Segurança ofensiva para riscos reais
Realizamos testes de intrusão (penetration testing) com metodologia rigorosa e entregamos relatórios claros, priorizados e prontos a agir, para equipas técnicas e para a gestão.
Serviços
Cada projeto é adaptado ao seu âmbito, ao seu setor e ao nível de risco que quer avaliar.
Testes a aplicações web, APIs REST/GraphQL e lógica de negócio.
Referenciais: OWASP Top 10 · ASVS · API Security Top 10
Avaliação do perímetro exposto à Internet e da rede interna.
Referenciais: PTES · NIST SP 800-115 · MITRE ATT&CK
Análise estática e dinâmica de apps Android e iOS e dos respetivos backends.
Referenciais: OWASP MASVS · MASTG
Revisão de configuração e testes de intrusão em AWS, Azure e Google Cloud.
Referenciais: CIS Benchmarks · Guias dos fornecedores cloud
Campanhas simuladas para medir e melhorar a resistência das pessoas.
Referenciais: Campanhas autorizadas e éticas
Simulação de um adversário real contra pessoas, processos e tecnologia.
Referenciais: MITRE ATT&CK
Metodologia
Seguimos referenciais reconhecidos (PTES, OWASP e NIST SP 800-115) e adaptamo-los a cada projeto.
Fase 01
Definimos alvos, objetivos, janelas de teste, contactos de emergência e regras de engajamento. Nada começa sem autorização escrita.
Fase 02
Mapeamos a superfície de ataque com técnicas passivas e ativas e modelamos as ameaças mais relevantes para o seu contexto.
Fase 03
Identificamos vulnerabilidades e exploramo-las de forma controlada para confirmar o impacto real, sem falsos positivos.
Fase 04
Avaliamos até onde um atacante chegaria: dados acessíveis, privilégios obtidos e movimento lateral.
Fase 05
Entregamos resumo executivo, detalhe técnico, classificação de risco (CVSS) e recomendações priorizadas.
Fase 06
Explicamos os resultados à sua equipa e validamos as correções num reteste.
Sobre nós
Somos uma equipa portuguesa de especialistas em segurança ofensiva.
Trabalhamos com organizações que precisam de saber, com evidências, se os seus sistemas resistem a um ataque real. Cada projeto é conduzido por especialistas que combinam rigor técnico com uma comunicação clara.
Acreditamos que a segurança se constrói com transparência: explicamos o que fazemos, porquê e o que pode fazer a seguir.
Não revendemos produtos de segurança. A nossa recomendação é sempre independente e baseada nas evidências que encontramos.
Resumo executivo para a gestão, detalhe técnico com prova de conceito e passos de correção para as equipas.
Regras de engajamento acordadas por escrito e técnicas escolhidas para evitar interrupções nos seus serviços.
NDA, comunicação cifrada e eliminação segura dos dados no fim do projeto.
Conformidade
Os nossos relatórios podem servir de evidência em auditorias e processos de conformidade. O enquadramento aplicável depende do seu setor e da sua dimensão.
A análise de vulnerabilidades identifica falhas conhecidas, normalmente com ferramentas automáticas. O teste de intrusão vai mais longe: um especialista tenta explorar essas falhas, encadeá-las e demonstrar o impacto real no negócio, eliminando falsos positivos.
Planeamos para minimizar o risco. Definimos em conjunto as regras de engajamento, as janelas horárias e as técnicas permitidas, e evitamos testes destrutivos. Também podemos testar em ambientes de pré-produção.
Sim. Só testamos sistemas com autorização escrita do respetivo proprietário. O âmbito, as datas e os contactos de emergência ficam registados antes de começar.
Um relatório com resumo executivo, descrição técnica de cada vulnerabilidade, nível de risco, prova de conceito e recomendações de correção. Apresentamos os resultados numa reunião e podemos validar as correções num reteste.
Depende do âmbito. A estimativa de esforço e de calendário consta sempre da proposta.
Sim. Adaptamos o âmbito e a documentação aos requisitos do seu setor e fornecemos evidências que podem ser usadas em auditorias.
Contacto
Descreva o que pretende testar. Respondemos com uma proposta sem compromisso.
