Como calculamos a nota de segurança
Uma nota de A a F que qualquer diretoria entende, construída com regras transparentes: você sabe exatamente por que perdeu pontos e quanto ganha ao corrigir cada item.
- 01
Coleta passiva
Fontes públicas e de inteligência
- 02
Achados
50 tipos, cada um com severidade
- 03
Nota por fator
8 fatores de 0 a 100
- 04
Nota geral A–F
Média ponderada + tetos
- 05
Plano de ação
Ganho de nota por correção
Coleta 100% passiva
Não instalamos nada e não disparamos testes contra o seu ambiente. É a mesma visão que um atacante tem na fase de reconhecimento.
Descoberta de ativos
Logs públicos de Certificate Transparency (crt.sh, Cert Spotter) e índice DNS do Shodan.
Portas e serviços
Base do Shodan, que indexa continuamente a internet (InternetDB ou API completa).
Vulnerabilidades
CVEs com CVSS, probabilidade de exploração (EPSS) e catálogo CISA KEV via Shodan CVEDB.
DNS e e-mail
Consultas DNS públicas: NS, MX, SPF, DMARC, CAA, MTA-STS e DNSSEC.
Site e certificado
Uma visita à página inicial por HTTP e HTTPS — cabeçalhos e TLS, como um navegador.
Credenciais vazadas
Have I Been Pwned, Hudson Rock e Intelligence X. Só contagens e e-mails mascarados.
Requer propriedade comprovada
8 fatores de risco e seus pesos
Cada achado pertence a um fator. O peso define quanto o fator influencia a nota geral.
Segurança de rede
Portas e serviços expostos à internet (bancos de dados, acesso remoto, compartilhamentos).
18%Portas e serviços expostos à internet (bancos de dados, acesso remoto, compartilhamentos).
Cadência de correções
Vulnerabilidades conhecidas (CVE) inferidas pela versão dos serviços e software sem suporte.
18%Vulnerabilidades conhecidas (CVE) inferidas pela versão dos serviços e software sem suporte.
Reputação e ameaças
Sinais de comprometimento, malware ou C2 em IPs da organização (threat intelligence).
11%Sinais de comprometimento, malware ou C2 em IPs da organização (threat intelligence).
Credenciais vazadas
Contas do domínio em vazamentos, logs de infostealer e menções em darknet. Avaliado só com propriedade comprovada.
10%Contas do domínio em vazamentos, logs de infostealer e menções em darknet. Avaliado só com propriedade comprovada.
Aplicação web
HTTPS, redirecionamento e cabeçalhos de segurança do site principal.
13%HTTPS, redirecionamento e cabeçalhos de segurança do site principal.
Criptografia e certificados
Validade, confiança, vencimento e protocolos dos certificados TLS.
11%Validade, confiança, vencimento e protocolos dos certificados TLS.
Segurança de e-mail
Proteção contra falsificação de remetente: SPF, DMARC e MTA-STS.
11%Proteção contra falsificação de remetente: SPF, DMARC e MTA-STS.
Saúde do DNS
DNSSEC, CAA e redundância de servidores de nomes.
8%DNSSEC, CAA e redundância de servidores de nomes.
Soma dos pesos: 100%. Fatores não avaliados em uma coleta — como credenciais vazadas sem propriedade comprovada — saem da média, e os demais são reponderados.
Nota de cada fator
Cada fator começa em 100. Cada tipo de achado aplica uma dedução multiplicativa conforme a severidade.
Dedução por severidade
- Crítica−35%
- Alta−18%
- Média−8%
- Baixa−3%
Repetição em vários ativos
Multiplicador = 1 + 0,25 × (ativos − 1), até 2×. Problemas sistêmicos pesam mais, sem punir linearmente quem tem muitos ativos.
ativos afetados
Exemplo calculado
Segurança de e-mail sem SPF e sem DMARC
- 100Ponto de partida
- 82× (1 − 18%)Registro SPF ausente
- 67× (1 − 18%)Registro DMARC ausente
Nota do fator: 67. Dois achados altos levam o fator a D.
Nota geral, graus e tetos
A nota geral é a média ponderada dos fatores. Riscos graves impõem um teto, por melhor que esteja o restante.
Escala de graus
Indício de comprometimento ativo limita a nota a F.
Vulnerabilidade explorada ativamente (KEV) limita a nota a D.
Qualquer achado crítico limita a nota a C.
Mesmo domínio do exemplo
Média ponderada dos 8 fatores: 94. Sem achados críticos, não há teto.
+ RDP exposto à internet
A média seria 88, mas um achado crítico limita a nota a 79.
Plano de ação priorizado
Para cada tipo de achado recalculamos a nota como se ele estivesse corrigido. A diferença é o ganho — o argumento para priorizar.
| Prioridade | Correção (exemplo acima) | Prazo | Ganho |
|---|---|---|---|
| P1 | CríticaAcesso remoto administrativo exposto (RDP, VNC ou Telnet) | Imediato (até 15 dias) | +15 |
| P2 | AltaRegistro SPF ausente | Até 30 dias | +0 |
| P2 | AltaRegistro DMARC ausente | Até 30 dias | +0 |
| P3 | MédiaContent-Security-Policy ausente | Até 90 dias | +0 |
P1 = crítica (até 15 dias), P2 = alta (até 30 dias), P3 = demais. Dentro de cada prioridade, ordenamos pelo ganho.
Catálogo de 50 achados
Cada achado tem explicação do risco, recomendação de correção e referências (CIS, OWASP, NIST, RFCs, LGPD/ANPD).
Segurança de rede4 críticas2 altas1 média2 baixas+
- CríticaAcesso remoto administrativo exposto (RDP, VNC ou Telnet)
- CríticaBanco de dados acessível pela internet
- CríticaServiço de cache/busca exposto (Redis, Memcached, Elasticsearch…)
- CríticaAPI de orquestração/containers exposta (Docker, Kubernetes, etcd)
- AltaCompartilhamento de arquivos exposto (SMB, NetBIOS, FTP, NFS)
- AltaInterface de gerenciamento exposta (SNMP, WinRM, IPMI, RPC)
- MédiaProtocolo de e-mail sem criptografia (POP3/IMAP em texto claro)
- BaixaSSH acessível pela internet
- BaixaServiço web em porta não padrão
Cadência de correções2 críticas2 altas1 média1 baixa+
- CríticaVulnerabilidade explorada ativamente (catálogo CISA KEV)
- CríticaVulnerabilidade crítica (CVSS ≥ 9,0)
- AltaVulnerabilidade alta (CVSS 7,0–8,9)
- MédiaVulnerabilidade média (CVSS 4,0–6,9)
- BaixaVulnerabilidade baixa (CVSS < 4,0)
- AltaSoftware ou sistema sem suporte do fabricante (fim de vida)
Reputação e ameaças1 crítica+
- CríticaIndício de comprometimento ou atividade maliciosa no IP
Credenciais vazadas1 crítica2 altas2 médias+
- CríticaColaboradores com computador infectado por infostealer
- AltaCredenciais de usuários dos seus serviços em logs de infostealer
- AltaE-mails corporativos em vazamentos recentes (últimos 24 meses)
- MédiaE-mails corporativos em vazamentos antigos
- MédiaDomínio citado em vazamentos, pastes ou darknet
Aplicação web1 alta4 médias5 baixas+
- AltaSite sem HTTPS
- MédiaHTTP não redireciona para HTTPS
- MédiaCabeçalho HSTS ausente
- BaixaHSTS com validade curta
- MédiaContent-Security-Policy ausente
- BaixaProteção contra clickjacking ausente
- BaixaX-Content-Type-Options ausente
- BaixaReferrer-Policy ausente
- BaixaDivulgação de versão do servidor/framework
- MédiaCookies sem atributos de segurança
Criptografia e certificados1 crítica3 altas3 médias+
- CríticaCertificado TLS expirado
- AltaCertificado TLS inválido (não confiável ou nome divergente)
- AltaCertificado TLS vence em menos de 15 dias
- MédiaCertificado TLS vence em menos de 30 dias
- AltaServidor aceita TLS 1.0/1.1
- MédiaChave do certificado fraca (RSA < 2048 bits)
- MédiaCertificado autoassinado em serviço exposto
Segurança de e-mail1 crítica2 altas3 médias3 baixas+
- AltaRegistro SPF ausente
- CríticaSPF autoriza qualquer remetente (+all)
- MédiaSPF neutro (?all)
- MédiaMúltiplos registros SPF
- AltaRegistro DMARC ausente
- MédiaDMARC apenas em monitoramento (p=none)
- BaixaDMARC aplicado a apenas parte das mensagens (pct < 100)
- BaixaDMARC sem endereço de relatórios (rua)
- BaixaMTA-STS não configurado
Saúde do DNS1 média2 baixas+
- BaixaDNSSEC não habilitado
- BaixaRegistro CAA ausente
- MédiaApenas um servidor de nomes (NS)
Limitações
Transparência também sobre o que a nota não mede.
CVEs inferidas
Vulnerabilidades são deduzidas pela versão anunciada pelo serviço e podem ser falso-positivos quando o fornecedor aplica correção sem mudar a versão (backport).
Defasagem das fontes
Dados do Shodan e de vazamentos podem ter dias ou semanas de atraso em relação ao estado atual.
Visão externa
Não enxergamos a rede interna, controles organizacionais nem a lógica das aplicações. Não substitui um teste de intrusão autorizado.
Veja a metodologia aplicada ao seu domínio
Relatório gratuito em cerca de 2 minutos.