Até agora você enumerou manualmente, serviço por serviço — o que ensina profundamente, mas não escala para uma rede com centenas de hosts. É aqui que entram os scanners de vulnerabilidade: ferramentas que automatizam a detecção, varrendo o alvo, identificando serviços e versões, e cruzando-os com bases de vulnerabilidades conhecidas para produzir um relatório do que pode estar explorável. As principais são o Nessus, o OpenVAS (open source) e ofertas comerciais como o Qualys. Esta aula ensina a usá-los — e, com peso igual, a desconfiar deles, porque o mau uso de scanners é uma das marcas do amador.
O que o scanner faz de forma massiva
O funcionamento é conceitualmente simples e poderoso. O scanner faz, de forma automatizada e massiva, o que você aprendeu a fazer à mão: descobre hosts, escaneia portas, detecta serviços e versões, e então consulta uma enorme base de plugins ou checks — cada um capaz de reconhecer uma vulnerabilidade específica — para verificar quais se aplicam ao que encontrou. O resultado é um relatório listando vulnerabilidades encontradas, geralmente classificadas por severidade (crítica, alta, média, baixa), muitas vezes com a referência do CVE (aula CVE, CVSS e CWE: a linguagem das vulnerabilidades) e sugestões de remediação. Em minutos ou horas, você tem um panorama que levaria dias para montar manualmente.
Scan autenticado e não-autenticado
Na prática, ferramentas como o OpenVAS (integrado na suíte Greenbone) e o Nessus têm interfaces onde você define os alvos, escolhe o tipo de scan (mais rápido e superficial, ou mais lento e profundo; com ou sem credenciais) e dispara. Um conceito importante é a distinção entre scan não-autenticado e scan autenticado: no não-autenticado, o scanner vê o alvo "de fora", como um atacante sem acesso; no autenticado (você fornece credenciais válidas), ele entra no sistema e verifica de dentro — patches faltantes, configurações inseguras, software desatualizado — produzindo resultados muito mais completos e precisos. Scans autenticados são padrão em avaliações de vulnerabilidade corporativas, onde o objetivo é cobertura máxima.
Avaliação de vulnerabilidades não é pentest
Agora, o coração desta aula, e a razão de ela existir: um scanner de vulnerabilidade não substitui o pentester — e confundir as duas coisas é um erro grave. Há uma distinção profissional fundamental entre um vulnerability assessment (avaliação de vulnerabilidades, essencialmente rodar e interpretar scanners) e um penetration test (que confirma e explora as falhas, encadeia-as, e demonstra impacto real). O scanner aponta possibilidades; o pentester verifica realidades. E os scanners têm limitações sérias que você precisa conhecer intimamente:
O peso dos falsos positivos
Primeiro, os falsos positivos: o scanner frequentemente reporta vulnerabilidades que, na verdade, não são exploráveis naquele contexto — porque uma proteção compensatória existe, porque a versão foi corrigida sem mudar o banner, porque o check é impreciso. Entregar um relatório cheio de falsos positivos sem validá-los destrói sua credibilidade. Segundo, os falsos negativos: o scanner não encontra o que não está em sua base — vulnerabilidades novas, falhas de lógica de negócio, problemas específicos daquela aplicação, cadeias de exploração criativas. Um scanner jamais descobriria que combinar três configurações inócuas derruba o sistema; só um humano pensa assim. Terceiro, os scanners não contextualizam risco: eles pontuam severidade técnica isolada, sem entender o valor do ativo para o negócio (exatamente a limitação do CVSS que discutimos na aula Governança, risco e compliance: por que o cliente realmente paga).
Ponto de partida, não de chegada
Por isso, a postura profissional é usar o scanner como ponto de partida, não de chegada. Você roda o scanner para ganhar velocidade e cobertura, e então valida manualmente cada achado relevante — confirmando os verdadeiros, descartando os falsos, e, crucialmente, indo além do que o scanner viu com sua própria investigação. O scanner faz o trabalho braçal; você faz o trabalho inteligente. Um pentester que apenas roda o Nessus, exporta o PDF e o entrega como "relatório de pentest" não fez um pentest — fez uma avaliação automatizada, e cobrar preço de pentest por isso é desonestidade profissional. O cliente que quer só o scan pode rodá-lo sozinho; ele paga um humano justamente pelo que a máquina não faz.
Barulhentos, intrusivos e sob as RoE
Há ainda considerações operacionais importantes. Scanners são barulhentos e intrusivos: eles geram muito tráfego, disparam alarmes de IDS, e alguns checks podem impactar sistemas frágeis (derrubar serviços, encher logs). Por isso, o uso de scanners está sujeito às Regras de Engajamento (aula O ciclo de vida do pentest e os três tipos de teste) — o que pode ser escaneado, quando, e com que agressividade — e jamais se roda um scan agressivo contra produção sensível sem acordo explícito. Novamente, o laboratório é onde você experimenta livremente antes de tocar em qualquer ambiente real.
Onde o scanner mais brilha: a defesa
Do lado defensivo, os scanners de vulnerabilidade são uma ferramenta essencial do Blue Team — na verdade, é do lado defensivo que eles mais brilham. Programas de gestão de vulnerabilidades usam scanners autenticados regularmente para inventariar as próprias falhas, priorizá-las e acompanhar a remediação ao longo do tempo. Muitos frameworks de compliance (como o PCI-DSS da aula Governança, risco e compliance: por que o cliente realmente paga) exigem scans de vulnerabilidade periódicos. A mesma ferramenta que dá ao atacante um ponto de partida dá ao defensor um mapa contínuo do que precisa ser corrigido. Falta a linguagem com que essas vulnerabilidades são identificadas e pontuadas — o sistema CVE/CVSS/CWE —, essencial para priorizar o que fazer com tudo que você encontrou.
Fontes e leituras recomendadas
- OpenVAS/Greenbone — documentação da suíte open source
- Tenable Nessus — documentação e guias (há versão Essentials gratuita para estudo)
- PTES — distinção entre vulnerability assessment e penetration testing
- SANS — materiais sobre programas de gestão de vulnerabilidades (uso defensivo)
Exercícios
-
Como funciona, conceitualmente, um scanner de vulnerabilidade, e o que ele produz ao final?
✓ Resposta:Ele automatiza descoberta de hosts, varredura de portas e detecção de serviços/versões, cruzando o que encontra com uma base de checks de vulnerabilidades conhecidas. Ao final, produz um relatório de vulnerabilidades classificadas por severidade, geralmente com referências CVE e sugestões de remediação.
-
Explique a diferença entre um scan autenticado e um não-autenticado, e por que o autenticado é mais completo.
✓ Resposta:No não-autenticado, o scanner examina o alvo "de fora", como um atacante sem acesso; no autenticado, recebe credenciais e verifica de dentro (patches faltantes, configurações, software desatualizado). O autenticado é mais completo porque enxerga o estado interno do sistema, reduzindo pontos cegos e falsos resultados.
-
Diferencie um vulnerability assessment de um penetration test. Por que entregar um relatório do Nessus como "pentest" é desonestidade profissional?
✓ Resposta:O vulnerability assessment identifica e lista vulnerabilidades (essencialmente rodar e interpretar scanners); o penetration test confirma, explora e encadeia as falhas, demonstrando impacto real. Entregar um PDF do Nessus como pentest é desonesto porque cobra pelo trabalho humano de validação e exploração que não foi feito — o cliente poderia rodar o scan sozinho.
-
O que são falsos positivos e falsos negativos num scanner, e por que cada um é perigoso se não for tratado?
✓ Resposta:Falso positivo é uma vulnerabilidade reportada que não é realmente explorável naquele contexto; falso negativo é uma falha real que o scanner não detectou (por não estar em sua base). Falsos positivos não validados destroem a credibilidade do relatório; falsos negativos criam uma falsa sensação de segurança sobre falhas que permanecem.
-
Por que o uso de scanners está sujeito às Regras de Engajamento, e como o Blue Team se beneficia dessas mesmas ferramentas?
✓ Resposta:Porque scanners são barulhentos e intrusivos, podendo disparar alarmes e até impactar sistemas frágeis; as RoE definem o que, quando e com que agressividade escanear. O Blue Team usa as mesmas ferramentas em programas de gestão de vulnerabilidades — com scans autenticados regulares para inventariar, priorizar e acompanhar a remediação das próprias falhas.
