Redução da superfície de ataque é o trabalho contínuo de diminuir o número de pontos que um adversário pode alcançar a partir da internet, desligando o que não precisa estar exposto e corrigindo o que precisa. É a metade menos discutida do ASM. Descobrir a exposição é barato; fechar cada uma delas é onde o programa encontra resistência da operação.
Em 2024 o ransomware seguiu entre as maiores ameaças à segurança digital. O custo médio global de uma violação de dados chegou a US$ 4,88 milhões, segundo o IBM Cost of a Data Breach Report 2024. A conta soma resposta a incidente, operação parada e dado perdido. No Brasil, o custo médio ficou em R$ 6,75 milhões por incidente.
Vulnerabilidade sem correção, ativo esquecido e exposição que ninguém mapeou continuam sendo a porta de entrada mais usada, em empresa de qualquer tamanho.
Cadeias comuns de ataque e vetores de acesso inicial
Segundo o MITRE ATT&CK Framework, ataques de ransomware e APTs seguem uma sequência estruturada, iniciando por técnicas de acesso inicial (TAxxxx). Entre os vetores mais comuns, destacam-se:
Principais vetores de ataque
Phishing (T1566): e-mail com conteúdo malicioso, para capturar credencial ou executar código.
Exploitation of Public-Facing Applications (T1190): exploração de falhas em aplicações acessíveis pela internet.
External Remote Services (T1133): acesso por RDP ou VPN expostos sem proteção adequada.
Valid Accounts (T1078): uso de credencial válida obtida por vazamento ou engenharia social.
Supply Chain Compromise (T1195): comprometimento de fornecedor ou de integração externa.
A média global de tempo para corrigir uma vulnerabilidade crítica é de 123 dias. Nesse intervalo, o sistema sem correção fica disponível para exploração em larga escala, principalmente se a tecnologia afetada responder na internet.
O papel do ASM na prevenção de incidentes
O Attack Surface Management (ASM) é uma abordagem proativa que visa descobrir, mapear, monitorar e reduzir a superfície de ataque externa de uma organização. Plataformas de ASM operam continuamente para identificar ativos que podem estar expostos à internet e oferecer risco de exploração.
O que o ASM entrega
1. Descoberta contínua de ativos
Identifica automaticamente todos os ativos digitais expostos, incluindo:
- Servidores web e APIs
- Serviços em nuvem (AWS, Azure, GCP)
- Subdomínios esquecidos
- Shadow IT
- Aplicações de terceiros
Poucas organizações têm a lista completa da própria infraestrutura exposta. É essa lista que o ASM produz, e ele a refaz sozinho.
2. Mapeamento de vulnerabilidades e exposições
Após a descoberta, o ASM:
- Identifica vulnerabilidades conhecidas (CVEs)
- Detecta configurações inseguras
- Mapeia portas e serviços expostos
- Avalia certificados SSL/TLS expirados
- Identifica credenciais vazadas
Essa visibilidade permite que as equipes de segurança priorizem correções com base no risco real.
3. Monitoramento contínuo
Diferente de varreduras pontuais, o ASM monitora continuamente:
- Novas vulnerabilidades emergentes (0-days)
- Mudanças na infraestrutura
- Exposições acidentais
- Atividades suspeitas
Quando uma nova vulnerabilidade crítica é divulgada publicamente, o ASM alerta imediatamente se algum ativo da organização está exposto.
4. Priorização baseada em risco
Nem todas as vulnerabilidades representam o mesmo nível de risco. O ASM ajuda a priorizar com base em:
- Criticidade da vulnerabilidade (CVSS score)
- Exposição à internet (público vs. interno)
- Exploitabilidade (exploit disponível?)
- Contexto do negócio (ativo crítico?)
Isso permite que as equipes foquem nos riscos mais urgentes primeiro.
5. Redução do MTTR (Mean Time to Remediate)
Com alertas em tempo real e priorização clara, o ASM:
- Reduz drasticamente o tempo entre descoberta e correção
- Automatiza notificações para as equipes responsáveis
- Fornece recomendações de remediação
- Permite rastreamento do progresso
Organizações que usam ASM conseguem remediar vulnerabilidades críticas em dias, não meses.
Plataformas de ASM oferecem monitoramento contínuo com dashboards que exibem topologia de rede, alertas de vulnerabilidades, detecção de ameaças em tempo real e descoberta de ativos.
6. Conformidade e relatórios
O ASM também auxilia em:
- Demonstração de conformidade (ISO 27001, LGPD, PCI-DSS)
- Relatórios executivos sobre postura de segurança
- Métricas de melhoria contínua
- Evidências para auditorias
Como o ASM cobre os vetores de ataque mais comuns
Vetor por vetor:
Contra Phishing (T1566)
- Identifica domínios similares registrados (typosquatting)
- Detecta certificados SSL fraudulentos
- Monitora vazamento de credenciais em breaches
Contra Exploitation of Public-Facing Applications (T1190)
- Descobre todas as aplicações web expostas
- Identifica versões vulneráveis de software
- Detecta configurações inseguras (CORS, headers, etc.)
Contra External Remote Services (T1133)
- Mapeia serviços RDP, VPN, SSH expostos
- Identifica autenticação fraca ou ausente
- Alerta sobre serviços desnecessariamente públicos
Contra Valid Accounts (T1078)
- Monitora credenciais vazadas em dumps públicos
- Detecta contas com senhas fracas
- Identifica contas sem MFA habilitado
Contra Supply Chain Compromise (T1195)
- Mapeia integrações de terceiros
- Monitora subdomínios de fornecedores
- Identifica dependências vulneráveis
Implementando ASM na sua organização
1. Escolha a plataforma
Procure por:
- Descoberta automática e contínua
- Integração com ferramentas existentes
- Alertas em tempo real
- Priorização baseada em risco
- Interface intuitiva
2. Defina o escopo
Determine quais ativos devem ser monitorados:
- Domínios principais e subdomínios
- Infraestrutura em nuvem
- Aplicações web e APIs
- Serviços de terceiros
3. Estabeleça processos de resposta
Crie workflows claros para:
- Triagem de alertas
- Priorização de vulnerabilidades
- Atribuição de responsabilidades
- Verificação de remediação
4. Integre com o que já existe
Conecte o ASM com:
- SIEM (Security Information and Event Management)
- Ticketing systems (Jira, ServiceNow)
- Ferramentas de patch management
- Plataformas de comunicação (Slack, Teams)
5. Monitore e ajuste
- Revise métricas regularmente
- Ajuste prioridades conforme necessário
- Treine equipes sobre novos vetores
- Atualize processos baseado em lições aprendidas
Conclusão
Com o custo médio de uma violação em R$ 6,75 milhões e 123 dias de média para corrigir uma vulnerabilidade crítica, esperar o incidente para agir sai caro.
O Attack Surface Management trabalha nesse intervalo. Ele encontra o ativo esquecido e o shadow IT, acha a vulnerabilidade antes de quem está procurando por ela, ordena a fila por exposição real e encurta o tempo até a correção. É o que fecha, um a um, os vetores de acesso inicial listados acima.
Referências
- IBM Cost of a Data Breach Report 2024
- MITRE ATT&CK Framework
- Verizon Data Breach Investigations Report (DBIR)
- OWASP Top 10
- NIST Cybersecurity Framework