Preemptive Threat Exposure Management (PTEM)

Preemptive threat exposure management (PTEM) é uma variação de nome do preemptive exposure management que acrescenta a palavra ameaça para enfatizar o uso de atividade observada de atacante na ordenação da fila. Nasceu como framework de fornecedor e ainda não foi adotado por nenhum analista.

De onde o nome vem

PTEM começou como nome que um fornecedor deu ao próprio método. A descrição junta visibilidade da exposição com leitura do que o atacante está fazendo agora.

Registrar a origem não é implicância. Muda como você lê o termo. CTEM é framework de analista, publicado pelo Gartner e usado por dezenas de fornecedores com o mesmo significado. PTEM ainda é vocabulário de uma casa só. Os dois podem ser úteis, mas só o primeiro serve de critério comum quando você compara propostas.

O que a palavra "ameaça" acrescenta

A ideia por trás do T é distinguir duas perguntas. Uma é o que dá para explorar em tese, respondida por simulação e por inteligência de exploit. A outra é o que está sendo explorado agora, respondida por observação de campanha ativa.

A segunda pergunta é a que reordena a fila de verdade. Uma falha de nota média em uso ativo hoje importa mais que uma falha 9.8 sem exploit conhecido há três anos, e nenhuma ordenação por CVSS chega a essa conclusão sozinha.

O detalhe é que isso já estava dentro do preemptive exposure management bem feito. A palavra extra enfatiza uma etapa, e não acrescenta uma.

PTEM, PEM e CTEM lado a lado

CTEM é o ciclo de cinco fases: escopo, descoberta, priorização, validação e mobilização. É método.

PEM é o compromisso de agir antes de existir incidente. É cadência.

PTEM é PEM com ênfase declarada em telemetria de atacante. É recorte comercial.

Nenhum dos três substitui gestão de vulnerabilidades, que continua sendo a etapa que trata a falha no ativo conhecido.

Como usar isso numa comparação

Pergunte de onde vem o dado de ameaça e com que frequência ele chega. Catálogo KEV da CISA, EPSS e exploit público são fontes que qualquer fornecedor consegue citar. Observação própria de infraestrutura de atacante é outra coisa, e quem tem costuma explicar como obtém.

A sigla no material de marketing não responde nenhuma dessas perguntas.

Veja isso na sua superfície

Análise preliminar gratuita