Segurança ofensiva
Scans de vulnerabilidades e testes de invasão
Uma avaliação completa, executada sob demanda. A varredura cobre a superfície declarada; cada achado é validado por um especialista, priorizado pelo impacto no negócio e traduzido em plano de remediação. Reteste e carta de atestação incluídos.
Execução de ferramenta e relatório de achados, sem tratamento dos falsos positivos.
Achados validados um a um, priorizados e traduzidos em plano de remediação.
Um hacker ético simula de forma controlada a exploração de vulnerabilidades, com achados para demonstrar impacto e mapear caminho de ataque.
As camadas 3 e 4 do modelo de gestão contínua de vulnerabilidades em camadas da VEESEC, aqui podem ser executadas de forma avulsa.
Por que organizações avaliam vulnerabilidades
Quatro razões objetivas para dar visibilidade técnica à superfície exposta.
Exigência de terceiros
Clientes, parceiros, instituições financeiras, seguradoras e investidores solicitam evidência de teste de segurança em processos de cadastro, homologação e avaliação de fornecedores.
Exigência regulatória
Setores regulados possuem requisitos próprios de varreduras e testes periódicos, com prazos e retenção de evidências definidos.
Certificação
ISO/IEC 27001, SOC 2, TISAX e PCI DSS demandam avaliação técnica periódica documentada.
Decisão interna
Sem visibilidade da superfície exposta, a priorização de investimento em segurança é feita por intuição.
O que pode ser incluído no escopo
Superfície externa
Ativos e serviços expostos à internet.
Infraestrutura interna
Varredura autenticada na infraestrutura interna.
Ambientes em nuvem
Recursos e serviços em nuvem declarados no escopo.
Aplicações web
Aplicações e portais expostos, autenticados ou públicos, declarados no escopo.
Escopo declarado pelo cliente e validado em conjunto antes da execução, sem cobrança por ativo fora do escopo.
Como funciona
Cinco fases, da definição do escopo à apresentação dos resultados.
Alinhamento de escopo
Ativos declarados, janelas de execução e credenciais confirmados com os pontos de contato.
Descoberta e enumeração
Serviços e portas expostos identificados e conferidos contra o escopo declarado.
Varredura e coleta de evidências
Execução nas janelas acordadas, autenticada nos ambientes aplicáveis.
Análise, validação e priorização
Validação por especialista, descarte de falsos positivos e plano de remediação.
Relatório e apresentação
Emissão da documentação e reunião de apresentação dos resultados.
Após a janela de correção, reexecução direcionada sobre os itens corrigidos e atualização do status de remediação na documentação.
Varreduras executadas com Tenable Nessus Professional, plataforma licenciada e mantida atualizada pela VEESEC.
Entregáveis
Relatórios técnicos. Por hosts e por vulnerabilidades, com evidências dos achados e classificação de severidade.
Relatório executivo. Dashboard compilado para visão gerencial.
Plano de remediação priorizado. Correções sugeridas e esforço estimado por item
Reunião de apresentação dos resultados. Explicação sobre os achados e próximos passos.
Reteste de validação das correções. Reexecução direcionada sobre os itens corrigidos.
Carta de atestação assinada
Dados sensíveis e credenciais trafegam por canal seguro, com prazo definido de descarte das evidências.
Testes de invasão
A varredura mostra onde estão as brechas; o teste de invasão explora os achados em ambiente controlado para demonstrar impacto e mapear o caminho de ataque. A execução técnica é feita por parceiros especializados; com escopo, acompanhamento, revisão técnica e apresentação dos resultados coordenados pela VEESEC.
Contratado no mesmo ciclo da varredura, de forma avulsa, ou incorporado ao serviço gerenciado, com a periodicidade definida pela norma ou pelo cliente.
Combinação definida pelo alvo e pelo objetivo do teste.
Black box
Nenhuma informação prévia. O testador parte da posição de um atacante externo, sem credenciais nem documentação, e descobre a superfície durante o teste.
Gray box
Informação parcial: credenciais de usuário comum, documentação ou visão da arquitetura. Simula quem já tem algum acesso, como funcionário, prestador ou parceiro.
White box
Informação completa: arquitetura, configurações, credenciais privilegiadas e, quando aplicável, código. Cobertura maior geralmente no mesmo tempo do teste gray box.
Da avaliação pontual ao programa contínuo
Três formas de evoluir a visibilidade sobre vulnerabilidades.
Análise ou teste avulso
Uma avaliação completa, executada sob demanda.
Ciclos periódicos
Reavaliações programadas ao longo de doze meses.
Gestão contínua
Vulnerabilidades sob gestão contínua do VEESEC Security Center.
Conheça nossa gestão contínua de vulnerabilidades