Vexaro SecurityServiços

Serviços de segurança, de início ao fim

Seis serviços de testes ofensivos: pentests web, de API, mobile e de rede, uma revisão da configuração de cloud e red team. Escolha um ou combine vários. Todos os projetos são sobretudo manuais e terminam com achados priorizados, o respetivo risco de negócio e um plano de remediação aplicável.

Teste de intrusão de aplicações web

Testes sobretudo manuais, alinhados com o OWASP WSTG e verificados face ao ASVS, focados nas falhas de lógica de negócio e de controlo de acessos que os scanners não apanham.

Âmbito típico

Cobertura mapeada ao OWASP WSTG
Autenticação, autorização, lógica de negócio
Black-box, grey-box ou white-box

O que recebe

CVSS 3.1 com prova de conceito
Referências CWE / WSTG / ASVS
Reteste gratuito no prazo do SoW

Explorar este serviço

Teste de intrusão de API

Testes autenticados, com várias funções, a APIs REST e GraphQL para BOLA, BFLA e autorização ao nível das propriedades de objeto, segundo o OWASP API Top 10 (2023).

Âmbito típico

OWASP API Top 10 (2023)
BOLA, BFLA, autorização de propriedades de objeto
REST e GraphQL, com várias funções

O que recebe

Prova de conceito de pedido/resposta
Referências CVSS 3.1 e CWE
Reteste gratuito no prazo do SoW

Explorar este serviço

Teste de intrusão de aplicações móveis

iOS e Android, análise estática e dinâmica segundo o OWASP MASVS v2.1.0 e o MASTG, além da API de backend que serve a aplicação.

Âmbito típico

OWASP MASVS v2.1.0 / MASTG
iOS e Android, estática + dinâmica
A aplicação e a sua API de backend

O que recebe

CVSS 3.1 com evidência
Referências MASVS / MASTG / CWE
Reteste gratuito no prazo do SoW

Explorar este serviço

Teste de intrusão de rede

Testes externos, internos e de segmentação com base no PTES e no NIST SP 800-115. Validam ativamente o isolamento e apoiam o PCI DSS Req 11.4.

Âmbito típico

Externo, interno e de segmentação
PTES e NIST SP 800-115
Valida ativamente o isolamento

O que recebe

Resultados do teste de segmentação
CVSS 3.1, referências CVE / CWE
Reteste gratuito no prazo do SoW

Explorar este serviço

Avaliação de segurança da cloud

Revisão da configuração da cloud (AWS, Azure, GCP) face aos CIS Benchmarks, no âmbito da nossa auditoria de segurança: identidade, armazenamento, rede e registo.

Âmbito típico

Revisão de configuração AWS / Azure / GCP
Face aos CIS Benchmarks
Identidade, armazenamento, rede, registo

O que recebe

Achados mapeados aos controlos CIS
Caminhos de IAM e de escalada de privilégios
Reteste gratuito no prazo do SoW

Explorar este serviço

Red Team

Simulação orientada a objetivos através de pessoas, processos e tecnologia, alinhada com o MITRE ATT&CK. Testa a deteção e a resposta e termina com uma sessão purple team.

Âmbito típico

Pessoas, processos e tecnologia
Mapeado ao MITRE ATT&CK
Cenários de violação assumida

O que recebe

Narrativa do ataque e kill chain
Lacunas de deteção e resposta
Sessão purple-team

Explorar este serviço

Veja um relatório de exemplo

Quer saber o que recebe na prática? Leia um relatório de avaliação ilustrativo e expurgado, com a mesma estrutura, profundidade e tom de uma entrega real.

Preparação para a conformidade e resposta a incidentes

Para lá dos testes ofensivos: preparação feita por especialistas para as certificações que os seus clientes pedem, uma avença de resposta a incidentes com tempo de resposta garantido e testes à superfície de ataque humana. Preparamos e acompanhamos; a atestação é sempre emitida por um organismo independente.

Preparação para SOC 2 e acompanhamento da auditoria

Avaliação de lacunas SOC 2 feita por especialistas, remediação e acompanhamento da auditoria face aos Trust Services Criteria, mais as evidências do pentest. Preparação, não a atestação.

Explorar este serviço

Preparação para ISO 27001 e consultoria de SGSI

Implementação do SGSI segundo a ISO/IEC 27001:2022 feita por especialistas, tratamento de riscos, controlos do Anexo A e auditoria interna, mais as evidências do pentest. Preparação, não o certificado.

Explorar este serviço

Preparação para PCI DSS e testes de intrusão

Preparação para PCI DSS v4.0.1: definição do âmbito do CDE, avaliação de lacunas e testes de intrusão e de segmentação do Req 11.4. Preparação e testes, não uma atestação de QSA.

Explorar este serviço

Avença de resposta a incidentes e DFIR

Uma avença de IR com tempo de resposta garantido e investigação DFIR, alinhada com o NIST SP 800-61 Rev. 3. Pode ser contratada através do seu advogado.

Explorar este serviço

Engenharia social e simulação de phishing

Phishing, spear-phishing, vishing e smishing autorizados para medir a superfície de ataque humana e a sua resposta, mapeados ao MITRE ATT&CK. Um exercício de aprendizagem, não de culpabilização.

Explorar este serviço

Importante: prestamos preparação, avaliação de lacunas, remediação e os testes de intrusão de apoio. Não somos uma empresa de CPA, um organismo de certificação acreditado nem um QSA, e não emitimos relatórios SOC 2, certificados ISO 27001 nem PCI Reports on Compliance. Esses documentos vêm do avaliador independente.

Aprenda o essencial

Novo nos testes de intrusão? Comece pelos fundamentos, ou veja quanto custa um projeto.

Glossário de segurança

Explicações em linguagem simples: o que são os testes de intrusão, o CVSS, o OWASP Top 10, SOC 2 vs ISO 27001 e mais.

Explorar o glossário

Quanto custa um pentest?

Um guia sobre o que determina o preço de um projeto e o que inclui um orçamento a sério.

Ler o guia de custos

Segurança para o seu setor

Como abordamos os testes de segurança e a conformidade para empresas de fintech e SaaS.

Ver setores

Formatos e prazos realistas

Durações indicativas. O âmbito final depende do volume e do modelo de ameaças acordado.

1-3 semanas

Testes de intrusão

Web, mobile, API ou perímetro externo.

2-4 semanas

Auditoria de segurança e documentação

Infraestrutura, configurações e processos.

3-6 semanas

Red Team

Simulação de ataque direcionado segundo um cenário acordado.

6-9 meses

Preparação para ISO 27001

Implementação do SGSI, documentação e auditoria interna.

3 + 3-12 meses

SOC 2 Type II

Implementação de controlos mais o período de observação.

3-6 meses

PCI DSS

Preparação para a avaliação QSA.

Não sabe qual a modalidade adequada?

Fale-nos do seu sistema e dos seus objetivos, e recomendamos o formato e o âmbito adequados. A primeira consulta é gratuita.