Os seus servidores não precisam de mais uma lista de CVEs. Precisam que o risco seja tirado da mesa.
Um agente leve inventaria cada host Windows, Linux e macOS registrado: hardware, software, serviços, estado de patches e configuração de segurança. A nuvem correlaciona cada pacote instalado com as vulnerabilidades publicadas, pontua cada host com o Viking Exposure Score, recomenda as correções de maior retorno, executa as aprovadas e comprova o resultado no inventário seguinte. O ciclo termina em risco reduzido e medido, não em um relatório.
Um scanner termina em uma lista. Uma ferramenta de patch termina em "instalado". Ninguém fecha o ciclo.
A maioria das equipes usa um produto que encontra vulnerabilidades e outro que distribui atualizações, e os dois nunca concordam sobre o que realmente mudou. A lista do scanner cresce, a ferramenta de patch informa sucesso e a pergunta que importa continua sem resposta: quanto risco o trabalho deste mês removeu?
O Infrastructure Defense mantém o ciclo inteiro em um só lugar. Detecção, priorização, execução e verificação partem do mesmo inventário, então, quando um job termina, a plataforma não presume que a correção funcionou. Ela reavalia o host e informa quais vulnerabilidades foram fechadas e quanto a pontuação caiu. Se ainda houver uma reinicialização pendente, o job informa isso em vez de declarar vitória.
[inventory] web-prod-02: 412 packages, 6 listening services
[correlate] 11 CVEs match installed versions, 2 in CISA KEV
[score] VES 82 High: CVSS 9.8, EPSS 89%, internet exposed
[resolve] apply 9 security updates, expected 82 → 54
[approve] window Sunday 02:00, auto-reboot stays off
→ pré-verificações aprovadas, atualizações aplicadas pelo agente
→ verificado por reavaliação: 11 fechadas, VES 82 → 54
Inventário, detecção, aplicação de patches e conformidade, a partir de um único agente.
O agente WASViking Sentinel Host se comunica por TLS mútuo e nunca decide nada por conta própria. Toda detecção, pontuação e recomendação é calculada de forma centralizada; o agente apenas coleta, executa o que uma pessoa aprovou e verifica. Ele lê a postura, nunca o conteúdo dos arquivos dos usuários.
Um inventário de ativos que responde a perguntas
Hardware até o nível de processador, memória, volumes e GPU. Interfaces de rede com endereços MAC, metadados de instância em nuvem, serviços em execução e portas em escuta, software instalado com fabricante e data de instalação, contas locais e o local da última conexão do host. "Mostre todos os servidores que executam OpenSSL 3.0" é uma busca, não um projeto.
Detecção qualificada pela versão exata
Os pacotes instalados são comparados com a base de vulnerabilidades OSV e qualificados pelo branch da distribuição, para que um host corrigido nunca seja sinalizado pelo bug de outra versão. As atualizações de segurança do Windows vêm do serviço de atualização da própria plataforma, as do macOS vêm das versões de segurança publicadas e as de aplicativos Windows de terceiros vêm do inventário do gerenciador de pacotes.
Patches ausentes expressos como impacto
Uma atualização pendente não é uma linha em uma lista. É o conjunto de vulnerabilidades abertas que ela fecha e a queda de pontuação que se espera dela, calculados antes que alguém aprove qualquer coisa. A equipe sempre sabe qual mudança traz o maior retorno a seguir.
Configuração e conformidade, continuamente
Verificações alinhadas às seções dos benchmarks CIS são executadas a cada inventário: hardening de SSH, firewall do host, serviços legados em texto claro, exposição de área de trabalho remota, proteção de endpoint. A postura da plataforma também é coletada: criptografia de disco, Secure Boot e TPM no Windows, System Integrity Protection, Gatekeeper e registro em MDM no macOS. Cada host tem um percentual de conformidade, com um mapeamento dos mesmos resultados para o PCI DSS.
Execução de patches sob as suas regras
Os jobs aprovados são executados pelo mecanismo nativo de cada plataforma: o gerenciador de pacotes do sistema no Linux, o serviço de atualização no Windows, as atualizações de software no macOS. As pré-verificações confirmam espaço em disco, saúde do host e elevação de privilégios antes de qualquer mudança. A aprovação manual vem ativada por padrão; a implantação automática e a reinicialização automática vêm desativadas por padrão; as janelas de manutenção são aplicadas por política.
Fim de vida, antes que vire uma CVE
Um sistema operacional ou um produto de software monitorado que passou do fim do suporte do fabricante eleva a pontuação por si só, porque nenhum patch virá. O fator é acionado a partir de dados publicados de ciclo de vida, com a data no rótulo, antes mesmo de o próximo boletim de segurança ser publicado.
A pontuação lê a plataforma inteira, não apenas o host.
Ferramentas isoladas de gestão de vulnerabilidades pontuam um host a partir do que o host informa. A WASViking também executa a descoberta da sua superfície de ataque externa, os testes das suas aplicações e APIs e a sua telemetria de borda, então o Infrastructure Defense pontua cada servidor com evidências que nenhum agente de host consegue produzir sozinho.
A exposição à internet é comprovada, não presumida
O indicador de exposição acende quando a descoberta de superfície de ataque da própria plataforma mostra um ativo público resolvendo para um endereço atribuído ao host, e a prova vem indicada na pontuação: qual hostname, qual endereço. Um endereço de saída compartilhado do escritório nunca conta, e uma decisão manual da sua equipe sempre prevalece sobre a automação. A mesma correlação funciona no sentido inverso: cada ativo seu exposto à internet é rotulado como totalmente gerenciado, parcialmente gerenciado, não gerenciado ou desconhecido, e o Command Center informa em uma frase quantos ativos expostos ainda não estão protegidos, com o próximo passo para cada um.
Ataques ativos elevam a pontuação enquanto acontecem
Quando a telemetria de borda mostra tráfego de ataque bloqueado nos últimos sete dias contra um hostname que um servidor de fato atende, a pontuação desse servidor sobe, com a contagem e o alvo no rótulo. Crawlers conhecidos são verificados e excluídos. Quando o tráfego para, o fator decai por conta própria.
Cada número se explica
O Viking Exposure Score é uma soma de fatores identificados pelo nome, com pontos visíveis: pior CVSS, evidência de exploração, exposição, criticidade para o negócio, ambiente, fim de vida, ataque ativo. Cada tela mostra a aritmética exata, então "por que isto é crítico" sempre tem uma resposta concreta que tanto um diretor quanto um engenheiro aceitam.
Redução de risco que você pode apresentar a um conselho.
Contagens de patches não resistem a uma pergunta difícil. Risco medido resiste. O Infrastructure Defense apresenta o parque de servidores do jeito que a liderança lê: risco de infraestrutura antes, risco de infraestrutura depois e o trabalho verificado entre os dois.
Números verificados, não métricas de atividade
Um job concluído registra as vulnerabilidades que a reavaliação de fato fechou e a variação de pontuação que ele produziu. O relatório em PDF com identidade visual conta a mesma história para os stakeholders: postura do parque, redução de risco verificada, principais riscos com os seus motivos, conformidade por host.
Minutos da chave à primeira pontuação
Gere uma chave de ativação, escolha a plataforma na página de instalação e execute um comando; parques Windows contam com um MSI padrão para implantação em massa. O agente se registra, faz o inventário e pontua em minutos, mantém-se em dia com atualizações em um clique e pode ser reiniciado ou removido remotamente pelo console.
Controle que um auditor reconhece
Cada aprovação, execução e mudança de política fica registrada na trilha de auditoria, com quem e quando. Os resultados dos jobs de patch notificam Slack, Teams, e-mail ou webhooks. As políticas definem, por grupo de hosts, o que pode ser avaliado, o que exige aprovação e quando as mudanças são permitidas.
Evidências mapeadas aos controles que o seu auditor já cobra.
Gestão de vulnerabilidades, disciplina de aplicação de patches, hardening e inventário de ativos são controles citados em todos os principais frameworks. O Infrastructure Defense produz o registro por host e por mudança que esses controles esperam.
| Framework | Controle | Com o que o Infrastructure Defense contribui |
|---|---|---|
| CIS Benchmarks | Seções de hardening para SSH, firewall do host, serviços legados e acesso remoto | Verificações contínuas alinhadas às seções do benchmark, um percentual de conformidade por host e por parque, e os controles em falha identificados em cada ativo |
| PCI DSS v4.0 | Req 6.3.1 vulnerabilidades identificadas e classificadas · Req 6.3.3 patches instalados dentro de um prazo definido · Req 2.2 hardening de sistemas | Detecções de vulnerabilidades classificadas com contexto de exploração, um registro datado de cada job de patch, da aprovação à verificação, e verificações de hardening mapeadas ao requisito |
| ISO 27001:2022 | Anexo A.8.8 gestão de vulnerabilidades técnicas · A.8.9 gestão de configuração · A.5.9 inventário de ativos | Ciclo de vida das vulnerabilidades por host com evidências, estado de configuração com drift visível na reavaliação e um inventário de ativos atualizado com contexto de propriedade |
| NIST CSF 2.0 | ID.AM inventários de ativos · PR.PS-02 o software recebe manutenção e patches | Inventários de hardware e software atualizados a cada envio do agente, além do registro medido de que a manutenção de fato aconteceu e do que ela mudou |
| LGPD · GDPR | Artigo 46 · Artigo 32, medidas técnicas e organizacionais | Evidências demonstráveis e datadas de que os servidores que processam dados pessoais são inventariados, avaliados, corrigidos sob controle e melhoram de forma mensurável |