforeTHEM
Detecções desenvolvidas por especialistas em segurança ofensiva.
Muitos scanners internos se limitam a listar CVEs a partir da versão do software. Um atacante que já está na rede costuma seguir outro caminho: uma conta de serviço com senha fraca, o SMB sem assinatura, um protocolo legado que continua ativo, uma rota até a administração do domínio.
Os checks de rede e de configuração do BeforeTHEM, incluindo os de Active Directory, foram escritos pelo time de segurança ofensiva da CSURFACE para encontrar esses pontos. Eles rodam junto com milhares de detecções de vulnerabilidades conhecidas. Quando uma configuração insegura corresponde a uma técnica do MITRE ATT&CK, o achado indica essa técnica, e a sua equipe entende o risco sem precisar de interpretação.
O que muda para a sua equipe
Foco no que precisa ser corrigido.
Um inventário confiável
Cada máquina aparece uma única vez, com o software instalado e a respectiva versão. O inventário inclui também o que nunca foi cadastrado, como o CLP da fábrica, a câmera do estacionamento ou o switch que ainda usa a senha de fábrica.
Menos tempo com falsos positivos
Quando a versão instalada está fora da faixa afetada pela vulnerabilidade, o achado é descartado antes de chegar à sua lista. Os achados que permanecem informam a origem da detecção e o grau de certeza da plataforma.
Correção na ordem certa
Primeiro vem o que tem exploração confirmada em ataques reais, depois o que tem maior probabilidade de ser explorado. A nota CVSS continua no cálculo, mas deixa de ser o único critério.
Visibilidade sobre as defesas
A plataforma aponta as máquinas sem EDR, com firewall desligado ou com proteções do Windows desativadas. Assim a empresa sabe se as ferramentas que contratou estão de fato instaladas e em funcionamento.
Gestão de vulnerabilidades de ponta a ponta
Do ativo descoberto à correção confirmada.
Encontrar a vulnerabilidade é a primeira de cinco etapas. O BeforeTHEM acompanha todas elas e mede se o ciclo está funcionando.
Descobre
Inventário de ativos, software e equipamentos de OT e IoT, sem registros duplicados.
Detecta
Vulnerabilidades, configurações inseguras e falhas de Active Directory, com o grau de certeza de cada achado.
Prioriza
Exploração conhecida e probabilidade de exploração, cruzadas com a criticidade e a exposição do ativo.
Corrige
Ticket aberto no Jira ou no ServiceNow da sua equipe, com atualização automática do status.
Confirma
O scan seguinte verifica a correção e retira da lista o que foi resolvido.
Cada etapa gera métricas: nota de postura, SLA de correção e cobertura de controles.
Aderência ao BACEN
Aderência ao BACEN, medida na rede interna.
A Resolução CMN 4.893 e a Resolução BCB 85 exigem que a segurança cibernética seja demonstrável. O BeforeTHEM mapeia os achados da rede interna para os requisitos dessas normas e apresenta as métricas de aderência prontas para a área de conformidade e para a auditoria. O mesmo mapeamento está disponível para PCI DSS 4.0, ISO 27001, CIS Controls v8, NIST CSF 2.0 e LGPD.
- Cadência registrada. Cada varredura fica registrada no histórico, com data e cobertura, incluindo a parte autenticada.
- Tratamento por risco. A fila mostra o que foi priorizado, o motivo da prioridade e a data da correção.
- Rastreabilidade de cada achado. Do momento em que foi identificado até o ticket e a confirmação da correção.
- Relatório por norma. Status de cada requisito, plano de ação e trilha de evidências, em versão executiva e em versão técnica.
| Exigência | O que o BeforeTHEM mede |
|---|---|
| Res. CMN 4.893 | status por requisito, varreduras recorrentes, vulnerabilidades tratadas por risco, histórico auditável |
| Res. BCB 85 | os mesmos requisitos para instituições de pagamento, com status por item |
| PCI DSS 11.3.1 | scan interno recorrente e autenticado |
| PCI DSS 6.3 | vulnerabilidades ranqueadas e corrigidas por risco |
A solução por dentro
Conheça a plataforma em detalhe
Engine própria e modelos de scan
Rede, rede autenticada, agente e o modo híbrido, que combina rede e agente.
Ver → DETECÇÃOVulnerabilidade, configuração e AD
Milhares de detecções, checks de Active Directory e MITRE ATT&CK.
Ver → INVENTÁRIOAtivos, tecnologias e software
Um registro por máquina, com tudo o que está instalado nela, incluindo OT e IoT.
Ver → PRIORIZAÇÃOPriorização baseada em ameaça
Exploração confirmada, exploit disponível e o papel do ativo definem a ordem de correção.
Ver → POSTURANota de 0 a 100
Sete domínios, ganhos rápidos e plano de ação.
Ver → CONTROLESDefesas e normas
Cobertura de EDR, sistemas fora de suporte e aderência por requisito.
Ver → INTEGRAÇÕESTicket, alerta e login único
O ticket é aberto na ferramenta da sua equipe e o status é atualizado automaticamente.
Ver →Parte da plataforma CSURFACE
As visões externa e interna em um só lugar.
A CSURFACE mapeia e valida o que a sua empresa expõe na internet. O BeforeTHEM cuida do que está dentro da rede. Os produtos podem ser contratados separadamente. Para consolidar as duas visões em um único inventário, o CAASM reúne os dados da CSURFACE e do BeforeTHEM, com as integrações incluídas.
Próximo passo
Veja a sua rede interna pela perspectiva de um atacante.
Na demonstração, apresentamos o console com uma rede simulada: inventário, achados, nota de postura e fila de correção.
Perguntas frequentes
FAQ
O BeforeTHEM substitui a CSURFACE?
Não. A CSURFACE cuida da superfície externa, ou seja, do que a empresa expõe na internet. O BeforeTHEM cuida da rede interna. São produtos independentes, e cada um pode ser contratado separadamente.
Já usamos uma ferramenta de gestão de patches. Como o BeforeTHEM se encaixa?
O BeforeTHEM lê da ferramenta de patch o que foi registrado como aplicado e confirma a correção no scan seguinte. O processo de patch fica como está, e a sua equipe ganha a comprovação no próprio ativo.
O BeforeTHEM funciona junto com o scanner de vulnerabilidades que já usamos?
Sim. O BeforeTHEM pode operar em paralelo ao scanner atual, durante uma transição ou de forma permanente. Para consolidar os resultados das ferramentas em um único inventário de ativos, a CSURFACE oferece o CAASM.
Funciona em rede industrial, com OT e IoT?
Sim. O BeforeTHEM reconhece protocolos industriais como Modbus, EtherNet/IP e IEC 104, além de câmeras, impressoras e equipamentos gerenciados por SNMP. Esses ativos fazem parte do mesmo inventário dos servidores.
Preciso instalar agente em todas as máquinas?
Não. O scan de rede, com ou sem credencial, funciona sem agente. O agente é opcional e indicado quando se deseja a versão exata do software e as configurações internas do host.
Os dados da minha rede ficam separados dos de outras empresas?
Sim. Os dados trafegam por um canal cifrado com autenticação mútua, e cada empresa acessa apenas o próprio ambiente. O isolamento é garantido pela própria plataforma.
É possível contratar por meio de um parceiro?
Sim. O BeforeTHEM também é oferecido por MSSPs, que operam a plataforma para a sua empresa. Fale com a nossa equipe para que possamos indicar um parceiro, ou contrate diretamente.