Sete superfícies, sete perguntas
Uma aplicação web não quebra pelo mesmo motivo que uma conta em nuvem, e nenhuma das duas quebra do jeito que uma pessoa quebra. Por isso cada serviço tem um método, um vocabulário e uma visualização própria, mas todos terminam no mesmo lugar: evidência, prioridade e correção.
Catálogo
Serviços combinam. É comum que uma avaliação de aplicação faça mais sentido junto com a API que a sustenta, ou que uma campanha de phishing anteceda uma operação de Red Team.
Simulação de cenários reais de intrusão contra aplicações e portais, para identificar pontos de exposição e avaliar a segurança, a integridade e a confiabilidade do que sustenta a sua operação.
Ver serviçoAvaliação dos canais de integração entre sistemas, aplicações e parceiros, verificando se apenas requisições legítimas são processadas e o que acontece quando alguém pergunta algo que não deveria poder perguntar.
Ver serviçoAvaliação de redes, servidores e perímetros interno e externo, simulando o comportamento de um agente malicioso para medir a resistência dos ativos críticos e a maturidade de segurança da organização.
Ver serviçoAuditoria de ambientes em AWS, Microsoft Azure e Google Cloud Platform, avaliando isolamento de dados, acessos e armazenamento, e identificando riscos de configuração e de arquitetura.
Ver serviçoAvaliação de aplicativos iOS e Android com análise estática e dinâmica, para identificar vulnerabilidades que possam transformar o aplicativo em um vetor de entrada e para proteger identidade e dados sensíveis.
Ver serviçoSimulações de engenharia social para medir a resiliência dos colaboradores, identificar padrões de comprometimento e apoiar a conscientização em segurança, com foco em processo, não em exposição de pessoas.
Ver serviçoSimulação de ataques completos contra a organização (pessoas, processos, tecnologia, detecções e controles) para avaliar como a empresa responde ao longo de uma cadeia de ataque, e não apenas se uma falha existe.
Ver serviçoEscopo sob medida
Na conversa inicial mapeamos sua superfície e seus riscos prioritários para indicar o formato que entrega mais valor primeiro, mesmo que seja um escopo menor do que você imaginava.
Falar com a InfinityModalidades
Nenhuma modalidade é melhor que as outras. A escolha define o que o mesmo tempo de trabalho consegue cobrir, e qual pergunta a avaliação responde.
O auditor inicia sem informações internas sobre a infraestrutura ou o código. É a visão de um atacante externo, construída a partir do que a empresa expõe ao mundo.
Abordagem híbrida, com informação parcial: credenciais de baixo privilégio, documentação básica ou diagramas de arquitetura.
Conhecimento completo do alvo: código-fonte, documentação de APIs, diagramas detalhados de rede e credenciais administrativas.
Quanto mais informação disponível, mais profundidade o mesmo prazo alcança. Quanto menos informação, mais fiel o exercício é à experiência de um atacante externo. A escolha depende da pergunta que você precisa responder.
Próximo passo
A conversa inicial não exige material técnico preparado. Serve para entender sua superfície, seus riscos prioritários e o formato de teste que faz sentido agora.