Integração com Gestão de Vulnerabilidades

Nota de fechamento do capítulo 21, dedicado ao CTEM. Mostra como o programa
absorve e reordena a gestão de vulnerabilidades existente, substituindo a
priorização por CVSS puro pela exposição contextualizada, e apresenta o
ranking combinado com EPSS, KEV, exposição externa e adversários relevantes.
Dialoga com as notas de Fases do CTEM, de Scoring e Priorização do capítulo 5
e de Vulnerability e Exploit Intelligence.

1. Contexto e Posicionamento na Biblioteca

Toda organização que adota CTEM já tem gestão de vulnerabilidades funcionando, com scanner, fila de patch e comitê de exceção. Por isso a pergunta prática do capítulo não é como implantar CTEM do zero, e sim como o programa absorve a VM existente sem destruí-la e sem deixar a máquina antiga rodando em paralelo para sempre. Esta nota responde com um desenho de integração: a gestão de vulnerabilidades vira fonte de dado da fase de discovery, o CVSS deixa de ser o ordenador da fila e passa a ser um fator, e o ranking combinado assume o comando.

A nota se apoia em três fundamentos anteriores: a nota de Scoring e Priorização do capítulo 5, que define o aparato de pontuação de risco, a nota de Vulnerability e Exploit Intelligence, que detalha EPSS e KEV como sinais, e a nota de Fases do CTEM, cujo registry e fila são os artefatos que a VM passa a alimentar.

2. Do CVSS Puro à Exposição Contextualizada

O CVSS foi desenhado para medir gravidade intrínseca de uma vulnerabilidade, e cumpre bem esse papel. O que ele nunca mediu foi relevância: a mesma nota 9.8 descreve um serviço exposto e explorado em campanhas ativas e um serviço interno sem rota de acesso e sem interesse conhecido de adversário. A gestão de vulnerabilidades tradicional ordena por essa nota, aplica regras de SLA por severidade e produz a distorção clássica, times executando patches de severidade alta em ativos irrelevantes enquanto a exposição que um grupo de ransomware realmente explora espera fila.

O CTEM não descarta o CVSS, ele o rebaixa a fator. A unidade de decisão deixa de ser a vulnerabilidade com nota e passa a ser a exposição contextualizada: ativo no escopo, condição explorável, rota de acesso, estado de exploração no mundo e adversário com interesse demonstrado. A tabela a seguir mostra como cada fator entra no novo cálculo e de onde vem o dado, evidenciando que a VM existente continua necessária, só que em outro lugar da esteira.

3. Ranking Combinado: Fórmula e Calibragem

O ranking combinado mais robusto em uso prático é um modelo de pontos com fatores multiplicativos, porque a presença de exploração confirmada deve puxar a exposição para cima de forma não linear. A fórmula de referência da biblioteca pontua cada fator de 0 a 10 e multiplica pelos pesos acordados pelo comitê, com o fator de exploração atuando como amplificador.

Risco de Exposicao = base x amplificador

base          = (2 x severidade + criticidade) / 3
                ponderacao simples: o dado mais raro e caro, criticidade,
                nao pode ser atropelado por volume de achados tecnicos

amplificador  = 1 + peso_exploracao x fator_exploracao
                + peso_exposicao x fator_exposicao
                + peso_adversario x fator_adversario

fator_exploracao = 2 se em KEV; 1,5 se EPSS >= 0,10;
                   1,0 se EPSS >= 0,01; 0,3 caso contrario
fator_exposicao  = 2 se externo e autenticavel; 1,5 se externo;
                   0,5 se interno com rota de lateral; 0,1 isolado
fator_adversario = 1,5 se tecnica e alvo usados por grupo prioritario;
                   1,0 se alvo relevante; 0,5 caso contrario

faixas de SLA   : R >= 20 criticos em 7 dias; 10 <= R < 20 em 30 dias;
                  5 <= R < 10 em 90 dias; R < 5 na fila normal ou aceite

Os pesos são política de risco, não ciência, e o comitê deve calibrá-los uma vez por semestre contra o histórico: se exposições com fator de exploração alto nunca foram exploradas contra a casa, o peso está alto demais; se incidentes nasceram de exposições medianas do ranking, algum fator está subestimado. A regra de ouro da calibragem é validar o ranking contra casos reais conhecidos antes de promulgá-lo: pega dez exposições que a organização julgaria crítica por consenso e confirma que a fórmula as coloca no topo.

4. Exemplo Numérico de Ranking Combinado

O exemplo abaixo compara três exposições reais de um ciclo, mostrando como a ordem do CVSS puro se desfaz no ranking combinado. A tabela usa os fatores da seção 3 e arredonda para uma casa decimal, com pesos de exemplo 0,5 para exploração, 0,4 para exposição e 0,3 para adversário.

A leitura do exemplo mostra o que a integração compra. No CVSS puro, as três entradas colapsam em duas notas e o time atende por ordem de chegada. No ranking combinado, o SSH interno cai para fila normal com dados que justificam a decisão em auditoria, e as duas exposições de borda conquistam a capacidade escassa do time de patch imediatamente, com o caso do painel ancorado na relevância de adversário e não apenas na severidade. A decisão deixa de ser opinião e vira cálculo reproduzível com fatores documentados.

5. Fluxo Integrado com o Tooling de VM

A integração técnica segue um fluxo que preserva o investimento em ferramenta. O scanner e o agente de VM continuam executando a detecção técnica, porque nada substitui a qualidade do dado bruto que eles produzem. A mudança é o destino do dado: em vez de virar fila direta no tooling de VM, ele entra no registry do CTEM, recebe enriquecimento de EPSS, KEV, exposição e adversário, é priorizado pela fórmula e retorna ao tooling como fila aprovada com prioridade CTEM e SLA calculado.

1. Scanner e agentes detectam condicoes e gravam achados com CVE
2. Conector diario importa achados para o registry do CTEM,
   deduplicando por ativo + CVE + condicao
3. Job de enriquecimento anexa EPSS do dia, estado KEV,
   classificacao de exposicao do EASM e relevancia de adversario
4. Motor de priorizacao calcula o ranking e monta a fila por escopo
5. Comite aprova a fila e o conector devolve prioridades e SLAs
   para o tooling de VM, mantendo o historico de decisao
6. Mobilization abre tickets e playbooks; correcoes retornam como
   eventos de revalidacao no registry, fechando o circuito

Três detalhes de implementação decidem o sucesso do fluxo. A deduplicação do passo 2 precisa ser determinística, porque o mesmo achado chega de scanner, agente e discovery externa com formatos distintos, e duplicata infla fila. O conector do passo 5 deve gravar a decisão, e não apenas a prioridade, para que a auditoria saiba por que uma CVE 9.8 ficou em fila normal. E a revalidação do passo 6 é o que impede a fila de mentir: correção só conta quando o ciclo seguinte confirma que a condição sumiu do registry.

6. Migração da VM para o CTEM em 90 Dias

A transição da fila antiga para a nova segue melhor com prazo curto e passos explícitos do que com projeto aberto de seis meses. O roteiro abaixo assume que a organização já tem scanner, CMDB razoável e uma fonte EASM, e transforma essa matéria-prima no circuito do capítulo com custo controlado.

• Semanas 1 e 2, mapear a fila atual: quantos achados, quantos por severidade, qual a capacidade real de patch por sprint e quem decide hoje as exceções, porque o tamanho da fila define o desenho da transição.
• Semanas 3 e 4, construir o conector de importação para o registry e o job de enriquecimento com EPSS e KEV, que são os dois sinais mais baratos e de maior efeito imediato no ranking.
• Semanas 5 e 6, calcular o ranking em modo sombra, sem trocar a fila, e comparar as duas ordens semana a semana, discutindo com os donos as diferenças grandes até que o comitê concorde que a nova ordem é melhor.
• Semanas 7 e 8, inverter o comando: a fila executável passa a ser a do ranking combinado, o tooling de VM recebe prioridades via conector, e a ordenação por severidade é aposentada formalmente.
• Semanas 9 a 12, rodar dois ciclos completos com validação no topo da fila e medir as métricas da seção 8, ajustando pesos e SLAs com dados próprios em vez de valores herdados.

O efeito colateral positivo desse roteiro é político: o modo sombra das semanas 5 e 6 transforma o comitê de cético em coautor da fórmula, e fila adotada por consenso dura muito mais que fila imposta por ferramenta.

7. Governança: Exceções, Aceites e Auditoria

A integração reforma a governança de exceções da VM tradicional. No modelo antigo, exceção era pedido de prazo aprovado em conversa; no modelo CTEM, aceite de risco é registro datado no registry, com fator de justificativa, prazo de revisão e dono nomeado, e a fila de aceites aparece no painel do comitê como risco assumido, não como linha arquivada. O aceite também é sensível a contexto dinâmico: quando a CVE entra no KEV ou um grupo prioritário começa a explorá-la, aceites vencidos pela mudança de estado são reabertos automaticamente e reentram na priorização.

Para auditoria, o ganho é duplo e mensurável. Toda decisão de prioridade tem trilha de fatores com data, o que responde a pergunta clássica de por que aquilo não foi corrigido sem dependência de memória de equipe. E as métricas do programa, tempo de exposição crítica até correção e taxa de reabertura, substituem o indicador vazio de porcentagem de vulnerabilidades corrigidas por severidade, que media esforço e não risco.

8. Métricas de Sucesso da Integração

A integração precisa ser julgada por números, e a tabela abaixo define o painel mínimo de acompanhamento. As metas são de referência inicial, ajustáveis no primeiro semestre de operação com dados próprios da organização.

A leitura conjunta dessas métricas revela onde a integração está doente: reordenação relevante próxima de zero indica que o enriquecimento não está chegando ao cálculo, e divergência de fila alta indica que a organização ainda vive no regime de duas filas. O painel é a prova de que a VM foi promovida e não apenas renomeada.

9. Erros Comuns e Pontos de Atenção

O erro mais comum de integração é rodar duas filas em paralelo sem definir quem manda: o time de patch continua executando o ranking do scanner enquanto o comitê CTEM publica a fila própria, e a organização gasta capacidade dupla para ordens contraditórias. A correção é declarar uma única fila executável, alimentada pelo ranking combinado, e aposentar formalmente a ordenação por severidade no prazo de um ciclo. O segundo erro é copiar a fórmula de outra organização sem calibrar pesos e fatores de criticidade, herdando política de risco alheia como se fosse aritmética universal.

Um terceiro erro é tratar EPSS como verdade e KEV como lista completa: EPSS mede probabilidade estatística e oscila, e o KEV é catálogo de exploração confirmada usada por agentes federais americanos, não censo de exploração do mundo; exposição sem presença em nenhum dos dois ainda pode ser a próxima rotina de um grupo de ransomware, e é exatamente para esse recorte que o fator de adversário existe. Um quarto erro é desligar o scanner porque o ranking mudou, quando o dado bruto do scanner continua sendo o piso de tudo. Por fim, cuidado com o enriquecimento sem governança de dado: criticidade errada no CMDB contamina todo o ranking, e a auditoria periódica da criticidade do ativo é tarefa do programa, não do scanner.

10. Integração com o Restante da Biblioteca

Esta nota fecha o circuito do capítulo 21 com a esteira completa da biblioteca: o dado bruto nasce no discovery apoiado em EASM e IOE, a ameaça que pesa o ranking vem da CTI produzida nos capítulos 5 e 15, a validação executa o purple teaming do capítulo 19, e a lente de adversários usa o ATT&CK versado no capítulo 20. No Framework CTH, a integração operacionaliza o grupo MET com métricas de risco assumido e tempo de exposição, e conecta o programa ao grupo AUT, cujos playbooks de orquestração executam a mobilização das correções.

Para o leitor que fecha o capítulo, a mensagem operacional é uma só: a gestão de vulnerabilidades não é substituída, é promovida a fonte de verdade técnica dentro de um programa que decide com contexto de negócio e de ameaça. A fila que sai dessa integração é o ponto de encontro diário entre o trabalho de inteligência de toda a biblioteca e o trabalho de correção que reduz risco real, e é nessa fila que o valor do programa se mostra ao comitê ciclo após ciclo.