Infrastructure Defense

Encontre e priorize vulnerabilidades e configurações incorretas em servidores e estações, corrija sob as suas regras de aprovação e comprove o risco removido.

O WASViking^® Infrastructure Defense gerencia as vulnerabilidades e a configuração das máquinas que sustentam o seu negócio, dos servidores no seu data center ou na sua conta de nuvem às estações de trabalho da sua equipe. Ele mostra o que você tem, onde cada máquina está exposta, qual correção importa mais e quanto risco cada correção executada removeu. O ciclo se fecha com evidência: uma correção conta quando um inventário posterior prova que o risco caiu.

Como funciona

1. Descobrir. Um agente leve, o Sentinel Host, reporta o inventário de cada máquina. Um Sentinel Probe encontra os dispositivos que não podem rodar um agente, e a superfície de ataque mostra quais ativos voltados para a internet ainda não são gerenciados.
2. Avaliar. Todo inventário é comparado com dados de vulnerabilidade para a release exata do sistema operacional, o build do Windows e a versão do aplicativo, e a configuração de segurança é avaliada contra controles alinhados às seções dos benchmarks CIS.
3. Priorizar. O Viking Exposure Score classifica cada host de 0 a 100 pela pior vulnerabilidade sobre a qual você pode agir, pelas evidências de exploração, pela exposição à internet e pelo contexto de negócio.
4. Remediar. O Resolve transforma as prioridades em jobs: atualizações de segurança, upgrades de aplicativos de terceiros, mitigações quando nenhum patch se aplica e reinicializações, cada um aprovado conforme a regra do ambiente do host.
5. Verificar. O próximo inventário é o veredito. Um job se conclui quando mostra quais vulnerabilidades fecharam e quanto a pontuação caiu, e uma mudança que deu problema pode ser revertida.

Arquitetura

Três componentes reportam à nuvem da WASViking, onde rodam a correlação, a pontuação e o portal.

O agente e o probe só fazem conexões de saída, via TLS mútuo na porta 443, então não precisam de nenhuma regra de firewall de entrada. Nada é instalado nos dispositivos que um probe analisa.

Um gateway serve ao site onde o link de internet é a restrição. Ele encaminha os agentes sem abrir o canal de TLS mútuo deles, prepara o conteúdo de um job aprovado antes da janela, verificado contra a assinatura do fabricante, e deixa os hosts Linux do site rodarem apt e dnf por ele. Veja o guia de configuração dos Sentinel Gateways.

Inventário e cobertura

O agente reporta o sistema operacional e o kernel, os pacotes e aplicativos instalados, os serviços em execução e as portas em escuta, as atualizações pendentes, a configuração de segurança e os dados da máquina de que um registro de ativo precisa: nomes, endereços, hardware, volumes e nomes das contas locais. Ele lê apenas a postura. Não abre arquivos nem conteúdo de usuários, e os nomes de conta chegam sem dados de perfil nem atividade por usuário. A lista completa está em Agente Sentinel Host: requisitos e operação.

Um dispositivo que o probe encontra sem agente, como um switch gerenciado, uma impressora ou um terminal de pagamento, aparece no inventário como Unmanaged, então você sabe o que gerencia e o que apenas existe na rede.

A aba Hosts abre com quatro contadores que filtram a lista ao clicar (total de ativos, totalmente gerenciados, não gerenciados, sem avaliação atual), uma busca por hostname, endereço, MAC, sistema, fabricante e tag, filtros em chips com a contagem de cada um, e páginas de 100 hosts. As tags organizam a frota por contexto: crie uma tag com descrição e cor, marque hosts e aplique uma ou mais tags existentes, crie uma tag e aplique no mesmo passo, ou remova tags; o resultado diz quantos hosts receberam a tag e quantos foram pulados por estarem no limite. Gerenciar tags, na mesma página, lista cada tag com quantos hosts e ativos do inventário a têm, renomeia, muda a cor e exclui informando o impacto antes. Portas abertas lista cada porta em escuta ao lado de um painel de investigação: escolha uma porta (o link mantém ?port=445&proto=tcp, então pode ser compartilhado) para ver cada host com o processo que o agente observou ou o serviço que a sonda inferiu, o risco, o status e o estado de gerenciamento, e busque dentro dessa lista. Cobertura mostra os quatro estados em contadores e numa barra de proporção, um painel por ativo com o motivo do estado, e Vincular a um host com confirmação explícita; nada é vinculado por semelhança de endereço. Fim de suporte, a quarta aba, lista cada host com o veredito de ciclo de vida: fora de suporte, suporte terminando em 90 dias, software fora de suporte, suportado ou não avaliado, com a data de fim do fornecedor e quanto falta, a versão que o fornecedor ainda mantém, o software acompanhado que passou do próprio suporte, a nota de risco e um "O que fazer" curto para cada situação; filtra por situação, sistema, tag e texto, ordena do pior para o melhor e exporta em CSV. Os vereditos vêm de datas públicas de fim de suporte, casadas exatamente para o sistema operacional e por uma lista curada de produtos para software, então não há alarme falso, e um desconhecido nunca sobe a nota.

O Inventário de software lista uma linha por software e versão com os hosts por trás do número (nomeados quando são poucos), as vulnerabilidades abertas e as que aguardam correção do fabricante; cada número abre a página do software na aba correspondente. Essa página tem três abas: Hosts (cada host com as vulnerabilidades que ele tem neste pacote exato, abertas, com correção ou aguardando), Vulnerabilidades (cada CVE com gravidade, resumo, versão corrigida e os hosts que a têm, filtrando por abertas ou aguardando) e Detalhes do produto.

Na página do ativo, os achados de configuração abertos que têm mitigação embutida podem ser marcados juntos e agendados como um só job do Resolve naquele host (Mitigar selecionados); o job segue a regra de aprovação do ambiente do host e o próximo inventário comprova cada mudança. Achados sem correção embutida dizem isso e apontam para a tela de Configuração, onde o risco pode ser aceito. Enquanto o job existe, cada achado que ele cobre mostra o estado do job e quando foi criado, com um botão para o job; os achados corrigidos nos últimos 30 dias aparecem abaixo com a hora em que fecharam e o job que os comprovou. Um job pendente pode ser aprovado ou rejeitado na própria página: o bloco diz que aprovar aplica todas as mudanças do job como uma unidade, e qual regra de governança vale.

A cobertura também funciona de fora para dentro. Todo ativo voltado para a internet no seu Attack Surface é comparado com os seus hosts registrados e rotulado como Fully managed, Partially managed, Unmanaged ou Unknown. O Command Center diz em uma frase quantos ativos expostos ainda não estão protegidos, e a aba Coverage lista esses ativos com o próximo passo para cada um. Veja Coloque seus ativos voltados para a internet sob gerenciamento.

Cobertura de detecção

No Windows, a revisão do build é o sinal autoritativo, então uma atualização instalada que ainda aguarda uma reinicialização não conta como aplicada.

Cada vulnerabilidade traz a sua severidade CVSS, a sua probabilidade de exploração EPSS e a indicação de presença no catálogo CISA Known Exploited Vulnerabilities. As atualizações de segurança pendentes viram contexto de patch ausente: quais vulnerabilidades abertas uma correção publicada fecharia. Um sistema operacional ou um produto de software monitorado que passou do fim de suporte do fornecedor é sinalizado com a data, porque nenhum patch virá para ele.

Avaliação de configuração

Mais de 60 controles alinhados às seções dos benchmarks CIS avaliam as configurações que cada host reporta: proteção de credenciais e movimento lateral no Windows, hardening de kernel e de acesso no Linux, login e proteção do sistema no macOS, além de criptografia de disco e estado do Secure Boot e do TPM. Cada controle mostra o valor esperado ao lado do que o host reportou e é mapeado ao requisito do PCI DSS que ele apoia. Uma política de host submete os seus hosts à baseline WASViking ou ao CIS Level 1, um aprovador pode aceitar o risco de um controle em falha até uma data, e alguns achados trazem uma ação de hardening que você pode enviar ao host. O catálogo, os perfis, os limites e as exceções estão em Avaliação de configuração da infraestrutura.

Viking Exposure Score

Cada host recebe um Viking Exposure Score (VES) de 0 a 100. Toda tela mostra os fatores e os pontos por trás do número, então "por que isto é crítico" tem uma resposta concreta.

A faixa Critical, de 90 para cima, é conquistada e não acumulada. Ela exige uma vulnerabilidade crítica com correção ou com sinal de exploração, uma vulnerabilidade explorada conhecida ou tráfego de ataque na borda. Sem um deles o host fica no máximo em High, e um fator rotulado diz por quê. O Resolve roda a mesma fórmula sem os achados que as atualizações pendentes fecham, e é assim que cada ação recomendada mostra a pontuação esperada.

A pontuação para em 100. Quando vários ativos estão no teto, as Top priorities do Command Center os ordenam pelo quanto seus fatores passam de 100 e depois pelos achados críticos, e cada um mostra o passo que fecha os seus achados: uma atualização para agendar, uma reinicialização ou o upgrade de um sistema operacional fora de suporte.

Resolve: remediação com prova

As ações recomendadas agrupam as atualizações de segurança pendentes de cada host, ordenadas pela redução de pontuação que se espera delas. Agendar uma delas a congela como um job com a lista exata de pacotes; o job é aprovado conforme a regra do ambiente do host e começa dentro da janela de manutenção da sua política, lida no relógio do host, com a reinicialização automática desativada por padrão. O agente aplica as atualizações pelo mecanismo nativo de cada plataforma, e o próximo inventário é o veredito: o job se conclui quando a reavaliação mostra quais vulnerabilidades fecharam e quanto a pontuação caiu.

O mesmo contrato vale para toda outra mudança em um host:

• Aplicativos de terceiros no Windows têm a sua própria ação de upgrade, com as vulnerabilidades que cada upgrade fecha.
• Mitigações alteram o host quando um patch não é a resposta: um valor de registro, o estado de um serviço, um parâmetro do kernel, um script aprovado ou a instalação ou remoção de um software. Veja Mitigar um achado sem patch.
• Reinicializações são acompanhadas por host. Um job fica retido em vez de empilhar uma mudança sobre outra inacabada, e uma reinicialização pode ser agendada como um job próprio.
• Rollback devolve os pacotes de um job de atualização concluído em Linux ou Windows às versões que tinham antes, sob as mesmas regras de aprovação. Veja Reverter uma mudança que deu problema.

As correções também podem começar pelo catálogo de vulnerabilidades. Cada linha nomeia os hosts que carregam a vulnerabilidade e a versão do pacote que a corrige. Marque as vulnerabilidades a corrigir, ou use Corrigir em uma delas, e a plataforma mostra a mudança host a host: os pacotes que cada host instalaria, as vulnerabilidades que cada pacote fecha, a nota esperada e por que um host é pulado (sem agente, uma mudança já em andamento, uma correção que o gerenciador de pacotes ainda não oferece). Criar os jobs gera um job por host, cada um sob a regra de aprovação do seu ambiente, e o Resolve abre filtrado por esse lote.

Como um job é retido, acompanhado e aprovado, passo a passo, está em Resolve: jobs, reinicializações e aprovações.

Governança e controle

Cada host traz um ambiente (produção, staging, desenvolvimento ou outro), e a tela Approval Governance define quem autoriza em cada um, da aprovação automática a uma aprovação formal por pessoas nomeadas ou por um papel. Uma regra de produção pode exigir que os mesmos pacotes tenham sido concluídos antes em staging e pode recusar uma mudança sem plano de reversão. Toda decisão é registrada, e os registros de aprovação são exportados como CSV para uma auditoria de controle de mudanças. As políticas decidem o que é avaliado, quando as mudanças podem rodar e quanto de cada máquina o agente pode usar.

Conformidade

O módulo produz evidências para os requisitos abaixo. Ele apoia a sua avaliação e não substitui o julgamento do seu avaliador.

Plataformas suportadas e requisitos

O agente roda no Windows Server 2016, 2019, 2022 e 2025, no Windows 10 e 11, nas distribuições Linux da tabela de detecção acima e no macOS. Ele roda como um serviço do sistema com direitos administrativos, faz conexões de saída na porta 443 para api.wasviking.com e sentinel.wasviking.com e usa a fração de CPU e as janelas de atividade que a sua política permite. Requisitos, dados coletados, proteção de recursos e limpeza do parque estão em Agente Sentinel Host: requisitos e operação. Máquinas atrás de proteção de endpoint ou de inspeção TLS precisam das exclusões em Exclusões de proteção de endpoint.

Relatórios e integrações

A tela Overview responde à pergunta de dez segundos: risco geral da infraestrutura, os números do parque e os principais riscos com os seus motivos. Toda contagem de "what changed" (o que mudou), como os achados novos e corrigidos das últimas 24 horas no Command Center, abre as detecções exatas por trás dela, e um host registrado no mesmo período é destacado, porque um primeiro inventário reporta todo achado existente como novo.

Um relatório em PDF com identidade visual cobre a postura do parque, a redução de risco verificada, as principais vulnerabilidades, as configurações incorretas e a conformidade por host. Exportações CSV cobrem as listas de vulnerabilidades, a matriz de conformidade e os registros de aprovação. Resultados de jobs e alertas chegam aos seus canais de Slack, Teams, e-mail ou webhook, e toda ação vai para a trilha de auditoria.

Planos e licenciamento

O Infrastructure Defense é um módulo add-on, ativado por organização. Um host conta na sua franquia de hosts monitorados quando envia o seu primeiro inventário; tentativas de registro que não se completam não são contadas.

Perguntas frequentes

A plataforma instala atualizações sozinha? Só por uma regra de implantação automática assinada pelos seus aprovadores: ela diz quais hosts e quais atualizações, instala só na janela de manutenção de cada host e é assinada de novo a cada 90 dias. Fora disso, toda mudança é um job que alguém agenda, aprovado pela regra do ambiente do host e iniciado dentro da janela de manutenção, a menos que o aprovador o execute agora. A reinicialização automática vem desativada por padrão.

Preciso abrir portas de entrada? Não. O agente e o probe fazem conexões de saída na porta 443. Um site sem rota para a internet encaminha os seus agentes por um Sentinel Gateway.

E os dispositivos que não podem rodar um agente? Um Sentinel Probe os analisa pela rede, com credenciais onde o sistema as aceita, e os lista como não gerenciados.

O agente vai deixar um servidor de produção mais lento? Cada política limita a fração de CPU que o agente pode usar e pode definir uma janela diária de atividade reduzida. Em um host acima dos limites de carga da sua política, avaliações e jobs de patch esperam até que ele se acalme.

Uma mudança pode ser desfeita? Jobs de atualização de segurança no Linux e no Windows podem ser revertidos para as versões anteriores exatas, e toda mitigação registra o que substituiu. O macOS não tem caminho de desinstalação de atualizações, e a tela informa isso.

Configuração

Com o módulo ativado, abra Infra → Infrastructure Defense → Sentinel Hosts no portal. Para um parque, gere uma chave reutilizável na aba Activation keys e execute o comando de instalação mostrado para cada plataforma; parques Windows podem implantar o pacote MSI com as ferramentas que já usam. Para um único servidor, registre o host e execute os dois comandos do cartão de registro dele. O host aparece na tela Assets com o seu primeiro inventário em minutos.

• Instale o Sentinel Host, da primeira chave de ativação ao primeiro job de patch verificado.
• Guia de configuração dos Sentinel Probes para a visão de rede.
• Guia de configuração dos Sentinel Gateways para um site com link de internet fino ou restrito.
• Checklist de ativação de módulos para ligar o módulo.