Desligar custa menos que corrigir
Toda exposição tem duas saídas: corrigir ou remover. Corrigir exige janela de manutenção, teste de regressão e alguém que conheça a aplicação. Remover exige descobrir que aquilo existe e confirmar que ninguém usa.
Na prática, uma parte relevante do que está exposto não deveria estar. Ambiente de homologação publicado para a internet, painel administrativo sem restrição de origem, serviço de um projeto encerrado, subdomínio apontando para um bucket que já foi apagado. Nada disso precisa de correção. Precisa de desligamento.
Essa é a metade menos discutida do trabalho de superfície de ataque, e é a que dá resultado mais rápido.
A ordem que funciona
Primeiro o que está exposto e sob exploração ativa. Serviço de acesso remoto, VPN, firewall, appliance de borda e portal de autenticação, nessa ordem, antes de qualquer item interno de severidade alta.
Depois o que está exposto sem motivo. Aqui a pergunta deixa de ser "qual a nota CVSS" e passa a ser "alguém usa isso". Um inventário com dono por ativo responde essa pergunta em minutos; sem dono, a resposta leva semanas e normalmente ninguém desliga por medo.
Por último, o que está exposto por necessidade e precisa de controle: restrição de origem, autenticação forte, segmentação.
Por que trava
Trava por falta de atribuição. Ninguém desliga um serviço sem saber quem depende dele, e a maioria dos inventários não tem essa informação. É por isso que a descoberta contínua que atribui cada ativo a uma unidade de negócio muda o resultado mais do que qualquer scanner: ela transforma "não sei se posso desligar" em "posso, e o dono é fulano".
Como medir
Contagem de ativos expostos ao longo do tempo, e não número de vulnerabilidades corrigidas. Um programa que corrige mil falhas e mantém a mesma superfície não reduziu risco; trocou de fila. A métrica honesta é quantos pontos de entrada existiam no começo do trimestre e quantos existem no fim.