.webp){kind=small}
Diz às agências para pararem de tratar todas as vulnerabilidades como igualmente urgentes. Estabelece quatro critérios: se um ativo está exposto publicamente; se a vulnerabilidade é explorada ativamente; se a exploração pode ser automatizada; e se a exploração produz controle total do sistema. Em seguida, vincula os cronogramas de remediação a quantos fatores se aplicam. Uma vulnerabilidade que marque todas as quatro caixas deve ser corrigida dentro de três dias. Aproximadamente 60% podem ser totalmente adiados. Uma organização média leva 55 dias para corrigir metade de suas vulnerabilidades críticas. Três dias é mais do que um aperto de padrões. É um jogo totalmente diferente. BOD 26-04 pousa em um contexto de ameaça específico.
O tempo médio para explorar vulnerabilidades conhecidas caiu para cerca de sete dias, e a exploração agora ocorre rotineiramente antes da publicação de um patch. Os alertas dos agentes de ameaças aumentaram 225% entre 2024 e 2025. O tempo de fuga mais rápido observado pelo invasor desde o acesso inicial até o movimento lateral é agora de 27 segundos. O que está acelerando essa janela é a IA. A maior parte da discussão sobre IA e segurança cibernética concentra-se nos dias zero, que são uma preocupação real. Mas o problema mais imediato é o que a IA faz com vulnerabilidades conhecidas que foram divulgadas, mas permanecem sem correção. WannaCry chegou 59 dias após seu patch. Citrix Bleed demorou duas semanas. Essa janela está desmoronando.
O modelo de diferimento do BOD 26-04 está sendo lançado em um ambiente de ameaça onde uma vulnerabilidade avaliada como não urgente hoje poderá ter uma exploração funcional amanhã. É por isso que o modelo tradicional de varredura, pontuação, fila e correção não funciona mais. O diretor interino da CISA, Nick Andersen, disse claramente: a agência tem de estar disposta a dizer que alguns sistemas são menos importantes que outros e a direcionar recursos limitados para os riscos que realmente importam. Uma vulnerabilidade crítica nem sempre é um risco crítico. Sem contexto, as pontuações de gravidade são ruído. A pergunta certa é “quais exposições são importantes para nós neste momento, dado o que os adversários estão fazendo ativamente?” A detecção não é a lacuna.
Priorização e velocidade são. O BOD 26-04 aplica-se formalmente às agências civis federais do Poder Executivo, ainda não contratadas, mas às próprias agências da CISA A Orientação de Implementação orienta as agências a garantir que os prazos de remediação apropriados façam parte dos acordos de nível de serviço ou que os prestadores de serviços estabeleçam um acordo contratual. Os responsáveis pela contratação provavelmente incorporarão esses requisitos nas Declarações de Trabalho, à medida que as agências agirem de acordo com essas orientações. Para empreiteiros de bases industriais de defesa, o CMMC define o que deve ser protegido. O BOD 26-04 está aumentando o limite máximo daquilo que a prontidão operacional realmente exige.
Existem também duas limitações estruturais que os profissionais precisam compreender. O primeiro é o problema do diferimento. Adiado não é o mesmo que resolvido. Os 60% das vulnerabilidades que a diretiva permite que as agências adiem não ficam em um ambiente de ameaça estático; os cronogramas de exploração estão se comprimindo e os grupos de atores giram a segmentação constantemente. Uma vulnerabilidade avaliada como de baixa urgência em junho pode ser explorada ativamente em agosto. Os defensores também precisam levar em conta o encadeamento de vulnerabilidades: os invasores frequentemente combinam vulnerabilidades de menor gravidade para se firmarem e depois escalam para sistemas críticos.
Uma vulnerabilidade que nunca acionaria de forma independente o relógio de três dias pode se tornar uma exposição crítica quando combinada com uma que abra um caminho de movimento lateral. O segundo é o desvio da postura de controle. O primeiro critério do BOD 26-04 – se um ativo vulnerável está exposto publicamente – soa como uma questão de inventário. É um problema de validação de controle contínuo. O estado de exposição muda constantemente à medida que as regras de firewall mudam, as configurações da nuvem mudam e novos serviços são criados. Uma vulnerabilidade por trás de um controle compensatório pode se tornar uma prioridade de três dias no momento em que o controle falhar silenciosamente. A maioria dos programas não saberá até a próxima verificação.
Considere a mesma divulgação de vulnerabilidade em dois modelos operacionais. Uma equipe cibernética de uma agência de defesa recebe informações de que um grupo adversário conhecido está discutindo a exploração de uma falha recentemente divulgada em uma ferramenta de acesso remoto amplamente utilizada. Em um modelo tradicional, o alerta entra em uma fila: pontuação CVSS atribuída, ciclo de patch pendente. Sob um modelo de exposição contínua, o alerta é imediatamente correlacionado com a pegada de vulnerabilidade, a eficácia do controle atual e a dependência da missão. A equipe entende o que o adversário pode realmente fazer com base nos controles em vigor no momento, em vez dos controles documentados na última avaliação.
A correção começa antes da atualização do catálogo KEV. Um subcontratado do CMMC Nível 2 enfrenta a mesma divulgação. Uma equipe enxuta, sob um modelo tradicional, carece de contexto para saber se é relevante. Sob um modelo de exposição contínua, perguntas sobre se isso ocorre em nosso ambiente, se somos um perfil-alvo e se os adversários estão explorando ativamente organizações semelhantes têm respostas antes que alguém pergunte. A diferença entre um risco gerenciado e um incidente que coloca em risco o contrato é o tempo entre o alerta e uma imagem contextualizada do que isso significa. O BOD 26-04 é um mandato sobre processo. O que isso implica é um mandato sobre inteligência. A CISA está certa ao dizer que a priorização é a verdadeira alavanca.
A diretiva cria um quadro baseado no risco onde não existia e forçará conversas que foram adiadas durante anos. Mas só é válido se a inteligência que funciona por baixo dele for contínua. O relógio de três dias exige saber quais sistemas correspondem ao perfil de exposição. O modelo de adiamento exige a observação das vulnerabilidades adiadas à medida que o ambiente de ameaças evolui. Os critérios de postura de controle exigem uma visibilidade que reflita o que é realmente aplicado agora, em vez da análise do último trimestre.
| ℹ️ | Nota do editor: O AR NEWS 24H publica conteúdos baseados em fontes externas. As informações e opiniões presentes no material original são de responsabilidade de seus respectivos autores. Este conteúdo foi traduzido e adaptado para o português do Brasil com o auxílio de ferramentas automatizadas. |
