Análises automatizadas
Toda semana, analisamos os sistemas e ambientes definidos no escopo. Um especialista revisa os resultados e você recebe evidências, prioridades e orientações para corrigir as falhas.
Definir o escopo
Seu time de segurança ofensiva, de forma contínua.
A Pentesty reúne especialistas e tecnologias próprias em um programa de segurança ofensiva adaptado ao seu produto e ao seu negócio. Combinamos pentests, Red Team, análises automatizadas e outros serviços do portfólio conforme seus riscos e objetivos, acompanhando as mudanças do produto e a evolução das correções.
Vamos montar seu programa de segurançaSeu produto define o escopo.
Cada trabalho começa pelo seu contexto: seu produto, seus riscos e suas prioridades. A partir disso, construímos um escopo personalizado e direcionamos os testes para o que pode comprometer sua operação, seus dados e a confiança dos seus clientes.
Pentest
WebAplicações, autenticação, permissões e lógica de negócio. Avaliamos os fluxos que sustentam sua operação.
APIAutorização, exposição de dados, integrações e isolamento entre usuários e organizações.
MobileAplicativos Android e iOS, armazenamento local, comunicação e integrações incluídas no escopo.
InfraestruturaRedes internas e externas, serviços, identidades e dispositivos conectados, incluindo câmeras e catracas. Avaliamos a segurança dos ativos de rede definidos no escopo.
CloudContas e projetos em nuvem, permissões, recursos expostos e relações de confiança entre serviços.
Red Team
- Red Team contínuoNossa equipe conduz simulações de ataque recorrentes, revê os objetivos com seu time e verifica as correções entre os exercícios.
- Emulação de adversáriosCenários baseados em ameaças relevantes para avaliar como suas defesas respondem às técnicas previstas no exercício.
- Engenharia socialSimulações para avaliar como seu time reconhece e reage a tentativas de manipulação e fraude, seguindo cenários e limites acordados.
- Intrusão físicaTestes de acesso físico integrados aos cenários do Red Team, com locais, objetivos e limites acordados com seu time.
- Campanhas de phishingSimulações acordadas para medir o reconhecimento e o reporte de tentativas de fraude e orientar melhorias em pessoas, processos e controles.
Como trabalhamos
01
Contexto e prioridades
Entendemos seu produto, os riscos para o negócio e seus objetivos. Juntos, selecionamos os serviços e definimos escopo, acessos, limites e cadência do programa.
02
Testes com especialistas e tecnologias próprias
Executamos os testes e exercícios previstos no escopo. Nossas tecnologias próprias apoiam a investigação, e nossos especialistas verificam as evidências e avaliam o impacto no seu negócio.
03
Achados e orientação de correções
Apresentamos os achados e priorizamos as correções pelo impacto. Seu time recebe evidências e orientações para implementar as mudanças, incluindo um prompt de correção por achado.
04
Retestes e próximo ciclo
Verificamos as correções nos retestes acordados e registramos a evolução dos achados. Revemos as prioridades com seu time para planejar o próximo ciclo e considerar as mudanças do produto.
Vamos montar seu programa de segurança
A combinação de serviços, a cadência e a profundidade dos testes são definidas no escopo do programa e revistas com seu time conforme os riscos e as prioridades mudam.
Clareza para decidir. Evidências para corrigir.
Você recebe evidências validadas por especialistas e prioridades de correção conectadas ao impacto no seu negócio, com profundidade e formato definidos para seu programa ou projeto.
Conheça nossa metodologiaVisão executivaPlataforma de exemplo
Três prioridades para esta rodada
Os riscos abaixo afetam dados de clientes e a negociação de contratos. A correção do primeiro item deve anteceder o próximo lançamento.
- Exportação de dados sem controle de acessoRisco de exposição de dados de clientesAlta
- Sessões permanecem válidas após troca de senhaRisco de tomada de contaMédia
- Permissões amplas em uma conta de serviçoAmplia o impacto de um eventual acesso indevidoMédia
Relatório técnicoAchado de exemplo · CVSS 8.6
Exportação de dados acessível entre organizações
Um usuário autenticado consegue exportar registros de outra organização ao alterar o identificador na requisição.
GET /api/v2/orgs/4817/export HTTP/2 Authorization: Bearer <token da organização 2093> HTTP/2 200 registros de outra organização
Recomendação: validar no servidor se o usuário pertence à organização solicitada antes de gerar a exportação.
Cobertura e limitaçõesPlataforma de exemplo
O que foi avaliado e em quais condições
- Aplicação web e autenticaçãoTestado com dois perfis de acessoAvaliado
- API pública v2Ambiente de homologaçãoAvaliado
- Webhooks de pagamentoSem credenciais do parceiro durante a janela de testeInconclusivo
- Aplicativo AndroidFora do escopo desta rodadaNão incluído
Validação das correçõesReteste de exemplo
O que mudou desde a última rodada
- Exportação de dados entre organizaçõesRequisição agora retorna 403Corrigido
- Sessões após troca de senhaSessões móveis ainda permanecem ativasRequer atenção
- Permissões da conta de serviçoPermissões reduzidas ao necessárioCorrigido
Prompt de correçãoAchado de exemplo
Pronto para sua equipe ou ferramenta de IA
Contexto: a rota GET /api/v2/orgs/:id/export não verifica se o usuário pertence à organização solicitada. Tarefa: adicione a verificação no servidor, antes de gerar a exportação, e retorne 403 quando o usuário não for membro. Como validar: repita a requisição com o token de outra organização e confirme o 403. Depois, confirme que membros legítimos continuam exportando normalmente.
Sua equipe revisa e aplica a alteração. O reteste confirma o resultado nas condições contratadas.
Conteúdo ilustrativo. Profundidade e formato são definidos para seu programa ou projeto.
Perguntas frequentes
Ficou com dúvida? Fale com a gente em support@pentesty.co
Quais serviços a Pentesty oferece?
Oferecemos pentests Web, API, Mobile, Infraestrutura e Cloud, análises automatizadas e exercícios de Red Team, incluindo emulação de adversários, engenharia social e phishing. Combinamos os serviços em um programa recorrente ou em um projeto pontual, conforme o escopo acordado.
Qual é a diferença entre Pentest e Red Team?
O Pentest investiga vulnerabilidades em um escopo definido. O Red Team simula ações de um invasor para avaliar como suas equipes e controles respondem. No programa contínuo, revemos os objetivos com seu time, executamos campanhas acordadas e acompanhamos as correções. Os exercícios podem combinar emulação de adversários, engenharia social, phishing e intrusão física.
Como a Pentesty usa tecnologias próprias?
Nossas tecnologias próprias apoiam os especialistas na investigação de vulnerabilidades e no aprofundamento das análises. Eles verificam as evidências, avaliam o impacto no seu produto e priorizam as correções de acordo com os riscos para o seu negócio.
O que recebo ao final do trabalho?
Você recebe uma visão executiva e um relatório técnico. Cada achado inclui evidências, prioridade e recomendações de correção. Seu time revisa e aplica as alterações. Apresentamos os resultados e, no Red Team, os caminhos de ataque e como suas equipes e controles responderam aos testes.
Quanto custa e quanto tempo leva?
Investimento, prazos e frequência dependem dos sistemas, riscos, objetivos e da profundidade do trabalho. Definimos serviços, escopo, cronograma, entregas e condições de reteste na proposta antes de começar.
Como funciona o programa recorrente?
Começamos pelos riscos e objetivos do seu negócio para definir quais serviços do nosso portfólio fazem sentido em cada etapa. Ao longo do programa, revemos as prioridades com seu time, investigamos vulnerabilidades e validamos as correções acordadas. A combinação de serviços, a frequência dos trabalhos e os retestes são definidos na proposta.
Posso contratar um projeto pontual?
Sim. Se você precisa avaliar um sistema, investigar um risco específico ou realizar um exercício definido, podemos estruturar um projeto pontual. Escopo, prazo, entregas e condições de reteste são acordados na proposta.
O reteste está incluído?
O reteste verifica as correções dos achados acordados. Sua inclusão, prazo, quantidade de rodadas e limites são definidos na proposta. Novos ativos ou mudanças relevantes podem exigir um novo escopo.
O relatório ajuda em auditorias e compliance?
As evidências podem apoiar auditorias e avaliações de conformidade. A aceitação depende do requisito, do escopo e da avaliação do auditor. O relatório não certifica conformidade nem garante aprovação em ISO 27001, SOC 2, PCI DSS ou LGPD.
Como os testes são autorizados e conduzidos?
Antes da execução, alinhamos autorização, ativos, técnicas permitidas, janelas, contatos e condições de interrupção. Engenharia social e atividades físicas recebem limites próprios. O tratamento das evidências é acordado com o cliente.
Vamos construir o escopo para o seu produto?
Converse com nossos especialistas sobre seu produto, seus riscos e suas prioridades. Juntos, definimos o trabalho que faz sentido para o seu negócio.
Montar meu programa