📘 Capítulo 7: Gerenciamento de Vulnerabilidades

1️⃣ Tipos de Vulnerabilidades

Gerenciamento de Vulnerabilidades (VM)

Processo crítico que abrange identificação, avaliação, tratamento e relato de vulnerabilidades em SOs, aplicações e componentes de TI.

Atividades Principais:

• Aplicação de patches em sistemas desatualizados
• Endurecimento de configurações
• Atualização para versões mais seguras de SOs
• Revisões de código e testes de segurança
• Atualização de bibliotecas de terceiros

Vulnerabilidades por Sistema Operacional

Sistemas Embarcados e IoT

• Introduzem vulnerabilidades e caminhos para infraestruturas corporativas
• Executam sistemas operacionais especializados

Sistemas Legados e EOL

Vulnerabilidades de Firmware

• Meltdown e Spectre (2018): processadores, roubo de dados
• LoJax (2018): firmware UEFI, persistência após reinstalação

2️⃣ Ciclo de Gerenciamento de Vulnerabilidades

Fatores de Priorização

• Severidade: CVSS score
• Facilidade de exploração
• Impacto potencial: perda financeira, dano reputacional
• Exposição: acessibilidade do sistema
• Fatores ambientais: infraestrutura, cenário de ameaças, compliance
• Tolerância a risco da organização

Exposure Factor (EF)

Extensão na qual ativo é suscetível a comprometimento. Fatores: autenticação fraca, segmentação inadequada, controle de acesso insuficiente.

3️⃣ Métodos de Identificação de Vulnerabilidades

Escaneamento de Vulnerabilidades

Processo automatizado que detecta:

• Portas abertas e IPs ativos
• Aplicações/serviços em execução
• Patches críticos faltantes
• Contas padrão não desabilitadas
• Configurações incorretas

Ferramentas Populares

Threat Feeds

Fontes de informação em tempo real sobre ameaças emergentes.

OSINT (Open-Source Intelligence)

Coleta de informações publicamente disponíveis.

Outros Métodos

• Pen Testing: hackers éticos tentam violar segurança
• Bug Bounty: recompensa para pesquisadores externos
• Auditoria: conformidade (GDPR, HIPAA), baseada em risco, técnica
• Deep/Dark Web: contrainteligência, infiltração

Comparação: Pen Testing vs Bug Bounty

Pen Testing	Bug Bounty
Equipe contratada profissional	Comunidade global
Prazo confinado	Contínuo
Abordagem estruturada	Habilidades diversas
Custo previsível	Pago por descoberta

4️⃣ Análise e Correção

Opções de Scan

Tipo	Descrição
Intrusivo	Tenta explorar vulnerabilidade (mais preciso, não em sistemas vivos)
Não-Intrusivo	Lista vulnerabilidades potenciais (mais comum, sistemas vivos)
Credenciado	Com login, análise profunda (simula ataque interno)
Não-Credenciado	Sem login, visão de atacante externo

Escaneamento de Aplicações

• Análise Estática: revisa código sem executar
• Análise Dinâmica: testa aplicações em execução
• Identifica: XSS, SQL injection, referências inseguras

Monitoramento de Pacotes

Rastreia segurança de pacotes de terceiros, bibliotecas e dependências.

• SCA (Software Composition Analysis): identifica pacotes desatualizados/vulneráveis
• Compara com NVD e avisos de vendors
• Políticas de governança: auditorias regulares, aprovação de novos pacotes

Validação de Remediação

• Re-scanning: escaneia novamente após correção
• Auditoria: revisa passos e documentação
• Verificação: checagens manuais, logs, testes

Relato de Vulnerabilidades

• CVSS: score 0-10, métricas de explorabilidade e impacto
• Elementos do relatório: impacto potencial, recomendações, relato oportuno, formato claro

5️⃣ Alerta e Monitoramento

Ferramentas de Monitoramento

1. Monitores de Rede

• SNMP: coleta dados de switches, roteadores, firewalls (CPU, memória, temperatura)
• SNMP traps: eventos notáveis (falha de porta, superaquecimento)

2. NetFlow (Flow Collector)

• Metadados de tráfego (5-tuple: IPs, portas, protocolo)
• Identifica padrões, malware, C2, tunelamento
• IPFIX: padrão IETF baseado no NetFlow da Cisco

3. Monitores de Sistema e Logs

• Logs de sistema (disponibilidade) e segurança (autorizações)
• Revisão regular é crítica - não apenas após incidentes

4. Monitores de Aplicação e Cloud

• Heartbeat, sessões, largura de banda, CPU/memória, condições de erro
• Cloud: largura de rede, status de VM, saúde de aplicação

5. Scanners de Vulnerabilidades

Reportam total de vulnerabilidades não mitigadas por host.

6. Antivírus (EPP)

• Detectam malware por assinatura, integração com UEBA e IA
• Configurados para bloquear automaticamente e gerar alertas

7. DLP (Data Loss Prevention)

Medeia cópia de dados marcados, restringe mídias/serviços não autorizados.

6️⃣ SIEM e SOAR

SIEM (Security Information and Event Management)

Software que coleta e correlaciona dados de segurança.

Coleta de Dados - 3 Tipos:

1. Baseado em Agente: instalado no host, filtra e normaliza dados
2. Listener/Collector: hosts empurram logs via syslog
3. Sensor: capturas de pacotes e flow de tráfego

Agregação e Normalização

• Parsers para diferentes fontes (Windows, Linux, switches, firewalls)
• Normaliza datas para timeline única

Atividades do SIEM

• Correlação: regras lógicas (AND, OR) para detectar incidentes
• Threat Intelligence Feeds: associa dados observados a indicadores conhecidos
• Alertas: Log only, Alert, Alarm (crítico)
• Dashboards e Relatórios: executivo, gerencial, conformidade
• Arquivamento: retenção para forense e compliance

SOAR (Security Orchestration, Automation and Response)

• Automatiza validação e remediação de alertas
• Playbooks: guiam resposta a incidentes
• Integração com firewalls e produtos de endpoint
• Ações como quarentena com um clique

Ajuste de Alertas (Alert Tuning)

• Refinar regras de correlação
• Silenciar alertas para log-only
• Redirecionar floods para grupos dedicados
• Monitorar volume e feedback de analistas
• Machine Learning para ajuste automático

7️⃣ DLP (Data Loss Prevention)

Componentes

• Servidor de Política: configura regras, registra incidentes, relatórios
• Agentes de Endpoint: aplicam política em clientes (mesmo offline)
• Agentes de Rede: escaneiam comunicações na fronteira

Funcionamento

• Escaneiam conteúdo estruturado (bancos) e não estruturado (emails, documentos)
• Bloqueiam transferências para USB, email, IM, mídia social
• Extensão para cloud via proxy ou API

Remediação em DLP

Ação	Descrição
Alert Only	Cópia permitida, incidente registrado
Block	Usuário impedido de copiar
Quarantine	Acesso negado (arquivo criptografado/movido)
Tombstone	Arquivo substituído por descrição da violação

8️⃣ Testes de Penetração (Pentest)

Tipos de Conhecimento

Equipes de Segurança

• Red Team: hackers éticos (ataque)
• Blue Team: defesa do sistema
• Purple Team: combinação ofensiva e defensiva
• White Team: árbitros/gerentes do engajamento

Documentação Pré-Teste

• Scope of Work (SOW): quem, o quê, quando, onde, por quê, pagamento
• Rules of Engagement (ROE): tipo de teste, manipulação de dados, notificações

Ciclo de Vida do Pentest

Tipos de Testes de Penetração

• Physical: tailgating, lock picking, bypass de alarmes
• Integrated: holístico (redes, apps, físico) - ofensivo + defensivo
• Continuous: automação em ambientes CI/CD