Realizando Correção de Vulnerabilidades em Endpoints

Quando Usar

Use esta habilidade quando:

• Corrigir vulnerabilidades identificadas por scanners (Nessus, Qualys, Rapid7)
• Responder a avisos de CVEs de dia zero que exigem correção imediata
• Manter a conformidade com SLAs de gerenciamento de patches (críticos em até 14 dias, altos em até 30 dias)
• Construir um plano de correção priorizado a partir dos resultados de varredura de vulnerabilidades

Não use esta habilidade para a varredura de vulnerabilidades em si (use ferramentas de varredura) nem para a correção de vulnerabilidades na camada de aplicação (use processos DevSecOps).

Pré-requisitos

• Resultados de varredura de vulnerabilidades (exportação em formato CSV/XML do Nessus, Qualys ou Rapid7)
• Plataforma de gerenciamento de patches (WSUS, SCCM, Intune ou de terceiros como Automox)
• Acesso administrativo aos endpoints de destino ou à infraestrutura de implantação
• Processo de gerenciamento de mudanças para aplicação de patches em endpoints de produção
• Ambiente de teste para validação de patches antes da implantação em produção

Fluxo de Trabalho

Etapa 1: Importar e Priorizar Achados de Vulnerabilidade

Priority scoring combines:
1. CVSS Base Score (0-10)
2. EPSS (Exploit Prediction Scoring System) - probability of exploitation
3. CISA KEV (Known Exploited Vulnerabilities) catalog membership
4. Asset criticality (business impact of affected endpoint)
5. Network exposure (internet-facing vs. internal)

Priority Matrix:
  P1 (Critical - 14 days SLA):
    - CVSS >= 9.0 OR
    - Listed in CISA KEV OR
    - Active exploitation in the wild + CVSS >= 7.0

  P2 (High - 30 days SLA):
    - CVSS 7.0-8.9 AND
    - EPSS > 0.5 (50% probability of exploitation)

  P3 (Medium - 60 days SLA):
    - CVSS 4.0-6.9 OR
    - CVSS 7.0-8.9 with EPSS < 0.1

  P4 (Low - 90 days SLA):
    - CVSS < 4.0 AND
    - No known exploit

Etapa 2: Identificar Ações de Correção

Para cada vulnerabilidade, determine a correção apropriada:

Remediation Types:
1. Patch: Apply vendor security update (most common)
2. Configuration change: Modify settings to mitigate (registry, GPO)
3. Upgrade: Update to newer software version
4. Workaround: Apply temporary mitigation when patch unavailable
5. Compensating control: Network segmentation, WAF rule, EDR rule
6. Accept risk: Document accepted risk with CISO sign-off

Etapa 3: Implantar Patches via WSUS/SCCM

# WSUS: Approve patches for deployment
# 1. Open WSUS Console
# 2. Navigate to Updates → Security Updates
# 3. Approve selected KBs for target computer groups

# SCCM: Create Software Update Group
# 1. Software Library → Software Updates → All Software Updates
# 2. Select required KBs → Create Software Update Group
# 3. Deploy to target collection with maintenance window

# Intune: Create Windows Update Ring
# Devices → Windows → Update rings
# Configure: Quality updates deferral = 0 days (for critical)
# Feature updates deferral = per policy

# PowerShell: Force Windows Update check
Install-Module PSWindowsUpdate -Force
Get-WindowsUpdate -KBArticleID "KB5034441" -Install -AcceptAll -AutoReboot

# Verify patch installation
Get-HotFix -Id "KB5034441"
systeminfo | findstr "KB5034441"

Etapa 4: Aplicar Correções Baseadas em Configuração

# Example: Disable SMBv1 (CVE-2017-0144 - EternalBlue)
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart

# Example: Disable Print Spooler on non-print servers (CVE-2021-34527 - PrintNightmare)
Stop-Service -Name Spooler -Force
Set-Service -Name Spooler -StartupType Disabled

# Example: Disable LLMNR (credential theft mitigation)
# Via GPO: Computer Configuration → Admin Templates → Network → DNS Client
# Turn off multicast name resolution: Enabled
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient" `
  -Name EnableMulticast -Value 0 -PropertyType DWORD -Force

# Example: Restrict NTLM authentication
# Via GPO: Security Settings → Local Policies → Security Options
# Network security: Restrict NTLM: Audit/Deny

Etapa 5: Lidar com Vulnerabilidades de Dia Zero (Sem Patch Disponível)

Quando o patch do fornecedor ainda não estiver disponível:

1. Verifique o aviso do fornecedor para soluções alternativas
   - Microsoft: https://msrc.microsoft.com/update-guide
   - Adobe: https://helpx.adobe.com/security.html
   - Linux: Rastreadores de segurança da distribuição

2. Aplique mitigações temporárias:
   - Desabilite o recurso/serviço vulnerável
   - Implante regra de detecção EDR para tentativa de exploração
   - Aplique bloqueio em nível de rede (regras WAF/firewall)

…