Vorpsel / Serviços / Segurança ofensiva
Teste de intrusão (pentest)
Testamos como um atacante poderia comprometer suas aplicações e infraestrutura. Os testes manuais validam falhas, demonstram seu impacto e orientam sua equipe na correção.
Em resumo
- Para Equipes de produto, tecnologia e segurança
- Formato Escopo definido, com avaliações pontuais ou recorrentes
- Abordagem Testes manuais apoiados por ferramentas automatizadas
- Você recebe Achados validados e plano de correção priorizado
Entenda o que uma falha representa para o seu negócio
Um scanner pode apontar uma possível vulnerabilidade. O pentest verifica se ela pode ser explorada dentro do escopo acordado, quais acessos permite e quais dados ou operações coloca em risco.
Combinamos descoberta automatizada com investigação manual de autenticação, autorização e lógica de negócio. Cada achado confirmado inclui evidências, contexto e orientações para sua equipe corrigir.
Quando isso faz sentido
Antes de um lançamento
Valide uma nova aplicação, API ou versão mobile antes de disponibilizá-la aos clientes.
Após mudanças importantes
Verifique novas integrações, permissões e fluxos críticos após uma mudança significativa.
Exigências de clientes
Apresente uma avaliação técnica quando um cliente analisar a segurança da sua empresa antes de fechar contrato.
Preparação para auditoria
Reúna evidências de testes dos sistemas e requisitos definidos no escopo.
Mudanças na infraestrutura
Avalie a exposição após migrações, mudanças de rede ou adoção de serviços em nuvem.
Validação periódica
Reavalie ativos críticos conforme seu ambiente e sua superfície de ataque evoluem.
O que o trabalho cobre
Aplicações web e APIs
Testamos a aplicação em execução e suas interfaces, com foco nas ações e nos dados que um atacante poderia alcançar.
- Autenticação, sessões e recuperação de contas
- Autorização e separação entre clientes
- Tratamento de entradas, uploads e lógica de negócio
Redes internas e externas
Avaliamos serviços expostos e caminhos internos que poderiam permitir acesso indevido ou ampliar um comprometimento.
- Serviços acessíveis pela internet e interfaces administrativas expostas
- Segmentação de rede e restrições de acesso
- Elevação de privilégios e movimentação lateral dentro do escopo
Ambientes em nuvem
Investigamos como identidades, permissões e recursos expostos poderiam formar um caminho de ataque nas contas de nuvem acordadas.
- Permissões de identidade e limites de privilégio
- Exposição de armazenamento e acesso a recursos sensíveis
- Segredos e relações de confiança entre serviços
Aplicações mobile
Avaliamos o aplicativo mobile e sua comunicação com os serviços de back-end, nas plataformas e versões definidas no escopo.
- Armazenamento local de dados sensíveis e credenciais
- Gerenciamento de sessões, proteção do tráfego e interação com APIs
Como funciona
Escopo, acessos, janelas de teste e datas de entrega são acordados antes do início. O cronograma depende dos ativos e da profundidade da avaliação.
Escopo e autorização
Definimos ativos, contas de teste, exclusões e condições de interrupção, com autorização por escrito e um contato técnico.
Descoberta e testes
Mapeamos a superfície de ataque acordada e validamos os achados manualmente. Problemas críticos são comunicados prontamente pelo canal combinado.
Relatório e apresentação
Apresentamos as evidências, o impacto no negócio e as correções recomendadas à equipe técnica e aos responsáveis pelo negócio.
Correção e reteste
Sua equipe implementa as correções. Validamos os achados acordados na janela de reteste definida na proposta e atualizamos seu status.
O que você recebe
Resumo executivo
Uma visão clara do escopo, das limitações, dos principais riscos e das prioridades recomendadas para a liderança.
Relatório técnico
Achados validados com ativos afetados, evidências, passos de reprodução e orientações de correção.
Plano de correção priorizado
Recomendações ordenadas por impacto e contexto, com status de reteste dos achados revisados na janela acordada.
Formas de trabalhar conosco
Definimos a cobertura, a profundidade e as condições de reteste na proposta, conforme seu ambiente e seus objetivos.
| Opção | Indicado para | O que inclui |
|---|---|---|
| Avaliação focada | Uma aplicação, API ou fluxo crítico específico | Testes dos ativos selecionados, relatório e reteste acordado |
| Avaliação ampliada | Vários sistemas ou um perímetro de infraestrutura | Testes coordenados no escopo acordado, relatório consolidado e reteste acordado |
| Avaliações recorrentes | Equipes com entregas frequentes ou necessidade de validação periódica | Avaliações programadas com revisão de escopo a cada ciclo e acompanhamento de achados anteriores |
Perguntas
Qual é a diferença entre pentest e varredura de vulnerabilidades?
Uma varredura identifica possíveis falhas automaticamente. O pentest acrescenta investigação manual para validar a possibilidade de exploração, testar a lógica de negócio e explicar o impacto dos achados confirmados.
Vocês podem testar sistemas em produção?
O ambiente e as técnicas permitidas são acordados na definição de escopo. Testes em produção exigem autorização específica, janelas de execução, limites operacionais e um contato que possa interromper o trabalho.
Vocês precisam de contas ou código-fonte?
Podemos testar sem credenciais, com contas de teste ou com informações técnicas adicionais, conforme o objetivo. Código-fonte não é necessário em todo pentest; uma revisão aprofundada de código pode ser definida separadamente.
A avaliação garante que nossos sistemas estão seguros?
O pentest avalia o escopo acordado em um período definido. Ele não garante a ausência de vulnerabilidades nem substitui práticas contínuas de segurança. O relatório registra a cobertura e as limitações para contextualizar os resultados.
Outros serviços
Conte o que você precisa.
Respondemos com algumas perguntas sobre o escopo e depois enviamos uma proposta com datas e preço.