Saltar para o conteúdo
BigTree108

Serviços de cibersegurança e de testes de intrusão

Serviços de cibersegurança e de testes de intrusão: testes de intrusão a aplicações web e móveis, APIs, redes e contas cloud, segurança aplicacional e revisão de código orientada para a segurança, postura de segurança na cloud, monitorização de segurança e resposta a incidentes, e o lado técnico da ISO 27001, do SOC 2 e do PCI DSS, com engenheiros de segurança e especialistas em testes de intrusão dedicados à sua equipa.

Serviços de segurança que prestamos

  • Testes de intrusão a aplicações web

    Autenticação, sessões, controlo de acesso, lógica de negócio e injeção testados à mão segundo o OWASP Web Security Testing Guide, com a análise automática como ponto de partida e não como resultado.

  • Testes de intrusão a aplicações móveis e APIs

    Aplicações iOS e Android testadas segundo o OWASP MASVS, e APIs REST, GraphQL e gRPC segundo o OWASP API Security Top 10: autorização ao nível do objeto, mass assignment, limites de pedidos e tokens que sobrevivem ao seu propósito.

  • Testes de intrusão a redes e ao Active Directory

    Testes ao perímetro externo e à rede interna, caminhos de ataque ao Active Directory e ao Entra ID mapeados com o BloodHound, testes de Wi-Fi e simulações de phishing quando as pedir, cada um executado com autorização escrita.

  • Segurança aplicacional e revisão de código orientada para a segurança

    Modelos de ameaças para novas funcionalidades, revisão manual do código de autenticação, autorização e tratamento de dados, análise estática em CodeQL ou Semgrep afinada até os programadores confiarem nas suas constatações, e formação em programação segura baseada nos problemas encontrados no seu próprio código.

  • Postura de segurança na cloud

    Contas AWS, Azure e Google Cloud verificadas continuamente com o Security Hub, o Defender for Cloud, o Security Command Center, o Prowler ou o Wiz quanto a armazenamento público, funções demasiado amplas, chaves de longa duração e registos desligados, com as correções escritas como infraestrutura como código.

  • Monitorização de segurança e SOC

    Registos da cloud, da identidade, dos terminais e das aplicações recolhidos no Microsoft Sentinel, no Splunk, no Elastic Security ou no Wazuh, regras de deteção mapeadas para o MITRE ATT&CK, EDR em todos os dispositivos e alertas triados por analistas numa escala que acordar.

  • Resposta a incidentes

    Contenção, provas preservadas para análise forense, causa raiz encontrada e sistemas restaurados a partir de cópias de segurança limpas, e depois um relatório escrito e a deteção que o teria apanhado mais cedo. Exercícios de simulação testam o plano antes de ser necessário.

  • Automatização da conformidade

    O lado técnico da ISO 27001, do SOC 2, do PCI DSS, do HIPAA, da NIS2 e do DORA: controlos incorporados nos seus sistemas, provas recolhidas deles automaticamente através do Vanta, do Drata ou dos seus próprios scripts, e revisões de acessos, cópias de segurança e controlo de alterações demonstrados com registos e não com capturas de ecrã.

  • Hardening

    Servidores, contentores, clusters e portáteis levados aos CIS Benchmarks e redes de controlo industrial segmentadas em zonas IEC 62443, com as definições aplicadas por código e verificadas periodicamente para não voltarem ao estado anterior.

Contratar engenheiros de segurança e especialistas em testes de intrusão

  • engenheiros de segurança e especialistas em testes de intrusão dedicados

    Engenheiros de segurança e especialistas em testes de intrusão que integram a sua equipa a tempo inteiro, trabalham nas suas ferramentas e no seu processo, e reportam ao seu responsável. A sua empresa entrevista-os; nós assumimos o contrato ucraniano, o processamento salarial, a faturação e as férias.

  • Projetos de Engenharia de segurança

    Uma parcela definida de engenharia de segurança, com âmbito, plano fixo e um responsável identificado do nosso lado, que responde pelo resultado e reporta o progresso nos seus canais.

  • engenharia de segurança em regime contínuo

    Engenharia de segurança como serviço contínuo: as mesmas pessoas todos os meses, um backlog que a sua empresa prioriza e horas que pode consultar no nosso portal e na fatura.

A página da equipa dedicada explica como os especialistas integram a sua equipa, e a página de outsourcing aborda a entrega de projetos, as tomadas a cargo e a forma como cobramos.

Quem trabalha em engenharia de segurança para a sua empresa

  • Especialistas em testes de intrusão

    Testes web, móveis, de API, de rede e de cloud

  • Engenheiros de segurança aplicacional

    Revisão de código orientada para a segurança, modelos de ameaças e análise de pipelines

  • Engenheiros de segurança cloud

    Postura, identidade e correções como infraestrutura como código

  • Analistas de SOC e responsáveis pela resposta a incidentes

    Deteção, triagem e resposta

  • Engenheiros de conformidade

    Controlos e provas ISO 27001, SOC 2 e PCI DSS

Como trabalhamos em segurança

Cada teste começa com um âmbito escrito: que sistemas e contas, que horas, a quem ligar se algo falhar, e autorização escrita do proprietário de cada sistema. Os testes decorrem em staging sempre que possível, cada constatação é reportada com a sua gravidade, uma reprodução e uma correção, e um reteste depois das correções confirma que cada uma está encerrada.

As constatações são corrigidas onde vivem: alterações de código pelos programadores, alterações de cloud e de rede como infraestrutura como código, e um teste de regressão ou uma regra de deteção para cada uma, para que uma constatação encerrada continue encerrada. Aplicamos aos nossos próprios sistemas o mesmo padrão: os nossos portáteis são verificados por um agente que escrevemos em Rust face à nossa baseline de segurança, em Windows, macOS e Ubuntu, com verificações mapeadas para ISO 27001, CIS, Cyber Essentials, Essential Eight e SOC 2.

Outros serviços de cloud, DevOps e segurança

Visão geral de Cloud, DevOps e segurança

Perguntas sobre cibersegurança e testes de intrusão

Em que setores trabalham os engenheiros de segurança?

Sobretudo empresas de produtos de cibersegurança, em conteúdo de deteção, testes de produto e investigação de segurança; fintech e banca, sob o PCI DSS e o DORA; empresas industriais e de energia, separando as redes de controlo da TI de escritório; comércio eletrónico, protegendo o checkout e as contas de clientes; empresas SaaS que se preparam para auditorias SOC 2 e revisões de segurança de clientes; e fornecedores de alojamento e de telecomunicações e sistemas do setor público.

O que contém um relatório de teste de intrusão?

Um resumo para a gestão e depois cada constatação com a sua gravidade CVSS, o sistema afetado, os passos para a reproduzir, as provas e uma correção recomendada. Depois de a sua equipa fazer deploy das correções, um reteste regista quais as constatações encerradas.

Podem certificar-nos na ISO 27001 ou no SOC 2?

A certificação é emitida por um organismo de certificação acreditado, e um relatório SOC 2 por uma firma de auditoria independente, pelo que nenhum fornecedor pode prometer qualquer dos dois. Tratamos do lado técnico: implementamos os controlos que o auditor vai testar, corrigimos as lacunas que uma revisão de prontidão encontra e mantemos as provas prontas a exportar.

Os testes vão perturbar os nossos sistemas de produção?

Não por defeito. Os testes decorrem em staging quando existe um. Onde é preciso testar a produção, faz-se numa janela acordada, a um ritmo acordado, sem payloads destrutivos e com um contacto nomeado de cada lado.

Em quanto tempo podem começar engenheiros de segurança e especialistas em testes de intrusão?

Quando o engenheiro de segurança adequado está disponível, o arranque depende apenas da sua entrevista, do NDA e da cedência de propriedade intelectual. Caso contrário, fazemos uma pesquisa, que normalmente produz perfis de candidatos em duas a três semanas, e ninguém começa antes de a sua empresa dar o seu acordo.

Como contratamos engenheiros de segurança e especialistas em testes de intrusão através da BigTree108?

Diga-nos qual é o trabalho, a senioridade e o horário de que precisa. Propomos uma ou duas pessoas com os respetivos perfis, a sua empresa entrevista-as como entrevistaria uma contratação própria, e assina um único contrato com a BIG TREE 108 LLC e recebe uma fatura por mês.

A quem pertence o trabalho que produzem?

A sua empresa. Cada especialista tem um contrato assinado com a BigTree108 que atribui à empresa todo o trabalho produzido, e o nosso contrato com a sua empresa atribui-lho. O código, os designs e os documentos são entregues nos seus próprios repositórios e ferramentas, e não mantidos onde só nós os podemos alterar.

Precisa de um teste de intrusão ou de engenheiros de segurança?

Indique-nos que sistemas estão no âmbito, onde correm e a data de auditoria que tem em vista. Receberá resposta no prazo de um dia útil: um âmbito proposto, um plano de testes ou perfis de candidatos.

Enviar e-mail para hello@bigtree108.comComo respondemos