- Início
- Soluções
- Análise de Vulnerabilidades
- Priorização
Análise de Vulnerabilidades · Recurso
Classificação e priorização de vulnerabilidades
Uma lista longa de falhas não ajuda ninguém. A priorização mostra o que corrigir primeiro, com base no risco real para a sua empresa.
O que é
Classificação e priorização de vulnerabilidades, sem complicação
Uma varredura costuma encontrar muitas vulnerabilidades, e nenhuma equipe de TI corrige tudo ao mesmo tempo. A classificação organiza esses achados para que o esforço vá primeiro para o que mais reduz o risco.
A referência mais usada é o CVSS (Common Vulnerability Scoring System), que dá a cada falha uma nota de 0 a 10 com base em fatores técnicos: se pode ser explorada pela rede, se exige autenticação, se depende de ação do usuário e qual o impacto sobre confidencialidade, integridade e disponibilidade. As notas são agrupadas em faixas de severidade: baixa, média, alta e crítica.
Só o CVSS, porém, não basta. Boas práticas atuais somam outros critérios: se a falha já é explorada de fato por atacantes, como indicam catálogos públicos de vulnerabilidades exploradas e a inteligência de ameaças; a probabilidade de exploração, estimada por modelos como o EPSS; e o contexto do ativo, como estar exposto na internet ou guardar dados sensíveis. Uma falha alta num servidor público explorado ativamente vem antes de uma crítica num equipamento isolado.
Como funciona
Passo a passo
- 01
Nota técnica
Cada vulnerabilidade validada recebe a sua pontuação CVSS e a faixa de severidade correspondente.
- 02
Exploração conhecida
Os achados são cruzados com fontes que indicam quais falhas já são usadas em ataques reais ou têm código de exploração público.
- 03
Contexto do negócio
Considera-se onde o ativo está, se é acessível pela internet, que dados guarda e o que para se ele cair.
- 04
Ordem de correção
O resultado é uma lista priorizada, com o que tratar imediatamente, o que entra no próximo ciclo de atualização e o que pode ser aceito ou mitigado de outra forma.
Por que importa
O que muda para a sua empresa
Recursos de TI são limitados
Com prioridade clara, o time gasta o tempo disponível nas correções que mais reduzem o risco, em vez de seguir a ordem do relatório.
Severidade não é tudo
Muitas falhas críticas no papel nunca são exploradas, enquanto outras de nota menor são usadas em ataques reais. Olhar só a nota leva a escolhas erradas.
Decisão defensável
Quando uma correção precisa esperar, fica registrado o critério usado. Isso ajuda na conversa com a diretoria e com auditorias.
Menos tempo de exposição
Corrigir primeiro o que já está sendo explorado reduz a janela em que a empresa fica vulnerável ao tipo de ataque mais provável.
Na prática
Situações do dia a dia
Varejista com loja virtual
Entre muitos achados, a priorização coloca no topo uma falha no servidor web exposto que já aparece em ataques reais. As falhas críticas em estações internas isoladas entram no ciclo seguinte.
Hospital com equipamentos que não podem ser atualizados
Como alguns sistemas não aceitam correção imediata, a recomendação é isolá-los em um segmento de rede separado e restringir o acesso, registrando o risco aceito.
Empresa de logística com equipe de TI enxuta
O time recebe uma lista curta do que tratar primeiro, em vez de um relatório extenso, e consegue planejar as correções sem parar a operação.
Na Strema
Como entregamos Priorização
Na Análise de Vulnerabilidades, os especialistas da Strema combinam a nota técnica, a exploração conhecida e o contexto de cada ativo, definido com o seu time, para chegar a uma ordem de correção realista.
Para quem quer essa priorização de forma contínua, o Strema Guardian tem gestão de risco com as vulnerabilidades priorizadas pelo que já é explorado por atacantes, como opção complementar. E, para provar o impacto de uma falha específica, o pentest vai além da classificação e explora a vulnerabilidade de forma controlada.
O que é CVSS?
É um padrão aberto que dá a cada vulnerabilidade uma nota de 0 a 10 conforme a facilidade de exploração e o impacto. É a referência mais usada para comunicar severidade.
Por que não corrigir primeiro todas as críticas?
Porque a nota CVSS mede a gravidade técnica, não a chance de ataque nem a importância do ativo. Considerar a exploração real e o contexto leva a uma ordem que reduz mais o risco.
E se uma falha não puder ser corrigida?
Há alternativas, como isolar o equipamento, restringir acessos ou usar controles compensatórios. A decisão de aceitar o risco deve ser registrada e revista periodicamente.
A priorização muda com o tempo?
Sim. Uma falha pode passar a ser explorada depois da análise. Por isso a priorização deve ser revista a cada nova varredura.
Continue explorando
Recursos relacionados
No blog
Todos os recursos de Análise de Vulnerabilidades
Fale conosco
Quer Priorização protegendo a sua empresa?
Fale com um Stremer especialista hoje mesmo.
- Telefone4003-7886
- Horário de atendimentoSegunda a sexta-feira, das 07h às 19h.
- Belo HorizonteAvenida Sebastião de Brito, 525
Dona Clara, Belo Horizonte - MG - São PauloRua Gomes de Carvalho, 1629
Vila Olímpia, São Paulo - SP