Uma vulnerabilidade é uma fragilidade em um ativo que pode ser explorada por uma ameaça. A concretização dessa exploração caracteriza um incidente, e a probabilidade combinada ao impacto define o risco.

A análise de vulnerabilidades é o processo sistemático de identificar, classificar e priorizar essas fragilidades antes que sejam exploradas.

Etapas do Processo

I) Inventário de ativos: não é possível proteger aquilo que não se conhece. O levantamento abrange servidores, estações, aplicações, redes e dados.

II) Varredura: ferramentas automatizadas comparam versões de software e configurações com bases públicas de vulnerabilidades conhecidas.

III) Análise e priorização: os achados são validados para eliminar falsos positivos e ordenados por criticidade.

IV) Remediação e reteste: aplicação de correções e nova verificação para confirmar a eficácia.

Referências Técnicas

A base CVE (Common Vulnerabilities and Exposures) atribui um identificador único a cada vulnerabilidade divulgada publicamente.

O CVSS (Common Vulnerability Scoring System) fornece uma nota de 0 a 10 que expressa a severidade, considerando fatores como complexidade do ataque e impacto sobre confidencialidade, integridade e disponibilidade.