Correlação com Configurações Inseguras (CSPM)

Nota 02 da subseção 03 do capítulo 21, que cruza a visão externa do EASM com a visão de configuração do CSPM.
O foco é a configuração insegura como fonte primária de IOE e a correlação como método de priorização por exposição, severidade e adversário.
Dialoga com a nota de Descoberta Multi-Cloud desta subseção, com o IOE do capítulo 03 e com o controle INT.3 da seção 15.

1. Contexto e Posicionamento na Biblioteca

O CSPM (Cloud Security Posture Management) avalia configurações de nuvem contra normas e boas práticas, e produz milhares de achados por organização grande: buckets com política permissiva, papéis com wildcard, grupos de segurança abertos, criptografia desativada. O EASM observa o que a internet vê da organização, e produz poucos achados, porém próximos do adversário. Isolados, os dois fluxos sofrem de males opostos: o CSPM afoga o time em severidades técnicas sem noção de alcançabilidade, e o EASM enxerga a porta sem saber quem a destrancou por dentro. A correlação dos dois é o que converte volume técnico em risco ordenado, e é o objeto desta nota.

Dentro da biblioteca, esta nota executa a etapa de priorização do CTEM sobre o material que a nota de descoberta multi-cloud produziu, e conecta-se ao conceito de IOE do capítulo 03 ao classificar cada configuração insegura como indicador de exposição quando alcançável externamente. Ela também fundamenta o fluxo integrado que a subseção seguinte automatiza: o achado correlacionado é o insumo do enriquecimento de incidentes e dos workflows de remediação no SOAR. O objetivo prático é que o leitor saia daqui capaz de desenhar o casamento entre os dois domínios de dados, definir o escore de priorização e operar um exemplo completo de correlação entre um bucket público e sua telemetria de acesso.

2. Duas Vistas do Mesmo Ambiente

A diferença essencial entre EASM e CSPM está no ponto de observação e na natureza do dado. O CSPM lê o estado declarado pelo provedor: políticas, controles, papéis e configurações com precisão de atributo, mas sem saber se aquilo é alcançável de fora em condições reais, porque alcançabilidade depende de encadeamento de regras, de CDN, de DNS e de exceções que o avaliador de política às vezes não segue. O EASM observa de fora: um host que responde, um bucket que aceita requisição anônima, um painel que se renderiza sem autenticação, com certeza de alcançabilidade, mas sem visão da configuração interna que produziu aquilo.

A correlação acontece no ativo, e por isso o inventário unificado da nota anterior é pré-requisito técnico. Quando o EASM encontra um serviço exposto e o CSPM encontra um desvio de configuração no mesmo recurso, o par de achados se funde num item único com evidência externa, causa interna e caminho de correção conhecido. A experiência operacional é consistente: a maioria das exposições externas relevantes tem um desvio de configuração correspondente no CSPM, e os poucos casos sem correspondência são os mais valiosos de todos, porque indicam exposição que o provedor não descreve no estado declarado, como camadas de CDN, DNS antigo ou integração esquecida.

A cadência da correlação deve acompanhar a cadência da mudança, e não o calendário do relatório. O gatilho correto é o evento: toda mudança de configuração relevante e toda mudança de exposição externa dispara a reavaliação do par de achados, e a execução completa em janela diária cobre os casos de deriva gradual. Correlação semanal apenas, feita para alimentar reunião, é o desenho que mais se distancia do CTEM, porque a janela de risco entre a exposição criada e a correlação lida pode ser maior que o tempo médio de exploração de um bug de acesso anônimo divulgado publicamente.

3. Configurações Inseguras como Fonte de IOE

A regra de classificação é direta: configuração insegura é IOE quando viabiliza acesso ou coleta por um adversário, e é mero débito técnico quando não altera o raio de ataque. Um papel com permissão de leitura ampla em conta isolada por rede é débito; a mesma permissão numa identidade anexada a um serviço com acesso anônimo é IOE com prioridade alta. Essa classificação muda o destino do achado: débito entra na fila de hardening com prazo de sprint, IOE entra no ciclo de exposição com prazo de CTEM, watchlist no SIEM e possibilidade de workflow automatizado de remediação.

A leitura em cadeia vale mais que a leitura item a item, e aqui o modelo do grafo de ataque da subseção de supply chain se aplica diretamente. Uma configuração permissiva é uma aresta, e a pergunta correta não é quão grave é a configuração isolada, e sim a quais caminhos ela dá acesso. O CSPM moderno com grafo integrado já responde parte dessa pergunta, e o time maduro valida a resposta com seu próprio modelo, porque inferência automatizada erra em ambos os sentidos, gerando tanto alarme falso de cadeia quanto falso conforto.

A fronteira entre IOE e débito é calibrada por política interna, e não por intuição de analista, porque a decisão muda prazo, dono e orçamento. A checagem mínima de classificação tem três perguntas: existe caminho de acesso externo conhecido ou demonstrável para o recurso? A exploração exige credencial obtível por vazamento, engenharia social ou migração lateral barata? O efeito da exploração alcança dados ou funções de valor declarado? Três respostas positivas consolidam IOE de prioridade alta; nenhuma resposta positiva reclassifica o achado como débito, sem prejuízo de correção ordinária.

4. Priorização por Exposição, Severidade e Adversário

O escore de priorização recomendado combina os três eixos em pontuação de 0 a 100, com fórmula simples o bastante para ser recontada em reunião. Exposição responde se o adversário alcança o recurso de fora agora, sem credencial ou com credencial obtível. Severidade responde ao que a configuração habilita, em escala de perda de confidencialidade, integridade e disponibilidade, ponderada por EPSS quando há CVE envolvida. Adversário responde se o modo de exploração está no repertório dos atores que miram o setor, conforme a inteligência de ameaças, e é o eixo que transforma prioridade genérica em prioridade situacional.

O caso clássico mostra a diferença da abordagem. Um bucket interno com política permissiva e sem exposição externa pontua baixo e vira débito; o mesmo bucket com listagem anônima ativa, dados de clientes e exploração massiva em atividade por grupos de ransomware pontua no topo da fila, mesmo que a severidade nominal da configuração seja a mesma. O escore por si só não decide: ele ordena a fila para o comitê que decide, e a validação de explorabilidade, com teste controlado ou BAS, é o que converte pontuação em certeza antes de gastar o tempo das equipes de correção.

A calibração dos pesos é revisada trimestralmente com dois insumos: a distribuição real de achados na fila, que revela se algum eixo está saturado e deixando de diferenciar, e o retorno dos incidentes, que mostra se os achados que viraram problema estavam no topo ou no meio da fila. Eixo saturado é o sintoma típico de escala mal dimensionada: se quase tudo pontua máximo em adversário, a faixa perde poder de ordenação e precisa de subdivisão por setor de exploração ou por técnica empregada.

5. Fluxo Integrado EASM, CSPM e SIEM

O fluxo integrado tem cinco etapas e começa no dado, não no alerta. O EASM descobre e confirma alcançabilidade; o CSPM explica a configuração causadora e aponta o dono; a correlação funde os dois no ativo e calcula o escore; o SIEM recebe a lista de exposições vigentes como watchlist e cruza com telemetria de acesso em tempo real; o SOAR abre o workflow de remediação para o topo da fila. A etapa do SIEM é a que mais diferencia o fluxo, porque enquanto a exposição existe, qualquer interação com o ativo deixa de ser telemetria neutra e passa a ser sinal de possível exploração, com severidade e roteamento próprios.

EASM: descoberta externa e confirmacao de alcance
   |
CSPM: mapeamento da configuracao causadora e do proprietario
   |
Correlacao: uniao por ativo, calculo do escore e classificacao IOE
   |
SIEM: watchlist de expostos e correlacao com telemetria de acesso
   |
SOAR: workflow de remediacao para o topo da fila e revalidacao

O desenho da watchlist merece atenção porque é o ponto de junção com a operação do SOC. A lista de ativos expostos vigentes, com seu escore e dono, é publicada para o SIEM em cadência curta, e as regras de correlação ganham cláusulas de prioridade: acesso ao ativo exposto de origem inédita, volume anômalo de download e autenticação incomum no mesmo recurso elevam o incidente para o topo da triagem. O capítulo de resposta a incidentes da seção 15 já trata da triagem com prioridade; aqui o aporte específico é o contexto de exposição que muda o peso do mesmo evento de acesso.

6. Exemplo de Correlação de Bucket Público com Telemetria de Acesso

O exemplo completo parte do achado do EASM: a requisição anônima abaixo confirma que o bucket aceita listagem sem credencial, o que caracteriza IOE de exposição direta.

aws s3 ls s3://dados-relatorios-corp --no-sign-request
# 2026-01-22 09:14:03 export-completo-clientes-2026-01.csv
# 2026-01-23 17:41:55 export-parcial-clientes-2026-01.csv

O CSPM localiza a configuração causadora e o dono, e o resultado da correlação produz um registro único de achado com os dois lados da evidência.

{
  "achado": {
    "id": "IOE-2026-0317",
    "ativo": "s3://dados-relatorios-corp",
    "evidencia_externa": "listagem anonima confirmada em 2026-02-04T11:20Z",
    "configuracao_causadora": "BlockPublicPolicy desativado e politica com s3:GetObject e s3:ListBucket para *",
    "dono": "time-relatorios",
    "escore": {"exposicao": 40, "severidade": 30, "adversario": 30, "total": 100},
    "classificacao": "IOE critico",
    "acao": "workflow de remediacao imediata"
  }
}

Com o IOE registrado, o SIEM recebe o bucket na watchlist e a telemetria de acesso, os logs de server access do S3 entregues ao armazenamento de logs, passa a ser consultada com prioridade. A consulta abaixo procura o padrão que caracteriza exploração real: requisições anônimas com volume de leitura incomum, origens distribuídas e sequência típica de enumeração seguida de download em massa.

SELECT request_timestamp, remote_ip, http_method, key, bytes_sent
FROM s3_server_access_logs
WHERE bucket = 'dados-relatorios-corp'
  AND requester IS NULL
  AND TimeGenerated >= CURRENT_DATE - INTERVAL '7' DAY
GROUP BY remote_ip
HAVING SUM(bytes_sent) > 1000000000
ORDER BY SUM(bytes_sent) DESC

O desfecho do exemplo mostra as duas saídas do mesmo achado. Se a telemetria indica downloads anônomos de volume alto, abre-se incidente de resposta com prioridade crítica e o workflow de remediação executa junto, pois a exposição é também evidência ativa de exploração; se a telemetria está limpa, o achado segue como exposição confirmada sem exploração conhecida, com workflow de correção, revalidação pela requisição original e detecção permanente que sobrevive à correção, porque a configuração permissiva tende a reaparecer em outros buckets. Em ambos os casos o ciclo fecha com a mesma disciplina da nota de IOE: correção só termina quando a revalidação externa não encontra mais a exposição.

7. Erros Comuns e Pontos de Atenção

• Correlacionar por nome solto: a junção precisa acontecer por identificador estável do ativo no inventário unificado; casar por nome de recurso ou endereço gera falsos pares e achados que não fecham.
• Tratar severidade de CSPM como prioridade: mil achados de severidade alta sem exposição externa não competem com dez achados de severidade média expostos e explorados em massa; o eixo de exposição domina a ordem da fila.
• Ignorar o eixo de adversário: sem inteligência, o escore prioriza risco genérico e o time corrige primeiro o que ninguém explora; o feed de atores ativos é o que dá contexto situacional à fila.
• Correlacionar uma vez e arquivar: exposição muda com cada deploy, e a correlação precisa rodar em cadência contínua, com reavaliação do escore a cada mudança de configuração ou de alcance.
• Confirmar exposição sem checar exploração: o bucket aberto precisa da telemetria de acesso; presumir que ninguém achou é o erro que transforma descoberta em incidente anunciado.
• Fechar o achado na correção do CSPM: a política corrigida no papel pode não se propagar em recursos herdados; a revalidação é sempre externa, com a mesma requisição que confirmou a exposição.
• Deixar o escore opaco para o time de correção: escore que não pode ser decomposto em eixos com evidência gera disputa de autoridade; a tabela de pontuação precisa ser pública e auditável dentro da organização.

8. Integração com o Restante da Biblioteca

As conexões estruturais desta nota com o restante da biblioteca seguem quatro caminhos:

• Capítulo 03: a classificação de configuração como IOE é aplicação direta da taxonomia da nota de indicadores de exposição, com registro e ciclo de vida próprios.
• Capítulo 21: a descoberta multi-cloud fornece o inventário de junção, e a subseção de integração EASM-SIEM-SOAR automatiza o desfecho do fluxo aqui descrito.
• Capítulo 05: o escore de priorização dialoga com a nota de scoring por CVSS e EPSS, herdando a lógica de pesos e a validação por evidência.
• Seção 15: o controle INT.3 é a versão institucional deste fluxo, o grupo RES consome a correlação com telemetria como insumo de triagem e o grupo MET mede o tempo de exposição.

A métrica que resume o valor da correlação é o tempo de exposição corrigido por classe de achado, medido da primeira confirmação externa à revalidação limpa, e sua decomposição por eixo revela onde o programa perde tempo. A segunda métrica, derivada da watchlist, é a proporção de incidentes com exposição prévia no ativo afetado, e sua tendência de queda é a prova de que a priorização está cortando os caminhos que o adversário realmente usa.