Tecnologia de scanners na Guardian360: uma (r)evolução técnica

Nas empresas de SaaS de segurança, a tecnologia de scanners é o coração da sua plataforma: sem scanners fiáveis e eficientes, a descoberta de ativos e a gestão de vulnerabilidades simplesmente não são à prova de futuro. Mas, como muitos engenheiros de segurança sabem, as arquiteturas e os scanners legados estão lentamente a chegar ao fim da sua vida útil. Neste artigo, vamos explicar as nossas opções técnicas e as razões por trás da substituição da nossa pilha de scanners.

Porque é que os scanners atuais já não funcionam
Os scanners produzem muitas vezes uma lista assassinamente longa de vulnerabilidades descobertas. Isso soa ótimo, mas a experiência mostra que o ruído e os problemas irrelevantes ofuscam os riscos reais. O software e os sistemas operativos modernos estão repletos de mitigações incorporadas; as vulnerabilidades não exploráveis são muito mais comuns do que antes. Os proprietários de ativos estão cada vez mais focados em eliminar falsos positivos e casos extremos, enquanto a velocidade e a relevância se tornaram cruciais.
Além disso, os scans consomem muitos recursos. Fazer scan de grandes redes consome cada vez mais CPU, RAM e armazenamento, as probes tradicionais estão a esgotar as suas capacidades. A fiabilidade das ferramentas (pensa no openVAS) está sob pressão, e a manutenção está a tornar-se uma tarefa diária.
O que também não ajuda é que muitas organizações lutam com uma escassez de especialistas. Os scanners têm de identificar rapidamente onde os recursos limitados devem ser aplicados, em vez de desperdiçar muito tempo a determinar o que é verdadeiramente importante.
Em suma, é hora de um passo radical!

Novo, agora ainda mais autónomo! Rumo a totalmente open-source e orientado pela comunidade
Estamos a substituir a mais recente tecnologia de scanners de código fechado na nossa plataforma Lighthouse por uma pilha open-source construída em torno do Nuclei: um motor extremamente flexível ao qual podes adicionar rapidamente os teus próprios templates e verificações. Novas vulnerabilidades na prática? A comunidade constrói templates, e estes são descarregados automaticamente. Não dependente de um fornecedor fechado, mas de uma comunidade internacional que partilha atualizações rapidamente. Isto significa poder responder mais depressa a exploits e tendências que se espalham rapidamente pelo mundo graças à IA.

NOTA LATERAL: porque é que escolhemos o Nuclei?
Porque é que escolhemos o Nuclei como base da nossa nova pilha de scanners?

• O Nuclei é um motor open-source, construído pela e para a comunidade de segurança. Graças a uma rede global de investigadores e profissionais, novos templates e verificações de exploits são lançados incrivelmente depressa. Isto permite-nos (e aos nossos clientes) responder incrivelmente depressa a zero-days e exploits em tendência, mais depressa do que muitos fornecedores comerciais conseguem acompanhar.
• Os templates do Nuclei são flexíveis (baseados em YAML) e extremamente fáceis de estender com verificações específicas do cliente ou lógica de negócio à medida, sem exigir programação extensa. Por exemplo, podes adicionar deteções únicas para as tuas próprias APIs que são irrelevantes para qualquer outra pessoa.
• Ao usar feeds, novas verificações são obtidas automaticamente. Por exemplo, se uma nova vulnerabilidade for descoberta em torno de uma SonicWall a nível global, podes muitas vezes realizar um novo scan baseado no template recentemente partilhado dentro de horas.
• A Guardian360 também pode retribuir à comunidade desta forma: também nós próprios adicionamos novas verificações ao repositório.

Mas flexibilidade significa mais: os templates também podem ser únicos para cada cliente ou organização. Fazer scan de endpoints específicos, monitorizar APIs à medida, executar verificações de hardening? Scans à medida e relevantes podem ser configurados para qualquer organização no futuro, sem teres de programar tudo tu próprio.
Da probe ao agente: o próximo passo na implementação
A clássica probe de scanner, a correr como máquina virtual, mantém-se relevante para certos casos de uso. Mas com a nossa nova abordagem de agentes, podemos torná-la ainda mais compacta e flexível. Os agentes correm nativamente em Windows, Linux, Mac, ou até como um contentor num pipeline de CI/CD. Isto permite verificações locais: pensa em verificações de registo, hardening do sistema operativo, deteção MITRE ATT&CK e muito mais. A descoberta de ativos também pode ser impulsionada: desde scans ARP a ligações a APIs de terceiros, tudo centralmente visível no Lighthouse.
Além das perspetivas de segurança e hardening, vamos também focar-nos mais na privacidade nos endpoints. Colaborámos com a Universidade de Utrecht neste ponto e vamos integrar no agente o InfoSec Agent que nos forneceram. E não menos importante: menos consumo de recursos, mais velocidade e menos bloatware. Importante numa era em que a “simplicity by design” é obrigatória para as ferramentas de segurança. Procuramos explicitamente agentes leves que não representem risco de sobrecarga de CPU ou memória, tendo em mente as lições aprendidas de plataformas bem conhecidas onde as coisas correram terrivelmente mal.

Usar IA no desenvolvimento de scanners e no reporte
IA em segurança significa normalmente muito bingo de marketing, mas pouca ação concreta. Mas nós estamos a usar IA de forma intencional em duas novas áreas da nossa pilha. Primeiro, a IA ajuda a gerar e enriquecer templates de scanner, acelerando significativamente o desenvolvimento. Segundo, a IA enriquece os resultados dos scans: mais contexto, dicas adicionais e verificações concretas que permitem aos utilizadores confirmar de imediato se os problemas estão presentes, relevante para quem já não quer vasculhar listas genéricas de CVE.
A IA não é apenas uma buzzword gira no dashboard, mas um acelerador para os programadores e um recurso para o utilizador final.
A substituição dos scanners é mais do que uma atualização técnica: é uma visão de perspetivas mais relevantes, menos overhead e uma abordagem aberta e flexível. Enquanto engenheiro de segurança, arquiteto ou proprietário de ativos, vais notar de imediato a diferença em velocidade, relevância e fiabilidade. No nosso próximo artigo, vamos aprofundar a implementação dos agentes e como a tua organização pode dar este passo sem sobrecarregar os teus sistemas.

Como é o nosso cronograma?
Estamos atualmente a testar a nova tecnologia de scanners em probes no nosso ambiente de staging. Os resultados iniciais são promissores, mas ainda há muito por fazer. Isto inclui preparar o nosso ambiente central de scanners, entregar novas APIs e preparar a nossa infraestrutura de backend para processar os resultados dos scans. Atualmente esperamos entregar estes novos scanners em meados do Q1 de 2026, mas devido a muitas incertezas, esta data de entrega pode mudar.
Assim que os novos scanners estiverem entregues e em produção, continuaremos a desenvolver os agentes. Como já foi feito muito trabalho fundamental, esperamos que os primeiros agentes fiquem prontos pouco depois da entrega dos scanners. No entanto, ainda não podemos assumir compromissos firmes: não sabemos o que não sabemos.