Novo indicador LEV para o NIST: como pode ajudar as empresas?

O National Institute of Standards and Technology (NIST) lançou um novo indicador que promete revolucionar a forma como se prioriza a gestão de vulnerabilidades. O indicador Likely Exploited Vulnerabilities (LEV) — ou Vulnerabilidades Provavelmente Exploradas — foi concebido para ajudar as organizações a focar os seus esforços nas falhas que os cibercriminosos estão, de facto, a explorar em ataques reais.

Todos os anos são detetadas milhares de vulnerabilidades, mas apenas uma pequena parte é explorada ativamente. Segundo dados do NIST, as organizações conseguem corrigir apenas 16% das falhas que as afetam a cada mês, sendo que apenas 5% das vulnerabilidades detetadas são realmente utilizadas com fins maliciosos. Esta discrepância conduz a um desperdício de recursos e cria uma falsa sensação de segurança.

O indicador LEV surge para colmatar essa lacuna. Ao identificar quais as vulnerabilidades que estão efetivamente a ser exploradas, permite que as empresas tomem decisões mais informadas, otimizem a resposta e reduzam a sua superfície de ataque.

Como aplicar o indicador LEV à gestão de vulnerabilidades empresariais

Quando se trata de priorizar vulnerabilidades, este novo indicador pode ser aplicado de quatro formas principais:

1. Estimar quantas vulnerabilidades estão a ser exploradas

Para as equipas de IT, o desafio passa por dar prioridade às falhas que já estão a ser exploradas por atacantes. O indicador LEV ajuda neste processo e atribui uma pontuação com base em evidências de exploração ativa dentro do ambiente específico da organização. Esta informação permite distinguir entre vulnerabilidades menores e falhas que representam um risco real e imediato — facilitando uma tomada de decisão mais precisa.

2. Avaliar as listas KEV

As listas KEV (Known Exploited Vulnerabilities) são uma fonte essencial que pode reduzir os tempos de resposta em 50%. No entanto, estas listas baseiam-se em informação pública e casos documentados, o que significa que nem sempre refletem totalmente o nível real de exposição de cada organização. Daí a importância de complementar estas listas com métricas como o LEV, que permitem verificar se os sistemas estão realmente expostos a essas vulnerabilidades e se já foram corrigidos — desta forma, evita-se a dependência excessiva de listas públicas e poupa-se tanto tempo como custos.

3. Identificar vulnerabilidades críticas que não constam das listas

Como as listas oficiais nem sempre chegam atempadamente, algumas vulnerabilidades são exploradas antes de serem reconhecidas publicamente, deixando as empresas sem forma de se prepararem. O LEV ajuda a confirmar quais vulnerabilidades estão a ser exploradas dentro da organização, com base em sinais comportamentais detetados em tempo real, como padrões anómalos ou tentativas de exploração. Isto permite identificar ameaças ativas, mesmo que ainda não tenham sido oficialmente documentadas, priorizando a sua correção antes que evoluam para uma violação.

4. Corrigir lacunas do EPSS

Pontuações de risco como o EPSS (Exploit Prediction Scoring System) ajudam na priorização, mas podem falhar na deteção de vulnerabilidades já exploradas, se estas não se enquadrarem no seu modelo preditivo. O LEV complementa esta abordagem ao basear-se em sinais reais do ambiente, como tentativas de exploração ou indicadores de compromisso, para detetar atividade maliciosa em curso. Assim, permite ajustar prioridades com base em evidência concreta — e não apenas em previsões — reduzindo o risco de dependência excessiva destes sistemas de pontuação.

Para que as métricas LEV sejam realmente úteis às empresas, é essencial que forneçam uma visão precisa, capaz de priorizar riscos reais com base em provas de exploração ativa. O LEV representa um passo importante rumo a uma gestão de vulnerabilidades mais eficaz, cujo verdadeiro valor se revela quando integrado numa abordagem robusta.

Para garantir essa robustez, as organizações necessitam de um serviço que lhes permita antecipar-se às ameaças, ver em tempo real o que está a acontecer no seu ambiente, detetar sinais de exploração ativa mesmo antes de uma vulnerabilidade ser publicamente reconhecida, e corrigir falhas onde o risco é real. Esta combinação de contexto, inteligência e automatização permite transformar dados em ações concretas e antecipar ameaças de forma precisa.