Testes de intrusão
Pentest externo, interno, de aplicações e de nuvem, com escopo e autorização formal.
- 01O PROBLEMANinguém sabe ao certo o que um atacante encontraria hoje no ambiente, nas aplicações ou na nuvem.
- 02PARA QUEMOrganizações que precisam medir a exposição real, responder a clientes e auditorias ou validar correções.
- 03RESULTADO BUSCADOVulnerabilidades encontradas e priorizadas por risco, com evidência, recomendação e reteste das correções.
PARA QUEM DECIDE
O que muda para quem decide.
- PARA OCEOSaber antes do atacante“Ninguém sabe ao certo o que um atacante encontraria hoje.”Uma medida real da exposição, com o risco explicado para a diretoria.
- PARA OCFOCorrigir o que importa“Listas longas de vulnerabilidades sem saber o que corrigir primeiro.”Achados priorizados por risco e reteste do que foi corrigido.
- PARA OCTOCorreção que se reproduz“Relatórios genéricos que o time não consegue reproduzir.”Cada achado com evidência, como reproduzir e como corrigir.
- PARA OCISOEvidência para clientes e auditorias“Clientes, contratos e auditorias pedem um teste independente.”Relatório executivo e técnico de um teste com escopo e autorização formal.
DO ESCOPO AO RETESTE
O que um atacante encontraria hoje.
Testes com escopo e autorização formal, para medir a exposição real antes que alguém de fora meça.
Role para o lado para ver o diagrama inteiro
- Perímetro externo
- O que está exposto na internet
- Rede interna
- O que um acesso interno alcança
- Aplicações web e móveis
- Lógica, autenticação e dados
- Nuvem
- Configuração e permissões
VISIBILIDADE
Do achado à correção verificada.
O que for crítico é comunicado na hora, sem esperar o relatório. Depois, cada achado é acompanhado até a correção, e o reteste confirma o que foi resolvido.
COMO UM TESTE ACONTECE
Do acordo ao reteste.
Nada é testado sem escopo escrito e autorização.
- ETAPA 01AcordarEscopo, regras e janela por escrito.
- ETAPA 02MapearO que está exposto e onde estão os dados?
- ETAPA 03TestarAté onde se chega, com controle?
- ETAPA 04RelatarQual o risco e como corrigir?
- ETAPA 05RetestarA correção funcionou?
REGRAS
Testar sem colocar a operação em risco.
O teste mede a exposição; não pode virar o incidente.
- AUTORIZAÇÃOEscopo e permissão por escritoNada fora do que foi autorizado.
- SEGURANÇASem técnicas destrutivasNada de negação de serviço nem de destruição de dados.
- SIGILOAchados confidenciaisEvidências guardadas com acesso restrito.
- ACHADO CRÍTICOAviso na horaO que for crítico é comunicado sem esperar o relatório.
- RETESTECorreção verificadaO reteste confirma o que foi corrigido.
DIFERENCIAIS
Por que a trustness.
- 01Escopo e autorização formalNada é testado sem escopo escrito, regras e autorização.
- 02Sem técnicas destrutivasNada de negação de serviço nem de destruição de dados: o teste mede a exposição sem virar o incidente.
- 03Do perímetro à nuvemTestes externos, internos, de aplicações web e móveis e de ambientes de nuvem.
- 04Reteste incluídoA correção é verificada, não só recomendada.
- 05Independente da operaçãoFeito por quem não opera o ambiente: a gestão contínua de vulnerabilidades fica com o n.secops.
COMO FUNCIONA
Etapas do trabalho.
- 01Escopo, regras e autorização formal
- 02Reconhecimento e testes
- 03Relatório executivo e técnico
- 04Reteste das correções
ESCOPO
O que está incluído.
Incluído3✓Testes no escopo autorizado✓Relatório executivo e técnico✓Reteste das correções
Condicionado ao contrato3○Engenharia social○Testes fora do horário comercial○Aplicações e ambientes de nuvem adicionais
PESSOAS, FERRAMENTAS E TERCEIROS
Como trabalhamos com o que você já tem.
A gestão contínua de vulnerabilidades é do n.secops; o pentest mede, num momento, até onde um atacante chegaria.
- 01Sua equipeAprova o escopo e a janela e corrige os achados; a trustness. testa, relata e retesta.escopo e correção
- 02Seus fornecedoresAmbientes de terceiros só entram com autorização de quem responde por eles.autorização formal
- 03Operação de segurançaQuem monitora o ambiente é avisado conforme o combinado.informada
| Atividade | trustness. | Sua equipe | Terceiros |
|---|---|---|---|
| Escopo e autorização | coordena | aprova | — |
| Execução dos testes | executa | — | — |
| Relatório executivo e técnico | executa | — | — |
| Correção dos achados | apoia | executa | apoia |
| Reteste | executa | apoia | — |
COMO CONTRATAR
Dois modelos, conforme o contrato.
- MODELO 01Teste pontualUm escopo, um teste, relatório e reteste.
- MODELO 02Ciclo recorrenteTestes periódicos para acompanhar a exposição ao longo do tempo, conforme contrato.
PERGUNTAS FREQUENTES
O que costumam nos perguntar.
O teste pode derrubar algum sistema?
Não usamos técnicas destrutivas nem de negação de serviço. Janela e limites ficam acordados por escrito antes do teste.
Vocês fazem engenharia social?
Sim, quando prevista em contrato e autorizada.
Qual a diferença para a gestão de vulnerabilidades?
A gestão de vulnerabilidades, do n.secops, é contínua. O pentest mede, num momento, até onde um atacante chegaria.
O que recebemos?
Um relatório executivo, um relatório técnico com evidência e correção de cada achado, e o reteste.
E se encontrarem algo crítico?
Avisamos na hora, sem esperar o relatório.
Quer saber se Testes de intrusão se aplica ao seu cenário?
- conversa
- diagnóstico
- proposta