Capítulo 21 — Gestão de vulnerabilidades
Mapa da aula
Aula 21 publicada. Mapa, exemplo, EX061.
flowchart TD
N0["21.1 O ciclo"]
N1["21.2 O laboratório de vulnerabilidades"]
N2["Laboratório — Achados de vulnerabilidades atrasados"]
N3["21.3 Priorizando"]
N4["21.4 Causas do atraso"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX061"]
Desenho lógico
flowchart LR
N0["21.1 O ciclo"]
N1["21.2 O laboratório de vulnerabilidades"]
N2["Laboratório — Achados de vulnerabilidades atrasados"]
N3["21.3 Priorizando"]
N4["21.4 Causas do atraso"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX061"]
[21.1 O ciclo]
|
v
[21.2 O laboratório de vulnerabilidades]
|
v
[Laboratório — Achados de vulnerabilidades atrasados]
|
v
[21.3 Priorizando]
|
v
[21.4 Causas do atraso]
|
v
[Exemplo resolvido] --> [Exercício EX061]
Objetivos de aprendizagem
Você vai (1) descrever o ciclo de gestão de vulnerabilidades; (2) medir os achados em relação às metas de correção; (3) priorizar as correções pela gravidade e pela exposição.
21.1 O ciclo
No terceiro ano, Aisha estuda a gestão de vulnerabilidades: encontrar as fraquezas, avaliá-las, corrigi-las e conferir as correções. A Ashfield faz uma varredura mensal dos seus computadores e servidores, que produz uma lista de achados com classificações de gravidade. Sua norma interna define metas de correção: os achados críticos em até catorze dias, os altos em até trinta e os médios em até noventa. O Dr. Carrow explica que varrer sem corrigir não leva a nada, então o ciclo precisa ser medido na etapa da correção, e não apenas na etapa da descoberta. Aisha revisa a varredura mais recente.
21.2 O laboratório de vulnerabilidades
O laboratório monta uma lista sintética de 400 achados em aberto, com a gravidade e a idade em dias. Dos 29 achados críticos, cinco têm mais de catorze dias, 17,2 por cento. Dos 103 achados altos, 27 estão atrasados em relação aos trinta dias, 26,2 por cento. Dos 268 achados médios, 57 estão atrasados em relação aos noventa dias, 21,3 por cento. No total, 89 dos 400 achados estão atrasados. Aisha observa que os cinco achados críticos atrasados merecem atenção primeiro, embora os achados altos tenham a maior parcela de atraso. Ela mostra ao gerente de TI uma tabela dos achados atrasados por gravidade, com os cinco itens críticos listados por sistema e idade, para que ele possa distribuí-los à equipe no mesmo dia.
Laboratório — Achados de vulnerabilidades atrasados em relação às metas de correção
"""Find vulnerability findings overdue against remediation targets (stdlib only)."""
import random
from collections import Counter
random.seed(21)
target = {"critical": 14, "high": 30, "medium": 90}
finds = []
for _ in range(400):
sev = random.choices(["critical", "high", "medium"], [1, 4, 10])[0]
finds.append((sev, int(random.expovariate(1 / (target[sev] * 0.7)))))
total = Counter(s for s, _ in finds)
over = Counter(s for s, a in finds if a > target[s])
for s in target:
print(f"{s}: {total[s]} open, {over[s]} overdue ({over[s]/total[s]:.1%}) against {target[s]} days")
print(f"all: {len(finds)} open, {sum(over.values())} overdue")
Execute com python3 lab_vulns.py. Saída verificada:
critical: 29 open, 5 overdue (17.2%) against 14 days
high: 103 open, 27 overdue (26.2%) against 30 days
medium: 268 open, 57 overdue (21.3%) against 90 days
all: 400 open, 89 overdue
21.3 Priorizando
A gravidade sozinha não basta. Aisha acrescenta a exposição: se o sistema pode ser alcançado a partir da internet e se a vulnerabilidade é sabidamente explorada em ataques reais. Dois dos cinco achados críticos atrasados estão no servidor de internet banking, que fica exposto à internet, então vêm primeiro. Os demais estão em sistemas internos. Ela aprende que combinar a gravidade, a exposição e as evidências de exploração no mundo real dá uma ordem de trabalho melhor do que as classificações de gravidade sozinhas. Ela registra a ordem e seus motivos numa breve nota para o gerente de TI.
21.4 Causas do atraso
Aisha pergunta por que os achados ficam atrasados. Alguns precisam de uma atualização do fornecedor ainda não lançada; alguns exigem uma parada a que as agências resistem; alguns foram simplesmente esquecidos. Para os atrasos de fornecedores, ela recomenda medidas temporárias, como restringir o acesso ao serviço afetado. Para as paradas, ela propõe uma janela de manutenção mensal acordada com os gerentes das agências. Para os itens esquecidos, ela sugere uma lista semanal de atrasados enviada a cada dono. O Dr. Carrow observa que cada causa precisa do seu próprio remédio. Os gerentes das agências aceitam a janela de manutenção depois de ver os achados críticos atrasados.
Exemplo resolvido
Aisha mede 400 achados sintéticos em relação às metas, encontra 89 atrasados, entre eles 5 críticos, prioriza os sistemas expostos à internet e trata as causas do atraso.
Caso sintético. Os achados são sintéticos; as saídas vêm de lab_vulns.py.
Erros e limites
Priorizar apenas pela gravidade ignora a exposição e a exploração ativa.
Exercícios
-
EX061 — Críticos atrasados. Quantos achados críticos estão atrasados? Rubrica: 3 = cinco, 17,2 por cento;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.
-
EX062 — Altos atrasados. Que parcela dos achados altos está atrasada? Rubrica: 3 = 26,2 por cento;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.
-
EX063 — Total de atrasados. Quantos achados estão atrasados no total? Rubrica: 3 = 89 de 400;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.
Continue estudando — aula 21 (capítulo 21 de 40)
← Capítulo 20 · Índice das aulas · Capítulo 22 →
Continue para a próxima aula já escrita.