Priorização de vulnerabilidades: como superar a paralisia por patches
O que há de errado na forma como as empresas priorizam as vulnerabilidades? Uma analogia
A maioria das organizações foca na gravidade da ameaça ao decidir quais patches instalar primeiro.
A abordagem padrão é utilizar o Sistema de Pontuação de Vulnerabilidades Comuns (CVSS). Trata-se de um padrão aberto e gratuito que classifica a gravidade das vulnerabilidades de software conhecidas e é mantido atualizado pelo Banco de Dados Nacional de Vulnerabilidades do governo dos EUA.
Mas, embora a gravidade seja, sem dúvida, uma consideração importante, nem sempre é o fator mais relevante.
Uma analogia pode ajudar a mostrar o porquê.
Imagine que você está planejando umas férias de verão na praia. Sensatamente, você decide comprar um seguro de viagem. Ao comparar cotações, é preciso decidir se deseja pagar mais por “adicionais”.
A seguradora oferece cobertura extra para vários tipos de atividades, desde mergulho até parapente. No entanto, você tem medo de altura, então é improvável que precise de cobertura para parapente.
Agora, não ter seguro para essa atividade teria consequências graves para a maioria das pessoas caso sofressem um acidente de parapente. No entanto, como você provavelmente não fará isso, o risco para você é insignificante.
Por outro lado, é possível que você queira fazer algumas aventuras submarinas. Portanto, provavelmente você vai querer priorizar a cobertura para mergulho.
A priorização de vulnerabilidades é um pouco como os “adicionais” do seguro de viagem. Por exemplo, uma falha em um sistema de armazenamento de arquivos específico pode representar um grande risco para muitas organizações, pois o sistema pode conter dados valiosos. No entanto, se sua organização usa esse sistema apenas para armazenar informações de baixo valor, então corrigir essa falha não precisa ser sua principal prioridade. O CVSS não é o mesmo que o risco.
Escreva: “Um risco é um potencial de perda ou dano se uma ameaça explora uma vulnerabilidade (que é uma fraqueza no hardware ou software)”, enquanto um CVSS é uma forma de “descrever a gravidade relativa das vulnerabilidades de segurança de maneira consistente e quantitativa”.
Por que as organizações priorizam as vulnerabilidades erradas?
As empresas modernas enfrentam um fluxo aparentemente interminável de possíveis ameaças cibernéticas. Elas utilizam dezenas de aplicativos, com inúmeros usuários, todo tipo de hardware e sistemas complexos que devem ser mantidos atualizados.
Isso resulta no problema comum da “paralisia por patches”. As empresas ficam sobrecarregadas pela quantidade de atualizações que precisam instalar e lutam para se manter em dia.
A solução óbvia? Priorizar aquelas que são consideradas mais graves.
É uma conclusão razoável e totalmente compreensível. Focar nas ameaças que as autoridades nacionais classificaram como potencialmente graves significa:
- As ameaças cibernéticas de alto impacto poderiam ser evitadas.
- É fácil explicar para a empresa por que é necessário desconectar um sistema para atualizá-lo.
- Em um contexto de patches intermináveis, parece fornecer uma regra de priorização tão boa quanto qualquer outra.
- Para as equipes de cibersegurança sob pressão, oferece uma explicação defensável de por que focaram em certos patches em vez de outros.
No entanto, este é o enfoque errado. Ele expõe as organizações a riscos reais, enquanto elas gastam tempo e energia resolvendo vulnerabilidades sem importância.
A gravidade da ameaça não equivale ao risco.
Como explicado anteriormente, o fato de que uma falha de segurança em um produto possa ser grave para algumas organizações não significa que seja uma ameaça séria para você.
O contrário também é verdadeiro. O fato de que uma ameaça não seja considerada grave para a maioria das empresas não significa que não seja extremamente prejudicial se os hackers a utilizarem para acessar seus sistemas.
E é por isso que uma pontuação CVSS deve ser apenas uma parte das suas avaliações de vulnerabilidade. Como apontam os pesquisadores em uma edição de 2022 da revista científica Electronics: “O CVSS continua sendo um modelo genérico que não aborda a especificidade necessária para uma priorização bem-sucedida nas organizações”.
Então, se a “gravidade” não é suficiente, de que outra forma você deve classificar as vulnerabilidades?
Como priorizar a correção de vulnerabilidades por meio de uma abordagem baseada em riscos
