White PaperA correção que não existe no catálogo do fabricante
Remediação autônoma construída pelos agentes, aplicada sem agente
Em 2026 um exploit surge em 1,8 dias e a correção leva 20 dias. O EcoTrust AutoPatch encurta essa execução construindo a remediação, inclusive para o que não tem patch de fabricante — configuração, mitigação e workaround — e aplicando via EcoTrust Connect, sem agente. O re-scan valida no fim.
O problema: um exploit funcional surge em média 1,8 dias após a divulgação pública de uma vulnerabilidade, e 28,3% das CVEs exploradas foram weaponizadas em menos de 24 horas. A correção leva 20 dias em média. O gargalo não é saber o que corrigir, é o tempo até a correção existir e estar aplicada. E parte das vulnerabilidades não tem patch de fabricante para aplicar, o que trava o ciclo por completo.
A abordagem: o EcoTrust AutoPatch não se limita a distribuir o patch que o fornecedor publicou. Os agentes recebem o achado, ordenam a fila de remediação, constroem a correção para aquela vulnerabilidade naquele ativo, patch, mudança de configuração, mitigação ou workaround, e aplicam de forma autônoma. A aplicação chega à rede do cliente pelo EcoTrust Connect, sem agente instalado nos endpoints.
O resultado: remediação de qualquer vulnerabilidade, com ou sem patch disponível, executada sem espera por triagem manual. O re-scan fecha o ciclo confirmando que a CVE não existe mais. O módulo registra o dado de execução, quando o deploy aconteceu e quando a validação confirmou, que alimenta o Tempo Médio de Correção medido no EcoTrust Flow e o recálculo de ALE no EcoTrust Quantify.
1,8 dias para o exploit, 20 dias para a correção, a conta é de velocidade de execução.
Em 2026, um exploit funcional surge em média 1,8 dias após a divulgação pública de uma vulnerabilidade. Em 2025, 28,3% das CVEs exploradas tiveram exploit funcional em menos de 24 horas após o disclosure. Do outro lado, o tempo médio até a correção estar aplicada é de 20 dias. Esses 20 dias não são tempo de decisão: são tempo de execução. Alguém precisa descobrir o que aplicar, obter o pacote, testar, agendar e distribuir.
O dado mais revelador não está na média. Está no fato de que 46% dos dispositivos vulneráveis identificados no Verizon DBIR 2025 não foram remediados dentro do período observado. Não por falta de detecção. Por falta de execução: ninguém construiu e aplicou a correção.
Onde o ciclo trava: o scanner detecta. O ticket é aberto. O analista pesquisa o que fazer. Se existe patch de fabricante, entra na próxima janela de manutenção. Se não existe, o ticket fica aberto esperando o fornecedor, indefinidamente. O trabalho que consome os 20 dias é construir e aplicar a correção, e é exatamente esse trabalho que quase nenhuma ferramenta faz.
O diferencial não é distribuir patch, é construir a correção.
Uma ferramenta de patch management opera sobre um catálogo. Ela sabe distribuir o pacote que existe. Quando o pacote não existe, quando a vulnerabilidade é de configuração, quando o fabricante ainda não publicou correção, quando o ativo não pode receber a atualização por dependência de aplicação, a ferramenta não tem resposta e o item volta para a fila humana.
O EcoTrust AutoPatch parte de outro ponto. O agente analisa a vulnerabilidade no contexto daquele ativo específico, sistema operacional, versão, serviços em execução, dependências, e constrói a remediação adequada. O patch de fabricante é apenas um dos caminhos possíveis.
Quando existe pacote oficial, o agente identifica a versão correta para aquele SO e aquela instalação, resolve dependências e aplica. É o caso mais simples, e o único que uma ferramenta de catálogo cobre.
Boa parte das exposições reais não se resolve com pacote, se resolve com estado. Serviço exposto que deveria estar restrito, cifra fraca habilitada, permissão excessiva, parâmetro inseguro por padrão. O agente constrói a mudança de configuração e a aplica no ativo.
Vulnerabilidade divulgada sem correção do fabricante não deixa de ser risco. O agente constrói a mitigação disponível: desabilitar o componente vulnerável, restringir a superfície de acesso, aplicar a contramedida indicada pelo fornecedor no aviso de segurança.
Ativo que não pode ser atualizado agora, por dependência de aplicação legada ou janela indisponível, continua exposto. O agente constrói o workaround que reduz a exposição até que a atualização definitiva seja possível, e o item permanece rastreado.
A divisão de responsabilidade na plataforma: o EcoTrust VulScan prioriza a vulnerabilidade. O EcoTrust Flow conduz e mede o ciclo de vida da exposição. O EcoTrust AutoPatch constrói, aplica e valida a correção. Três funções distintas, sem sobreposição: priorizar, conduzir, executar.
As 6 fases autônomas, da construção à confirmação.
O EcoTrust AutoPatch opera em 6 fases sequenciais executadas de forma autônoma pelo agente. A ordem importa: a construção da correção vem primeiro, a aplicação depois, a validação por último. O agente processa três filas de deploy em paralelo, sem conflito entre elas.
O achado chega priorizado do EcoTrust VulScan, com Risk Score por CVE, CVSS, EPSS, CISA KEV e criticidade do ativo. O agente usa esse contexto para definir a ordem de execução e a fila de destino. CVEs no CISA KEV vão para a fila Zero-Day independentemente do score.
O agente determina o que corrige aquela vulnerabilidade naquele ativo e monta o plano de execução: pacote e versão, mudança de configuração, mitigação ou workaround. Não depende de haver patch publicado. É aqui que o módulo faz o trabalho que a fila humana normalmente absorve.
A remediação construída é aplicada primeiro em grupo controlado com os mesmos perfis de SO e software da produção. Critérios automáticos: ≥95% de sucesso, zero crashes, serviços críticos respondendo, conectividade ativa.
Execução via protocolos nativos de gerenciamento remoto, WMI/WinRM para Windows e SSH para Linux e macOS, com acesso à rede pelo EcoTrust Connect. Nenhum binário permanente após a sessão. Rollback automático se serviço crítico ficar indisponível.
Novo ciclo completo nos ativos remediados: re-Discovery, re-Inventory, re-VulScan. Se a CVE não aparece mais, marcada como Remediada com timestamp. Se persistir, alerta enviado com contexto e a fila reabre o item.
Timestamp de deploy e timestamp de confirmação por CVE, publicados para o EcoTrust Flow e para o EcoTrust Quantify. Relatórios prontos para ISO 27001, NIST CSF 2.0, PCI DSS 4.0 e BACEN 4.557, sem coleta manual de evidências.
EcoTrust Connect, o que torna a aplicação automática possível.
Remediação autônoma exige acesso de execução aos ativos. A resposta convencional para isso é instalar agente em cada endpoint: mais software em produção, mais consumo, mais conflito com EDR, mais superfície para manter. O EcoTrust AutoPatch não segue esse caminho.
O acesso à rede vem do EcoTrust Connect, um container provisionado na rede do cliente que abre uma conexão de saída em TLS 1.3 na porta 443 e opera como ponte para os módulos agênticos. O Core nunca inicia conexão para dentro do ambiente. Não há VPN, não há porta adicional liberada no firewall, não há agente nos endpoints.
Com o Connect no lugar, o agente do EcoTrust AutoPatch executa a remediação construída usando os mesmos protocolos de gerenciamento remoto que o time de TI já autoriza, em sessões autenticadas que encerram completamente após a operação. A capacidade de aplicar correção de forma automática, em qualquer ativo alcançável na rede lógica, vem dessa camada.
Zero footprint, sem exceção de segurança: nenhum binário permanente nos endpoints, nenhuma exceção de firewall adicional, nenhum conflito com soluções de EDR. Uma única rede lógica com Connect provisionado habilita a remediação autônoma em todos os ativos daquela rede.
3 filas paralelas, urgência que não interfere na rotina.
Uma das principais dificuldades na remediação em escala é equilibrar urgência com estabilidade operacional. Uma resposta a zero-day não pode esperar o ciclo mensal. Mas o ciclo mensal também não pode ser descartado toda vez que um zero-day aparece. O EcoTrust AutoPatch resolve esse conflito com três filas que operam simultaneamente e de forma independente.
Remediações convencionais dentro da janela de manutenção configurada. Não é interrompida por urgências, opera em paralelo.
Browsers, VPNs, clientes de e-mail e aplicações de alto risco. Ciclo semanal sem impacto no ciclo mensal.
CVEs com exploit ativo no CISA KEV, inclusive as sem patch de fabricante, tratadas por mitigação construída pelo agente. Execução imediata dentro da próxima janela disponível.
As três filas processam grupos de ativos distintos e não interferem umas nas outras. Uma resposta Zero-Day em servidores de autenticação ocorre simultaneamente ao ciclo de Manutenção Mensal em servidores de arquivos, sem cancelamento, sem conflito, sem a decisão manual de "qual fila tem prioridade hoje".
Validação e dado de execução, a última etapa do ciclo.
Aplicação bem-sucedida e vulnerabilidade remediada não são a mesma coisa. Um pacote atualizado em disco em um processo que ainda roda a versão antiga em memória não fecha a CVE. Uma correção aplicada em uma instância diferente da vulnerável não fecha a CVE. Uma CVE explorável por mais de um vetor pode continuar aberta por outra rota. Sem re-scan, nenhuma dessas situações é visível.
Por isso a última fase é um novo ciclo completo de scan nos ativos remediados. Se a CVE não aparece mais, o item é marcado como Remediado com timestamp. Se persistir, o item volta para a fila com contexto do que foi tentado. A evidência que vai para auditoria é a ausência da CVE após a intervenção, não o log da intervenção.
O dado de execução, e onde o Tempo Médio de Correção é medido
O Tempo Médio de Correção é uma métrica de ciclo de vida da exposição, e é medida no EcoTrust Flow, que conduz o ciclo de ponta a ponta, da detecção ao fechamento. O EcoTrust AutoPatch não reivindica essa métrica.
O que este módulo entrega é o dado de execução que a métrica precisa e que normalmente não existe de forma confiável: quando o deploy da correção aconteceu e quando a validação por re-scan confirmou o fechamento, por CVE e por ativo. Sem esses dois timestamps, qualquer Tempo Médio de Correção é uma estimativa sobre datas de ticket. Com eles, o EcoTrust Flow mede o ciclo com marcos reais de execução.
Loop fechado com o CRQ
Quando o re-scan confirma o fechamento de uma CVE, o módulo EcoTrust Quantify recalcula automaticamente o ALE (Annual Loss Expectancy) de todos os cenários de risco afetados. O CISO pode apresentar ao board: "remediamos essas 12 vulnerabilidades esta semana, a exposição financeira ao cenário de ransomware reduziu de R$ 1,3M para R$ 480K". Essa é a conversa que o board consegue ter.
Compliance, evidências de fechamento, não de instalação.
A remediação construída pelo agente, patch, configuração ou mitigação, é registrada como ação executada, e o re-scan pós-aplicação confirma efetividade. O histórico por CVE atende ao requisito de registro de ações do A.8.8.
Filas definidas por score de risco e re-scan de confirmação atendem diretamente ao requisito 6.3.3. Para vulnerabilidades sem patch disponível, a mitigação construída e validada documenta o controle compensatório.
O re-scan que confirma ausência da CVE após a aplicação é a evidência direta de "correção eficaz" exigida pelo RS.MI-3, não apenas evidência de tentativa de correção.
O registro de execução por CVE, com timestamp de aplicação e de confirmação por re-scan, é o insumo auditável que sustenta os indicadores de ciclo consolidados no EcoTrust Flow para prestação de contas ao BACEN.
Conclusão, remediar é construir a correção, não esperar por ela.
Ferramenta de patch management resolve o subconjunto das vulnerabilidades para as quais alguém já publicou um pacote. O resto, configuração insegura, vulnerabilidade sem correção de fabricante, ativo que não pode ser atualizado agora, fica no backlog. É esse resto que compõe a maior parte da exposição que não se fecha.
O EcoTrust AutoPatch trata a remediação como trabalho a ser construído, não como pacote a ser distribuído. Os agentes ordenam a fila, constroem a correção para a vulnerabilidade que está na frente, aplicam pela rede via EcoTrust Connect sem agente no endpoint, e validam com re-scan. O EcoTrust VulScan diz o que importa primeiro. O EcoTrust Flow conduz e mede o ciclo, alimentado pelo dado de execução que este módulo produz. O EcoTrust AutoPatch faz a correção acontecer.
Remedie qualquer vulnerabilidade, com ou sem patch disponível.
Demonstração ao vivo