Vorpcel / Serviços / Segurança ofensiva
Testamos como um atacante poderia comprometer suas aplicações e infraestrutura. Os testes manuais validam falhas, demonstram seu impacto e orientam sua equipe na correção.
Em resumo
Um scanner pode apontar uma possível vulnerabilidade. O pentest verifica se ela pode ser explorada dentro do escopo acordado, quais acessos permite e quais dados ou operações coloca em risco.
Combinamos descoberta automatizada com investigação manual de autenticação, autorização e lógica de negócio. Cada achado confirmado inclui evidências, contexto e orientações para sua equipe corrigir.
Valide uma nova aplicação, API ou versão mobile antes de disponibilizá-la aos clientes.
Verifique novas integrações, permissões e fluxos críticos após uma mudança significativa.
Apresente uma avaliação técnica quando um cliente analisar a segurança da sua empresa antes de fechar contrato.
Reúna evidências de testes dos sistemas e requisitos definidos no escopo.
Avalie a exposição após migrações, mudanças de rede ou adoção de serviços em nuvem.
Reavalie ativos críticos conforme seu ambiente e sua superfície de ataque evoluem.
Testamos a aplicação em execução e suas interfaces, com foco nas ações e nos dados que um atacante poderia alcançar.
Avaliamos serviços expostos e caminhos internos que poderiam permitir acesso indevido ou ampliar um comprometimento.
Investigamos como identidades, permissões e recursos expostos poderiam formar um caminho de ataque nas contas de nuvem acordadas.
Avaliamos o aplicativo mobile e sua comunicação com os serviços de back-end, nas plataformas e versões definidas no escopo.
Escopo, acessos, janelas de teste e datas de entrega são acordados antes do início. O cronograma depende dos ativos e da profundidade da avaliação.
Definimos ativos, contas de teste, exclusões e condições de interrupção, com autorização por escrito e um contato técnico.
Mapeamos a superfície de ataque acordada e validamos os achados manualmente. Problemas críticos são comunicados prontamente pelo canal combinado.
Apresentamos as evidências, o impacto no negócio e as correções recomendadas à equipe técnica e aos responsáveis pelo negócio.
Sua equipe implementa as correções. Validamos os achados acordados na janela de reteste definida na proposta e atualizamos seu status.
Uma visão clara do escopo, das limitações, dos principais riscos e das prioridades recomendadas para a liderança.
Achados validados com ativos afetados, evidências, passos de reprodução e orientações de correção.
Recomendações ordenadas por impacto e contexto, com status de reteste dos achados revisados na janela acordada.
Definimos a cobertura, a profundidade e as condições de reteste na proposta, conforme seu ambiente e seus objetivos.
| Opção | Indicado para | O que inclui |
|---|---|---|
| Avaliação focada | Uma aplicação, API ou fluxo crítico específico | Testes dos ativos selecionados, relatório e reteste acordado |
| Avaliação ampliada | Vários sistemas ou um perímetro de infraestrutura | Testes coordenados no escopo acordado, relatório consolidado e reteste acordado |
| Avaliações recorrentes | Equipes com entregas frequentes ou necessidade de validação periódica | Avaliações programadas com revisão de escopo a cada ciclo e acompanhamento de achados anteriores |
Uma varredura identifica possíveis falhas automaticamente. O pentest acrescenta investigação manual para validar a possibilidade de exploração, testar a lógica de negócio e explicar o impacto dos achados confirmados.
O ambiente e as técnicas permitidas são acordados na definição de escopo. Testes em produção exigem autorização específica, janelas de execução, limites operacionais e um contato que possa interromper o trabalho.
Podemos testar sem credenciais, com contas de teste ou com informações técnicas adicionais, conforme o objetivo. Código-fonte não é necessário em todo pentest; uma revisão aprofundada de código pode ser definida separadamente.
O pentest avalia o escopo acordado em um período definido. Ele não garante a ausência de vulnerabilidades nem substitui práticas contínuas de segurança. O relatório registra a cobertura e as limitações para contextualizar os resultados.
Respondemos com algumas perguntas sobre o escopo e depois enviamos uma proposta com datas e preço.