Funcionalidades incluído a partir de Professional: Gestão de vulnerabilidades, comparar pacotes
Gestão de vulnerabilidades
Encontrar vulnerabilidades conhecidas nos seus ativos, priorizá-las no contexto das suas instalações e tratá-las de forma rastreável.
Todos os anos são publicadas dezenas de milhares de vulnerabilidades. O que importa é saber quais afetam as suas instalações e o que fazer primeiro.
Como o Complass ajuda
Correspondência sem saída de dados
O software e o firmware do seu inventário de ativos são cruzados com dados públicos de vulnerabilidades (NVD, CISA KEV, EPSS, ENISA EUVD). Os dados são espelhados no servidor; as suas informações não saem do portal.
Importações de scanners, SBOM e VEX
Adote resultados de scanners comuns, listas de materiais de software (CycloneDX, SPDX) e documentos VEX, com pré-visualização e anulação.
Prioridade em contexto
P1 a P4 a partir da gravidade, da exposição e da criticidade do ativo, da exploração ativa (KEV) e do EPSS, cada uma com fundamentação e um prazo.
Medidas recomendadas com fonte
Avisos de fabricantes e updates a partir dos dados de referência, acrescentados ao plano de ação como tarefa com um clique.
Avisos de segurança de fabricantes (CSAF)
Carregue os avisos CSAF dos fabricantes ou faça-os carregar a partir de feeds públicos selecionados: a assinatura e a soma de verificação são verificadas, as correspondências com o modelo e a versão de firmware tornam-se constatações com as medidas do fabricante, sem constatações duplicadas para o mesmo CVE.
Notificação e comunicação ao abrigo do CRA
E-mail acima de um limiar, vulnerabilidades ativamente exploradas sempre. Se uma dessas vulnerabilidades afetar um dos seus próprios produtos, cria o incidente ao abrigo do art. 14.º do CRA pré-preenchido.
Base legal e normativa
- § 30 Abs. 2 Nr. 5 BSIG§ 30 BSIG Risikomanagementmaßnahmen besonders wichtiger Einrichtungen und wichtiger Einrichtungen(1) Besonders wichtige Einrichtungen und wichtige Einrichtungen sind verpflichtet, geeignete, verhältnismäßige und wirksame technische und organisatorische Maßnahmen, die in Absatz 2 konkretisiert werden, zu ergreifen, um Störungen der Verfügbarkeit, Integrität und Vertraulichkeit der informationstechnischen Systeme, Komponenten und Prozesse, die sie für die Erbringung ihrer Dienste nutzen, zu vermeiden und …Abrir o original (gesetze-im-internet.de) ↗
- Anhang I Teil II CRAAnexo I Parte II Regulamento de Ciber-Resiliência Requisitos de tratamento de vulnerabilidadesOs fabricantes de produtos com elementos digitais devem: 1) Identificar e documentar vulnerabilidades e componentes existentes nos produtos com elementos digitais, nomeadamente elaborando uma lista de materiais do software num formato de uso corrente e legível por máquina que abranja, pelo menos, as dependências de nível superior dos produtos; 2) Em relação aos riscos que os produtos com elementos digitais …Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- Art. 14 CRAArtigo 14 Regulamento de Ciber-Resiliência Obrigações dos fabricantes em matéria de comunicação de informações1. Os fabricantes devem notificar qualquer vulnerabilidade ativamente explorada existente no produto com elementos digitais de que tomem conhecimento simultaneamente à CSIRT designada como coordenadora, nos termos do n.o 7 do presente artigo, e à ENISA. Os fabricantes devem notificar essa vulnerabilidade ativamente explorada através da plataforma única de comunicação de informações criada nos termos do artigo 16.o. …Abrir o original (EUR-Lex – OJ L 2024/2847, 20.11.2024, corrigenda incorporated: OJ L 2025/90555, 2.7.2025; OJ L 2025/90828, 17.10.2025) ↗
- ISO/IEC 27001:2022, A.8.8
Priorizar, decidir, comprovar
Nem toda a vulnerabilidade crítica é urgente no seu caso. O Complass fundamenta a ordem e regista as decisões.
Decisão segundo o SSVC
Exploração, exposição e impacto conduzem a uma decisão como «agir de imediato» ou «corrigir conforme planeado»; a lista da UE de vulnerabilidades ativamente exploradas é tida em conta.
Exceções com aprovação de quatro olhos
Regras para exceções justificadas, aprovadas por uma segunda pessoa e com data de validade.
Catálogo de software
Defina uma vez como se chama um programa ou tipo de dispositivo; cada novo ativo é depois comparado corretamente de forma automática, mesmo sem CPE.
Prazos com escalonamento
Lembrete antes do vencimento e escalonamento em caso de incumprimento.
Avisos de segurança das distribuições Linux
Debian, Ubuntu, Alpine, AlmaLinux e Rocky Linux são comparados com a comparação de versões do gestor de pacotes. Se uma correção foi retroportada, o Complass encerra a constatação automaticamente.
Endurecimento e deteção
Os auditores querem ver que os sistemas estão endurecidos e que os ataques seriam detetados. Comprova ambos com dados das suas ferramentas.
Verificação de endurecimento incluído a partir de Professional: Verificação de endurecimento, comparar pacotes
Importe resultados de SCAP (XCCDF, ARF), Wazuh SCA ou CSV: cumprimento por ativo e requisito, desvios aprovados com justificação.
Fontes de registos incluído a partir de Professional: Fontes de registos, comparar pacotes
Que sistemas registam para onde e durante quanto tempo, como registo com cobertura por ativo.
Cobertura de deteção segundo o MITRE ATT&CK incluído a partir de Professional: Cobertura de deteção, comparar pacotes
As suas regras de deteção por técnica como mapa de calor: vê onde um ataque passaria despercebido.
A verificação de endurecimento e as fontes de registos pertencem ao módulo Gestão de ativos, a cobertura de deteção ao módulo Gestão de vulnerabilidades.
Base legal e normativa
- Art. 21 Abs. 2 lit. b und e NIS2-RichtlinieArtigo 21 Diretiva SRI 2 Medidas de gestão dos riscos de cibersegurança1. Os Estados-Membros devem assegurar que as entidades essenciais e importantes tomam medidas técnicas, operacionais e organizativas adequadas e proporcionadas para gerir os riscos que se colocam à segurança dos sistemas de rede e informação que utilizam nas suas operações ou na prestação dos seus serviços e para impedir ou minimizar o impacto de incidentes nos destinatários dos seus serviços e noutros serviços. As …Abrir o original (EUR-Lex) ↗
- ISO/IEC 27001:2022, A.8.9, A.8.15, A.8.16
- IEC 62443-3-3, SR 6.2, SR 7.6
Perguntas frequentes
Os dados dos meus ativos são enviados para a NVD ou para outros serviços?
Não. O portal descarrega os dados públicos para o seu próprio servidor e faz aí a correspondência. Nenhuma informação do seu inventário é enviada para o exterior.
Preciso da gestão de ativos para isto?
Sim, a correspondência refere-se ao software e ao firmware dos ativos. As importações de scanners também atribuem constatações a ativos.
Como trato constatações que não se aplicam?
Define o estado com um motivo, p. ex. «não afetado». As declarações dos fabricantes são adotadas através da importação VEX, com o motivo.
Teste o Complass com os seus próprios dados
Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.