Sete prateleiras, na ordem do que você precisa. Se não sabe por onde começar, comece pela primeira: é grátis.
Grátis
Um sistema automático olha o que a sua empresa mostra na internet (domínio, e-mail e servidores) e diz o que encontrou, quanto pode custar e como corrigir.
Reconhecimento passivo automatizado: DNS, SPF/DKIM/DMARC, TLS, tecnologias expostas e CVEs conhecidas. Sem testes ativos. Sem cadastro você vê o que é público; com um e-mail do seu domínio recebe todos os achados com a correção e um resumo para a diretoria.
Em minutos · Sem cartão de crédito.
Analisar grátisCalcule quanto custaria cada tipo de ataque, com as fontes à vista. É uma estimativa e diz isso.
Modelo tipado com uma fonte por número, faixa típica e caso ruim, e nível legal por país. Estimativa, não assessoria.
CalcularChecagens curtas que você mesmo roda: seu e-mail, os cabeçalhos do seu site, se o seu chatbot se deixa enganar e quão preparado você está para um ransomware.
SPF/DKIM/DMARC, cabeçalhos HTTP, chaves de provedores de IA no JS público (domínio verificado), bateria curta de injeção de prompt e questionário CIS IG1.
Sem pagar: verifique o seu domínio e revisamos uma vez por mês, escrevendo só se algo mudou. Se não tiver riscos graves abertos, pode mostrar o selo “Monitorado por LOP.run”.
Plano grátis: nova checagem passiva mensal com domínio verificado (registro DNS TXT ou e-mail do domínio) e selo, sem a página de confiança completa.
Encontrar
Sniff
Um Lop (é assim que chamamos cada especialista da nossa equipe) estuda o seu caso, conversa 30 minutos com você e diz qual serviço você precisa, com preço fechado.
Revisão humana da análise passiva, entrevista de 30 minutos e testes leves não intrusivos com autorização assinada. Entrega: diagnóstico, serviço recomendado e orçamento fechado.
Um Lop tenta entrar nos seus sistemas como um atacante faria, sem quebrar nada. Você recebe um relatório com cada problema, quanto pode custar e como fechar. Quando você corrige, testamos de novo.
Pentest manual com autorização assinada e regras de engajamento. Cada achado é confirmado com prova de conceito, pontuado com CVSS 3.1 e traz impacto econômico e legal, correção e reteste.
Todas as auditorias incluem
Dig
Para empresas com um sistema web: site, loja online, gerenciador de conteúdo ou intranet. Por exemplo, uma loja com o seu painel de administração. Também revisamos seu e-mail e suas contas do Microsoft 365 ou Google Workspace.
1 aplicação web (até 2 perfis) com OWASP WSTG completo: injeções, XSS, IDOR, autenticação e sessões, upload de arquivos, CMS e plugins. Superfície externa até 10 hosts. DNS, TLS e SPF/DKIM/DMARC. Configuração do Microsoft 365 ou Google Workspace (CIS).
1 a 2 semanas · Testamos de novo durante 3 mesesRetestes ilimitados por 3 meses
Rabbit Hole
Para empresas que funcionam sobre o próprio software: seus clientes pagam, reservam ou operam dentro, ou você tem vários apps ou uma API. Por exemplo, uma fintech, um SaaS ou um sistema de agendamento. Inclui tudo da auditoria anterior.
Tudo do Dig, mais: até 3 aplicações ou 1 plataforma, API REST ou GraphQL (até ~80 endpoints, OWASP API Top 10), até 4 perfis, lógica de negócio, isolamento entre clientes, 1 conta de nuvem (CIS) e revisão de dependências (SCA).
2 a 3 semanas · Testamos de novo durante 6 mesesRetestes ilimitados por 6 meses
Warren
Para empresas que precisam revisar tudo: o anterior, mais a rede dos seus escritórios, seus sistemas internos e os módulos que você somar. É montado sob medida e você recebe o orçamento antes de começar.
Escopo sob medida: várias plataformas, pentest de rede interna e Active Directory com LOP BOX, segmentação e os módulos escolhidos.
A partir de 3 semanas · Testamos de novo no prazo que combinarmosJanela de retestes sob medida
Cada preço cobre um escopo com limites claros. Se o seu sistema for maior, você recebe um orçamento fechado antes de começar. Nunca cobramos a mais no meio do trabalho.
Preço fixo por unidade de escopo (aplicações, perfis, endpoints, hosts). Fora desses limites, orçamento fechado antes de assinar.
Em dúvida entre duas? O diagnóstico com um especialista responde, e é descontado do preço.
A maioria pode ser contratada sozinha. A aplicação web extra e o app móvel entram somados a uma auditoria. Cada um tem seu preço.
Ampliam o escopo de qualquer auditoria: OWASP MASVS para mobile, Solidity e EVM para contratos, CIS para firewall.
| Seu site e seus servidoresDig | Sua plataformaRabbit Hole | A sua empresa inteiraWarren | |
|---|---|---|---|
| Sistemas webAplicações web (OWASP WSTG) | 1 | Até 3 | Sob medida |
| Tipos de usuárioPerfis | 2 | 4 | Sob medida |
| Servidores expostos à internetSuperfície externa: portas e serviços | |||
| Ninguém manda e-mail em seu nomeSPF, DKIM e DMARC | |||
| Suas contas do Microsoft 365 ou GoogleConfiguração do M365 ou Workspace (CIS) | |||
| Conexões entre sistemasAPIs REST e GraphQL (OWASP API Top 10) | |||
| Regras do negócio: pagamentos, cupons, limitesLógica de negócio | |||
| Um cliente não vê os dados de outroIsolamento entre clientes (multi-tenant) | |||
| Sua nuvemConfiguração de nuvem (AWS, GCP, Azure) | |||
| As bibliotecas que o seu software usaRevisão de dependências (SCA) | |||
| A rede dos seus escritórios e sistemas internosRede interna e Active Directory | |||
| Duração | 1 a 2 semanas | 2 a 3 semanas | A partir de 3 semanas |
| Testamos de novoRetestes | 3 mesesIlimitados, 3 meses | 6 mesesIlimitados, 6 meses | Sob medidaJanela sob medida |
| Preço | US$4.500 | US$9.500 | a partir de US$15.000 |
Corrigir
Lop Fix
Um Lop corrige o que encontramos, por hora ou preço fechado. Cada correção é testada de novo antes de ser dada como fechada.
Remediação de configuração, patches, hardening e código, com verificação posterior.
US$95/hora
mínimo US$150 Uma correção curta é cobrada US$150 mesmo que leve menos tempo. Se levar mais, é cobrada por hora: US$95 cada uma.
Monitorar
Uma auditoria revisa um momento. Depois as coisas mudam: um servidor novo, uma falha publicada em um programa que você usa, uma senha publicada na internet por engano.
Monitoramento contínuo da superfície externa: diferenças contínuas de subdomínios, portas, serviços, TLS, DNS e e-mail. CVEs e KEVs novas sobre as tecnologias detectadas. Segredos em repositórios públicos.
Ears
Vigiamos tudo isso 24 horas por dia e avisamos por WhatsApp, Telegram ou e-mail. Você vê o status no seu painel, recebe um relatório mensal e tem uma página de confiança para mostrar aos seus clientes.
Varredura automatizada contínua, 24/7. Alertas por WhatsApp, Telegram, e-mail ou Slack. Painel, relatório mensal e página de confiança pública com status e histórico.
Cobre 1 domínio e até 50 servidores ou subdomínios.
1 domínio raiz, até 50 ativos (hosts ou subdomínios).
US$149/mês
Ears + Lop
O mesmo, mas uma pessoa confirma cada aviso antes de chegar a você e diz o que fazer. Testamos tudo de novo a cada três meses.
Triagem humana de cada alerta (sem falsos positivos na sua caixa), recomendação de correção e reteste trimestral.
Cobre 1 domínio e até 50 servidores ou subdomínios.
1 domínio raiz, até 50 ativos (hosts ou subdomínios).
US$449/mês
Pagamento anual: 2 meses grátis. Ears: você paga US$1.490 pelo ano em vez de US$1.788 (10 meses em vez de 12).Ears + Lop: você paga US$4.490 pelo ano em vez de US$5.388 (10 meses em vez de 12).
Proteger a equipe
Hutch
Encontramos as portas que as quadrilhas usam e dizemos quais fechar primeiro. Simulamos um ataque sem dano para ver se alguém detecta, restauramos seus backups com cronômetro e ensaiamos o plano com a sua diretoria. Você vai saber quantos dias aguentaria e como voltar a operar mais rápido.
Quatro pilares. Prevenir: patches priorizados por KEV, MFA, hardening do Active Directory e segmentação. Detectar: técnicas reais de atacante executadas de forma benigna (Atomic Red Team), para medir se o seu EDR alerta e quanto tempo alguém leva para ver. Resistir: backups imutáveis e restauração real cronometrada. Recuperar: plano de resposta e exercício de mesa com a diretoria.
Não é um questionário: medimos com testes reais na sua rede.
Resultado: pontuação por pilar, dias estimados de resistência e de recuperação, e roteiro priorizado.
Para entrar na sua rede você instala uma máquina virtual de teste. Ela se conecta conosco por um canal criptografado e você a desliga quando terminamos.
Acesso interno com LOP BOX: máquina virtual ou mini PC com túnel de saída criptografado, sem abrir portas de entrada. O desligamento fica nas suas mãos.
3 a 4 semanas · Medimos de novo após 3 mesesNova medição aos 3 meses
a partir de US$5.900
pagamento único
Whisker
Alguém se passa pelo seu fornecedor e pede para pagar em outra conta. Montamos com a sua equipe de pagamentos como verificar cada mudança, praticamos e colocamos alertas no seu e-mail.
Procedimento de verificação de mudança de conta de fornecedores, capacitação da equipe de pagamentos e alertas técnicos: regras de encaminhamento, logins estranhos, domínios parecidos e DMARC em reject.
US$1.900
pagamento único · Até 50 pessoas.
Cheshire
Cinco coisas, com nome: o mapa da IA que a sua equipe usa, uma política de uso assinada, uma capacitação contra vozes e vídeos falsos, um simulado com a voz clonada do dono e um teste do seu chatbot.
Inventário de IA na sombra (apps OAuth e pesquisa de 10 perguntas), política de uso de IA, sessão de 60 minutos com palavra-chave, simulado de voz clonada com até 10 pessoas com consentimento escrito e teste de injeção de prompt no chatbot do site.
US$2.900
pagamento único · Até 50 pessoas. O pentest completo de um chatbot ou agente com acesso aos seus sistemas é somado como módulo.
Responder
Bounce
Se você já foi atacado: cortamos o dano, recuperamos suas contas e equipamentos, guardamos a evidência e dizemos a quem você precisa avisar segundo a lei do seu país.
Contenção, erradicação e recuperação de contas e equipamentos, evidência com cadeia de custódia e notificação a reguladores por jurisdição.
US$190/hora
Mínimo US$1.520: o primeiro dia (8 horas). Com Burrow, o primeiro dia de um incidente por ano fica por nossa conta.
Tudo junto
Burrow
Sua equipe de segurança sem contratar uma: monitoramento com uma pessoa, uma auditoria do seu site e servidores por ano, 6 horas de correções por mês e resposta prioritária. Se você for atacado, o primeiro dia fica por nossa conta.
Ears + Lop, um Dig por ano, 6 h/mês de Lop Fix, resposta prioritária e as primeiras 8 h de Bounce em um incidente por ano.
US$1.290/mês
Você economiza US$104 por mês em relação a contratar por partes. Por partes: Ears + Lop US$449, um Dig por ano (US$4.500 dividido em 12 meses: US$375) e 6 horas de Lop Fix US$570. Total: US$1.394 por mês.
Você vê cada problema, em que estado está a correção e os avisos do monitoramento. Baixa seus relatórios e sua declaração. Cada pessoa escolhe ver em modo negócio ou técnico.
Achados com severidade CVSS e status de correção, histórico de retestes, alertas do monitor, download de relatórios e exportação para Jira ou GitHub. Modo negócio ou técnico por usuário.
Os dois relatórios de uma auditoria de exemplo: um para a diretoria e o técnico completo para a sua equipe.
Ver os relatórios de exemploUma pessoa da nossa equipe de segurança, com certificações verificadas, que assina o que entrega. Usamos apelidos para proteger a privacidade. Se o seu contrato exigir, passamos os dados sob acordo de confidencialidade.
Um scanner, ou um pentest feito só por IA, te dá uma lista de alertas, muitos falsos. Nós confirmamos cada achado à mão, dizemos quanto pode custar e como fechar, e um Lop assina o relatório.
Não. Trabalhamos em uma janela de datas e sobre um escopo que você assina antes, e não fazemos testes que derrubem serviços ou apaguem dados.
Você recebe igual o relatório com tudo o que testamos e como, assinado por um Lop, e a declaração. Serve como evidência para a seguradora, o auditor ou um cliente que peça.
Conte o que a sua empresa tem e dizemos qual serve. Se for a mais barata, dizemos do mesmo jeito.