English
Română
EspañolAplicações web
Autenticação, sessões, controlo de acessos, injeção e lógica de negócio, testados segundo o OWASP Top 10 e o OWASP Web Security Testing Guide.
Testado por pessoas • Dentro das janelas que autorizar • Nada instalado
Testes de intrusão. As suas aplicações, APIs, redes e aplicações móveis, testadas por pessoas.
Peça um teste, acorde o âmbito e a janela e acompanhe-o até à última constatação. Cada pedido, hora, constatação e ronda de validação fica num só lugar, junto da sua monitorização de segurança.
ÂMBITO
O que testamos
Caixa preta sem credenciais, caixa cinzenta com uma conta de utilizador ou caixa branca com acesso total, para cada tipo de alvo.
APIs
Endpoints REST e GraphQL, tokens e chaves, limites de pedidos e o que cada função pode alcançar, testados segundo o OWASP API Security Top 10.
Infraestrutura
Redes externas e internas: serviços expostos, configurações fracas, atualizações em falta e os caminhos de uma máquina para a seguinte.
Aplicações móveis
Aplicações iOS e Android a partir dos pacotes da loja, analisadas estática e dinamicamente segundo o OWASP MASVS. Sem código-fonte.
COMO FUNCIONA
Do pedido à constatação fechada
Cada passo é registado com quem o fez, quando e porquê, e vê-o à medida que acontece no portal Security.
1
Pedido
Envie-o a partir do portal Security ou da sua própria plataforma através da API: os alvos, o tipo de teste, caixa preta, cinzenta ou branca, as horas e a janela.
2
Aprovação
O operador verifica o âmbito e que pode mandar testá-lo, reserva as horas e acorda a janela. Nada é testado antes disso.
3
Testes
Só dentro da janela. Os scanners fazem a varredura larga; os testadores confirmam o que é real e vão onde os scanners não chegam.
4
Revisão
Cada constatação é verificada por uma segunda pessoa antes de a ver: a gravidade com o vetor CVSS, as evidências, como reproduzi-la e como corrigi-la.
5
Correção
A sua equipa marca cada constatação como em correção, corrigida ou risco aceite, e o motivo fica registado.
6
Ronda de validação
Testamos de novo e fechamos o que está mesmo corrigido. As constatações são acompanhadas entre rondas: novas, persistentes, corrigidas ou reabertas.
HORAS QUE PODE VER
Uma bolsa de horas, não uma fatura sem limite
Acorda as horas quando subscreve e vê cada uma delas a ser gasta.
Reservadas, usadas, disponíveis
As horas são reservadas quando um pedido é aprovado, registadas à medida que os testes decorrem e libertadas se não forem usadas. Recebe alertas a 50, 75, 90 e 100%.
Sem excessos silenciosos
Quando a bolsa se esgota, nada mais é aprovado ou registado sem o seu acordo, e fica registado quem concordou e porquê.
Os relatórios nunca gastam horas
Os relatórios são produzidos a partir das próprias constatações, por isso cada hora que paga é gasta em testes.
INTEGRAÇÃO
Integrado na forma como já trabalha
Os pedidos podem começar na sua própria plataforma, e os resultados voltam para ela.
API e webhooks
Uma API REST versionada descrita em OpenAPI, com chaves de âmbito limitado e pedidos idempotentes, e webhooks assinados em cada alteração.
Relatórios e exportações
Constatações em JSON e CSV; um relatório executivo e um técnico por ativo, e um relatório para todo o programa.
Tickets
Cada constatação torna-se um ticket no Jira, e o seu estado volta à medida que a sua equipa trabalha nele.
Conectores no local
As redes internas são alcançadas através de um conector que só faz ligações cifradas de saída. Nenhuma porta de entrada é aberta.
UMA SÓ PLATAFORMA
O que os atacantes poderiam fazer, ao lado do que tentam
Os testes de intrusão são um serviço próprio, usado a partir do mesmo portal Security da sua monitorização.
A monitorização mostra as tentativas
A conformidade de cibersegurança vigia todos os dias os seus servidores, contas cloud e serviços e analisa-os em busca de fraquezas conhecidas.
Ver capacidades de conformidadeOs testes mostram o que teria sucesso
Os testes, as suas constatações e as correções ficam guardados com as datas: evidência de testes de segurança regulares, do tipo que o artigo 21.º da NIS2 e o DORA pedem às organizações.
Antes de perguntar
Perguntas sobre testes de intrusão
Respostas diretas sobre âmbito, janelas, credenciais e horas.
Um teste de intrusão é o mesmo que uma análise de vulnerabilidades?
Não. A análise encontra automaticamente fraquezas conhecidas, e o Security já o faz em cada máquina que monitoriza. Um teste de intrusão acrescenta pessoas: confirmam que fraquezas um atacante poderia realmente usar, encadeiam-nas e testam o que os scanners não veem, como o controlo de acessos e a lógica de negócio.
Instalam alguma coisa nos nossos sistemas?
Não. Nada é instalado nos sistemas testados. As redes internas são alcançadas através de um conector no local que só faz ligações de saída.
Quem decide quando os testes acontecem?
A sua organização. Os testes decorrem apenas dentro das janelas que autorizar, depois de o operador aprovar o pedido, e os contactos que indicar são avisados antes de começarem.
De que precisam para um teste de caixa cinzenta ou branca?
Contas, funções ou chaves para os sistemas no âmbito. São seladas assim que chegam e nunca mais são mostradas, nem no seu próprio portal.
Como são contadas as horas?
A partir de uma bolsa de horas acordada quando subscreve. As horas são reservadas quando um pedido é aprovado, registadas à medida que os testes decorrem e libertadas se não forem usadas. Os relatórios nunca gastam horas.
A nossa plataforma pode enviar pedidos de teste?
Sim. A sua plataforma de gestão de risco ou de tickets pode enviar pedidos e ler os resultados através da API, e é avisada de cada alteração por webhooks assinados.
Como se relaciona com a conformidade de cibersegurança?
É um serviço próprio, usado a partir do mesmo portal Security. A monitorização mostra o que os atacantes tentam todos os dias; um teste de intrusão mostra o que poderiam conseguir. Ambos alimentam a evidência que o seu auditor lê.
TESTADO POR PESSOAS
Encontre primeiro o que um atacante encontraria
Diga-nos o que quer testar e propomos o âmbito, as horas e a janela.