O que é scan de vulnerabilidades
O scan de vulnerabilidades compara o inventário de ativos de uma organização com bases públicas de falhas conhecidas, como o catálogo CVE e o NVD do NIST, e devolve um relatório com o que foi encontrado, a gravidade de cada item e as ações de correção recomendadas.
A varredura cobre servidores, estações, dispositivos de rede, aplicações web, bancos de dados e ambientes em nuvem.
Vulnerabilidade, nesse contexto, é qualquer fraqueza na estrutura, na configuração ou na implementação de um ativo de TI que um atacante possa explorar para obter acesso não autorizado.
Injeção de SQL, cross-site scripting (XSS) e outras vulnerabilidades de codificação.
Portas abertas sem necessidade e buckets de armazenamento em nuvem expostos.
Patches ausentes, versões sem suporte, configurações incorretas e senhas fracas.
O scan de vulnerabilidades faz parte de um programa maior, a análise e gestão de vulnerabilidades, que inclui também a priorização, a correção e a verificação do que foi corrigido.
Como funciona a varredura de vulnerabilidades
A varredura de vulnerabilidades segue três etapas encadeadas: inventário, detecção e remediação com monitoramento contínuo. Cada etapa alimenta a seguinte, e o ciclo se repete a cada nova rodada.
Identificação e inventário A varredura começa pela catalogação de todos os sistemas, dispositivos, softwares e serviços expostos da organização, incluindo ativos em nuvem e equipamentos que a equipe de TI não cadastrou formalmente.
Detecção e análise O scanner consulta cada ativo, coleta versões de software, serviços ativos, portas abertas e parâmetros de configuração, e compara esses dados com bases de vulnerabilidades conhecidas.
Remediação e monitoramento contínuo Com a lista priorizada, a equipe aplica patches, ajusta configurações ou isola o ativo quando a correção não é imediata. Uma nova varredura confirma se cada item foi resolvido.
A pontuação CVSS sozinha não basta para priorizar. Uma vulnerabilidade com exploração ativa registrada no catálogo KEV da CISA merece correção antes de outra com CVSS mais alto, mas sem exploração conhecida.
O que o scan de vulnerabilidades revela em cada camada
A varredura de vulnerabilidades se aplica a diferentes camadas do ambiente, conforme a necessidade da organização, e cada camada expõe um tipo de lacuna.
Identifica fraquezas em firewalls, roteadores e switches que podem comprometer a rede.
Detecta falhas como injeção de SQL e XSS.
Avalia sistemas de gerenciamento e aponta brechas que podem levar a acesso não autorizado.
Examina servidores e endpoints individuais em busca de falhas que permitam acesso ou controle não autorizados.
O relatório também documenta o estado do ambiente em um dado momento. Essa evidência é útil em auditorias e em programas de conformidade que exigem varreduras periódicas.
Scanner de vulnerabilidades: o que a ferramenta faz e o que ela não faz
O scanner de vulnerabilidades automatiza a comparação entre o ambiente e as bases de falhas conhecidas. Ele entrega velocidade e cobertura, e tem limites que a equipe de segurança precisa conhecer para interpretar o relatório.
Varre centenas ou milhares de ativos em horas, detecta versões vulneráveis, configurações inseguras e patches ausentes, classifica achados por gravidade e gera relatórios rastreáveis.
Não confirma explorabilidade no contexto real, não detecta falhas de lógica de negócio e não enxerga o que está fora do inventário ou sem credencial de acesso.
Por isso, o resultado do scan de vulnerabilidades precisa de validação humana antes de virar plano de correção, e o pentest entra como etapa complementar para as falhas que a automação não alcança.
Tipos de scan de vulnerabilidades
A escolha do tipo de varredura depende do objetivo: análise profunda e periódica, ou monitoramento leve e contínuo. Os scanners de vulnerabilidades operam em três modos principais, combináveis entre si.
| Tipo | Como funciona | Quando usar |
|---|---|---|
| Scan ativo | Envia sondagens e requisições diretas aos sistemas e dispositivos, retornando informações detalhadas sobre serviços expostos, portas abertas e configurações incorretas. | Mais adequado para varreduras periódicas agendadas. |
| Scan passivo | Monitora o tráfego de rede sem interagir com os sistemas, identificando vulnerabilidades a partir dos fluxos observados. | Roda de forma contínua sem impacto no ambiente, mas tem escopo mais limitado. |
| Scan autenticado | Recebe credenciais e inspeciona o sistema por dentro: versões instaladas, permissões e configurações locais. | Encontra mais falhas e gera menos falsos positivos. |
| Scan não autenticado | Observa o ativo de fora, com a mesma visão que um atacante externo teria. | Mostra o que está exposto sem credencial. |
| Scan com agente | Instala um componente leve em cada host, que reporta o estado do sistema de forma contínua. | Útil para máquinas fora da rede corporativa, como notebooks em trabalho remoto. |
| Scan sem agente | É executado a partir da rede, sem instalar nada nos ativos. | Comum em ambientes híbridos, combinado ao modelo com agente. |
Com que frequência rodar a varredura de vulnerabilidades
A frequência da varredura de vulnerabilidades deve acompanhar o ritmo em que novas falhas surgem e o tempo que o atacante leva para explorá-las.
Os frameworks definem o piso. O CIS Control 7 prevê varredura automatizada dos ativos internos em base trimestral ou mais frequente, com scans autenticados e não autenticados, e varredura regular dos ativos expostos sempre que novas vulnerabilidades forem divulgadas.
O PCI DSS v4.0, requisito 11.3.2, exige scan externo ao menos a cada três meses por um fornecedor aprovado. Diante de uma mediana de 43 dias para corrigir e de mais de 48 mil novas CVEs por ano, a Prolinx recomenda cadências acima desse piso.
- Ativos expostos à internet: varredura semanal ou contínua.
- Infraestrutura interna crítica: varredura mensal, com rodada extra após mudanças relevantes.
- Mudança de ambiente: varredura antes de novo servidor, nova aplicação ou migração para nuvem entrar em produção.
- Após cada ciclo de correção: nova varredura para confirmar o que foi resolvido.
Acima do piso normativo, o risco de cada ativo define a cadência.
Scan de vulnerabilidades x Pentest
O scan de vulnerabilidades e o pentest têm propósitos diferentes e se complementam. O scan oferece uma visão rápida, automatizada e recorrente das falhas conhecidas. O pentest é uma avaliação conduzida por especialistas, que tentam explorar as falhas de forma ativa para medir o impacto real.
Identifica e relata falhas em sistemas, redes e aplicações antes que um invasor as encontre. É rápido, tem custo previsível e se repete com regularidade.
Explora vulnerabilidades de forma controlada para obter acesso e avaliar até onde um atacante chegaria, testando a eficácia dos controles existentes.
A abordagem mais eficiente usa a varredura de vulnerabilidades de forma contínua, para identificar e corrigir falhas conhecidas, e o pentest de forma periódica, para validar os controles e encontrar o que o scanner não alcança.
O relatório do scan orienta o escopo do pentest, e o resultado do pentest ajusta a configuração das varreduras seguintes.
Implemente scan de vulnerabilidades com a Prolinx
A varredura de vulnerabilidades identifica e prioriza as falhas; a equipe corrige; o ciclo encurta a janela entre a publicação de uma vulnerabilidade e a sua correção no ambiente.
No caminho, a varredura dá visibilidade sobre os ativos da organização e gera a evidência que programas de conformidade exigem. Com esse ciclo em operação, combinado ao pentest, a equipe de TI trata as falhas em ritmo planejado e deixa de recorrer a correções de emergência.
A Prolinx estrutura o scan de vulnerabilidades dentro de um ciclo completo de análise e gestão de vulnerabilidades, com priorização por risco, acompanhamento da correção e integração com o pentest e o monitoramento contínuo.
Conheça a gestão de vulnerabilidades no serviço de SOC e SIEM da Prolinx e, se quiser avaliar como aplicar a varredura de vulnerabilidades no ambiente da sua empresa, entre em contato.
Perguntas frequentes sobre scan de vulnerabilidades
O que é scan de vulnerabilidades?
Scan de vulnerabilidades é o processo automatizado que identifica falhas de segurança conhecidas em redes, sistemas, aplicações e dispositivos, classifica cada uma por gravidade e recomenda a correção. É executado por um scanner de vulnerabilidades e repetido em intervalos regulares.
Qual a diferença entre scan de vulnerabilidades e pentest?
O scan de vulnerabilidades é automatizado, rápido e recorrente, e aponta falhas conhecidas sem confirmar se são exploráveis. O pentest é conduzido por especialistas que exploram as falhas de forma controlada para medir o impacto real. Os dois se complementam: o scan cobre a base contínua e o pentest valida os controles em profundidade.
Com que frequência devo rodar a varredura de vulnerabilidades?
Ativos expostos à internet pedem varredura semanal ou contínua; infraestrutura interna crítica, varredura mensal. Toda mudança relevante no ambiente e todo ciclo de correção justificam uma rodada adicional. Frameworks como o CIS Control 7 e o PCI DSS definem o piso; o risco de cada ativo define a cadência adequada.
Scanner de vulnerabilidades gera falsos positivos?
Sim. O scanner de vulnerabilidades compara versões e configurações com bases de falhas conhecidas e pode apontar como vulnerável um ativo que, no contexto real, não está exposto. O scan autenticado reduz esse ruído, e a validação humana dos achados continua necessária antes do plano de correção.
Scan de vulnerabilidades atende a requisitos de conformidade?
O scan de vulnerabilidades produz evidência documentada do estado do ambiente e do ciclo de correção, o que atende a exigências de varredura periódica de frameworks como o CIS Control 7 e o PCI DSS. O relatório de cada rodada e a confirmação da correção compõem a trilha de auditoria.
Varredura de vulnerabilidades precisa ser rotina, não evento isolado.
Fale com a equipe da Prolinx para estruturar um ciclo de scan, priorização, correção e validação integrado ao pentest e ao monitoramento contínuo.