Encontre os seus pontos fracos antes dos atacantes
Auditorias de segurança, testes de intrusão, Red Team e preparação para a certificação internacional. Testes sobretudo manuais, relatórios assentes em normas reconhecidas e um âmbito acordado por escrito antes de qualquer trabalho começar.
- WSTG, ASVS, API Top 10
- OWASPWSTG, ASVS, API Top 10
- Classificação da severidade
- CVSS 3.1Classificação da severidade
- Processo de projeto estruturado
- PTESProcesso de projeto estruturado
- Âmbito antes de qualquer teste
- Por escritoÂmbito antes de qualquer teste
Todo o ciclo de vida da segurança da informação
Da avaliação pontual ao acompanhamento contínuo: cobrimos a segurança da sua infraestrutura, das suas aplicações e dos seus processos.
Auditoria de segurança e documentação
Avaliação integral da infraestrutura, das configurações, dos processos e da documentação, com um relatório priorizado.
- Análise de redes, servidores e cloud
- Auditoria de políticas, procedimentos e processos
- Relatório com plano de remediação
Testes de intrusão
Um ataque controlado em modo black-box, grey-box ou white-box. Procuramos aquilo que um atacante real exploraria.
- Web, mobile, API e perímetro externo
- Pentest interno e segmentação
- Reteste após a remediação
Red Team
Um ataque simulado com um objetivo definido, segundo um cenário acordado. Põe à prova, em conjunto, as suas pessoas, os seus processos e as suas defesas.
- OSINT e engenharia social
- Phishing e acesso físico
- Avaliação da resposta da Blue Team
Resposta a incidentes
Ajuda quando um incidente acontece: investigação, contenção e recuperação, com um tempo de resposta garantido no contrato de avença.
- Triagem e investigação forense de incidentes
- Apoio na contenção e na recuperação
- Análise da causa raiz e lições aprendidas
Preparação para a certificação
Construímos os processos e a documentação para os padrões internacionais e acompanhamo-lo até à certificação.
- ISO 27001, SOC 2, PCI DSS, GDPR
- Políticas, procedimentos e um registo de riscos
- Acompanhamento na auditoria de certificação
Formação e sensibilização
Reforçamos a resistência da sua equipa aos ataques: formações, simulações de phishing e verificação de conhecimentos.
- Simulações de phishing
- Formações em segurança para colaboradores
- Desenvolvimento seguro
Um processo transparente, do pedido ao resultado
Definição do âmbito
Definimos os limites da avaliação, os objetivos e o modelo de ameaças. Os prazos e as regras de atuação são acordados.
Avaliação
Auditoria e teste de intrusão: procuramos as vulnerabilidades e os caminhos que um atacante seguiria.
Relatório
Um relatório priorizado: o que encontrámos, por que importa e como corrigir.
Acompanhamento
Ajudamos a remediar e fazemos um reteste para confirmar que os riscos ficam fechados.
Profissionais, não teóricos
Além de testar, construímos os nossos próprios produtos e infraestrutura, por isso entendemos o risco dos dois lados.
Profissionais que testam à mão, como faria um atacante real. As ferramentas ajudam, mas não substituem o discernimento.
A Vexaro desenvolve software e infraestrutura, por isso sabemos onde as coisas costumam falhar.
Não um despejo de scanner, mas prioridades, risco de negócio e passos concretos.
Acompanhamos a remediação e voltamos a testar as correções sem custos adicionais, dentro do prazo fixado no Statement of Work (SoW).
Prontos para os padrões internacionais e a certificação
Formatos e prazos realistas
Durações indicativas. O âmbito final depende do volume e do modelo de ameaças acordado.
Testes de intrusão
Web, mobile, API ou perímetro externo.
Auditoria de segurança e documentação
Infraestrutura, configurações e processos.
Red Team
Simulação de ataque direcionado segundo um cenário acordado.
Preparação para ISO 27001
Implementação do SGSI, documentação e auditoria interna.
SOC 2 Type II
Implementação de controlos mais o período de observação.
PCI DSS
Preparação para a avaliação QSA.
O tipo de problemas que procuramos
Cenários ilustrativos baseados em tipos de achados comuns. Não são casos de clientes.
Pentest da API de pagamentos
Ilustrativo: uma condição de corrida que contorna os limites de transferência e adultera o montante. É precisamente o tipo de falha lógica que um teste manual de API deve encontrar antes do lançamento.
Auditoria da rede de filiais
Ilustrativo: painéis de administração de caixas expostos à Internet e uma rede plana entre escritórios, detetados com testes externos e internos e fechados com segmentação e reforço do perímetro.
Preparação para ISO 27001
Ilustrativo: a construção do SGSI (processos, políticas, procedimentos e formação do pessoal), pronto para as auditorias de Fase 1 e Fase 2 de um organismo acreditado.
Tudo o que encontramos fica entre nós
Cada projeto começa com um acordo de confidencialidade. Os detalhes da sua infraestrutura, os nossos achados e os relatórios só estão acessíveis às pessoas que trabalham no seu projeto, incluindo qualquer subcontratado, que fica vinculado a uma confidencialidade equivalente. Não são divulgados a mais ninguém, salvo quando a lei o exija.
Assinamos um acordo de confidencialidade antes de receber qualquer acesso.
Os acessos, artefactos e relatórios são armazenados cifrados.
O acesso aos dados é limitado aos membros do projeto, estritamente segundo o princípio da necessidade de conhecer.
Os dados de trabalho são eliminados ou devolvidos no fim do período de retenção acordado, e os acessos temporários são removidos.
Perguntas frequentes
Uma auditoria avalia a segurança de configurações, processos e arquitetura. Um pentest é um ataque controlado que verifica como seria possível penetrar de facto. Muitas vezes são feitos em conjunto.
É assim que o planeamos. Primeiro acordamos o modelo de ameaças, os limites e as regras; testes pesados ou potencialmente disruptivos só são feitos numa janela acordada. Testar ativamente sistemas em produção implica sempre algum risco de perturbação, por isso planeamos em função das suas cópias de segurança e dos seus períodos críticos.
Um relatório com achados priorizados, uma avaliação do risco de negócio e passos concretos de correção. Mais acompanhamento da remediação e um reteste gratuito dos achados corrigidos, dentro do prazo fixado no Statement of Work (SoW).
Sim. Aconselhamos a sua equipa na correção e voltamos a testar para confirmar que os riscos ficam fechados.
ISO 27001, SOC 2, PCI DSS, GDPR, OWASP ASVS, NIST CSF e outras. Construímos os processos e a documentação para a norma e acompanhamos até ao certificado.
Prazos realistas: pentest (1-3 semanas), auditoria de segurança (2-4 semanas), preparação para ISO 27001 (6-9 meses) e PCI DSS (3-6 meses). O SOC 2 Type II exige 3 meses de implementação e mais um período de observação de 3 a 12 meses.
Assinamos um NDA antes de começar. Os achados e as evidências são guardados cifrados em sistemas com controlo de acesso, o acesso segue o menor privilégio, os relatórios são entregues por canais seguros e os dados de trabalho são eliminados ou devolvidos no fim do período de retenção acordado.