Cibersegurança · Segurança ofensiva
Segurança ofensiva. Encontre antes deles.
Um atacante só precisa de uma porta de entrada. Nós a procuramos primeiro, do jeito que ele faria, em suas aplicações, redes, nuvem, pessoas e instalações.
Você recebe um panorama claro do que é explorável, de quanto isso custaria e do que corrigir primeiro, e fazemos um reteste depois da correção.
O que está incluído. Com escopo sob medida.
Testes de intrusão
Aplicações web, APIs, redes internas e externas e ambientes de nuvem no Azure, AWS e GCP.
Testes de aplicativos móveis
Testes aprofundados de aplicativos iOS e Android e dos back-ends por trás deles.
Operações de red team
Simulação de adversários em escopo completo, que testa pessoas, processos e tecnologia em conjunto.
Emulação de adversários
Validação contínua frente às táticas e técnicas de agentes de ameaça conhecidos.
Engenharia social
Campanhas de phishing, vishing, falsificação de identidade e pretexting que medem como seus colaboradores reagem.
Testes físicos
Controles de acesso, clonagem de crachás e entrada de carona (tailgating) nas suas instalações, segundo regras acordadas.
Mapeamento da superfície de ataque
Descoberta de ativos esquecidos, não gerenciados (shadow IT) e expostos, antes que os atacantes os encontrem.
Gestão de bug bounty
Triagem e tratamento dos achados reportados por pesquisadores de segurança externos.
O que você recebe. Três relatórios e uma validação final.
Cada achado vem com contexto de negócio, para que o conselho, os auditores e os engenheiros recebam, do mesmo trabalho, o que cada um precisa.
Relatório executivo
O risco em linguagem clara, com a perspectiva financeira e de seguros, para a diretoria e o conselho.
Relatório técnico
Cada achado com pontuação CVSS, evidências, caminho de ataque e correção, para seus engenheiros.
Roadmap de remediação
O que corrigir e quando, em fases de 0–30, 30–90 e 90+ dias.
Reteste e certificado
Retestamos suas correções, validamos o encerramento e emitimos um certificado de conclusão.
Como funciona
- Duração
- De alguns dias, para um teste focado, a várias semanas, para um red team, conforme confirmado na sua proposta.
- Equipe
- Especialistas em segurança ofensiva, liderados por um gerente sênior do projeto, que é o seu único ponto de contato.
- Da sua parte
- Um contato designado, o escopo e as regras de engajamento acordados, e contas de teste ou acessos quando necessário.
- Durante o teste
- Atualizações diárias. Achados críticos são reportados assim que os encontramos, não só no final.
Metodologia
- OWASP
- PTES
- MITRE ATT&CK
- NIST SP 800-115
- CVSS
Perguntas frequentes
Os testes vão interromper nossos sistemas?
Os testes são planejados com a sua equipe e acordados em regras de engajamento. Testes arriscados são agendados em janelas de manutenção, e paramos imediatamente se algo se comportar de forma inesperada.
Qual a diferença entre um teste de intrusão e um red team?
Um teste de intrusão busca o máximo possível de fraquezas em um escopo definido. Um red team persegue um objetivo, como chegar aos seus sistemas de pagamento, e testa, ao longo do caminho, a sua capacidade de detectar e responder.
Com que frequência devemos testar?
Pelo menos uma vez por ano e após mudanças importantes, como uma nova aplicação, uma migração para a nuvem ou uma aquisição. Regulações como a NIS2 e o PCI DSS têm suas próprias exigências.
Vocês fazem reteste depois que corrigimos os achados?
Sim. O reteste faz parte do trabalho e termina com um certificado de conclusão quando as correções são validadas.
Vocês testam ambientes de nuvem e SaaS?
Sim, incluindo Azure, AWS e GCP, dentro das regras de teste que cada provedor publica.
Fale com um especialista
Defina o escopo do seu projeto.
Diga o que você quer testar. Sua proposta chega em até 24 horas após a primeira conversa.