Visão externa na resposta a incidente é o levantamento, feito de fora para dentro e sem agente instalado, de tudo o que está publicado na internet sob o nome da organização. Durante um incidente ela serve para duas coisas: estimar o alcance do que aconteceu e listar por onde mais o adversário poderia ter entrado.
O incidente já está em curso quando o telefone toca. O time interno está contendo, o provedor de resposta chegou ou está chegando, e alguém da diretoria já perguntou duas vezes qual é o tamanho disso.
Essa pergunta é mais difícil do que parece, e não é opinião minha.
A pergunta que trava a primeira hora
A revisão 3 do NIST SP 800-61, publicada em abril de 2025, deixou de organizar a resposta a incidente em quatro fases e passou a descrevê-la como um perfil do CSF 2.0. As atividades de preparação, que ficam nas funções Governar, Identificar e Proteger, foram colocadas fora da resposta propriamente dita, e ao mesmo tempo reconhecidas como o que a sustenta.
Dentro desse documento, o item RS.AN-08 trata de estimar e validar a magnitude do incidente. A nota que acompanha o item diz que determinar a magnitude costuma ser um dos aspectos mais desafiadores da resposta. A recomendação seguinte explica o motivo: procurar indicadores de comprometimento e evidência de persistência tanto nos ativos que se sabe terem sido alvo quanto em outros alvos potenciais. E o aviso, na sequência, é a frase mais dura do capítulo. Pular essa atividade, ou fazê-la de forma superficial, subestima a magnitude do incidente e permite que ele continue indefinidamente em outros alvos sem o conhecimento da organização.
São dois grupos de alvo. O que já se sabe e o que ainda não. O segundo grupo é exatamente o que uma lista interna de ativos não consegue oferecer, porque a lista interna descreve o que a empresa registrou, e o adversário não se limitou ao que a empresa registrou.
O mesmo documento é explícito sobre isso em outro ponto. Na categoria de gestão de ativos, a nota diz que informação de inventário ajuda o time de resposta a entender o impacto do incidente, a identificar outros ativos que possam ser alvo e a ordenar os esforços de resposta e recuperação. Os itens ID.AM-01 e ID.AM-02 pedem inventários de hardware e de software mantidos de forma atualizada e automática, e citam nominalmente a identificação de uso de shadow IT como um dos propósitos.
O cliente que chegou depois de o incidente começar
Uma operação de e-commerce procurou a CSURFACE com o incidente já em andamento. A resposta técnica estava contratada e rodando. O que faltava era outra coisa. Ninguém conseguia responder, com evidência, quais ativos da empresa estavam alcançáveis pela internet naquele momento, e por quais deles daria para ter entrado.
Não era desorganização. Era a situação normal de qualquer empresa que cresceu por projeto, campanha e integração ao longo de dez anos, com o inventário sendo mantido por quem sobrou de cada uma dessas fases.
O que o time de resposta recebeu foi um mapa levantado de fora, sem depender de nada instalado no ambiente, enquanto a contenção continuava.
Duas listas que dá para levantar de fora em poucas horas
A primeira lista é o que está publicado hoje sob o nome da organização. A descoberta parte de um único domínio e devolve o que está publicado sob o nome do grupo, incluindo subdomínios, outras marcas e ativos de subsidiárias que não constam de lista interna nenhuma. Os primeiros ativos aparecem em poucas horas e a cobertura se consolida nos dias seguintes. Para o time de resposta, o item mais útil dessa lista é o histórico. Como a plataforma guarda primeira e última observação de cada ativo, serviço e certificado, dá para responder o que existia na semana do incidente, e não apenas o que existe agora.
A segunda lista é a de caminhos plausíveis. Não basta saber que há 300 ativos. Interessa quais deles expõem serviço administrativo, quais rodam versão com falha sob exploração conhecida e quais concentram alcance, ou seja, quais servem de ponte para o resto. É o que o grafo de exposição e o cálculo de raio de alcance fazem, e é a diferença entre entregar um inventário e entregar uma hipótese ordenada.
Ter o mapa completo e sempre atualizado reduz o espaço de busca a poucos pontos possíveis, que é o que a equipe forense precisa quando o relógio está correndo.
Credencial válida vazada é a pista mais rápida
Esse item ganha seção própria porque costuma ser o achado de maior valor por hora de trabalho durante um incidente.
Toda organização com alguns anos de vida acumula credenciais vazadas atreladas ao próprio domínio. Elas vêm de violações em serviços de terceiros que o funcionário usou com o e-mail corporativo, de repositórios onde alguém commitou uma chave e depois apagou o arquivo sem reescrever o histórico, de coleções que circulam há anos e são recompiladas sob nome novo a cada temporada. O volume cresce sozinho e não para.
Buscar o domínio da empresa nessas bases devolve tipicamente centenas ou milhares de linhas. É aí que começa o problema, porque a lista bruta serve para muito pouco. A maior parte está morta: a senha foi trocada, a pessoa saiu, o serviço vazado nem existe mais, ou o par nunca foi válido e entrou na coleção como enchimento. Um punhado continua funcionando, e não há nada na lista que diga qual.
Durante um incidente isso deixa de ser um incômodo e vira um problema de decisão. O time tem horas, não semanas, e precisa saber se credencial foi o caminho de entrada antes de decidir onde procurar. Uma lista de mil linhas não responde. Pior: ela dá a sensação de que o ângulo de credencial foi coberto, quando não foi. O time olha, não consegue agir, arquiva, e segue por outra hipótese, que pode ser a errada.
O que resolveria isso é uma informação só, e ela não está na lista: quais dessas credenciais ainda autenticam, agora, e contra qual serviço. Doze pares que funcionam neste momento não são uma versão menor da lista de mil. São outra coisa. Deixam de ser indício e viram fato verificado, com dono, com sistema alvo e com ação óbvia em cima de cada um. A ordem do dia muda: essas doze contas viram prioridade de bloqueio e de caça a sessão ativa, e o ângulo de credencial deixa de ser hipótese aberta.
O motivo de quase ninguém entregar isso é que a verificação é desconfortável. Testar se uma credencial funciona significa tentar autenticar como o titular dela, o que exige autorização explícita, cuidado para não disparar bloqueio de conta e um registro de tudo o que foi tentado. É mais simples parar no cruzamento e entregar o CSV. Só que o CSV é justamente a parte que não decide nada.
O que a visão externa não faz
Esta seção protege o trabalho de quem vai usar o material, e vale mais do que a anterior.
A visão externa não substitui análise forense. Log de endpoint, linha do tempo de execução no host e imagem de disco ficam fora do alcance dela por construção. Nada do que está atrás da VPN aparece, incluindo permissão excessiva em conta de nuvem, estação sem patch e uso indevido de credencial válida por alguém que já está dentro.
A validação ativa acontece onde há cobertura de módulo de teste. No restante da superfície a avaliação é passiva, baseada em versão e comportamento observado, e um achado passivo é uma hipótese, não uma prova. Confundir os dois durante uma crise custa credibilidade dentro da empresa, que é a moeda mais escassa do time de segurança naquele momento.
A plataforma também não corrige nada sozinha e não converte risco em valor financeiro. Quem decide o que desligar às três da manhã continua sendo gente.
Onde isso encaixa em quem opera SOC para terceiros
Provedores que embutem a superfície externa no próprio serviço de SOC costumam usá-la em dois momentos distintos, e o segundo é o que menos aparece nas propostas.
O primeiro é a chegada. Cliente novo em situação de incidente entrega uma lista de ativos que não confere, e a discussão sobre escopo consome as primeiras horas. Partir de um domínio semente e levantar a superfície de fora resolve isso sem depender de acesso ao ambiente, que muitas vezes ainda está sendo restabelecido.
O segundo é a semana seguinte à contenção. É quando o cliente pergunta se acabou, e é a pergunta que o RS.AN-08 diz que costuma ser respondida de forma superficial. Ter a lista de outros alvos potenciais, com histórico de quando cada um apareceu, transforma essa conversa em algo verificável.
Para o provedor, a operação é multicliente por desenho, com separação por organização, controle de acesso por escopo e trilha de auditoria. O modelo está descrito na página de parceiros.
Depois que o fogo apaga
O trabalho descrito aqui termina quando o incidente fecha. O que começa nesse momento é outro, com outra métrica e outra cadência, e ele decide se haverá um segundo incidente.
A empresa daquele caso continuou com a superfície monitorada depois da contenção, e o motivo foi o que sempre é. A lista levantada durante o incidente tinha itens que ninguém sabia que existiam, e a única forma de garantir que não apareçam de novo é olhar antes de o próximo aparecer.
Esse é o assunto de por que quem já foi atacado costuma ser atacado de novo.
Onde a CSURFACE entra nisso
Tudo o que está descrito acima é problema de mercado, não de produto, e vale para quem resolver com ferramenta própria, com script ou com outro fornecedor.
A CSURFACE existe porque decidimos resolver essas três partes de fora: o inventário do que está publicado sob o nome do grupo, com histórico de primeira e última observação, em descoberta contínua; a ordenação por alcance e exploração conhecida, em vez de por nota teórica, em priorização; e a verificação de credenciais vazadas que ainda autenticam, que é a parte incômoda que quase ninguém faz.
Se o seu time opera resposta para terceiros, a conversa que interessa é a de parceria.
Perguntas frequentes
A visão externa serve durante o incidente ou só depois?
Serve nos dois momentos, com usos diferentes. Durante, ela dimensiona o alcance e reduz o espaço de busca da forense. Depois, ela vira medição contínua da superfície, que é o que evita o incidente seguinte.
Isso substitui um serviço de resposta a incidentes?
Não. Contenção, erradicação, recuperação e perícia continuam sendo trabalho de um time de resposta, com acesso ao ambiente. A visão externa entrega insumo para esse time, com a parte da informação que se obtém de fora.
Em quanto tempo o mapa fica utilizável em uma crise?
Os primeiros ativos aparecem em poucas horas a partir de um domínio semente, sem instalar nada. A cobertura se consolida nos dias seguintes, e o histórico de primeira e última observação já vem junto, o que permite reconstruir o que estava publicado na data do incidente.
O que a visão externa não vai encontrar?
Tudo o que só existe dentro da rede. Movimentação lateral, abuso de credencial por quem já está autenticado, permissão excessiva em nuvem e host sem patch em rede interna. Essa parte depende de telemetria interna e de análise forense no ambiente.