Coleta de informações
Compreender as necessidades e particularidades do negócio e dos ativos que serão testados.
o que fazemos
Segurança
Encontre suas falhas antes que um atacante encontre
Segurança ofensiva e defensiva de ponta a ponta: pentest, Red Team, simulação de phishing, Purple Team e defesa contínua do seu ambiente, conduzidos por especialistas certificados.
Segurança não se prova em relatório, se prova sob ataque.
Testamos seus sistemas, sua nuvem e o seu time com as mesmas técnicas que um adversário real usaria, e devolvemos o caminho completo do ataque com evidências e correções priorizadas por impacto no negócio. Do primeiro commit à operação em produção, a segurança entra no ciclo em vez de virar auditoria no fim.
-
62%
Das violações de segurança envolvem o fator humano
-
US$ 4,44M
Custo médio de uma violação originada por phishing
-
82%
Das organizações carregam débito de segurança acumulado
Fontes: Verizon DBIR 2026, IBM Cost of a Data Breach 2025 e Veracode SoSS 2026.
SEGURANÇA OFENSIVA
Pentest
Simulação controlada de ataques reais
Nossos especialistas assumem a postura de um adversário para identificar e explorar vulnerabilidades antes que criminosos o façam. Mais do que apontar falhas, o Pentest demonstra o impacto real de cada uma e entrega recomendações claras e priorizadas para correção.
Um scanner detecta sintomas. O Pentest entende o ataque e demonstra o impacto real no seu negócio.
Scanner de vulnerabilidades
- Automatizado e superficial
- Detecta apenas falhas já conhecidas em banco de dados
- Não valida se a vulnerabilidade é realmente explorável
- Alto índice de falsos positivos
- Não mede o impacto real no negócio
Pentest
- Manual, com ferramentas especializadas
- Explora e encadeia vulnerabilidades como um atacante real
- Confirma o que é realmente explorável, sem ruído
- Falsos positivos eliminados pela análise manual
- Mostra o impacto real e prioriza as correções
Abordagens de Pentest
O nível de informação entregue ao testador define o que o teste consegue enxergar.
BLACK BOX
Caixa Preta
O testador não possui nenhum conhecimento prévio do ambiente. Simula fielmente um atacante externo partindo do zero, mapeando a superfície, descobrindo sistemas e explorando o que encontrar.
GRAY BOX
Caixa Cinza
Conhecimento parcial: credenciais de usuário comum ou documentação básica são fornecidas. Simula um insider mal-intencionado ou um atacante que já comprometeu uma conta no ambiente.
WHITE BOX
Caixa Branca
Acesso completo a código-fonte, arquitetura, credenciais e documentação. Permite análise profunda e abrangente, cobrindo vulnerabilidades que não seriam descobertas externamente.
Modalidades de Pentest
Testes aplicados em diferentes ambientes e cenários, identificando vulnerabilidades e riscos reais antes que sejam explorados.
Aplicações web validadas contra as principais classes de vulnerabilidade, seguindo o WSTG da OWASP e combinando ferramentas automatizadas com técnicas manuais.
APIs REST, GraphQL e SOAP avaliadas quanto a falhas de autenticação, autorização e exposição de dados, seguindo o OWASP API Security Top 10.
Aplicativos iOS e Android analisados em engenharia reversa, armazenamento inseguro e comunicação, seguindo o OWASP MASVS.
Servidores, redes e serviços expostos avaliados quanto a configurações inseguras, serviços vulneráveis e caminhos de movimentação lateral.
Ambientes AWS, Azure e GCP revisados quanto a permissões excessivas, recursos expostos e falhas de configuração.
Aplicações com modelos de linguagem testadas contra prompt injection, vazamento de dados e uso indevido de ferramentas, seguindo o OWASP LLM Top 10.
Aplicações desktop analisadas quanto a engenharia reversa, armazenamento local inseguro e mecanismos de atualização.
Etapas do Pentest
Do entendimento do negócio ao reteste que confirma a correção.
Planejamento
Com base nas informações coletadas, define-se o escopo do teste.
Identificação e exploração
Os profissionais buscam identificar e explorar brechas na aplicação.
Relatório
Consolidação dos achados, com evidências e recomendações priorizadas por risco.
Mitigação
A equipe interna corrige as vulnerabilidades identificadas no teste.
Reteste
O teste é refeito para verificar se as correções foram eficazes na eliminação das vulnerabilidades.
SEGURANÇA OFENSIVA
Red Team
Simulação de adversário real com objetivo definido
Operação sigilosa em que, na maior parte dos casos, o time de defesa não sabe que o teste está acontecendo. O objetivo não é listar vulnerabilidades, é comprovar se as suas defesas resistem a um ataque real: detecção, resposta e contenção avaliadas em condição adversarial verdadeira.
O Pentest encontra vulnerabilidades. O Red Team testa se o seu time consegue detectar e parar um adversário real.
Pentest
Red Team
Escopo definido e limitado, de 1 a 4 semanas
Multi-vetor, sem restrições, de 4 a 12 semanas
Objetivo: mapear o máximo de vulnerabilidades
Objetivo: alcançar os ativos sensíveis da organização
O Blue Team pode ser informado sobre o teste
O Blue Team não sabe, teste em condição real
Entregável: lista de falhas por severidade
Entregável: attack path completo e TTPs
Indicado para maturidade básica a intermediária
Indicado para maturidade intermediária e avançada
Red Team de escopo completo
A operação de maior extensão, em que qualquer caminho pode ser explorado: exploração técnica, engenharia social, phishing direcionado e acesso físico de forma simultânea. Simula um adversário real sem limitação de vetor ou janela de tempo, como um grupo APT ou o crime organizado agiria.
Comprometimento assumido
Parte do pressuposto de que o adversário já possui acesso inicial ao ambiente, como uma credencial comprometida ou um endpoint infectado. O foco é avaliar o impacto pós-comprometimento e testar a capacidade de detecção e contenção lateral do Blue Team.
Fases da operação
Reconhecimento
Coleta de inteligência sobre infraestrutura, funcionários, fornecedores e vetores de entrada.
Acesso inicial
Exploração de vetores, spear phishing, vulnerabilidades externas e engenharia social.
Persistência e C2
Canal de comando e controle encoberto e presença duradoura fora do radar do Blue Team.
Movimentação lateral
Navegação interna em busca de sistemas críticos e credenciais privilegiadas.
Escalada de privilégios
Acesso administrativo sobre Active Directory, cloud ou sistemas críticos do ambiente.
Objetivo
Alcance do objetivo definido no briefing, com o comprometimento total documentado.
ENGENHARIA SOCIAL
Simulação de phishing
O risco que a tecnologia não resolve
Exercício controlado que mede como os colaboradores reagem a tentativas reais de ataque por e-mail, SMS e outros canais. Enquanto o Pentest explora falhas técnicas, aqui o alvo é o elo mais vulnerável de qualquer organização: as pessoas. O objetivo é medir, educar e fortalecer a cultura de segurança.
Tipos de campanha
Phishing por e-mail
E-mails fraudulentos com links maliciosos, anexos infectados ou solicitação de credenciais, representando o vetor mais comum de ataque. Permite avaliar o nível de conscientização dos colaboradores e identificar vulnerabilidades comportamentais.
Spear phishing
Campanhas direcionadas a cargos e setores específicos, como diretoria, financeiro e recursos humanos, com mensagens personalizadas a partir de informações previamente coletadas. Mede o risco associado aos perfis mais estratégicos.
Nossa metodologia
-
01
Planejamento
Alvos, setores, tipo de campanha, pretexto e indicadores de sucesso definidos com base no perfil da empresa.
-
02
Execução
Envio das campanhas simuladas com rastreamento de cliques, preenchimento de formulários e respostas em tempo real.
-
03
Análise
Taxa de clique, credenciais inseridas, setores mais vulneráveis e padrões de comportamento.
-
04
Treinamento
Relatório detalhado e sessão de conscientização com os colaboradores impactados, reforçando os aprendizados.
ofensiva e defensiva
Purple Team
Ataque e defesa operando lado a lado
Exercício colaborativo e contínuo em que nossos especialistas simulam ataques reais enquanto a sua defesa aprende a detectar, responder e conter cada movimento em tempo real. Diferente de um teste pontual, as falhas de detecção são ajustadas durante a própria operação, elevando de forma mensurável a maturidade de segurança da empresa.
De silos a defesa integrada
Manter ataque e defesa em silos cria pontos cegos que só aparecem durante um incidente real.
-
Defesas no escuro
Os times de defesa não sabem se ferramentas e alertas realmente funcionam até serem testados contra técnicas reais de adversários.
-
O Pentest é um retrato do momento
Um teste de intrusão tradicional mostra falhas em um único momento e raramente valida a capacidade de detecção e resposta da equipe.
-
Resultado sem continuidade
Sem colaboração entre ataque e defesa, cada exercício termina em um relatório e o aprendizado não se transforma em melhoria contínua.
Nossa metodologia
Planejamento
Escopo, objetivos e cenários de ameaça relevantes ao seu negócio.
Emulação
O Red Team executa técnicas reais de adversários contra o ambiente.
Detecção
O Blue Team monitora, identifica e responde a cada movimento em tempo real.
Colaboração
Ataque e defesa revisam juntos o que foi detectado, o que passou e por quê.
Melhoria
Ajuste de detecções, criação de regras e novo ciclo com cobertura ampliada.
Detecção comprovada
Você sai sabendo exatamente o que a sua defesa detecta e o que ainda precisa cobrir, com evidências reais.
Resposta mais rápida
O time treina contra ataques reais e reduz o tempo de detecção e contenção de incidentes.
Melhoria contínua
Cada ciclo deixa a operação mais forte: novas detecções, processos ajustados e equipe mais preparada.
ENTREGÁVEL
Todo serviço de Segurança Ofensiva termina em relatório e plano de ação
Pentest, Red Team, simulação de phishing e Purple Team são entregues com relatório formal, apresentação dos achados ao time técnico e acompanhamento das recomendações até a remediação.
segurança defensiva
Blue Team, Cloud e DevSecOps
Reduza o risco na origem, antes que vire vulnerabilidade em produção
Enquanto a frente ofensiva valida as defesas, o Blue Team integra segurança ao ciclo de desenvolvimento e à plataforma. Pipeline, infraestrutura, identidade e nuvem endurecidos com benchmarks reconhecidos, sem travar a entrega das squads.
Os pilares da defesa
Application Security e DevSecOps
Segurança integrada ao SDLC: avaliação de programa, pipeline com SAST, SCA e DAST, modelagem de ameaças e revisão de código.
Cloud Security e Platform Engineering
Hardening de infraestrutura como código, Kubernetes, identidade com Keycloak e Entra ID, segredos e rede.
Security Assessment
Avaliação de postura de ambientes cloud e do Active Directory e Entra ID contra benchmarks reconhecidos.
Workshop DevSecOps
Capacitação prática das squads em desenvolvimento seguro, modelagem de ameaças e uso seguro de IA.
IA segura no desenvolvimento
Adoção segura de assistentes de IA e proteção de aplicações GenAI, alinhada ao OWASP LLM Top 10.
Gestão de vulnerabilidades e hardening
Priorização por risco real, remediação contínua e redução do débito de segurança acumulado.
82% das organizações carregam security debt · +34% na exploração de vulnerabilidades · 70% vêm de open source e terceiros
Ciclo DevSecOps
Plan
Modelagem de ameaças e requisitos ainda no design
Code
Segredos e padrões verificados no pre-commit
Build
SAST e SCA a cada build
Test
DAST sobre a aplicação em execução
Release
Scan de contêineres e IaC, com assinatura
Operate
Monitoramento e gestão de vulnerabilidades
Feedback contínuo · cada ciclo realimenta o próximo
Cloud e Platform Security
Segurança versionada e repetível, validada no mesmo pipeline que provisiona o ambiente.
IaC e hardening
Hardening de infraestrutura provisionada via Terraform, com correção de drift e conformidade a CIS Benchmarks aplicada como código.
Dados, contêineres e clusters
Hardening de clusters e cargas com RBAC, network policies e image scanning contínuo, além da análise de ambientes de dados.
IAM, segredos e rede
Federação e hardening de identidade com Keycloak, OIDC/OAuth2 e Entra ID, gestão de segredos em cofre e isolamento de rede.
Security Assessment
Avaliações que transformam risco difuso em achados priorizados e acionáveis.
CLOUD
Configuração e postura
Serviços avaliados contra CIS Benchmarks e boas práticas, identificando desvios de CSPM e drift de configuração.
Identidade e acessos
Análise de IAM, roles e políticas, com foco em contas e privilégios excessivos que permitem escalada.
Exposição e rede
Recursos expostos publicamente, segredos mal protegidos e segmentação de rede frágil.
ACTIVE DIRECTORY E ENTRA ID
Contas privilegiadas
Modelo de tiering, contas órfãs, delegações perigosas e higiene de acessos administrativos.
Caminhos de ataque
Falhas de Kerberos, relações de confiança e caminhos de escalada que levam ao Domain Admin.
Acesso condicional e MFA
Cobertura de MFA, políticas de acesso condicional e hardening de identidade no Entra ID.
PADRÕES
Rastreabilidade que passa em auditoria
Padrões reconhecidos que dão credibilidade aos resultados, prontos para auditoria e reguladores.
OWASP
CAMADA DE APLICAÇÃO
Diretrizes e checklists (WSTG, MASVS, API Top 10 e LLM Top 10) para testar aplicações web, mobile e GenAI.
MITRE ATT&CK
TÉCNICAS DE ADVERSÁRIO
Matriz de TTPs reais que guia a emulação e mapeia a cobertura de detecção da sua defesa.
NIST
MATURIDADE E RISCO
SP 800-115 e CSF para fortalecer a postura e orientar a evolução das capacidades de defesa.
CIS Controls e Benchmarks
HARDENING E GOVERNANÇA
Controles e configurações seguras para aumentar a resiliência dos ambientes.
PTES
TIBER-EU
Cyber Kill Chain
OWASP LLM Top 10
TIME
Um time certificado pelas principais credenciais do mercado
As certificações garantem que cada operação seja conduzida com rigor técnico, metodologia consolidada e conduta ética em todas as fases.
CPTS
eWPTX
eCPPT
OSWE
Certified Red Team Operator
Certified Red Team Lead
Certified Red Team Professional
Certified Az Red Team Professional
SCWAP
SCMP|A
Certified AppSec Practitioner
Certified Mobile Pentester iOS
DCPT
CASES
Resultados que impulsionam negócios
Desafios reais transformados em soluções de alto impacto e valor mensurável.
FINANCEIRO
24
Vulnerabilidades
9 críticas · Black Box
Quebra da ofuscação do código, comprometimento do backoffice do app, alteração de configurações de score de clientes e dump de transações.
IMPACTO EVITADO
Comprometimento do backoffice e alteração de score de clientes corrigidos antes de qualquer exploração real.
LOGÍSTICA
14
Vulnerabilidades
4 críticas · White Box
Escalada de privilégios possibilitando tomar posse de contas administrativas da aplicação e elevação a administrador de serviços de cloud.
IMPACTO EVITADO
Tomada de contas administrativas e elevação a admin de serviços corrigidas antes de qualquer exploração.
BANKING
19
Vulnerabilidades
8 críticas · Black Box
Foi possível tornar a aplicação indisponível mesmo com WAF habilitado, comprometendo toda a aplicação e tornando um usuário comum em administrador.
IMPACTO EVITADO
Indisponibilidade total da aplicação e comprometimento de todos os usuários evitados antes do lançamento.
fale com a gente
Vamos falar sobre a segurança do seu ambiente
Conte o seu cenário e um especialista da DB retorna com o próximo passo: escopo sugerido, modalidade de teste e o que esperar de cada etapa.