Como gerenciar vulnerabilidades com o scanner Nessus

Muitas empresas optam por gerenciar vulnerabilidades com o scanner Nessus. O gerenciamento de vulnerabilidades desempenha um papel importante na manutenção dos negócios, garantindo a proteção dos sistemas contra vulnerabilidades. Nas grandes empresas, existem equipes dedicadas para rastrear, avaliar e corrigir vulnerabilidades. Anteriormente, escrevemos sobre o que é um scanner de vulnerabilidades, o que é um teste de invasão e o objetivo de cada uma dessas abordagens em relação à segurança cibernética. Compreender e implementar bem ambos é um passo importante na identificação das necessidades de segurança cibernética do seu negócio, além de ser importante entender claramente que não são a mesma coisa e um não substitui o outro.

O gerenciamento de vulnerabilidades é o processo para identificar vulnerabilidades nos ativos de tecnologia, avaliar riscos e tomar as medidas apropriadas. Os scanners de vulnerabilidade são comumente usados ​para identificar pontos falhos em sistemas e desempenham um papel importante no processo de gerenciamento de vulnerabilidades, mas possuem limitações ferramentais para classificar os riscos dessas vulnerabilidades aos negócios, priorizar e acompanhar as correções e criar métricas de desempenho.

Muitas empresas não compreendem que os scanners de vulnerabilidades compõem um processo de gestão de vulnerabilidades, e acabam recorrendo a planilhas engessadas e ferramentas semelhantes para acompanhar a resolução das suas vulnerabilidades cibernéticas. É necessário aprimorar a visão e o entendimento de como priorizar e agir sobre determinada vulnerabilidade com agilidade. A visão do que é importante de acordo com os riscos do negócio fica prejudicada com o uso de planilhas gigantescas, causando um processo trabalhoso e de alto custo e acima de tudo ineficiente do ponto de vista da gestão de segurança. 

Nesse artigo, apresentamos como o scanner Nessus pode ser usado para identificação de vulnerabilidades cibernéticas da sua empresa e em seguida, apresentamos como classificar vulnerabilidades, acompanhar correções e gerar métricas importantes para os seus parceiros através do uso de uma ferramenta de gestão de vulnerabilidades. Continue a leitura e descubra como ferramentas de gestão de vulnerabilidades podem ser grandes aliadas no gerenciamento de riscos e indispensáveis na segurança da informação de sua empresa.

O que é Nessus e para o que serve

O Nessus é definido pela Tenable como a solução número um de avaliação de vulnerabilidades para profissionais de segurança. Tendo como característica a precisão Six Sigma, apresentando a menor taxa de falso-positivos do setor. Possui ampla e profunda cobertura, com mais de 56 mil CVEs (Common Vulnerabilities and Exposures) e mais de 142 mil plug-ins já publicados e com crescimento exponencial voltados para a identificação de vulnerabilidades.

Por trabalhar lado a lado com a comunidade de segurança, o Nessus atualiza continuamente sua base utilizando a comunidade para torná-lo a solução de avaliação de vulnerabilidades mais precisa e abrangente do mercado.

Atualmente (Setembro de 2020), o Nessus tem a confiança de mais de 30 mil organizações ao redor do mundo como uma das tecnologias de segurança cibernética mais usadas do planeta e o padrão de excelência em identificação de vulnerabilidades.

Porém, não basta termos os resultados de vulnerabilidades existentes em nosso sistema, é necessário realizar a gestão de vulnerabilidades. Essa abordagem monitora e avalia a exposição à ameaças de forma contínua, identificando as vulnerabilidades que mais possam impactar o negócio e que precisam ser priorizadas para correção ou mitigação.

Nessus e gestão de vulnerabilidades

Como foi já mencionado o Nessus é uma excelente ferramenta para identificar vulnerabilidades porém o processo de gestão possui alguns fatores limitantes. 

Com o resultado de um scanner de vulnerabilidade Nessus, teremos uma quantidade massiva de apontamentos de segurança da informação referente à vulnerabilidades tecnológicas de nosso ambiente organizacional.

Priorizar as vulnerabilidades que possuem maior probabilidade de risco ao negócio é uma tarefa complexa pelo número de vulnerabilidades que o scan nos disponibiliza. 

Exportar os resultados para uma planilha para realizar a gestão de vulnerabilidades é algo bastante ineficiente nos tempos atuais, quando vulnerabilidades são descobertas e publicadas incessantemente e ataques e ameaças evoluem em um ritmo muito rápido. Um programa de gestão de vulnerabilidades baseado em uma planilha é custoso, as equipes acabam tratando as vulnerabilidades sem a correta priorização o que pode deixar muitas brechas importantes a serem exploradas pela falta de visão de risco para o negócio. 

As ferramentas mais avançadas vão além da simples identificação das vulnerabilidades e proporcionam uma gestão inteligente, que inclui definição do grau do risco de cada ativo de acordo com as características do negócio e atribuição de tarefas a partir de regras de automação pré-estabelecidas, para que analistas possam realizar ações de mitigação  e correções para proteger os ativos da empresa.

Nesse contexto ferramentas como a plataforma GAT para a gestão integrada da segurança da informação se tornam essenciais e proporcionam um grande ganho de eficiência e produtividade. Continue a leitura do artigo para saber como isso pode fazer toda a diferença no processo de gestão de vulnerabilidades da sua empresa.

Passo a passo para gerenciar vulnerabilidades com o scanner Nessus utilizando a plataforma GAT

Utilizando GAT é possível trazer o que falta no scanner Nessus para realizar a gestão de vulnerabilidades de maneira otimizada, com rastreabilidade, definição de workflows e automações. Veja como é simples nesse passo-a-passo:

Avaliando os resultados do scan Nessus

Quando observamos o resultado do Nessus, verificamos um enorme número de vulnerabilidades tecnológicas a serem gerenciadas. Para que haja a priorização de tratamento de potenciais ameaças ao negócio podemos importar os resultados do scan para o GAT, para que esse gerenciamento de vulnerabilidades seja realizado de forma mais eficiente.

Monitoramento contínuo

Além de importar manualmente os arquivos, se você preferir também é possível automatizar o processo de importação dos resultados do Nessus para o GAT através da integração nativa com o Nessus. Assim, a plataforma GAT buscará as informações referentes a resultados de scans Nessus e trará automaticamente as vulnerabilidades encontradas para o GAT. 

Pré-processamento: filtrando o que realmente importa

Como já mencionado anteriormente os scans Nessus costumam trazer uma grande quantidade de vulnerabilidades.

Com GAT podemos realizar o Pré-Processamento destes apontamentos e assim filtrar de uma forma inteligente o que realmente devemos priorizar de vulnerabilidades com um melhor manuseio destas informações.

Podemos criar uma Deny list, ou seja, uma regra de filtragem para identificar e excluir da importação para o GAT apontamentos que não teriam de forma alguma prioridade nas atuações dos times de correção a vulnerabilidades. Da mesma forma podemos definir uma Allow list, caso necessário, e assim garantir que determinados tipos de apontamentos sejam sempre importados para visualização no GAT e posterior priorização caso necessário.

Automação: criando processos resilientes

Após realização do pré-processamento relacionado ao scan de vulnerabilidades Nessus, podemos criar rotinas de notificação e de atualização, referente aos apontamentos que foram importados.

A automação dentro da plataforma GAT permite que os processos sejam sólidos e erros humanos sejam evitados. Além disso, ao eliminar tarefas repetitivas, otimizamos o tempo das equipes, que podem focar no que realmente importa e diminuir assim a exposição ao risco diante das vulnerabilidades tecnológicas, contribuindo para um processo de gestão de vulnerabilidades eficiente.

É possível criar fluxos e notificações automatizadas para criar SLA’s (Service Level Agreement) que garantam o tempo de correção de acordo com a severidade dos apontamentos e quais ativos são afetados. Podemos demonstrar aos times, usuários ou auditores que possuímos vulnerabilidades com prazo de correção perto de expiração; atualizar o responsável e sua data limite, escalonando para atuação do usuário ou do time que deve realizar a tratativa das vulnerabilidades existentes em nosso ambiente. Saiba mais detalhes sobre como é possível realizar automações com a plataforma GAT consultando nossa documentação. 

Visualização de apontamentos

Além dos procedimentos automatizados já citados, podemos realizar a edição manual dos apontamentos caso necessário, para adicionarmos informações aos campos que o scanner Nessus não nos trouxe.

Por exemplo, podemos criar uma observação ou tag, fixar um plano de ação para que este apontamento seja tratado, subir evidências, realizar toda comunicação utilizada para tratativa do apontamento e visualizar um histórico de toda alteração realizada, conforme demonstrado em artigo de nossa documentação.

Atribuição de Score de Risco para ativos

Todos os ativos da sua empresa tem a mesma importância? Existem ativos com informações sensíveis ou que são de grande valor para a continuidade do negócio? Com GAT é possível definir a importância de cada ativo da sua empresa através de um score de risco. Também é possível criar e definir score para grupos de ativos. 

Dessa forma sua visão de risco deixa de ser centrada apenas no risco do apontamento identificado e passa a ter contexto de negócio, o que torna o processo de priorização muito mais eficiente para sua gestão de segurança da informação.   

Criação de métricas e gráficos

Quando visualizamos métricas e gráficos referente aos apontamentos identificados e outras informações relacionadas a vulnerabilidades, temos uma melhor visão do nosso ambiente e riscos o que possibilita uma ação mais assertiva na tomada de decisão para o gerenciamento de vulnerabilidades.

Com GAT é possível criar dashboards, onde podemos visualizar rapidamente quais vulnerabilidades e ativos devemos priorizar além de acompanhar a evolução e ganho de maturidade de nosso programa de segurança cibernética.

Estas métricas dão suporte a comunicação com stakeholders e defesa para ações que devem ser tomadas diante destes apontamentos para gestão de segurança da informação de acordo com o apetite de risco da empresa.

Conclusão

Ameaças e invasores estão mudando constantemente, assim como as empresas estão recorrentemente adicionando novos dispositivos móveis, serviços em nuvem, redes e aplicativos a seus ambientes. A cada mudança, existe o risco de abrir uma nova vulnerabilidade na sua rede, permitindo que os invasores entrem e saiam com suas informações. Ferramentas de gestão de vulnerabilidades fornecem verificações contínuas da segurança de seus negócios para garantir que as atualizações são aplicadas corretamente e as vulnerabilidades sejam corrigidas em tempo hábil. Agende uma demonstração da plataforma GAT e conheça potenciais de inovação do seu negócio aliados a segurança da informação.