Remediação de exposição, confiança zero e DevSecOps
Descubra o que um atacante poderia alcançar, corrija em ordem e mantenha fechado
Formas demais de entrar
Os atacantes procuram o caminho mais fácil de entrar: um serviço exposto, uma senha reutilizada, um servidor sem atualização ou uma aplicação que confia na sua entrada. A maioria das organizações sabe que tem fraquezas. Poucas sabem quais importam mais, e a lista cresce mais rápido do que as equipes conseguem corrigir.
Redes construídas sobre confiança pioram isso. Uma vez que o atacante está dentro do perímetro, uma rede plana permite que ele passe de um sistema para o outro.
O que muda para você
Exposição que você consegue ver
Uma visão atual e classificada do que um atacante poderia alcançar, em vez de um relatório anual que já está desatualizado na chegada.
Violações que ficam pequenas
Cada requisição é verificada e os sistemas são segmentados, para que uma conta ou um servidor comprometido não abra o resto.
Código seguro por padrão
As verificações de segurança rodam em todo pipeline, para que as vulnerabilidades sejam detectadas antes do lançamento, e não depois.
O que entregamos
Gestão contínua da exposição a ameaças
A gestão contínua da exposição a ameaças (CTEM) é um programa permanente que encontra, classifica e corrige o que um atacante poderia alcançar, em aplicações, contas de nuvem, redes e identidades.
Remediação autônoma de exposições e correção automática
Exposições comuns corrigidas automaticamente por pipelines testados, como atualizações, configurações inseguras e certificados expirados, com uma pessoa aprovando qualquer ação que possa interromper um serviço.
Acesso à rede de confiança zero
Confiança zero significa que nenhum usuário, dispositivo ou serviço é confiável por causa de onde se conecta. O acesso à rede de confiança zero (ZTNA) verifica a identidade e a saúde do dispositivo em cada requisição e substitui o acesso amplo por VPN.
Microssegmentação
Sistemas separados em zonas pequenas com regras escritas sobre o que pode falar com o quê, para que um intruso não consiga se mover livremente.
DevSecOps
Cofres de segredos, uma lista de materiais de software (SBOM) automatizada para cada compilação, varredura de dependências e de contêineres, e auditorias de código embutidas no seu pipeline de entrega.
Testes de intrusão contínuos e segurança de APIs
Aplicações, APIs e infraestrutura testadas como um atacante as testaria, após cada mudança significativa, com cada achado descrito de forma que possa ser reproduzido.
Exercícios de red team e blue team
Um red team ataca dentro de regras acordadas enquanto o seu blue team se defende, para que você aprenda como a detecção e a resposta funcionam sob pressão.
Como o trabalho acontece
Acordar o escopo e as regras
Acordamos quais sistemas estão no escopo, como os testes são feitos, quem é avisado e como paramos se um sistema estiver em risco.
Mapear a exposição
Revisamos arquitetura, configurações, acessos e código, e testamos os sistemas como um atacante faria.
Classificar os achados
Classificamos cada achado por probabilidade e impacto, o explicamos em linguagem simples e acordamos a ordem das correções.
Corrigir e automatizar
Corrigimos os achados com a sua equipe, automatizamos as correções recorrentes e introduzimos o acesso de confiança zero e a segmentação em etapas.
Testar de novo, continuamente
Retestamos cada correção e continuamos testando conforme os seus sistemas mudam.
Como comprovamos isso no nosso próprio trabalho
Nós mesmos trabalhamos assim. Todo engenheiro da XSIS entra com uma chave de segurança de hardware, por túneis de rede de confiança zero que verificam o dispositivo continuamente.
- Segurança e criptografia
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- Normas e regulamentos
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
Como começar
O que acontece a seguir
Sessão de pré-consultoria
Uma sessão on-line gratuita de pré-consultoria de 30 minutos: analisamos os seus objetivos, sistemas e restrições.
Avaliação de prontidão
Em uma avaliação de prontidão gratuita de 48 horas, um arquiteto principal verifica o seu projeto com a Definição de Prontidão em 6 pontos e recomenda a trilha adequada.
Escolha da trilha
Projetos com escopo pronto recebem uma proposta vinculante em 3 a 5 dias úteis. Projetos em estágio de conceito começam no Blueprint Studio. Um sistema em produção com falhas, não documentado ou que precisa de integração começa com um diagnóstico de 1 a 2 semanas. O Blueprint Studio e o diagnóstico têm cada um uma taxa fixa, cotada na proposta.
Entrega em cinco etapas
Mobilização, sprints com demonstrações ao vivo, integração e fortalecimento, aceitação e entrada em produção e, depois, serviços gerenciados. Após a entrada em produção vem um período de garantia e, depois, suporte e manutenção opcionais.
Projetos com resultado fixo e serviços gerenciados 24 horas por dia
Entrega com escopo fixo e orientada a marcos, com líderes de entrega nomeados, e serviços gerenciados de aplicação 24 horas por dia sob governança de SLA.
Especialistas embarcados e reforço estratégico
Engenheiros principais e especialistas nearshore e presenciais, e arquitetos embarcados de solução, de transformação, de PQC e de integração.
O caminho mais rápido é o pacote Auditoria de segurança pós-quântica (CBOM) e de agentes, um dos nossos pacotes de contratação rápidos.
Por onde começarPerguntas e respostas
Precisamos substituir a nossa VPN para adotar confiança zero?
Não de imediato. A confiança zero é introduzida em etapas, normalmente começando pelas aplicações mais sensíveis e pelo acesso de administrador. A VPN pode ficar para o que ainda precisa dela e é desativada quando nada mais depende dela.
O que é uma SBOM e por que precisamos de uma?
Uma lista de materiais de software relaciona todos os componentes e bibliotecas dentro de um software, com as suas versões. Quando uma nova vulnerabilidade é anunciada, ela diz rapidamente se você é afetado e onde. Regulamentações como o Cyber Resilience Act (CRA) da UE, e muitos clientes, agora a exigem.
Como os seus engenheiros acessam os nossos sistemas?
Cada engenheiro tem uma conta nominal com apenas os direitos de que a tarefa precisa e entra com uma chave de segurança de hardware. Quando você tem um processo para acesso de administrador, nós o seguimos. As sessões são registradas, e o acesso é removido quando o trabalho termina ou quando alguém deixa o projeto.
O que é gestão contínua da exposição a ameaças?
É um programa permanente em vez de um teste anual. Ele mantém uma lista atual do que um atacante poderia alcançar, classifica cada exposição pela probabilidade de ser usada e pelo custo que teria, e acompanha cada correção até o seu encerramento. As varreduras rodam continuamente e os testes acompanham cada mudança significativa.
O que é um exercício de red team e blue team?
É um ensaio em condições reais. Um red team ataca os seus sistemas dentro de regras acordadas, enquanto o seu blue team, as pessoas que detectam e respondem, os defende. Depois, os dois lados revisam o que foi encontrado, o que passou e quanto tempo cada etapa levou, e você recebe as mudanças que fecham as lacunas.
Pronto para construir? Peça uma proposta.
Envie os seus requisitos ou o seu RFP. Nossos arquitetos os validam e retornam uma proposta vinculante de escopo fixo.
O que acontece a seguir
Avaliação de prontidão
Em uma avaliação de prontidão gratuita de 48 horas, um arquiteto principal verifica o seu projeto com a Definição de Prontidão em 6 pontos e recomenda a trilha adequada.
Proposta vinculante
Após validação de arquitetura sem custo, você recebe uma proposta vinculante de escopo fixo em 3 a 5 dias úteis: marcos, arquitetura, estrutura da equipe e SLAs. Assinamos um acordo de confidencialidade (NDA) com você quando solicitado, antes de você compartilhar os seus requisitos.
Mobilização
Depois da assinatura, nossos pods de engenharia iniciam o Sprint 0 em 5 a 10 dias úteis após a assinatura do contrato.
Entrega em cinco etapas
Mobilização, sprints com demonstrações ao vivo, integração e fortalecimento, aceitação e entrada em produção e, depois, serviços gerenciados. Após a entrada em produção vem um período de garantia e, depois, suporte e manutenção opcionais.