Data SheetSeu scanner reporta CVEs. O VulScan diz quais estão sendo exploradas e o que fazer com cada uma.
Detecção de vulnerabilidades que vai além do CVSS: correlaciona software, patches, pacotes, firmware e hardware com CVEs, e enriquece cada achado com EPSS, CISA KEV, uso por ransomware e exploits públicos. Tudo sem executar um único scan adicional na rede. A priorização segue o SSVC, metodologia do SEI da Carnegie Mellon com a CISA: a saída do módulo é fila de ação, não lista de achados.
CVEs com CVSS 9.8 que ninguém vai explorar na sua empresa. CVEs com CVSS 6.5 que já têm exploit ativo e estão no catálogo do governo americano. Priorizar só por severidade técnica é o motivo pelo qual equipes corrigem o errado. O VulScan traz o contexto que falta: qual CVE tem maior probabilidade de exploração real, hoje, no seu ambiente. E fecha a lacuna seguinte: o CVSS mede severidade, o SSVC decide o que fazer.
O EcoTrust VulScan recebe os dados de software, patches, hardware e pacotes coletados pelo ciclo de scan e executa seis análises complementares em paralelo, correlacionando cada componente com bancos de dados de CVEs, patches ausentes, advisories de pacotes e inteligência de exploração. O resultado é um panorama completo de vulnerabilidades com scoring real: CVSS + EPSS + CISA KEV + indicador de ransomware em cada achado. Esse enriquecimento não para no score: os insumos alimentam a árvore de decisão do SSVC, que devolve a ação para cada vulnerabilidade. O módulo é detecção mais priorização.
Roda no EcoTrust OS. O sistema operacional agêntico (Agentic OS) da EcoTrust é o que permite aos agentes planejar, executar e pedir aprovação humana antes de agir sobre o ambiente, com cada passo auditável. ecotrust.io/ecotrust-os
SSVC (Stakeholder-Specific Vulnerability Categorization) é a metodologia de priorização criada pelo SEI da Carnegie Mellon em conjunto com a CISA. Em vez de devolver um número, percorre uma árvore de decisão e devolve uma ação. Duas CVEs com o mesmo CVSS podem terminar em Track e em Act, dependendo do estado de exploração, da exposição do ativo e do impacto na missão. A CISA recomenda explicitamente o uso de um framework de priorização que considere o estado de exploração, e não apenas a severidade.
Acompanhar, sem ação imediata. Permanece monitorada nos ciclos seguintes.
Acompanhar com atenção. Agir se o contexto de exploração ou de exposição mudar.
Tratar no ciclo corrente de remediação, dentro do prazo definido.
Tratar agora. Exploração e exposição justificam ação fora do ciclo.
Cinco insumos respondem às perguntas da árvore. Quatro vêm de bases públicas reconhecidas; a criticidade do ativo vem do ambiente do cliente, e é o eixo que nenhuma base pública pode fornecer.
A saída do módulo é fila de ação, não lista de achados. Cada vulnerabilidade sai do VulScan com a decisão anexada e o caminho da árvore que a justifica. Divisão de escopo na plataforma: o EcoTrust VulScan prioriza a vulnerabilidade, o EcoTrust Flow conduz e mede o ciclo, o EcoTrust AutoPatch constrói, aplica e valida a correção.
EPSS 85% em uma CVE 6.5 é mais urgente que EPSS 0,1% em uma CVE 9.8. O VulScan combina os insumos na árvore SSVC e entrega uma decisão por vulnerabilidade, com o critério auditável, não um score opaco.
Não executa scans adicionais. Correlaciona o que já foi coletado no ciclo de scan com 6+ bases de inteligência em paralelo. Mais rápido e sem riscos para sistemas críticos.
Não reporta KBs antigas se uma versão mais recente já está instalada. Elimina falsos positivos que sobrecarregam equipes com patches que não precisam ser aplicados.
BIOS Dell, drivers Intel, OpenSSL embutido em outro software, Log4j em JARs Java. Vulnerabilidades que scans tradicionais ignoram porque estão dentro de outros componentes.
O VulScan filtra automaticamente os achados com CISA KEV e alto EPSS, entregando uma lista de ação imediata. A equipe para de corrigir o que o scanner grita mais alto e começa a corrigir o que está sendo explorado agora.
O indicador de ransomware sinaliza imediatamente quando uma CVE presente no ambiente está sendo usada em campanhas ativas. Resposta antes da notícia, não depois.
A criticidade do ativo entra na árvore junto com o estado de exploração. A mesma CVE sai como Track em uma workstation de laboratório e como Act no servidor que sustenta a operação, com o caminho da decisão registrado nos dois casos.
Relatório estruturado de patches ausentes com KBs, CVEs associadas e links de download. Lista de software em fim de vida com datas e versões recomendadas. Evidência pronta para ISO 27001 e PCI DSS.
Uma CVE com EPSS 85% representa mais risco imediato que uma CVE com CVSS 9.8 e EPSS 0,1%. O CVSS mede severidade, o SSVC decide o que fazer.