Cyber Security
Scan de vulnerabilidade!
A importância de identificar vulnerabilidades.
O Scan de vulnerabilidades é uma ferramenta de segurança da informação preventiva e corretiva que tem o intuito de identificar vulnerabilidades em sua infraestrutura de forma automatizada por meio de “jobs” pré agendados nos ambientes.
Essas vulnerabilidades podem ser portas abertas, protocolos de criptografia inseguros, padrões de codificação inseguros, falhas de autenticação, injeção de códigos maliciosos entre outras vulnerabilidades que expõe seu ambiente a uma ameaça gerando risco.
A função de um scan é monitorar continuamente e gerar dados ao time de defesa da empresa referente a vulnerabilidades encontradas na rede, aplicações ou endpoints, consultando a sua base de dados e categorizando cada uma pela sua criticidade, auxiliando o time a priorizar a correção quando estamos em ambientes grandes.
O scan além de lhe trazer proteção pode melhorar o desempenho das aplicações e ser configurado para se basear em normas como PCI-DSS, CIS, ISO e ser um grande aliado do time de auditoria e controles internos.
Com esses dados na mão o time de defesa pode adotar uma postura pró ativa, e realizar correções de vulnerabilidades antes que sejam exploradas e se transformem em um incidente de segurança causando prejuízos para a empresa.
Somente ter o scan de vulnerabilidade resolve o problema ? Estou seguro ? Adoraria dizer que sim, mas se tratando de segurança da informação não existe uma bala de prata com a solução para todos os problemas e sim um conjunto de ferramentas e controles de segurança aplicados ao seu ambiente no intuito de identificar, prevenir, erradicar ameaças e a correção de vulnerabilidades é uma delas! Assim aplicamos o conceito de Security by Design ! Onde o scan é uma das suas camadas de defesa pró ativa entre outras.
Um ponto de atenção que devemos ter quando falamos em gestão de vulnerabilidade é com o tempo de detecção até o tempo de correção da vulnerabilidade, chamamos isso de ciclo de vida da vulnerabilidade.
O momento que descobrimos a vulnerabilidade até o momento que a correção é realizada, é nesse ponto que a maioria das empresas falham, 52% das empresas levam mais de uma semana para realizar a correção do problema, 22% precisam de pelo menos um mês e apenas 26% conseguem corrigir o problema no mesmo dia que encontram.
Esse é um bom indicador de performance quando assunto é vulnerabilidade TMD x TMR. (Tempo médio de detecção x Tempo médio de resposta).
A Hackerone que possui um dos maiores banco de dados de vulnerabilidades possui um ranking das vulnerabilidades mais exploradas, veja abaixo:
- Cross-site Scripting
- Autenticação imprópria
- Vazamento de dados
- Escalação de privilégios
- Injeção SQL
- Injeção de código malicioso
- SSRF (server-side request forgery)
- Referência Insegura Direta a Objeto
- Controle de acesso impróprio
- CRSF (Cross-site request forgery).
Juntas essas vulnerabilidades custaram aos cofres das empresas cerca de US $55 milhões segundo a HackerOne. Com base nesse dado, vale muito mais o investimento em uma ferramenta de Scan do que pagar a conta depois :)
Existem diversos tipos de scanners e forma de adquiri-los! Você pode optar pelo modelo SaaS muito utilizado nos dias de hoje ou tem a opção de licença vitalícia. As varreduras podem ser autenticadas e não autenticadas, scan na infra interna (que não está exposta para internet) e externa (que está exposta para internet) entre outras.
Um ponto importante na hora da escolha do scan está em relação a facilidade de integrá-lo com outras ferramentas de gestão de vulnerabilidade e detectar o máximo possível de CVEs (Common Vulnerabilities and Exposures).
Abaixo vou listar os mais populares:
1.Tenable.io
Um dos mais populares scanners do mercado, o Tenable.io oferece políticas e modelos pré-construídos, relatórios personalizáveis e um security ranking que lhe dá uma visão do grau de maturidade do seu ambiente em relação a outras empresas do mesmo segmento que utilizam o produto, além de detectar mais de 47 mil CVEs.
2. BurpSuite
Inclui um scanner de vulnerabilidades, ferramentas de pentest, funções de agendamento e automação de scans .O scanner é capaz de identificar mais de 100 vulnerabilidades como injeção SQL e cross-site scripting, e inclui recomendações para corrigir as brechas.
3. Qualys
Gestão de vulnerabilidades na nuvem, incluindo ferramentas para gestão de ativos, escaneamento de vulnerabilidades, monitoramento contínuo, detecção de malware, entre outras.
4. Veracode
A Veracode oferece um pacote completo de soluções para segurança de aplicativos no modelo SaaS, incluindo ferramentas para scan de vulnerabilidade, testes DAST, SAST e IAST.
5. OpenVas
Scanner de vulnerabilidades open-source que permite avaliações autenticadas e não autenticadas, mantido pela comunidade desde 2009 com mais de 50 mil testes de vulnerabilidade registrados.
Referências:
https://www.cisoadvisor.com.br/
https://www.hackerone.com/top-ten-vulnerabilities
