O que é o EASM e como começar
O External Attack Surface Management (EASM) é a funcionalidade da plataforma responsável por descobrir e monitorar continuamente a infraestrutura externa da sua organização. Na prática, ele funciona como um scanner sempre ativo que mapeia tudo o que está acessível pela internet e pertence à sua organização, subdomínios, endereços IP, portas abertas, serviços em execução, certificados digitais e vulnerabilidades, destacando os itens que representam os maiores riscos.
A principal diferença entre o EASM e uma avaliação pontual de segurança é que o EASM é contínuo. Sua superfície de ataque muda todos os dias: novos subdomínios são criados, serviços são expostos e certificados expiram. O EASM acompanha essas mudanças automaticamente e as transforma em exposições acionáveis, que sua equipe pode priorizar e corrigir.
O EASM foi desenvolvido para equipes de segurança e infraestrutura que precisam ter visibilidade completa sobre tudo o que a organização expõe à internet, incluindo ativos que talvez não estejam sendo gerenciados ativamente.
O primeiro passo: adicione seus seeds
Antes que qualquer descoberta seja iniciada, o EASM precisa de um ponto de partida. Esse ponto de partida é chamado de seed — um domínio ou endereço IP pertencente à sua organização. A partir de um único seed, o EASM descobre automaticamente subdomínios relacionados, endereços IP, certificados digitais e serviços expostos.
Sem pelo menos um seed cadastrado, a visualização de Assets não exibirá nenhum dado e o processo de descoberta não poderá ser executado. Para adicionar um seed, acesse:
Em seguida, clique em + Add Seed e informe um ou mais domínios, endereços IPv4, IPv6, blocos CIDR (/16–/32) ou intervalos de IP. Para adicionar vários seeds de uma só vez, separe-os com ponto e vírgula (;). Os seeds adicionados são automaticamente incluídos na Safelist.
📝 Você também pode adicionar uma descrição opcional para facilitar a identificação de um grupo de seeds posteriormente.
O que é um seed e por que ele é importante
Um seed é o ponto inicial do processo de descoberta. Ele pode ser um domínio principal (como example.com), um endereço IP ou um bloco CIDR pertencente à sua organização.
A partir dele, o EASM expande automaticamente a descoberta:
encontra subdomínios relacionados por meio de informações de WHOIS;
identifica os endereços IP associados;
detecta os serviços em execução;
enumera portas expostas e certificados digitais.
A qualidade da sua lista de seeds influencia diretamente a cobertura do mapa da sua superfície de ataque. Um único domínio, como example.com, pode resultar na descoberta de centenas de ativos.
Adicionar múltiplos seeds referentes a diferentes unidades de negócio, subsidiárias ou faixas de IP proporciona uma visão muito mais completa da infraestrutura exposta.
Related Discovery: como o EASM expande a partir dos seus seeds
Ao adicionar um seed, o EASM procura outros ativos conectados a ele utilizando informações de propriedade registradas no WHOIS, identificando domínios e endereços IP registrados para a mesma organização. Esse processo é chamado de Related Discovery.
Para cada ativo relacionado descoberto, você define como ele será tratado:
Whois Owner — Ativos registrados sob a mesma organização são sugeridos para monitoramento.
Add as pending — Os novos ativos descobertos ficam pendentes e precisam ser revisados manualmente antes de serem adicionados ao monitoramento.
Auto-approve — Os novos ativos descobertos são aprovados automaticamente e passam a ser monitorados sem necessidade de revisão manual.
📝 Recomendamos iniciar utilizando Add as pending, caso deseje revisar os ativos encontrados antes que eles sejam adicionados ao monitoramento ativo. Quando estiver confiante no escopo de descoberta para determinado seed, você poderá alterar a configuração para Auto-approve.
Configuração do monitoramento: definindo o que o EASM monitora
Ao adicionar um seed, você também define quais aspectos da sua infraestrutura serão monitorados pelo EASM. Essa configuração é feita na seção Monitoring Setup, durante o processo de adição do seed.
A principal categoria disponível é External Attack Surface Management (EASM), responsável pelo monitoramento da exposição da infraestrutura associada ao domínio informado. Dentro dela, é possível habilitar:
Infrastructure Exposure Monitoring — Detecta exposições relacionadas ao domínio informado, incluindo subdomínios, endereços IP relacionados, certificados digitais, serviços em execução e vulnerabilidades associadas.
Inferred CVEs — Inclui vulnerabilidades (CVEs) inferidas com base nos sinais e correlações observados.
Port Alerting Scope — Define quais eventos relacionados a portas abertas devem gerar alertas.
DNS Hygiene — Monitora configurações incorretas de DNS.
Expiring Domain Configuration — Gera alertas para domínios próximos da expiração.
Expiring Certificate Configuration — Gera alertas para certificados TLS próximos da expiração.
📝 Habilite apenas os recursos que fazem sentido para o seu ambiente. Cada item ativado representa uma categoria de problema que será monitorada pelo EASM. Sempre que uma exposição for identificada, um ticket será criado automaticamente para que sua equipe possa analisá-la e tratá-la.
Frequência do monitoramento
O EASM executa dois processos automatizados distintos, cada um com sua própria periodicidade:
Descoberta de ativos (Asset Discovery) — Analisa seus seeds e identifica novos ativos (subdomínios, IPs e serviços) poucas horas após cada execução.
Monitoramento de exposições (Exposure Monitoring) — Analisa os ativos já descobertos em busca de vulnerabilidades e exposições. Esse ciclo é executado a cada 24 horas.
Na prática, isso significa que, ao adicionar um novo seed, os ativos descobertos deverão aparecer na visualização Assets dentro de algumas horas. As exposições relacionadas a esses ativos serão avaliadas durante o próximo ciclo de monitoramento.
📝 Também é possível executar ambos os processos manualmente a qualquer momento, utilizando os botões Discover Now e Scan Now, localizados no canto superior direito da visualização Assets.
Entendendo a visualização Assets
Depois que os seeds são cadastrados e o processo de descoberta é iniciado, a visualização Assets torna-se a principal forma de acompanhar a infraestrutura externa da sua organização. Você pode acessá-la em:
O que a visualização Assets exibe
Na parte superior da página, a visualização Assets apresenta cinco indicadores resumidos:
Seeds — Domínios ou endereços IP cadastrados como pontos de partida para a descoberta.
Hosts — Hosts e subdomínios descobertos a partir dos seus seeds.
Subdomains — Subdomínios identificados durante o processo de descoberta.
IPs — Endereços IP associados à sua infraestrutura.
Vulnerabilities — Total de vulnerabilidades detectadas nos ativos monitorados.
Logo abaixo dos indicadores, é exibida uma tabela contendo todos os ativos descobertos, juntamente com seus principais atributos, incluindo:
nome do ativo;
endereço IP;
maior pontuação de risco (Highest Risk Score);
tipo do registro DNS (A, AAAA, CNAME, etc.);
quantidade de exposições;
tags;
seed a partir do qual o ativo foi descoberto;
status de monitoramento;
data de inclusão;
data da última varredura.
Pontuação de risco dos ativos
Cada ativo possui um indicador chamado Highest Risk Score. Essa pontuação é calculada com base nas vulnerabilidades encontradas no ativo. O valor corresponde à maior pontuação CVSS entre todas as CVEs associadas àquele ativo. Caso o ativo não possua nenhuma CVE associada, não será exibida uma pontuação de risco.
A cor do indicador facilita a priorização:
Vermelho — Critical (9.0–10.0)
Laranja — High (7.0–8.9)
Amarelo — Medium (4.0–6.9)
Cinza — Low ou sem pontuação
Utilize a coluna Highest Risk Score para ordenar a lista de ativos e priorizar a remediação daqueles que apresentam maior risco.
Filtrando a tabela de ativos
A visualização Assets oferece diversos filtros para facilitar a localização de ativos específicos dentro da sua superfície de ataque.
Os filtros disponíveis são:
Search — Pesquisa por texto livre utilizando o nome do ativo ou host.
First seen at — Filtra pela data em que o ativo foi descoberto pela primeira vez.
Business impact — Filtra conforme a criticidade do ativo para o negócio.
Status — Filtra pelo estado do ativo (Online, Offline ou outros estados de monitoramento).
Open ports — Filtra ativos que possuem portas específicas abertas.
Cloud — Filtra pelo provedor de nuvem associado ao ativo.
Technologies — Filtra pelas tecnologias identificadas no ativo.
Tags — Filtra pelas tags aplicadas ao ativo.
DNS type — Filtra pelo tipo de registro DNS (A, AAAA, CNAME, etc.).
📝 Utilize Reset filters para remover todos os filtros aplicados e retornar à visualização completa dos ativos.
Botão Asset Management
O botão Asset Management, localizado no canto superior direito da visualização Assets, funciona como um atalho para as configurações de monitoramento.
Através dele, você pode sem precisar sair do contexto do EASM.:
Adicionar novos seeds;
Editar seeds existentes;
Ajustar as configurações de monitoramento;
Discover Now e Scan Now
No canto superior direito da visualização Assets, também estão disponíveis dois botões de ação:
Discover Now — Executa imediatamente um novo processo de descoberta utilizando os seus seeds, permitindo localizar ativos recém-criados ou modificados.
Scan Now — Executa uma nova varredura de vulnerabilidades e exposições nos ativos que já foram descobertos.
Ao lado desses botões, também é exibida a data e a hora da última execução completa da descoberta, permitindo verificar quando as informações da infraestrutura foram atualizadas pela última vez.
Entendendo a visualização Exposures
As Exposures representam os problemas encontrados nos seus ativos. Enquanto a visualização Assets exibe o inventário da sua infraestrutura, a visualização Exposures é o local onde você analisa, prioriza e trata esses problemas. Você pode acessá-la em:
O que é uma exposição
Uma exposição é um problema detectado em um ativo específico. Ela pode representar uma vulnerabilidade (CVE), uma porta aberta que não deveria estar exposta à internet, um certificado próximo da expiração, uma configuração incorreta de DNS ou qualquer outro problema definido na sua configuração de monitoramento.
Cada exposição contém:
Uma descrição técnica do problema;
O nível de impacto para o negócio;
Evidências concretas indicando onde o problema foi identificado.
A Matriz de Risco (Risk Matrix)
A Risk Matrix é a principal ferramenta de priorização da visualização Exposures. Ela organiza as exposições utilizando dois eixos:
Business Impact (eixo vertical) — Indica o quão crítico é o ativo afetado para o negócio: Low, Medium, High e Critical.
Exploit Feasibility (eixo horizontal) — Indica o quão fácil é para um atacante explorar o problema: Difficult, Moderate, Easy e Trivial.
Cada célula da matriz exibe a quantidade de exposições correspondente àquela combinação de impacto e facilidade de exploração. As células são codificadas por cores. As regiões em vermelho representam as exposições que possuem maior impacto para o negócio e maior probabilidade de exploração, devendo ser tratadas com prioridade.
A matriz também é interativa. Ao clicar em qualquer célula, a lista de exposições abaixo será filtrada automaticamente para exibir apenas os itens daquela combinação de risco.
📝 Comece sempre pelas células em vermelho. Elas representam os problemas mais críticos e mais fáceis de serem explorados.
Tendência de novas exposições
A visualização Exposures também apresenta um gráfico mostrando a evolução das novas exposições ao longo do tempo, incluindo a quantidade de exposições identificadas durante a semana. Esse gráfico ajuda a compreender se sua superfície de ataque está crescendo, diminuindo ou permanecendo estável. Além disso, facilita a identificação de alterações recentes na infraestrutura que possam ter introduzido novos riscos.
Assigned to me
O indicador Assigned to me mostra quantas exposições estão atualmente atribuídas a você, independentemente do nível de severidade (Critical, High, Medium, Low ou Awaiting). Esse indicador permite localizar rapidamente sua fila de trabalho sem a necessidade de aplicar filtros na tabela completa.
Filtrando as exposições
A tabela de exposições pode ser filtrada utilizando diversos critérios:
Search — Pesquisa por texto livre no nome da exposição.
First seen at — Filtra pela data em que a exposição foi detectada pela primeira vez.
Hostnames — Filtra pelo hostname onde a exposição foi encontrada.
IP addresses — Filtra pelo endereço IP associado à exposição.
Type — Filtra pela categoria da exposição (Vulnerabilities, DNS Hygiene, Certificates etc.).
Risk score — Filtra pela faixa de severidade baseada no CVSS.
Feasibility — Filtra pelo nível de facilidade de exploração (Difficult, Moderate, Easy ou Trivial).
Assign status — Filtra conforme o status de atribuição da exposição.
Assigned to — Filtra pelo responsável pela remediação.
Tags — Filtra pelas tags aplicadas às exposições.
Business impact — Filtra conforme a criticidade do ativo afetado.
O que cada exposição apresenta
Cada linha da tabela de exposições contém as seguintes informações:
Name — Identificador da CVE, nome da configuração incorreta ou tipo do problema.
Assets — Ativo(s) onde o problema foi encontrado, incluindo a quantidade quando houver mais de um.
Risk score — Pontuação derivada da maior severidade CVSS associada.
Business impact — Criticidade do ativo afetado para o negócio.
Exploit Feasibility — Facilidade com que o problema pode ser explorado.
Status — Situação atual da remediação.
Type — Categoria da exposição (Vulnerabilities, DNS Hygiene etc.).
Age — Tempo em que a exposição permanece aberta.
Assigned to — Responsável pela remediação.
Tags — Marcadores utilizados para organização e filtragem.
First seen / Last seen — Datas da primeira detecção e da confirmação mais recente da exposição.
Como o EASM calcula o risco
O EASM prioriza as exposições utilizando uma matriz baseada em duas dimensões principais:
Business Impact — O quanto o ativo é importante para a organização.
Exploit Feasibility — O quão facilmente um invasor conseguiria explorar aquela exposição.
A combinação dessas duas dimensões ajuda as equipes a concentrarem seus esforços nas exposições que possuem maior relevância para o negócio e maior probabilidade de serem utilizadas em ataques reais.
Faixas de classificação
Exploit Feasibility
Classificação | Pontuação |
Difficult | 0–39 |
Moderate | 40–69 |
Easy | 70–89 |
Trivial | 90–100 |
Business Impact
Classificação | Pontuação |
Low | 0–39 |
Medium | 40–69 |
High | 70–89 |
Critical | 90–100 |
Referência de severidade CVSS
Severidade | Pontuação |
Low | 0.0–3.9 |
Medium | 4.0–6.9 |
High | 7.0–8.9 |
Critical | 9.0–10.0 |
Esse modelo vai além da severidade da vulnerabilidade. Além de considerar indicadores como CVSS, EPSS e a existência de explorações públicas conhecidas, o EASM também utiliza informações contextuais dos ativos, como:
padrões de nomenclatura;
Relevância para ambientes de produção;
Similaridade com a marca;
indicadores de tráfego DNS.
Essa combinação gera uma priorização muito mais relevante para o contexto da organização.
Como resultado, os clientes obtêm uma visão de risco mais acionável, facilitando a identificação das exposições que exigem resposta imediata.
Configuração de notificações para novas exposições
Por padrão, as notificações de exposições ficam desabilitadas. Para receber alertas por e-mail, é necessário habilitá-las em:
Nas configurações de notificações, basta ativar ou desativar a opção Exposure alerts. Esse é um único controle responsável por todas as notificações relacionadas a exposições. Quando habilitado, você receberá alertas para:
novas exposições classificadas como High ou Critical detectadas nos ativos monitorados;
aumento da pontuação de risco para High ou Critical em uma exposição já existente;
exposições atribuídas a você.
📝 Nesta primeira versão, apenas as notificações de Exposure alerts estão disponíveis. Opções mais granulares de configuração poderão ser disponibilizadas em versões futuras.
Glossário de conceitos
Termo | Definição |
Seed | Um domínio ou endereço IP cadastrado como ponto de partida para a descoberta realizada pelo EASM. A partir dos seeds, o EASM expande a descoberta para localizar a infraestrutura relacionada. |
Asset | Qualquer host, subdomínio, endereço IP ou faixa de rede descoberta a partir dos seus seeds. Esses ativos passam a fazer parte da sua superfície de ataque monitorada. |
Exposure | Um problema detectado em um ativo, como uma vulnerabilidade, configuração incorreta, certificado próximo da expiração ou qualquer outra categoria de problema habilitada na configuração de monitoramento. |
Risk Score | A maior pontuação CVSS entre todas as CVEs associadas a um ativo ou exposição. É utilizada para auxiliar na priorização da remediação. |
Exploit Feasibility | Indica o quão viável é para um atacante explorar uma determinada exposição. É classificada como Difficult, Moderate, Easy ou Trivial. |
Business Impact | Representa o nível de criticidade do ativo afetado para a organização. É utilizado em conjunto com o Exploit Feasibility na Risk Matrix. |
Risk Matrix | Matriz 4×4 que cruza Business Impact com Exploit Feasibility. É interativa: ao clicar em qualquer célula, a lista de exposições é filtrada para aquela combinação de risco. |
Discovery | Processo automático de descoberta de ativos relacionados aos seus seeds utilizando informações de WHOIS, DNS e outros sinais disponíveis. |
Related Discovery | Mecanismo que identifica ativos pertencentes à mesma organização do seed com base nas informações de registro (WHOIS). |
CVE | Common Vulnerabilities and Exposures. Identificador padronizado utilizado para catalogar vulnerabilidades de segurança conhecidas. |
CVSS | Common Vulnerability Scoring System. Sistema de pontuação de 0 a 10 utilizado para medir a severidade técnica de uma vulnerabilidade. |
Infrastructure Exposure Monitoring | Principal tipo de monitoramento do EASM. Detecta subdomínios, endereços IP, certificados digitais, serviços em execução e vulnerabilidades relacionados aos seus seeds. |
Guia de início rápido (Quick Start)
Checklist de início rápido
Siga estas etapas para configurar o monitoramento do EASM do zero até um ambiente totalmente ativo:
Passo 1 — Acesse Monitoring Settings → Asset Management → Infrastructure e clique em + Add Seed.
Passo 2 — Informe o domínio principal da sua organização (por exemplo,
example.com) e clique em Save Seed.Passo 3 — Configure o Related Discovery escolhendo "Add as pending" para revisar os novos ativos antes que eles sejam adicionados ao monitoramento.
Se você escolher "Add as pending", retorne a Monitoring Settings → Asset Management → Infrastructure para revisar os ativos descobertos e ativar manualmente o monitoramento deles.
Passo 4 — Na seção Monitoring Setup, habilite Infrastructure Exposure Monitoring.
Passo 5 — Aguarde a conclusão da descoberta inicial (alguns minutos para ambientes menores e mais tempo para ambientes maiores).
Passo 6 — Acesse Infrastructure Exposure → Assets para revisar os ativos descobertos e suas respectivas pontuações de risco.
Passo 7 — Clique na aba Exposures e abra a Risk Matrix. Comece pelas células vermelhas.
Passo 8 — Habilite as notificações por e-mail em User Preferences, para receber automaticamente alertas sobre novas exposições.
📝 Você pode adicionar novos seeds a qualquer momento. Cada novo seed amplia a cobertura da sua superfície de ataque.
Caso tenha qualquer dúvida, entre em contato conosco pelo e-mail [email protected]. 😊