25 anos do CVE e a segurança orientada por contexto
Há vinte e cinco anos não havia uma nomenclatura padronizada ou consistente de vulnerabilidades em bancos de dados distintos. Como resultado, comparar ferramentas de avaliação ou detecção de intrusão (IDS) de vários fornecedores, correlacionar alertas e integrar qualquer ferramenta com outras fontes de informação, era uma tarefa trabalhosa ou quase impossível, representando um risco alto.
Isso mudou em 1999 com a criação do CVE (Common Vulnerabilities and Exposures ou, em português, Vulnerabilidades e Exposições Comuns). Trata-se de um banco de dados criado para ajudar a identificar, definir e catalogar vulnerabilidades e exposições conhecidas publicamente, facilitando o trabalho dos profissionais de segurança.
O lançamento do Programa MITRE CVE foi um passo importante na identificação e gerenciamento de vulnerabilidades. Sua adoção e a contínuidade de CVEs atribuídos a cada ano são uma prova de como este Programa se tornou vital – especialmente agora que os provedores de serviços de nuvem (CSPs) estão sendo transparentes e atribuindo CVEs a vulnerabilidades de nuvem. Hoje, são mais de 240.000 CVEs, incluindo muitas que impactaram significativamente consumidores, empresas e governos.
Como o CVE impacta as equipes de segurança hoje
Uma estratégia de segurança orientada por contexto é um dos caminhos da segurança cibernética do futuro. Assim que uma ameaça é identificada, outra surge, criando um ciclo de reação constante em vez de gerenciamento estratégico e proativo.
Equipes de segurança reagem constantemente a novas ameaças ou vulnerabilidades conforme elas surgem, sem fazer progresso significativo no gerenciamento do cenário geral de segurança, ocasionando um aumento do estresse, baixa eficiência e uma quantidade enorme de tempo gasto em vulnerabilidades que representam pouco risco real.
O relatório de pesquisa da Tenable “The Critical Few: How to Expose and Close the Threats that Matter” revela que apenas 3% de todas as vulnerabilidades são responsáveis ??pelas exposições mais impactantes. Sem contexto, cada vulnerabilidade, patch e atualização parecem prioridades, tornando quase impossível manter todos os sistemas atualizados.
Já se foram os dias de remover todos os riscos e corrigir todas as vulnerabilidades. Hoje é preciso ter foco na prioridade, corrigir onde é possível remediar e reduzir o risco por todos os meios possíveis. Por isso, destacar as vulnerabilidades que precisam ser corrigidas rapidamente é uma parte vital de uma estratégia proativa de segurança cibernética.
Ao dar integral atenção às vulnerabilidades que mais importam, as organizações fortalecem suas defesas e conseguem alocar recursos de forma mais eficaz. Nesse sentido, o gerenciamento de exposição é essencial, a fim de priorizar o que realmente representa um risco ao negócio de forma clara.
Tudo isso não seria possível, ou seria muito complicado, sem o projeto unificado de CVE do MITRE, um trabalho global de extensa e verdadeira colaboração entre os grupos de segurança para um planeta mais seguro.
