Por dentro, um scanner de vulnerabilidades executa uma sequencia de etapas bem definida. Entender essa sequencia ajuda a interpretar melhor os resultados — e a saber por que dois scans do mesmo ambiente, um com credenciais e outro sem, podem produzir listas de achados muito diferentes.
1. Descoberta
A primeira etapa identifica quais hosts estão ativos dentro do escopo definido — uma faixa de IP, uma lista de domínios, um conjunto de ativos previamente cadastrados. Hosts que não respondem, ou que estão fora do escopo informado, simplesmente não entram nas etapas seguintes. E por isso que a qualidade do escopo definido no inicio limita a qualidade de tudo que vem depois.
2. Coleta e identificação de serviços
Para cada host ativo, o scanner identifica serviços em execucao, portas abertas e, quando possível, versoes de software. Sem credenciais, essa identificação depende do que os serviços revelam de fora — banners, respostas de protocolo, comportamento observavel.
Com credenciais validas, o scanner consegue acessar o sistema por dentro: listar pacotes instalados, ler arquivos de configuracao, verificar versoes exatas. Essa diferença e o que separa uma varredura autenticada de uma varredura sem credenciais, e costuma reduzir tanto falsos positivos (versão que parece vulneravel de fora, mas ja foi corrigida por um patch que não muda o banner) quanto falsos negativos (vulnerabilidades que só aparecem inspecionando o sistema por dentro).
3. Avaliação contra a base de vulnerabilidades
Com o inventário de versoes e configuracoes em mao, o scanner compara cada item com sua base de vulnerabilidades conhecidas — tipicamente identificadas por CVE. Essa base precisa ser atualizada com frequência; uma base desatualizada não encontra vulnerabilidades divulgadas recentemente, ainda que o ativo esteja de fato exposto a elas.
4. Priorização
Os achados brutos raramente são úteis sem ordenacao. A maioria das ferramentas modernas permite priorizar por mais de um critério — severidade técnica (CVSS), probabilidade de exploracao (EPSS) e, em ferramentas mais avancadas, uma metrica proprietaria que combina fatores adicionais. Veja CVE, CVSS e EPSS: como interpretar para entender a diferença entre essas metricas.
5. Relatorio
A etapa final consolida os achados em um formato consumivel — por um time técnico, que precisa de detalhes de reproducao, ou por um gestor, que precisa de um resumo de risco. Ferramentas como o Nessus Professional permitem personalizar esse relatorio conforme o público.
O que um scanner não faz
Um scanner identifica vulnerabilidades conhecidas com base em assinaturas e comportamentos catalogados. Ele não identifica, de forma confiavel:
- Falhas de logica de negocio específicas da aplicação.
- Cadeias de exploracao que combinam várias fragilidades pequenas.
- Vulnerabilidades desconhecidas (zero-day), por definicao.
Esses pontos continuam dependendo de análise humana — seja em um pentest, seja em revisão de código.
Perguntas frequentes
Varredura sem credenciais e inutil?
Não e inutil, mas é limitada. Ela mostra o que um observador externo veria a partir dos serviços expostos. Para inspecionar versoes instaladas e configuracoes locais com precisão, credenciais no ativo fazem diferença significativa.
Um scanner substitui um pentest?
Não. O scanner compara o ambiente com uma base de vulnerabilidades conhecidas, em escala e de forma recorrente. Um pentest envolve exploracao manual e cadeias de ataque específicas, que exigem raciocinio humano e não aparecem em uma varredura automatizada.