Encontrar problemas de segurança nunca foi exatamente a parte mais difícil.
Um scanner encontra vulnerabilidades. Uma ferramenta de Attack Surface Management descobre ativos e exposições. Threat Intelligence traz novas informações. Pentests encontram falhas que outras análises não encontraram. Equipes internas também conhecem problemas que permanecem há meses no backlog.
Depois de algum tempo, a organização pode ter milhares de findings vindos de lugares diferentes.
E aí aparece uma pergunta bem mais difícil:
o que fazemos primeiro?
Corrigir tudo seria a resposta mais confortável, mas dificilmente é uma opção real. Existem equipes limitadas, janelas de mudança, sistemas que não podem parar, dependências técnicas e prioridades do próprio negócio.
Também não basta simplesmente procurar as vulnerabilidades com maior CVSS. Como vimos quando falamos de Gestão de Vulnerabilidades, severidade é importante, mas não explica sozinha quais exposições merecem atenção primeiro.
É nesse cenário que o Continuous Threat Exposure Management (CTEM) começa a fazer sentido.
CTEM não é uma ferramenta
Esse talvez seja o primeiro ponto que vale esclarecer.
CTEM não é um scanner, uma plataforma específica ou uma nova categoria de produto que resolve exposição cibernética automaticamente.
É uma abordagem estruturada para identificar, priorizar e validar exposições de forma contínua, levando essas informações até uma ação de tratamento.
O Gartner descreve CTEM como uma abordagem pragmática e sistêmica para avaliar continuamente a acessibilidade, exposição e explorabilidade dos ativos digitais e físicos de uma organização.
A palavra continuous também pode causar alguma confusão.
Não significa necessariamente ter um scanner executando 24 horas por dia.
A ideia é que a gestão da exposição seja recorrente e acompanhe as mudanças do ambiente. Novos ativos aparecem, configurações mudam, vulnerabilidades são divulgadas, técnicas de ataque evoluem e aquilo que ontem não parecia prioritário pode ganhar importância.
Por isso, CTEM funciona mais como um ciclo do que como um projeto com início e fim bem definidos.
As cinco etapas ajudam a entender o processo
O modelo de CTEM é normalmente organizado em cinco etapas:
Scoping → Discovery → Prioritization → Validation → Mobilization
A sequência ajuda a explicar o processo, mas na prática essas etapas não vivem isoladas umas das outras.
Tudo começa pelo Scoping.
Antes de procurar exposições, é necessário decidir o que queremos observar. Pode ser a superfície externa da organização, determinados sistemas críticos, aplicações, ambientes cloud ou algum conjunto específico de ativos.
Parece uma etapa simples, mas ela evita um problema relativamente comum em segurança: coletar uma enorme quantidade de informação sem ter muita clareza sobre o que pretendemos fazer com ela.
Depois vem o Discovery.
É aqui que procuramos entender quais ativos e exposições existem dentro daquele escopo. Dependendo do ambiente, podem aparecer vulnerabilidades, serviços expostos, configurações inadequadas, credenciais vazadas, ativos desconhecidos e outros caminhos que merecem análise.
Em ambientes grandes, normalmente não demora muito para surgir bastante coisa.
E encontrar bastante coisa nos leva ao próximo problema.
Descobrir não significa saber o que tratar primeiro
A etapa de Prioritization existe justamente porque volume e risco não são a mesma coisa.
Imagine que o processo de Discovery identifique 3.000 exposições.
Tratar as 3.000 como igualmente urgentes praticamente elimina o valor da priorização. Da mesma maneira, simplesmente ordenar tudo por severidade pode deixar de fora informações importantes sobre explorabilidade, exposição e contexto.
O trabalho passa então a ser reduzir esse universo para algo que a organização consiga realmente analisar e tratar.
Isso exige contexto.
Uma vulnerabilidade crítica em um ativo isolado pode merecer uma decisão diferente de uma vulnerabilidade de severidade menor presente em uma aplicação exposta à Internet e com evidências de exploração.
Um serviço publicado pode parecer preocupante inicialmente, mas talvez existam controles que reduzam bastante sua exposição.
Uma credencial vazada pode ser antiga e já ter sido revogada. Outra pode continuar válida.
A descoberta mostra que algo existe. A priorização começa a perguntar quanto aquilo realmente importa.
É justamente nesse ponto que CTEM começa a se afastar de uma simples lógica de “encontrar mais vulnerabilidades”.
Mas ainda estamos trabalhando com hipóteses
Mesmo depois de priorizar, existe uma pergunta que vale fazer:
aquilo que parece explorável realmente é?
Essa é a função da etapa de Validation.
E aqui também existe uma nuance importante. Validar não significa necessariamente explorar cada vulnerabilidade ou executar um Pentest completo sobre tudo que foi encontrado.
Dependendo da exposição, podemos buscar diferentes tipos de evidência.
Um serviço realmente responde externamente? Uma credencial continua válida? Uma vulnerabilidade possui condições técnicas para exploração naquele ambiente? Um controle existente impede o caminho que inicialmente parecia possível?
Em outros casos, uma análise ofensiva mais profunda pode ser necessária para entender melhor a situação.
O objetivo é reduzir incerteza.
Porque existe uma diferença considerável entre dizer:
“Encontramos algo potencialmente vulnerável.”
e conseguir explicar:
“Encontramos esta exposição, ela está acessível nessas condições e existem estas evidências que aumentam sua relevância.”
Quanto melhor essa evidência, melhor tende a ser a decisão sobre o que fazer depois.
E alguém precisa fazer alguma coisa com isso
É aqui que chegamos a uma etapa que talvez pareça menos interessante tecnicamente, mas sem ela o restante do ciclo perde boa parte do valor: Mobilization.
Encontrar, priorizar e validar uma exposição não significa que ela foi reduzida.
Alguém precisa receber a informação. É necessário definir responsabilidade, avaliar o tratamento, corrigir quando for possível, aceitar determinado risco quando fizer sentido e depois verificar o que aconteceu.
Na prática, essa etapa pode envolver diferentes equipes.
Segurança identifica uma exposição. Infraestrutura precisa alterar um serviço. Desenvolvimento corrige uma aplicação. Cloud remove uma configuração inadequada. Outra equipe precisa avaliar se uma mudança pode afetar a operação.
Nem sempre esse fluxo acontece rapidamente.
E nem sempre o problema é técnico.
Há situações em que uma exposição já é conhecida e entendida, mas continua aberta simplesmente porque nunca chegou à pessoa certa, não possui um responsável claro ou compete com outras prioridades.
É por isso que o último estágio do CTEM não termina em um relatório.
O objetivo é transformar informação em redução de exposição.
Depois o ciclo começa novamente
Suponha que uma organização tenha concluído esse processo hoje.
Ela definiu o escopo, descobriu exposições, priorizou o que parecia mais relevante, buscou evidências e mobilizou as equipes responsáveis.
O ambiente está resolvido?
Provavelmente não.
Amanhã pode entrar uma nova aplicação em produção. Na próxima semana uma vulnerabilidade relevante pode ser divulgada. Um novo domínio pode ser registrado. Uma configuração pode mudar. Uma credencial pode aparecer em um vazamento.
Ou uma exposição que havia sido considerada pouco prioritária pode passar a ter um exploit disponível.
O ambiente mudou, então algumas decisões precisam ser revisitadas.
É esse movimento que dá sentido ao Continuous do CTEM.
Não se trata apenas de repetir scans. Trata-se de repetir o processo de decisão conforme as exposições e o contexto mudam.
Onde CTEM, ASM e Gestão de Vulnerabilidades se encontram?
Os conceitos se sobrepõem em alguns pontos, mas não são a mesma coisa.
A Gestão de Vulnerabilidades tradicionalmente trabalha com a identificação e tratamento de vulnerabilidades nos ativos da organização.
O Attack Surface Management ajuda a manter visibilidade sobre os ativos e exposições que compõem a superfície de ataque, especialmente a partir de uma perspectiva externa.
O CTEM organiza uma abordagem mais ampla para gerenciar exposições continuamente, passando por descoberta, priorização, validação e mobilização.
Isso significa que ASM pode apoiar um programa de CTEM. Gestão de Vulnerabilidades também pode.
Threat Intelligence, ferramentas de segurança, validação ofensiva e processos internos entram em diferentes partes do mesmo ciclo.
Por isso, talvez não seja muito útil perguntar qual dessas abordagens “substitui” a outra.
Em muitos ambientes, elas precisam conversar.
Uma equipe de Vulnerability Management pode conhecer milhares de vulnerabilidades. O ASM pode revelar um ativo que não estava no inventário. Threat Intelligence pode mostrar que determinada vulnerabilidade começou a ser explorada. Uma validação pode indicar que uma exposição aparentemente crítica não funciona nas condições daquele ambiente.
Cada informação altera um pouco a decisão.
CTEM não deveria significar encontrar mais problemas
Essa talvez seja uma das interpretações que mais vale evitar.
Se uma organização já possui 20 mil findings e implementa CTEM apenas para chegar a 30 mil, provavelmente não resolveu sua principal dificuldade.
A quantidade de descobertas pode até aumentar. Principalmente no início.
Mas o ganho deveria aparecer em outro lugar: na capacidade de entender quais exposições merecem atenção, obter evidências quando necessário e conseguir levar as mais relevantes até uma ação.
Isso também explica por que CTEM não é simplesmente uma evolução do scanner de vulnerabilidades.
A tecnologia ajuda bastante em várias etapas. Automação também.
Ainda assim, alguém precisa definir escopo, interpretar contexto, decidir prioridade e mobilizar a organização.
Algumas dessas decisões podem ser cada vez mais apoiadas por dados e automação. Outras continuam dependendo do conhecimento que a empresa possui sobre seu próprio ambiente.
No final, a pergunta que CTEM tenta ajudar a responder não é:
“Quantos problemas encontramos?”
É uma pergunta um pouco mais útil:
“Em quais exposições devemos concentrar nossos esforços agora?”
E, depois que essa resposta muda, o ciclo começa outra vez.
Referências
- Gartner — Strategic Roadmap for Managing Threat Exposure
- Gartner — From Vulnerability Management to Exposure Management
- SANS Institute — Continuous Threat Exposure Management
- SANS Institute — CTEM Maturity Model
Continue explorando
- O que é superfície de ataque e por que ela muda continuamente?
- Gestão de Vulnerabilidades: por que severidade não é suficiente para definir prioridade?
- O que é um vetor de ataque? Entenda a relação com a superfície de ataque
Quer levar essa visão para a sua superfície de ataque?
Conheça como o Lion Focus ajuda a descobrir, acompanhar, validar e priorizar exposições cibernéticas.
Leonnes Cybersecurity
Cyber Exposure Platform
