White PaperUm ativo pode ter todos os controles e estar mal configurado
Controles, hardening e nuvem medidos contra o padrão da sua empresa
Ter as ferramentas certas não garante cobertura. O EcoTrust Baseline responde em três frentes: controles que deveriam estar ativos, hardening da configuração por ativo e postura dos recursos em nuvem. E mede contra os baselines que a própria empresa declara, não apenas contra o benchmark genérico.
O problema: duas perguntas que todo CISO tem e raramente consegue responder com precisão. "Quais dos meus ativos não estão cobertos pelos meus controles?" e "quais dos meus ativos estão cobertos, mas mal configurados?" O EDR reporta os ativos que ele cobre. O scanner reporta os ativos que ele escaneou. Nenhum deles reporta o ativo que tem agente instalado, SMBv1 habilitado e conta padrão ativa ao mesmo tempo.
A abordagem: o EcoTrust Baseline avalia três frentes sobre o mesmo inventário. Controles, o que deveria estar instalado e ativo, com consolidação de 50+ fontes (EDR, IAM, MDM, SIEM) cruzada com o inventário real. Hardening, a configuração segura de cada ativo, incluindo as 30+ verificações de CIS Benchmark. Nuvem, a postura de configuração dos recursos em nuvem, no estilo CSPM. Gap analysis por ativo, grupo e unidade de negócio.
O resultado: a medição não é contra um padrão genérico, é contra o padrão da empresa. Portas permitidas, software autorizado, configuração de referência e escopo de priorização são declarados pelo cliente, e o módulo mede o parque contra eles. Cyber Risk Score 0 a 1000 unificado, achados enviados ao EcoTrust Flow e contexto para o EcoTrust Quantify calcular o impacto financeiro de cada lacuna.
Controle instalado não é o mesmo que ativo bem configurado.
O CrowdStrike reporta que 2.847 dos seus ativos têm o agente instalado. Mas quantos ativos existem no total? O Microsoft Defender reporta 1.200 ativos protegidos. São os mesmos 2.847 do CrowdStrike, ou há sobreposição? E entre os que aparecem nos dois, quantos têm um protocolo legado habilitado, um serviço desnecessário exposto ou uma conta padrão ainda ativa?
Essas perguntas parecem simples mas raramente têm resposta precisa, porque cada ferramenta reporta sua própria cobertura sem cruzar com o inventário total, e quase nenhuma avalia se o ativo coberto está de fato endurecido. A lacuna entre "ativos cobertos por cada ferramenta" e "todos os ativos que existem, na configuração em que existem" é onde o risco não gerenciado se acumula silenciosamente.
A frase que organiza este material: um ativo pode ter todos os controles e estar mal configurado. Pode estar bem configurado e não ter EDR. São dois riscos independentes, medidos por perguntas diferentes, e o EcoTrust Baseline responde às duas sobre o mesmo inventário. Controles e hardening, on-premises e em nuvem, contra o padrão da empresa.
Por que nenhuma ferramenta individual reporta seus próprios gaps.
É uma limitação estrutural, não uma falha de produto. Cada ferramenta de segurança foi projetada para reportar o que ela detectou, protegeu ou analisou, não o que está fora do seu escopo. O EDR não tem como reportar os ativos sem agente porque, do ponto de vista do EDR, esses ativos simplesmente não existem. E o console do EDR não avalia se o host onde ele roda tem SMBv1 habilitado, porque isso nunca foi o trabalho dele.
Os gaps mais comuns que a análise revela
Cruzamento entre inventário total de endpoints e cobertura reportada pelo EDR, revela ativos sem proteção de endpoint ativa.
Correlação entre IAM e inventário de identidades, sinaliza contas privilegiadas sem segundo fator de autenticação.
Servidor com agente reportando, patch em dia e, ao mesmo tempo, protocolo legado habilitado, permissão ampla concedida e serviço desnecessário em execução.
Bucket, banco gerenciado ou papel de acesso com configuração fora do padrão da empresa, sem que nada esteja tecnicamente quebrado.
O paradoxo da cobertura declarada: o CISO apresenta ao board que a organização tem EDR com "95% de cobertura". Essa cobertura é calculada sobre os ativos que o time de TI cadastrou no EDR, não sobre o total de ativos que existem na rede, e nada diz sobre a configuração desses ativos. Se há 30% de ativos desconhecidos, a cobertura real pode ser muito menor do que 95%, e a postura de hardening permanece uma incógnita mesmo nos 95%.
Parte 1, controles: o que deveria estar instalado e ativo.
O EcoTrust Baseline consolida dados das fontes nativas da plataforma com fontes externas de controle via CSV agnóstico ou API REST. Normaliza, deduplica e cruza com o inventário real para produzir o gap analysis por ativo, grupo e unidade de negócio. A distinção em relação ao CAASM tradicional é essa: agregar significa colocar CrowdStrike, Tenable e Sentinel no mesmo painel, e o analista ainda precisa descobrir manualmente quem não aparece em nenhum dos três. Cruzar significa que o sistema compara o inventário total com a cobertura de cada controle e reporta os ativos descobertos.
Fontes nativas da plataforma EcoTrust
O EcoTrust Radar alimenta o mapa completo de ativos da rede. O EcoTrust Inventory complementa com dados profundos por host: software instalado, patches, SBOM, usuários e configuração corrente. Juntos, formam a base factual que o EcoTrust Baseline cruza com os controles.
O EcoTrust VulScan enriquece cada ativo com CVEs, EPSS e CISA KEV. O EcoTrust AppSec mapeia vulnerabilidades em aplicações web. Esses dados nativos são cruzados com a cobertura dos controles externos para revelar onde as lacunas coincidem com risco real.
50+ ferramentas externas integradas
O que o gap analysis de controles produz
Percentual de cobertura real de cada controle (EDR, patch, MFA, backup) por grupo de ativos, área de negócio e criticidade. O CISO não declara, demonstra com dados consolidados de fontes cruzadas.
Score único por ativo que combina cobertura de controles, postura de configuração e dados de todas as fontes integradas. Comparável entre ativos, grupos e períodos, permite rastrear a evolução da postura com uma métrica só.
Os dados de cobertura por ativo alimentam o EcoTrust Quantify para calcular o impacto financeiro de cada lacuna: "endpoint sem EDR em servidor de pagamentos = R$ X de exposição adicional ao cenário de ransomware".
Parte 2, hardening: o ativo está configurado como deveria?
São condições que não geram alerta em nenhum console: nada está quebrado, nada foi detectado, nenhuma CVE foi publicada. O ativo simplesmente opera com mais superfície do que precisa. Um servidor de arquivos com SMBv1 habilitado é um servidor funcionando normalmente até o dia em que a movimentação lateral usa exatamente esse caminho. Uma conta padrão que nunca foi desativada é uma credencial válida esperando ser encontrada.
As 30+ verificações de CIS Benchmark por ativo
O EcoTrust Baseline executa mais de 30 verificações de configuração segura derivadas dos CIS Benchmarks sobre cada ativo do parque, e reporta o resultado por ativo, grupo e unidade de negócio. Não é uma amostragem de hosts representativos nem um relatório por plataforma: é a avaliação apurada em cima do inventário real, com histórico para demonstrar evolução.
Serviço ligado sem função no papel do ativo, superfície que existe apenas porque ninguém desligou depois da instalação.
Permissão concedida além do necessário, grupo administrativo inflado, conta padrão do sistema ou do fornecedor ainda habilitada.
SMBv1, versões antigas de TLS e autenticação legada aceitas por padrão, ativas em hosts que nenhuma aplicação atual exige.
Log desabilitado, política de senha e bloqueio abaixo do definido, configuração local que divergiu do padrão sem que ninguém notasse.
A divisão de trabalho com o EcoTrust Inventory
Avaliar hardening exige saber, antes, o que está instalado e como está configurado em cada host. O EcoTrust Inventory fornece essa base factual por ativo. O EcoTrust Baseline é quem avalia: compara a configuração coletada contra o padrão que deve valer para aquele ativo e transforma a diferença em achado priorizado. Uma camada coleta o fato, a outra julga o fato. Sem a primeira, a avaliação seria estimativa; sem a segunda, o inventário seria apenas descrição.
Do achado ao ciclo de vida: cada divergência de configuração identificada é enviada ao EcoTrust Flow como achado com responsável, prazo e estado, e passa a ter o mesmo tratamento de ciclo de vida que uma vulnerabilidade. Configuração deixa de ser assunto de projeto pontual de hardening e passa a ser item gerenciado.
Parte 3, nuvem: a configuração dos recursos, vista de dentro.
Em nuvem, a configuração é o controle. Não há switch para inspecionar nem host para acessar: o que define a postura de um bucket, de um banco gerenciado, de uma função sem servidor ou de um papel de acesso é a configuração declarada no provedor. O EcoTrust Baseline lê essa configuração com credencial de leitura e a avalia contra o padrão que vale para aquele tipo de recurso, do mesmo modo que avalia um servidor on-premises.
Política de acesso, criptografia em repouso, retenção, versionamento e configuração de backup por recurso, comparadas ao padrão definido.
Papéis com permissão além do necessário, chaves de acesso de longa duração, contas de serviço com privilégio amplo e MFA ausente em identidades administrativas.
Trilhas de auditoria desligadas, regras de rede permissivas, serviços de plataforma habilitados sem necessidade e configuração de região fora do escopo aprovado.
A fronteira com o EcoTrust Surface
Nuvem é o ponto em que dois módulos da plataforma olham para o mesmo recurso a partir de posições opostas, e a divisão precisa estar explícita para que nenhuma das duas visões seja confundida com a outra.
EcoTrust Surface, o recurso de nuvem que está exposto à internet, visto de fora, sem credencial. EcoTrust Baseline, a configuração do recurso, vista de dentro, com credencial. O EcoTrust Surface responde "o que um atacante encontra sem nenhum acesso?". O EcoTrust Baseline responde "esse recurso está configurado como a empresa determinou?". Um bucket pode estar fechado para a internet e ainda assim ter criptografia desligada, retenção fora da política e uma chave de longa duração associada.
O diferencial: o baseline é o da sua empresa, não o genérico.
Nenhuma organização opera exatamente como o benchmark genérico prescreve, e não deveria. O parque tem exceções legítimas, aplicações que exigem uma porta específica, um grupo de servidores que segue um padrão interno mais rígido do que o público, uma unidade de negócio que ficou fora do escopo de priorização por decisão consciente. Um módulo que só sabe medir contra o padrão de fábrica reporta como desvio aquilo que a empresa decidiu, e a lista de achados perde credibilidade na primeira revisão.
Quais portas são permitidas em quais ativos. O desvio não é "porta aberta", é porta aberta onde a empresa não autorizou aquela porta.
O que pode estar instalado no parque. Software fora da lista aparece como achado, com o ativo, o responsável e a unidade de negócio.
O padrão de hardening da empresa, não o genérico. Onde o padrão interno é mais rígido do que o benchmark público, a medição segue o interno.
O que entra na priorização e o que fica de fora. Decisão declarada, aplicada de forma consistente e auditável, em vez de exceção informal repetida a cada ciclo.
Por que isso muda a conversa: com baseline genérico, a discussão com o time de infraestrutura começa em "esse achado não se aplica ao nosso ambiente". Com baseline declarado pela empresa, começa em "esse ativo está fora do padrão que nós definimos". A primeira conversa não tem fim. A segunda tem dono, prazo e critério de encerramento.
Impacto no negócio e compliance: da cobertura declarada à postura demonstrada.
A auditoria ISO 27001 que a análise prepara
Auditores de ISO 27001 consistentemente questionam a completude do inventário de ativos e a evidência de que os controles estão sendo aplicados, não apenas que existem. Cada vez mais, questionam também a gestão de configuração: qual é o padrão definido, como ele é verificado e o que acontece quando um ativo divergir. Uma organização que apresenta cobertura de controles cruzada com o inventário real e resultado de verificação de configuração por grupo de ativos responde às duas linhas de questionamento com o mesmo conjunto de dados.
Priorização, remediação e indicadores de gestão
Os achados de controle e de configuração entram nas mesmas três matrizes de priorização: Matriz de Risco Qualitativo, que classifica impacto e probabilidade por ativo, Matriz de Priorização em 6 níveis, com foco operacional nos níveis 1 e 2, e Matriz de Perdas Financeiras, que traduz risco técnico em linguagem de CFO. Para cada ocorrência, a TrustAI gera recomendação de mitigação em português com o contexto do ativo afetado. Do lado da gestão, os indicadores de visibilidade de riscos, eficiência de priorização, eficácia de correção e Tempo Médio de Correção demonstram a evolução do programa com métrica auditável, e não com percepção.
M&A pós-integração: stack consolidado sem padronizar ferramentas
Após uma fusão ou aquisição, dois ambientes com stacks e padrões de configuração diferentes precisam de visibilidade consolidada imediatamente. O EcoTrust Baseline ingere as fontes de ambos sem exigir padronização de ferramentas e mede os dois parques contra o baseline da organização que passa a valer, entregando o painel unificado enquanto a integração acontece em paralelo.
O custo de não saber: uma organização com 30% de ativos sem cobertura de EDR está mais exposta a ransomware do que uma com cobertura real auditada. Uma organização com cobertura completa e SMBv1 habilitado em servidores de arquivo também está. A diferença entre os cenários frequentemente é apenas a visibilidade: as duas condições existem em ambos, mas só um deles sabe quais ativos as carregam.
O EcoTrust Baseline entrega inventário e gap analysis de controles em uma estrutura, evidência direta para A.8.1 com dados cruzados, não declarados.
O baseline declarado pela empresa é a configuração documentada, e a verificação contínua por ativo é o monitoramento e a revisão exigidos pelo controle.
O gap analysis implementa os Controles 1 e 2 com verificação ativa de cobertura, incluindo software fora do baseline autorizado da empresa.
As 30+ verificações executadas por ativo entregam o resultado do benchmark sobre o parque real, e não sobre amostragem de hosts representativos.
A medição contínua de configuração on-premises e em nuvem contra o padrão da organização é a evidência operacional que a categoria pede.
O Cyber Risk Score 0 a 1000 com gap analysis de controles e de configuração por ativo crítico entrega a avaliação contínua com histórico auditável.
Conclusão: controles e configuração, contra o seu padrão.
O EcoTrust Baseline não adiciona mais uma ferramenta ao stack, faz as que já existem trabalharem juntas e acrescenta a camada de julgamento que faltava. Controles e hardening, on-premises e em nuvem, medidos contra o padrão da empresa. Os achados seguem para o EcoTrust Flow com ciclo de vida, e o contexto de negócio segue para o EcoTrust Quantify para transformar cada lacuna em valor financeiro. A questão de postura deixa de ser uma declaração e passa a ser uma evidência auditável.
Descubra quais ativos estão fora dos seus controles e do seu baseline.
Demonstração ao vivo