Recursos · 02
Avaliação da exposição cibernética: uma lista de verificação priorizada
Inventarie o que é visível, conecte a exposição aos ativos de negócios e transforme as descobertas em um plano verificável de redução de riscos.
Atualizado · 3 min
O que este guia ajuda a alcançar
- Encontre ativos esquecidos
- Separe a exposição do risco real
- Aborde primeiro os caminhos de ataque plausíveis
- Comprove que uma descoberta foi concluída
Verificação rápida
- Todo domínio tem um proprietário?
- Os administradores usam MFA resistente a phishing?
- Os serviços de teste estão expostos?
- A restauração foi testada?
- Todas as exceções expiram?
Método passo a passo
- 1
Defina o escopo autorizado.
Liste entidades, domínios, intervalos, aplicativos em nuvem e exclusões. Defina as técnicas permitidas, o cronograma e um contato de emergência.
Entregável: escopo e regras de engajamento.
- 2
Inventário externo.
Correlacione DNS, certificados, serviços publicados, tecnologia visível, repositórios públicos e contas oficiais. Atribua um proprietário a cada ativo.
Entregável: inventário datado.
- 3
Revise identidades e acessos.
Verifique a cobertura de MFA, contas órfãs, privilégios permanentes, mecanismos de recuperação e segredos expostos.
Entregável: mapa de acesso crítico.
- 4
Conectar vulnerabilidade e contexto
Uma vulnerabilidade torna-se prioritária quando é acessível, explorável, vinculada a dados ou funções críticas e insuficientemente detectada.
Entregável: cenários de risco.
- 5
Verificar resiliência e detecção
Revisar backups, restauração, registro de logs, alertas, dependências e procedimentos de crise. Um backup não testado permanece uma suposição.
Entregável: evidências de teste.
- 6
Gerenciar remediação
Atribuir a cada ação um responsável, data, evidências esperadas e risco residual. Revalidar externamente após a correção.
Entregável: backlog priorizado.
Exemplo prático fictício
Situação ilustrativa
Uma subsidiária encontra um subdomínio antigo nos resultados da pesquisa. Antes da varredura, ela confirma a propriedade, a hospedagem, a finalidade e se os dados reais ainda podem estar presentes.
Decisão e evidências esperadas
O registro de exposição separa um ativo aprovado, um serviço abandonado e um terceiro desconhecido, com um proprietário e evidências de encerramento para cada um.
Indicadores de gestão
| Indicador | O que mede | Primeira ação |
|---|---|---|
| Cobertura do inventário | Ativos observados com proprietário e criticidade | Priorizar ativos sem proprietário |
| Exposição crítica | Serviços sensíveis acessíveis pela Internet | Reduzir o acesso, segmentar ou adicionar controles robustos |
| Tempo para remediação | Tempo entre a descoberta validada e a evidência de encerramento | Desbloquear ações de alto impacto e baixo esforço |
| Risco residual | Exposição aceita com proprietário e prazo de validade | Expirar exceções em vez de deixá-las abertas |
Erros comuns
- Varredura sem autorização ou janela definida
- Classificação apenas por pontuação técnica
- Ignorar SaaS e subdomínios históricos
- Encerrar uma ação sem teste de confirmação
Perguntas frequentes
Uma revisão de exposição é um teste de penetração?
Não. Ele mapeia e qualifica a exposição visível usando métodos não intrusivos ou explicitamente autorizados. O teste de penetração valida cenários selecionados em um escopo separado.
Com que frequência o inventário deve ser repetido?
Após grandes mudanças e regularmente. Os ativos externos mudam rapidamente, portanto, a frequência deve seguir a cadência de implantação.
Por que testar backups?
Um arquivo ou um trabalho bem-sucedido não comprova a integridade ou a capacidade de restaurar um serviço dentro do tempo esperado.
Referências oficiais
As referências apoiam o método. Adapte as verificações ao seu contexto; elas não são uma certificação. Os títulos das referências originais e os documentos de origem podem estar em outro idioma.
