Priorização baseada em ameaça
A ordem de correção definida pela ameaça real.
A nota CVSS mede a gravidade técnica de uma falha, mas não informa se ela está sendo explorada nem qual ativo ela atinge. O BeforeTHEM calcula a prioridade de cada vulnerabilidade a partir da ameaça observada no mundo e do papel do ativo na sua rede, e apresenta os fatores que levaram a cada resultado.
Como a prioridade é calculada
Três fatores, uma prioridade de 0 a 100.
Todos os fatores vêm de dados coletados e de inteligência de ameaças. Nenhum depende de classificação manual, e cada achado mostra a composição da sua prioridade.
O quanto a falha está sendo explorada e o quão fácil é explorá-la.
O impacto de um comprometimento, conforme a função do ativo na rede.
Se a falha está alcançável: exposta à internet, em execução ou apenas instalada.
De 0 a 100, que define a posição na fila de correção.
Fator 1 · Ameaça
Os sinais que compõem a ameaça.
A ameaça parte da gravidade técnica e é elevada por evidências de exploração. Quanto mais concreta a evidência, mais alto a falha sobe na escala, independentemente da nota CVSS.
| Sinal | O que indica | Efeito na prioridade |
|---|---|---|
| Uso por ransomware | a falha aparece em campanhas conhecidas de ransomware | leva a falha ao topo da escala |
| Exploração confirmada | a falha consta no catálogo KEV da CISA, com exploração registrada em ataques reais | coloca a falha na faixa crítica |
| Exploit armado | existe exploit pronto para uso em frameworks de ataque, conforme a inteligência do ThreatSensor | coloca a falha na faixa crítica |
| Exploit público | há código de exploração publicado | eleva a ameaça |
| Prova de conceito | a técnica de exploração é conhecida e reproduzível | eleva a ameaça |
| EPSS | probabilidade de exploração nos próximos 30 dias, atualizada diariamente | percentis altos elevam a ameaça, e os mais altos a colocam perto da faixa crítica |
| CVSS | gravidade técnica da falha | define o ponto de partida |
Inteligência do ThreatSensor
Quando já existe exploit pronto, a prioridade sobe.
O ThreatSensor é a inteligência de ameaças da CSURFACE. Ele mantém o mapeamento das vulnerabilidades que já têm exploit armado em frameworks de ataque, e esse sinal entra diretamente no cálculo de ameaça do BeforeTHEM. Uma falha que pode ser explorada com uma ferramenta pronta é tratada como crítica, mesmo quando a nota CVSS é moderada.
Fator 2 · Papel do ativo
A mesma falha pesa mais no controlador de domínio.
O papel de cada ativo é identificado automaticamente pelos serviços que ele executa, sem cadastro manual. Quando um ativo exerce mais de uma função, prevalece a mais crítica.
Fator 3 · Exposição
- Exposto à internet. A falha alcançável de fora da empresa recebe peso adicional.
- Em execução ou apenas instalado. Um software instalado, mas parado, pesa menos do que um serviço em execução, e menos ainda do que um serviço escutando na rede.
Prioridade explicável
Cada prioridade mostra a sua composição.
No detalhe de cada achado, a equipe vê os sinais de ameaça, o papel do ativo e a exposição que definiram a prioridade. A decisão de corrigir primeiro fica fundamentada, e a conversa com a área de infraestrutura fica mais simples.
- Grau de certeza. Cada achado informa se veio de um banner, da versão lida no host ou de um teste ativo.
- Faixa de severidade estável. A faixa crítica, alta, média ou baixa vem da ameaça; o papel e a exposição ajustam a ordem dentro da fila.
Fila de trabalho
Por ativo ou por vulnerabilidade.
A equipe de infraestrutura costuma organizar o trabalho por servidor, e a de segurança, por vulnerabilidade. A fila oferece as duas visões sobre os mesmos dados, com filtros por filial, sub-rede, tipo de ativo e sistema operacional.
Tudo o que um servidor precisa
Abra o host e veja as falhas dele em ordem de prioridade, com serviços, software instalado e histórico. Útil para planejar uma janela de manutenção.
Onde uma falha aparece
Abra a CVE e veja todos os ativos afetados. Útil quando um novo alerta é publicado e a pergunta é se a empresa está exposta.
Veja a fila de correção ordenada pela ameaça.
Na demonstração, comparamos a mesma rede ordenada apenas por CVSS e ordenada pela priorização baseada em ameaça.