Pontos principais
- O rápido aumento no número de vulnerabilidades e a detecção baseada em IA estão reduzindo o tempo entre a divulgação da vulnerabilidade e sua exploração ativa.
- Ciclos regulares e disciplinados de aplicação de patches ajudam a reduzir a exposição geral e a se preparar para novas vulnerabilidades (CVEs).
- A recuperação é essencial para a resiliência, mas deve ser acompanhada pela aplicação oportuna de patches para corrigir vulnerabilidades.
- As organizações devem utilizar a IA para acelerar a detecção e a correção de vulnerabilidades, em vez de permitir que os problemas se acumulem nas listas de pendências.
- Os fornecedores que desempenham um papel fundamental divulgam as vulnerabilidades de forma rápida e transparente e oferecem orientações claras sobre as medidas corretivas aos clientes.
No ano passado, relatórios do setor estimaram o volume anual de CVEs na casa das dezenas de milhares, tendo o NIST observado posteriormente um crescimento recorde de CVEs e um aumento de 263% no número de registros entre 2020 e 2025.
Vejo em tempo real o impacto disso na equipe de segurança, pois participo das chamadas quando isso acontece. As velhas perguntas — qual é a nossa exposição e com que rapidez podemos resolver isso? — costumavam dar um certo tempo para reflexão. Agora, elas surgem mais rápido do que a maioria das equipes consegue mobilizar pessoal para lidar com elas. A maioria das organizações possui processos de resposta a vulnerabilidades. Poucas, porém, têm processos projetados para essa velocidade. Durante anos, o setor organizou sua resposta em torno de vulnerabilidades individuais. Um CVE era publicado, as pontuações de gravidade vinham em seguida, o enriquecimento de dados era atualizado e as equipes faziam a triagem com alguma margem para julgamento. Esse ritmo pressupunha um ritmo humano de descoberta, mas essa suposição não se sustenta mais. Esse volume já está ultrapassando a capacidade da infraestrutura criada para monitorá-lo. O NIST informou que o Banco de Dados Nacional de Vulnerabilidades está migrando para um modelo de enriquecimento baseado em risco, pois o número de registros CVE tem crescido mais rapidamente do que o programa consegue processar integralmente.
É provável que a IA esteja agravando a pressão ao ajudar agentes mal-intencionados a explorar vulnerabilidades e os defensores a identificá-las e validá-las mais rapidamente do que os fluxos de trabalho de catalogação tradicionais conseguem processar. O intervalo de tempo entre a descoberta de uma vulnerabilidade e sua exploração está diminuindo, e códigos de exploração funcionais podem surgir antes que uma correção seja amplamente implantada. Isso rompe com o modelo antigo. O gerenciamento estruturado de vulnerabilidades ainda é importante, mas muitos programas foram concebidos para uma época mais lenta: coletar dados, classificar riscos, designar responsáveis e, então, implementar correções. Quando a detecção se acelera dessa forma drástica, até mesmo equipes disciplinadas ficam para trás, pois o modelo operacional não consegue absorver o volume com rapidez suficiente. Portanto, a forma de trabalhar precisa mudar. Não importa mais se você corrigiu uma vulnerabilidade específica, mas sim se sua organização é capaz de aplicar, verificar e se recuperar na velocidade que o ambiente de ameaças exige atualmente.
Remendo em um relógio
Comece pela cadência. As operações mais resilientes que observo deixaram de tratar a aplicação de patches como uma interrupção e passaram a considerá-la uma manutenção de rotina: programada semanalmente, com responsabilidade clara e avaliada como qualquer outro compromisso operacional. Uma cadência previsível ajuda a reduzir o período de exposição em todo o ambiente de TI e a eliminar o “prêmio do pânico” associado a qualquer divulgação isolada. Quando as correções são aplicadas semanalmente, as organizações estão preparadas para lidar com as vulnerabilidades (CVEs).
A cadência não significa tratar tudo da mesma forma. Uma vulnerabilidade que está sendo explorada ativamente — do tipo incluído no Catálogo de Vulnerabilidades Exploradas da CISA — ainda merece uma resposta imediata e fora da rotina. A programação semanal lida com o grande volume de incidentes como parte da rotina, de modo que as verdadeiras emergências recebam a devida atenção, em vez de terem que competir com o ruído de fundo.
Elimine a vulnerabilidade, não apenas a falha
Essa é a parte que a Recovery não consegue resolver sozinha. Se uma vulnerabilidade coloca um ativo em risco, restaurar esse ativo sem corrigir a vulnerabilidade apenas reinicia o relógio. A vulnerabilidade ainda está lá, aguardando a próxima tentativa. A Recovery é importante, mas não substitui o fechamento da brecha que permitiu a entrada do agente de ameaça.
Isso significa que o trabalho de verdade precisa ocorrer mais cedo, no momento em que as vulnerabilidades são encontradas e corrigidas. A IA está mudando essa equação em ambos os lados. Os mesmos modelos que ajudam um agente mal-intencionado a identificar uma exploração podem ajudar um fornecedor a encontrá-la primeiro. A equipe de engenharia da Commvault utiliza IA em nossa própria base de código para identificar vulnerabilidades antes que elas sejam lançadas, e aplicamos a IA para ajudar a resolver o que encontramos, em vez de encaminhá-las para uma lista de pendências. Uma vulnerabilidade que fica na fila por semanas porque uma equipe ficou sem capacidade disponível continua sendo uma vulnerabilidade. A rapidez na detecção não significa nada sem a rapidez na resolução.
Exija mais de seus fornecedores
Quando o intervalo entre a descoberta e a exploração de uma vulnerabilidade é medido em horas, os clientes não podem se dar ao luxo de tomar conhecimento de uma vulnerabilidade no produto de seu fornecedor por meio de terceiros. Eles precisam saber disso diretamente do fornecedor, logo no início, em linguagem simples, com uma resposta direta às perguntas “Estou afetado?” e “O que devo fazer primeiro?” Pergunte a cada fornecedor essencial com que rapidez eles divulgam, como notificam os clientes afetados, quais evidências fornecem para a correção e como os clientes podem confirmar que a exposição foi sanada. A transparência em relação às vulnerabilidades faz parte da resiliência.
A era da IA de ponta não será conquistada por quem apresentar o menor número de vulnerabilidades. Toda empresa de software séria divulgará mais. A vantagem fica com quem trata a aplicação de patches como uma disciplina constante e trata a Recovery como a disciplina que torna possível sobreviver a uma janela de oportunidade perdida.
Perguntas frequentes
P: Por que a janela entre a descoberta da vulnerabilidade e sua exploração está ficando mais curta? R:
É provável que a IA esteja aumentando a pressão ao ajudar os agentes de ameaças a explorar vulnerabilidades e os defensores a identificar e validar vulnerabilidades mais rapidamente do que os fluxos de trabalho de catalogação legados conseguem absorver. Como resultado, o código de exploração pode ficar disponível antes que muitas organizações tenham tido tempo de implementar correções.
P: Por que os ciclos semanais de aplicação de patches estão se tornando mais importantes?
R:
Um cronograma semanal consistente de aplicação de patches ajuda a reduzir a exposição da organização a vulnerabilidades conhecidas. Além disso, permite que as equipes de segurança concentrem sua atenção imediata nas ameaças que estão sendo exploradas ativamente e se preparem para novos CVEs. P: A Recovery é suficiente para proteger contra ataques cibernéticos?
R:
Não. A Recovery ajuda as organizações a restaurar as operações após um incidente, mas restaurar os sistemas sem resolver a vulnerabilidade subjacente as deixa expostas a ataques futuros. A IA pode ajudar
a identificar vulnerabilidades mais cedo, priorizar as ações de correção e acelerar o processo de resolução. Isso ajuda as equipes de segurança e engenharia a responderem mais rapidamente, em vez de permitir que as vulnerabilidades permaneçam sem solução em longas listas de pendências.
P: O que as organizações devem perguntar aos seus fornecedores de software sobre o gerenciamento de vulnerabilidades?
R:
As organizações devem perguntar com que rapidez os fornecedores divulgam as vulnerabilidades, como os clientes afetados são notificados, quais orientações de correção são fornecidas e como os clientes podem verificar se o problema foi totalmente resolvido. A comunicação transparente é uma parte importante da resiliência cibernética.
Rajiv Kottomtharayil é diretor de produtos da Commvault.