Chegou aviso do CERT.br
Notificação de serviço aberto em um dos seus IPs quer dizer que alguém de fora já achou antes de você.
Segurança e DDoS · Provedores
Varredura de vulnerabilidades para provedores
Todos os blocos de IP da infraestrutura examinados de fora e de dentro, com cada achado conferido à mão e a correção na ordem do risco.
- Blocos inteiros examinados, não só a borda
- Falso positivo conferido antes do relatório
- Nova varredura para provar a correção
Varredura de vulnerabilidades é examinar, com ferramentas automáticas, cada endereço e equipamento do provedor em busca de portas abertas, serviços expostos e versões com falha publicada. É para o provedor que nunca olhou a própria rede do jeito que um atacante olha, ou que só descobre a exposição pelo aviso de outra rede. O resultado é uma lista curta do que corrigir primeiro, com o comando ou a configuração de cada item.
O que é varredura de vulnerabilidades
É uma checagem automática e autorizada de tudo o que a sua rede mostra para fora e para dentro. Ela lista as portas e as falhas conhecidas, mas não tenta invadir nada.
Robôs percorrem a internet inteira o dia todo atrás de portas abertas. Um roteador com DNS recursivo aberto ou SNMP respondendo a qualquer origem vira peça de ataque DDoS por amplificação contra outra rede, com o seu IP como remetente.
A varredura cruza cada serviço encontrado com bases públicas de falhas, como a lista CVE, e dá uma nota de gravidade. Os dados de NetFlow ajudam a separar o que é exposto de verdade do que só parece aberto, porque mostram se alguém de fora já usa aquela porta.
Nenhum firewall cobre o que ninguém sabe que existe. Equipamento esquecido no rack, servidor de teste com IP público e CPE com gerência remota ligada aparecem na varredura e quase nunca no inventário.
Varredura externa
Feita de fora da sua rede, contra todos os blocos públicos de infraestrutura. Mostra o que qualquer pessoa na internet enxerga, inclusive o que passou pelo filtro da borda.
Varredura interna
Feita de dentro, na rede de gerência e nos servidores. Mostra o que um assinante mal-intencionado ou uma máquina infectada alcançaria depois de passar da borda.
Varredura autenticada
A ferramenta entra com um usuário só de leitura e lê a versão exata do sistema. Acha falhas que a varredura de fora não confirma, como pacote desatualizado em servidor.
Varredura recorrente
A mesma checagem repetida todo mês ou a cada trimestre, comparada com a anterior. O relatório passa a mostrar só o que mudou: porta nova, falha nova, correção que voltou atrás.
Quando você precisa de varredura de vulnerabilidades
Estes seis sinais mostram que a rede está exposta e ninguém sabe o quanto. Um só já justifica a primeira varredura.
IP caiu em lista de bloqueio
Bloco listado por participar de ataque costuma ter DNS, NTP ou SSDP aberto em algum equipamento esquecido.
Gerência respondendo na internet
Tela de login do roteador ou da OLT acessível de qualquer lugar recebe tentativas de senha o dia todo.
Muito equipamento novo no ano
Cada POP, OLT ou servidor instalado às pressas pode ter vindo com serviço padrão ligado e senha de fábrica.
Falha grave publicada na sua marca
Quando o fabricante anuncia uma falha crítica, a pergunta é quantos dos seus equipamentos estão naquela versão.
Cliente ou auditoria pediu relatório
Contrato corporativo e adequação regulatória pedem prova de que a exposição é checada com regularidade.
Como funciona a varredura de vulnerabilidades
São cinco etapas, e a rede só recebe tráfego de teste na terceira. Antes disso, escopo e horário ficam aprovados por escrito.
Escopo e autorização
Lista dos blocos, equipamentos e horários que podem ser examinados, assinada por quem responde pela rede.
Prazo: [PREENCHER]
Preparação
Ajuste da velocidade da ferramenta para não pesar em CPE e OLT, e aviso à operadora quando for preciso.
Prazo: [PREENCHER]
Varredura
Execução externa, interna e autenticada no horário combinado, com acompanhamento dos equipamentos sensíveis.
Duração: [PREENCHER]
Conferência manual
Cada achado relevante é testado à mão para descartar falso positivo antes de entrar no relatório.
Prazo: [PREENCHER]
Relatório e nova varredura
Lista por prioridade com a correção de cada item e, depois que você corrige, nova varredura de conferência.
Prazo: [PREENCHER]
O que está incluído na varredura de vulnerabilidades
A varredura cobre a descoberta, a conferência e o relatório com as correções. A correção em si e o teste de invasão têm página própria.
Incluído
- Escopo por escrito com blocos, equipamentos e horários autorizados
- Varredura externa de todos os blocos públicos de infraestrutura
- Varredura interna da rede de gerência e dos servidores
- Varredura autenticada nos sistemas que permitirem usuário de leitura
- Checagem de serviços de amplificação, como DNS, NTP, SNMP, SSDP e Memcached
- Conferência manual dos achados para tirar falso positivo
- Relatório por prioridade, com a correção indicada para cada item
- Nova varredura para confirmar o que foi corrigido
Não incluído
- Compra de licença ou equipamento (a Táquion Tech não vende equipamento)
- Tentativa de invasão a partir dos achados, que é o pentest em infraestrutura de provedor
- Aplicar as correções nos roteadores, feito no hardening de roteadores
- Fechar o acesso às OLTs, feito no hardening de OLTs
- Limpar e documentar as regras, que é a revisão de firewall
Quanto custa a varredura de vulnerabilidades
O preço depende de quantos endereços entram e de quantas vezes a varredura se repete. O valor exato sai por escrito, depois de fechar o escopo.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Tamanho dos blocos | Mais endereços pedem mais tempo de varredura e mais achados para conferir | Um /22 de infraestrutura contra um /24 |
| Tipos de varredura | Interna e autenticada somam trabalho à externa | Só a externa, ou as três juntas |
| Frequência | Recorrente tem valor mensal e relatório comparativo | Uma vez, trimestral ou mensal |
| Equipamentos sensíveis | OLT e CPE antigos pedem varredura mais lenta e acompanhada | OLT que reinicia com muitas conexões |
| Apoio na correção | Explicar cada item à equipe leva horas a mais | Reunião técnica depois do relatório |
Faixa de preço para um provedor com até [PREENCHER] endereços de infraestrutura: [PREENCHER faixa aprovada pela Táquion Tech]. Se a exposição já foi explorada, o caminho é a resposta a incidentes de segurança, não uma varredura.
O que conferir antes de contratar varredura de vulnerabilidades
Antes de assinar, confira os erros que tornam o relatório inútil, a diferença entre varredura e pentest e as referências que a entrega deve seguir. Use os pontos abaixo com qualquer empresa de varredura de vulnerabilidades.
Erros comuns ao contratar
Cinco falhas que transformam a varredura em papel. Pergunte ao fornecedor como ele evita cada uma.
Relatório cru da ferramenta
Duzentas páginas exportadas sem filtro escondem as cinco falhas que importam. Peça um exemplo de relatório antes de fechar.
Varrer só o IP da borda
O risco costuma estar no servidor de teste, no rádio de backhaul ou na OLT com IP público. O escopo deve listar os blocos inteiros.
Sem conferência manual
A ferramenta erra versão e acusa falha que não existe. Sem conferência, a equipe perde dias corrigindo o que já estava certo.
Varredura agressiva em equipamento frágil
CPE e OLT antigos podem travar com milhares de conexões por segundo. Pergunte qual velocidade será usada e quem acompanha.
Nenhuma nova varredura depois
Sem a segunda rodada, ninguém prova que a correção funcionou. Ela deve estar no preço, não ser vendida à parte.
Varredura, pentest ou os dois
A varredura acha a porta aberta; o pentest tenta passar por ela. Na maioria dos provedores, a varredura vem antes e diz se o pentest vale o investimento.
| Item | Varredura | Pentest |
|---|---|---|
| Como é feita | Ferramenta automática com conferência | Pessoa tentando invadir, com método |
| O que entrega | Lista de exposições e falhas | Caminho que um atacante faria |
| Frequência típica | Mensal ou trimestral | Anual ou após mudança grande |
Varredura primeiro
Quando escolher
Nunca houve checagem, há muitos equipamentos e o objetivo é fechar o que está aberto.
Cuidado
Ela não mostra o que um atacante faria com uma senha fraca encontrada num sistema esquecido.
Pentest em seguida
Quando escolher
A varredura já sai limpa e você quer saber se alguém ainda chega à gerência ou ao sistema de gestão.
Cuidado
Pentest sobre rede sem varredura gasta horas caras achando o que uma ferramenta acharia sozinha.
Normas e boas práticas
Referências públicas que uma varredura séria segue. Peça ao fornecedor que diga quais usa.
CVE e CVSS
A lista CVE dá nome a cada falha publicada, e o CVSS dá a nota de 0 a 10; de 9,0 para cima a falha é crítica [CONFIRMAR na norma].
NIST SP 800-115
Guia público de testes técnicos de segurança, com as etapas de descoberta, varredura e validação [CONFIRMAR na norma].
CIS Controls
O controle de gestão contínua de vulnerabilidades pede varredura automática periódica e correção por risco [CONFIRMAR na norma].
Regulamento de segurança da Anatel
O R-Ciber pede que as prestadoras avaliem vulnerabilidades e riscos da rede; o alcance para cada porte de provedor deve ser checado [CONFIRMAR na norma].
Checklist antes de contratar
Com estes itens em mãos, o escopo fecha em uma conversa.
Blocos e equipamentos
Lista dos blocos IPv4 e IPv6 de infraestrutura e dos equipamentos com IP público.
Horário e contato
Janela permitida para a varredura e quem atende se um equipamento reclamar no meio do teste.
O que fica de fora
CPEs de assinantes e sistemas de terceiros só entram com autorização por escrito.
Por que escolher a Táquion Tech para varrer a sua rede
Porque o relatório chega pronto para a equipe agir, com cada achado conferido e corrigível. Seis compromissos que valem para toda varredura.
Especialista em rede de provedor
Quem lê o relatório conhece borda, OLT e concentrador, e sabe qual achado derruba assinante se for mexido.
[PREENCHER: anos de experiência em segurança de provedores]
Achado conferido à mão
Falso positivo sai antes do relatório. A equipe corrige só o que existe de verdade.
Conferência manual faz parte de toda entrega
Correção na ordem do risco
Cada item vem com nota de gravidade, motivo da prioridade e a configuração que fecha a falha.
Relatório com a correção de cada achado
Não vendemos equipamento
Quando a correção pede trocar algo, a indicação vem da falha encontrada, não de comissão de fabricante.
Nenhuma marca indicada por comissão
Velocidade ajustada à rede
A varredura respeita o limite de CPE e OLT antigos e roda no horário que você aprovar.
Horário e velocidade definidos no escopo
Segunda varredura incluída
Depois das correções, a mesma checagem roda de novo e o relatório final mostra o que fechou.
Nova varredura prevista na proposta
Onde a Táquion Tech faz varredura de vulnerabilidades
A varredura é remota e atende provedores de todo o Brasil. A visita presencial fica para o litoral de Santa Catarina, quando a varredura interna precisa de um ponto dentro do POP.
Remoto para todo o Brasil
A varredura externa parte da internet e a interna usa uma máquina virtual instalada na sua rede de gerência. Nenhuma das duas exige deslocamento.
Presencial no litoral de Santa Catarina
Para instalar o ponto de varredura no POP ou acompanhar a checagem de equipamentos frágeis no local. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre varredura de vulnerabilidades
As perguntas que os provedores mais fazem antes de autorizar a primeira varredura. Se a sua não estiver aqui, pergunte no WhatsApp.
A varredura pode derrubar a rede?
Varredura bem configurada não derruba, mas equipamento frágil pode reiniciar com conexões demais. Por isso a velocidade é ajustada, os equipamentos sensíveis são acompanhados e a checagem roda no horário aprovado.
Quanto custa a varredura de vulnerabilidades?
O preço da varredura de vulnerabilidades muda com o tamanho dos blocos, os tipos de varredura e a frequência. A faixa é [PREENCHER], e o valor exato sai depois do escopo.
Quanto tempo leva a varredura?
Depende do número de endereços e da velocidade que a rede aguenta. O prazo típico até o relatório é [PREENCHER], e o do seu caso vai escrito na proposta.
Com que frequência repetir a varredura?
Mensal ou trimestral, e sempre depois de uma mudança grande, como POP novo ou troca de borda. Equipamento novo muda a exposição da rede de um dia para o outro.
A varredura inclui os roteadores dos assinantes?
Só se você autorizar por escrito e os equipamentos forem do provedor. CPE em comodato costuma entrar por amostra, para achar o modelo que vem com gerência remota aberta.
Qual a diferença entre varredura e pentest?
A varredura lista o que está exposto e as falhas conhecidas. O pentest em infraestrutura de provedor tenta usar essas falhas para chegar mais longe.
Por que DNS e NTP abertos são um problema?
Porque atacantes usam esses serviços para multiplicar o tráfego contra terceiros, com o seu IP como origem. A rede vira arma, o link enche e os blocos entram em lista de bloqueio.
Vocês corrigem o que a varredura encontrar?
O relatório traz a correção de cada item para a sua equipe aplicar. Se preferir que a Táquion Tech aplique, isso entra no hardening de roteadores, com janela e plano de volta.
A varredura serve para o regulamento da Anatel?
O relatório pode servir de evidência de avaliação de vulnerabilidades, se o provedor estiver obrigado [CONFIRMAR na norma]. A adequação ao R-Ciber cuida do enquadramento.
Que acesso vocês precisam para a varredura?
Para a externa, só a lista de blocos autorizados. Para a interna, uma máquina na rede de gerência, e para a autenticada, usuários só de leitura criados para o trabalho.
Serviços relacionados à varredura de vulnerabilidades
Três serviços que costumam vir depois da varredura. Cada um fecha uma parte do que o relatório abriu.
-
Pentest em infraestrutura de provedor
Ataque simulado e autorizado que mostra até onde alguém de fora chegaria a partir dos achados.
Ver o pentest em infraestrutura de provedor -
Hardening de roteadores
Serviços desnecessários desligados, acesso restrito e senhas trocadas nos roteadores da rede.
Ver o hardening de roteadores -
Revisão de firewall
Regras acumuladas revistas, as inúteis removidas e cada uma explicada em documento.
Ver a revisão de firewall
Leia antes de contratar
Três guias para entender o que a exposição causa na prática.
- IP do provedor em blacklist: causas, diagnóstico e quando chamar um Especialista
Por que o IP do provedor entra em lista de bloqueio e como sair dela.
- Provedor invadido: causas, diagnóstico e quando chamar um Especialista
O que fazer quando a porta aberta já foi usada por alguém.
- Ataque DDoS no provedor: causas, diagnóstico e quando chamar um Especialista
Como confirmar um ataque e achar o alvo sem derrubar a cidade inteira.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de varredura de vulnerabilidades
Diga quantos blocos de infraestrutura você tem e o que motivou a varredura. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
