Revisamos tudo: suas plataformas, a rede dos seus escritórios, seus sistemas internos e os módulos que você somar. É montado sob medida e você recebe o orçamento antes de começar.
Escopo sob medida: tudo do Rabbit Hole, mais pentest de rede interna e Active Directory com o LOP BOX, várias plataformas e os módulos escolhidos. Um segundo Lop revisa cada achado.
Um scanner grátis vê se a porta existe. Um Lop testa se ela abre: com contas reais, à mão, e juntando falhas pequenas que sozinhas parecem nada e juntas custam caro.
Scanners automáticos detectam assinaturas conhecidas. Controle de acesso, lógica de sessão e cadeias de falhas só aparecem com testes manuais autenticados. Cada achado é confirmado com prova de conceito e revisado por um segundo Lop.
Sob medidaSistemas webAplicações web (OWASP WSTG)
Ninguém entra na conta de outra pessoa: senhas, recuperação de senha e sessões.
Autenticação, recuperação de conta, gestão de sessões e MFA.
Ninguém consegue inserir código ou comandos por um formulário, uma busca ou um endereço web.
Injeção SQL, NoSQL, de comandos e de templates; XSS refletido, armazenado e no DOM.
Ninguém consegue enviar arquivos perigosos disfarçados de foto ou PDF.
Upload de arquivos: tipo, conteúdo, nome, caminho e execução no servidor.
Seu site não pode ser usado para enganar seus visitantes nem para chegar aos seus sistemas internos.
CSRF, redirecionamentos abertos, SSRF, clickjacking e CORS mal configurado.
Arquivos e páginas esquecidos: backups, painéis de teste, versões antigas.
Descoberta de conteúdo: backups, .git e .env expostos, ambientes de teste e endpoints sem link.
Um erro na tela não mostra dados internos, chaves ou código.
Tratamento de erros, stack traces, chaves no código do navegador e vazamento de informação.
Plugins, temas e programas do site com falhas já conhecidas.
Componentes com CVE conhecidas: CMS, plugins, temas e bibliotecas JavaScript.
Os dados dos seus clientes trafegam protegidos e não ficam expostos no navegador.
Cookies (Secure, HttpOnly, SameSite), cabeçalhos de segurança, CSP e dados sensíveis no cliente.
Ninguém consegue testar milhares de senhas ou encher seus formulários com um robô.
Limite de tentativas, enumeração de usuários, captcha e proteção contra automação.
Sob medidaTipos de usuárioPerfis
Um usuário não vê os pedidos, faturas ou dados de outro usuário.
Controle de acesso horizontal (IDOR) em telas, downloads, exportações e chamadas internas.
Um usuário comum não chega às funções de administrador.
Escalada vertical de privilégios e funções administrativas sem controle.
O que fica oculto na tela também está fechado por trás.
Autorização validada no servidor, não no navegador; parâmetros e campos ocultos manipulados.
Servidores expostos à internetSuperfície externa: portas e serviços
Tudo o que é seu e está aberto na internet, até o que ninguém lembra.
Descoberta de subdomínios (DNS e logs de certificados), portas e serviços.
Painéis, bancos de dados ou acessos remotos que não deveriam aparecer de fora.
Serviços administrativos expostos: SSH, RDP, bancos de dados, painéis de hospedagem e de CMS.
Programas antigos com falhas que os atacantes já estão usando.
Versões com CVE conhecidas, priorizadas por exploração real (KEV e EPSS).
A conexão segura, o cadeado do navegador, está bem configurada.
TLS: protocolos, cifras, certificados e HSTS.
Ninguém consegue tomar um subdomínio que você deixou de usar.
Subdomain takeover e registros DNS que apontam para serviços desativados.
Ninguém manda e-mail em seu nomeSPF, DKIM e DMARC
Ninguém manda e-mails que pareçam seus para seus clientes ou fornecedores.
SPF, DKIM e DMARC: registros, política e alinhamento.
Seu e-mail trafega criptografado entre servidores.
STARTTLS, MTA-STS e TLS-RPT nos seus servidores de e-mail.
Seu domínio não está em listas negras que mandam seus e-mails para o spam.
Reputação do domínio e dos IPs de envio em listas de bloqueio.
Suas contas do Microsoft 365 ou GoogleConfiguração do M365 ou Workspace (CIS)
Todas as contas têm dois fatores e não sobram portas antigas sem ele.
MFA, acesso condicional e autenticação legada desativada.
Quem é administrador, e quem não deveria mais ser.
Contas privilegiadas, perfis de administração e contas inativas.
Seus documentos não estão compartilhados com qualquer um que tenha o link.
Compartilhamento externo e links públicos no OneDrive, SharePoint ou Drive.
Regras que encaminham seu e-mail para fora e apps com permissão para lê-lo.
Encaminhamento externo, regras de caixa postal e apps de terceiros com permissões OAuth.
Fica registro e dispara um alerta se alguém entrar onde não deve.
Registro de auditoria, alertas e filtros de e-mail, segundo o CIS Benchmark.
Conexões entre sistemasAPIs REST e GraphQL (OWASP API Top 10)
Ninguém usa a API para ver ou mudar dados de outro usuário.
Autorização em nível de objeto e de função (BOLA, BFLA) em cada endpoint.
As permissões e as chaves da API não podem ser roubadas nem reutilizadas.
Autenticação da API, validade e revogação de tokens (JWT, OAuth) e chaves.
A API não devolve nem aceita mais dados do que deve.
Exposição excessiva de dados e atribuição em massa (mass assignment).
Ninguém satura a API nem abusa dos seus limites.
Consumo de recursos e limites de uso sem controle (rate limiting).
Versões antigas e ambientes de teste da API ainda abertos.
Inventário da API: versões obsoletas e endpoints de teste expostos.
Regras do negócio: pagamentos, cupons, limitesLógica de negócio
Ninguém paga menos, duplica um pagamento ou fica com saldo que não é seu.
Manipulação do fluxo de pagamento, de preços e valores do lado do cliente.
Não dá para empilhar cupons nem passar os limites de uma promoção.
Abuso de cupons, acúmulo e limites de promoções e de estoque.
Não dá para pular etapas de um processo, como confirmar um pedido sem pagar.
Saltos de estado e de ordem em processos de várias etapas, condições de corrida incluídas.
Um cliente não vê os dados de outroIsolamento entre clientes (multi-tenant)
Um cliente nunca vê nem toca os dados de outro cliente.
Isolamento de dados entre inquilinos em consultas, exportações e arquivos.
Mudar um identificador não te joga na conta de outra empresa.
Manipulação do identificador de inquilino em tokens, rotas e parâmetros.
Um recurso compartilhado não vaza informação entre clientes.
Vazamentos por caches, filas e armazenamento compartilhados entre inquilinos.
Sua nuvemConfiguração de nuvem (AWS, GCP, Azure)
Não sobram depósitos de arquivos nem bancos de dados abertos na internet.
Buckets, bancos e serviços expostos; criptografia em repouso e em trânsito (CIS).
Quem pode fazer o quê na sua nuvem, e quem tem mais permissões do que precisa.
Permissões de IAM, perfis com excesso de privilégios e chaves de longa duração.
Fica registro do que acontece e as redes ficam separadas.
Registro e trilhas, grupos de segurança e segmentação de rede na nuvem.
As bibliotecas que o seu software usaRevisão de dependências (SCA)
Bibliotecas do seu software com falhas já conhecidas.
Dependências com CVE conhecidas, priorizadas por exploração real (KEV e EPSS).
Componentes sem manutenção ou velhos demais.
Dependências sem suporte, versões travadas e licenças de risco.
A rede dos seus escritórios e sistemas internosRede interna e Active Directory
Se alguém entra no escritório, não consegue pular de uma máquina para todas.
Movimento lateral, segmentação de rede interna e serviços internos expostos.
Uma conta comum não acaba virando administrador de tudo.
Active Directory: Kerberos, delegações, ACLs e caminhos para administrador de domínio.
Senhas repetidas ou guardadas onde não devem na rede interna.
Senhas reutilizadas, em memória ou em compartilhamentos; políticas fracas.
Tudo do Dig e do Rabbit Hole: seu site, seu e-mail, seus apps, sua API e sua nuvem.Base completa do Rabbit Hole: web, API, superfície externa, e-mail, Microsoft 365 ou Workspace e nuvem.
A rede dos seus escritórios e o Active Directory, com o LOP BOX.Pentest de rede interna e Active Directory com o LOP BOX, incluída a segmentação.
Várias plataformas, definidas no escopo sob medida.Várias plataformas ou unidades de negócio, combinadas no workshop de escopo.
Os módulos que você somar: apps móveis, phishing, firewall, smart contracts ou Wi-Fi.Módulos escolhidos: OWASP MASVS (mobile), simulação de phishing, firewall (CIS), smart contracts e Wi-Fi presencial.
Não inclui
Testes que possam derrubar o seu serviço. Nunca fazemos.Negação de serviço e qualquer teste destrutivo. Fora do escopo.
A infraestrutura física do provedor de nuvem ou do data center.Data centers e hardware de terceiros. Só os seus ativos e a sua configuração.
Enganar a sua equipe, a menos que você combine o módulo de simulação de phishing.Engenharia social fora do módulo de phishing combinado.
O Warren é montado sob medida. Damos o orçamento fechado antes de assinar e não cobramos a mais no meio do trabalho.
Perguntas antes de contratar
Quanto tempo leva e quanto custa?
A partir de 3 semanas, conforme o escopo. O preço é fechado no workshop de escopo, antes de assinar, e não muda no meio do trabalho.
O que é o LOP BOX?
Uma máquina virtual ou um mini PC que você instala para chegarmos à sua rede interna. Conecta-se conosco por um canal de saída criptografado, sem abrir portas de entrada, e você o desliga quando terminamos.
Atrapalha a minha operação?
Não. Trabalhamos em uma janela de datas e um escopo que você assina antes, e não fazemos testes que derrubem serviços ou apaguem dados.
Quer revisar sua empresa inteira?
Um escopo sob medida, a partir de 3 semanas, com a rede interna incluída. Fechamos o preço antes de assinar.
