Visão externa na resposta a incidente é o levantamento, feito de fora para dentro e sem agente instalado, de tudo o que está publicado na internet sob o nome da organização. Durante um incidente ela serve para duas coisas: estimar o alcance do que aconteceu e listar por onde mais o adversário poderia ter entrado.
O incidente já está em curso quando o telefone toca. O time interno está contendo, o provedor de resposta chegou ou está chegando, e alguém da diretoria já perguntou duas vezes qual é o tamanho disso.
Essa pergunta é mais difícil do que parece, e não é opinião minha.
A pergunta que trava a primeira hora
A revisão 3 do NIST SP 800-61, publicada em abril de 2025, deixou de organizar a resposta a incidente em quatro fases e passou a descrevê-la como um perfil do CSF 2.0. As atividades de preparação, que ficam nas funções Governar, Identificar e Proteger, foram colocadas fora da resposta propriamente dita, e ao mesmo tempo reconhecidas como o que a sustenta.
Dentro desse documento, o item RS.AN-08 trata de estimar e validar a magnitude do incidente. A nota que acompanha o item diz que determinar a magnitude costuma ser um dos aspectos mais desafiadores da resposta. A recomendação seguinte explica o motivo: procurar indicadores de comprometimento e evidência de persistência tanto nos ativos que se sabe terem sido alvo quanto em outros alvos potenciais. E o aviso, na sequência, é a frase mais dura do capítulo. Pular essa atividade, ou fazê-la de forma superficial, subestima a magnitude do incidente e permite que ele continue indefinidamente em outros alvos sem o conhecimento da organização.
São dois grupos de alvo. O que já se sabe e o que ainda não. O segundo grupo é exatamente o que uma lista interna de ativos não consegue oferecer, porque a lista interna descreve o que a empresa registrou, e o adversário não se limitou ao que a empresa registrou.
O mesmo documento é explícito sobre isso em outro ponto. Na categoria de gestão de ativos, a nota diz que informação de inventário ajuda o time de resposta a entender o impacto do incidente, a identificar outros ativos que possam ser alvo e a ordenar os esforços de resposta e recuperação. Os itens ID.AM-01 e ID.AM-02 pedem inventários de hardware e de software mantidos de forma atualizada e automática, e citam nominalmente a identificação de uso de shadow IT como um dos propósitos.
O cliente que chegou depois de o incidente começar
Uma operação de e-commerce procurou a CSURFACE com o incidente já em andamento. A resposta técnica estava contratada e rodando. O que faltava era outra coisa. Ninguém conseguia responder, com evidência, quais ativos da empresa estavam alcançáveis pela internet naquele momento, e por quais deles daria para ter entrado.
Não era desorganização. Era a situação normal de qualquer empresa que cresceu por projeto, campanha e integração ao longo de dez anos, com o inventário sendo mantido por quem sobrou de cada uma dessas fases.
O que o time de resposta recebeu foi um mapa levantado de fora, sem depender de nada instalado no ambiente, enquanto a contenção continuava.
Duas listas que dá para levantar de fora em poucas horas
A primeira lista é o que está publicado hoje sob o nome da organização. A descoberta parte de um domínio semente e expande por vínculo, incluindo subdomínios, outros domínios do mesmo dono e ativos de subsidiárias identificadas por vínculo societário. Os primeiros ativos aparecem em poucas horas e a cobertura se consolida nos dias seguintes. Para o time de resposta, o item mais útil dessa lista é o histórico. Como a plataforma guarda primeira e última observação de cada ativo, serviço e certificado, dá para responder o que existia na semana do incidente, e não apenas o que existe agora.
A segunda lista é a de caminhos plausíveis. Não basta saber que há 300 ativos. Interessa quais deles expõem serviço administrativo, quais rodam versão com falha sob exploração conhecida e quais concentram alcance, ou seja, quais servem de ponte para o resto. É o que o grafo de exposição e o cálculo de raio de alcance fazem, e é a diferença entre entregar um inventário e entregar uma hipótese ordenada.
Nenhuma das duas listas prova como o adversário entrou. Elas reduzem o espaço de busca, que é o que a equipe forense precisa quando o relógio está correndo.
Credencial válida vazada é a pista mais rápida
Esse item ganha seção própria porque costuma ser o achado de maior valor por hora de trabalho durante um incidente.
O monitor de credenciais cruza vazamentos públicos e repositórios com os domínios da organização, e faz uma verificação a mais que quase nenhuma ferramenta faz, que é testar se a credencial ainda funciona. Uma lista de mil credenciais antigas não ajuda o time de resposta. Uma lista de doze credenciais que ainda autenticam muda a ordem das ações do dia.
O que a visão externa não faz
Esta seção protege o trabalho de quem vai usar o material, e vale mais do que a anterior.
A visão externa não substitui análise forense. Log de endpoint, linha do tempo de execução no host e imagem de disco ficam fora do alcance dela por construção. Nada do que está atrás da VPN aparece, incluindo permissão excessiva em conta de nuvem, estação sem patch e uso indevido de credencial válida por alguém que já está dentro.
A validação ativa acontece onde há cobertura de módulo de teste. No restante da superfície a avaliação é passiva, baseada em versão e comportamento observado, e um achado passivo é uma hipótese, não uma prova. Confundir os dois durante uma crise custa credibilidade dentro da empresa, que é a moeda mais escassa do time de segurança naquele momento.
A plataforma também não corrige nada sozinha e não converte risco em valor financeiro. Quem decide o que desligar às três da manhã continua sendo gente.
Onde isso encaixa em quem opera SOC para terceiros
Provedores que embutem a superfície externa no próprio serviço de SOC costumam usá-la em dois momentos distintos, e o segundo é o que menos aparece nas propostas.
O primeiro é a chegada. Cliente novo em situação de incidente entrega uma lista de ativos que não confere, e a discussão sobre escopo consome as primeiras horas. Partir de um domínio semente e levantar a superfície de fora resolve isso sem depender de acesso ao ambiente, que muitas vezes ainda está sendo restabelecido.
O segundo é a semana seguinte à contenção. É quando o cliente pergunta se acabou, e é a pergunta que o RS.AN-08 diz que costuma ser respondida de forma superficial. Ter a lista de outros alvos potenciais, com histórico de quando cada um apareceu, transforma essa conversa em algo verificável.
Para o provedor, a operação é multicliente por desenho, com separação por organização, controle de acesso por escopo e trilha de auditoria. O modelo está descrito na página de parceiros.
Depois que o fogo apaga
O trabalho descrito aqui termina quando o incidente fecha. O que começa nesse momento é outro, com outra métrica e outra cadência, e ele decide se haverá um segundo incidente.
A empresa daquele caso continuou com a superfície monitorada depois da contenção, e o motivo foi o que sempre é. A lista levantada durante o incidente tinha itens que ninguém sabia que existiam, e a única forma de garantir que não apareçam de novo é olhar antes de o próximo aparecer.
Esse é o assunto de por que quem já foi atacado costuma ser atacado de novo.
Perguntas frequentes
A visão externa serve durante o incidente ou só depois?
Serve nos dois momentos, com usos diferentes. Durante, ela dimensiona o alcance e reduz o espaço de busca da forense. Depois, ela vira medição contínua da superfície, que é o que evita o incidente seguinte.
Isso substitui um serviço de resposta a incidentes?
Não. Contenção, erradicação, recuperação e perícia continuam sendo trabalho de um time de resposta, com acesso ao ambiente. A visão externa entrega insumo para esse time, com a parte da informação que se obtém de fora.
Em quanto tempo o mapa fica utilizável em uma crise?
Os primeiros ativos aparecem em poucas horas a partir de um domínio semente, sem instalar nada. A cobertura se consolida nos dias seguintes, e o histórico de primeira e última observação já vem junto, o que permite reconstruir o que estava publicado na data do incidente.
O que a visão externa não vai encontrar?
Tudo o que só existe dentro da rede. Movimentação lateral, abuso de credencial por quem já está autenticado, permissão excessiva em nuvem e host sem patch em rede interna. Essa parte depende de telemetria interna e de análise forense no ambiente.