Recursos · 23
Priorize as vulnerabilidades e verifique a remediação.
Conecte a exploração conhecida, os ativos expostos, o impacto nos negócios e a comprovação de uma correção funcional.
Atualizado · 3 min
O que este guia ajuda a alcançar
- Atribuir alertas aos ativos
- Classificar a urgência real
- Implementar com segurança
- Verificar e encerrar
Verificação rápida
- O produto e a versão afetados estão realmente implantados?
- O ativo é acessível e crítico para os negócios?
- A exploração está documentada?
- O que protege o serviço antes da aplicação de um patch?
- Uma verificação confirma que o problema foi corrigido no ativo?
Método passo a passo
- 1
Consolidar o inventário
Mapear serviços, produtos, versões, ambientes, exposição e proprietários. Um aviso de componente por si só não comprova que uma instância vulnerável está implantada.
Entregável: lista de ativos afetados com data e incertezas.
- 2
Qualificar a descoberta
Comparar o aviso do fornecedor, o identificador CVE, as condições de exploração e, quando relevante, o catálogo de vulnerabilidades exploradas conhecidas da CISA. Registrar quando cada fonte foi verificada.
Entregável: descoberta com referências primárias.
- 3
Definir uma prioridade defensável
Considerar a exploração conhecida, a acessibilidade do ativo, os privilégios necessários, os dados manipulados, o impacto no serviço e a remediação disponível. Atribuir um responsável e um prazo específico ao contexto.
Entregável: decisão de prioridade fundamentada.
- 4
Preparar a alteração
Mapear dependências, janela de alteração, backup e reversão. Se uma atualização não puder ser aplicada imediatamente, registrar o controle temporário e sua expiração.
Entregável: plano de implementação e exceção limitada.
- 5
Implantar e testar
Aplicar a correção ou mitigação do fornecedor usando o processo aprovado. Verificar a versão resultante, o fluxo de negócios e as integrações que podem regredir.
Entregável: registro de implantação e resultado funcional.
- 6
Verificar encerramento
Verificar o ativo real com um método adequado, encontrar instâncias ausentes e revisar exceções. Não fechar um chamado apenas porque uma atualização foi agendada.
Entregável: evidência de verificação e registro atualizado. ...4 Entregável: evidência de verificação e registro atualizado.
Indicadores de gestão
| Indicador | O que mede | Primeira ação |
|---|---|---|
| Abrangência | Ativos críticos com versões e proprietários conhecidos | Concluir o inventário |
| Atraso | Tempo desde a qualificação até a correção verificada | Remover gargalos recorrentes |
| Verificação | Correções retestadas em ativos reais | Reabrir encerramentos sem evidências |
| Exceções | Isenções com controle, proprietário e expiração | Fechar exceções expiradas |
Erros comuns
- Classificação baseada exclusivamente em uma pontuação genérica sem verificar o ativo
- Presumir que uma listagem de KEV significa que o produto existe em seu ambiente
- Implantação sem testar o comportamento do serviço
- Deixar controles compensatórios sem uma data de revisão
Perguntas frequentes
O CVE com a pontuação mais alta deve sempre vir primeiro?
Uma pontuação descreve a gravidade técnica; a exploração conhecida, a exposição e o impacto no serviço local orientam sua ordem operacional.
E se não houver patch disponível?
Siga as medidas de mitigação do fornecedor, reduza a exposição sempre que possível e documente o responsável, a data de revisão e o risco residual.
Quando o trabalho é considerado concluído?
Após a versão ou mitigação ter sido verificada nas instâncias afetadas e a funcionalidade crítica ter sido testada.
Referências oficiais
As referências apoiam o método. Adapte as verificações ao seu contexto; elas não são uma certificação. Os títulos das referências originais e os documentos de origem podem estar em outro idioma.
