Inteligência para quem enxerga primeiro
Mostramos o que um atacante já enxerga da sua empresa hoje. Com evidência, e em ordem de urgência.
$ curl -i -X POST https://alvo.exemplo/api/leads \ -H "Origin: https://site-de-terceiro.example" HTTP/1.1 200 OK Access-Control-Allow-Origin: * {"ok":true,"saved":true}
O custo de não saber
Nenhuma delas exige invasão sofisticada. Exigem alguém olhando com atenção, e é exatamente isso que ninguém faz até o dia em que dá problema. As quatro apareceram no nosso próprio teste.
Prova
Antes de cobrar de alguém por isto, rodamos a avaliação inteira no noirisai.com. Cada achado virou correção aplicada ou decisão registrada, dentro do mesmo ciclo.
Método
A ordem é o que protege você: nada ativo antes de esgotar o que é passivo. É assim que se acha muito, cedo, sem encostar na operação.
WHOIS, DNS, certificados, subdomínios e registros de e-mail. Nenhum pacote sai em direção ao seu servidor.
Requisições que apenas leem, para mapear rotas, cabeçalhos, arquivos esquecidos no ar e pontos de autenticação.
Cada teste que pode deixar rastro é listado antes, com o efeito esperado e como desfazer. Você aprova item a item.
Cada achado recebe identificador, severidade, a saída crua que prova, o impacto em linguagem de negócio e a correção concreta.
Depois da correção, rodamos os mesmos testes e registramos o que fechou e o que continua aberto.
A oferta
Tudo o que segue faz parte do mesmo trabalho. Nada aqui é adicional cobrado à parte.
Domínio, DNS, certificados, subdomínios ativos e ambientes de teste que ficaram no ar sem ninguém lembrar.
SPF, DKIM e DMARC conferidos contra todos os seus remetentes reais, para fechar spoofing sem derrubar o envio legítimo.
Cada endpoint exposto recebe teste de origem, autenticação e limite, com a evidência registrada.
Requisição e resposta que provam o achado. Nenhuma linha dizendo apenas "possível vulnerabilidade".
Risco contra esforço, com quem resolve cada item e quanto tempo custa. Seu dev abre e começa pelo primeiro.
Uma rodada de verificação depois da correção, com registro do que fechou e do que ficou como risco residual.
Sessão para traduzir cada achado em decisão de negócio, com o seu time técnico junto se você quiser.
O risco de contratar sai da sua mesa e vai para a nossa. Um perímetro que passa limpo vira documento de conformidade para cliente, seguradora e auditoria, e nesse caso o documento é por nossa conta.
A plataforma
Quem decide com dado público carrega um problema: na hora em que a conclusão é contestada, alguém pergunta de onde ela veio. O NOIRIS Intelligence responde essa pergunta por construção. Sinal disperso vira evento rastreável, investigação e briefing, e cada afirmação chega à tela carregando a própria origem.
Entidade consta em lista de sanções de autoridade estrangeira.
O sujeito provavelmente opera pela subsidiária citada no mesmo despacho.
não promovível a fato · isFactual() recusa
Fonte, endereço, quando foi observado, publicado e coletado, por qual método e com quanta confiança. Registro sem esses campos não chega à tela. É o que deixa você levar a conclusão para um conselho, um cliente ou um regulador sem precisar pedir que confiem em você.
Saída de IA nasce marcada como inferência e não vira fato, por mais confiante que
soe. O portão que separa os dois é um arquivo com nome, provenance.ts,
e tem teste próprio. Política escrita num PDF qualquer um promete. Esta está no
caminho do código.
Quem lê o console não alcança pessoa. Quem alcança, alcança com registro. E administrador não passa por cima da própria regra por ser administrador. Controle de acesso que o dono do sistema também obedece é o único que vale numa auditoria.
Cada fonte declara em código se libera uso comercial, e a rota consulta esse valor antes de servir. Fonte sem liberação simplesmente não responde. Você não herda o passivo jurídico de um dado que entrou porque ninguém conferiu.
O painel abre no mapa. Cada evento entra nele com a procedência junto, a linha entre dia e noite é calculada na hora, e você desenha a área que importa para ler só o que cai dentro dela. Tem um modo executivo que tira o movimento da tela quando a conversa é com o conselho.
A plataforma entra em operação por convite. As primeiras vagas vão para operações que já passaram pela Avaliação, porque a essa altura nós já conhecemos o terreno.
Investimento
Começar pelo degrau de baixo é normal e recomendado. O valor da avaliação é creditado se você subir para o pentest completo depois.
Reconhecimento passivo do domínio e do e-mail. Nada toca o seu servidor, e você recebe a lista do que já dá para ver de fora.
O escopo completo desta página, com teste ativo autorizado, laudo com evidência, plano priorizado e reteste. Entrega em até quatorze dias.
Aplicação autenticada, lógica de negócio, escalonamento de privilégio e cadeia de ataque encadeada, além de todo o perímetro externo.
Reavaliação mensal do perímetro, aviso quando algo novo abre e monitoramento de WHOIS, DNS e autenticação de e-mail.
Cada avaliação é conduzida pelo fundador, então a agenda de novos escopos por mês é limitada.
Objeções
Não. Teste de estresse e negação de serviço ficam fora do escopo por padrão, e qualquer teste que possa deixar rastro roda só depois da sua autorização escrita, item a item. As duas primeiras fases nem tocam o seu servidor de forma intrusiva.
Não. O trabalho é feito de fora, no horário combinado. Se algum teste exigir janela de manutenção, ele é sinalizado antes e agendado com você.
Resolve outra camada. Nenhum firewall impede que o seu WHOIS publique o endereço da sua casa, que o seu domínio aceite spoofing ou que uma API sua grave dados vindos de qualquer origem. Os quatro achados da seção 01 passam por baixo desse tipo de proteção.
Você não paga, conforme a garantia. O laudo ainda é entregue, com a seção do que já está correto, e serve como documento de conformidade. Não inflamos severidade para justificar preço.
Não, e uma coisa não depende da outra. A avaliação é serviço, entregue por gente, e está disponível hoje. A plataforma é produto e entra depois, sem mudar nada do que você contratar agora.
A correção não entra no preço da avaliação, para a análise continuar independente. Podemos orçar a execução em separado, ou o seu time aplica o plano e o reteste incluso confirma o que fechou.
Acordo de confidencialidade antes do escopo. O laudo é seu. Não usamos o seu nome como referência sem autorização escrita, e as evidências são descartadas no prazo que combinarmos.
Devolvemos o que já dá para ver de fora, sem tocar em nada e sem compromisso. A partir daí você decide se vale ir fundo.
Quero ver meu perímetroP.S. O achado mais grave do nosso próprio teste não era código. Era o endereço da casa do fundador, público desde o dia em que o domínio foi registrado, e ninguém tinha olhado.