Remediação de exposição, confiança zero e DevSecOps
Descubra o que um atacante poderia alcançar, corrige em ordem e mantenha fechado
Formas demais de entrar
Os atacantes procuram o caminho mais fácil de entrar: um serviço exposto, uma palavra-passe reutilizada, um servidor sem atualização ou uma aplicação que confia na sua entrada. A maioria das organizações sabe que tem fraquezas. Poucas sabem quais importam mais, e a lista cresce mais rápido do que as equipas conseguem corrigir.
Redes construídas sobre confiança pioram isso. Uma vez que o atacante está dentro do perímetro, uma rede plana permite que ele passe de um sistema para o outro.
O que muda para si
Exposição que consegue ver
Uma visão atual e classificada do que um atacante poderia alcançar, em vez de um relatório anual que já está desatualizado na chegada.
Violações que ficam pequenas
Cada pedido é verificado e os sistemas são segmentados, para que uma conta ou um servidor comprometido não abra o resto.
Código seguro por padrão
As verificações de segurança correm em todo pipeline, para que as vulnerabilidades sejam detectadas antes do lançamento, e não depois.
O que entregamos
Gestão contínua da exposição a ameaças
A gestão contínua da exposição a ameaças (CTEM) é um programa permanente que encontra, classifica e corrige o que um atacante poderia alcançar, em aplicações, contas de nuvem, redes e identidades.
Remediação autónoma de exposições e correção automática
Exposições comuns corrigidas automaticamente por pipelines testados, como atualizações, configurações inseguras e certificados expirados, com uma pessoa a aprovar qualquer ação que possa interromper um serviço.
Acesso à rede de confiança zero
Confiança zero significa que nenhum utilizador, dispositivo ou serviço é fiável por causa de onde se liga. O acesso à rede de confiança zero (ZTNA) verifica a identidade e a saúde do dispositivo em cada pedido e substitui o acesso amplo por VPN.
Microssegmentação
Sistemas separados em zonas pequenas com regras escritas sobre o que pode falar com o quê, para que um intruso não consiga se mover livremente.
DevSecOps
Cofres de segredos, uma lista de materiais de software (SBOM) automatizada para cada compilação, análise de dependências e de contentores, e auditorias de código embutidas no seu pipeline de entrega.
Testes de intrusão contínuos e segurança de APIs
Aplicações, APIs e infraestrutura testadas como um atacante as testaria, após cada mudança significativa, com cada achado descrito de forma que possa ser reproduzido.
Exercícios de red team e blue team
Uma equipa vermelha ataca dentro de regras acordadas enquanto a sua equipa azul se defende, para que aprenda como a deteção e a resposta funcionam sob pressão.
Como o trabalho acontece
Acordar o âmbito e as regras
Acordamos quais sistemas estão no âmbito, como os testes são feitos, quem é avisado e como paramos se um sistema estiver em risco.
Mapear a exposição
Revisamos arquitetura, configurações, acessos e código, e testamos os sistemas como um atacante faria.
Classificar os achados
Classificamos cada achado por probabilidade e impacto, o explicamos em linguagem simples e acordamos a ordem das correções.
Corrigir e automatizar
Corrigimos os achados com a sua equipa, automatizamos as correções recorrentes e introduzimos o acesso de confiança zero e a segmentação em etapas.
Testar de novo, continuamente
Retestamos cada correção e continuamos a testar conforme os seus sistemas mudam.
Como comprovamos isso no nosso próprio trabalho
Nós mesmos trabalhamos assim. Todo engenheiro da XSIS entra com uma chave de segurança de hardware, por túneis de rede de confiança zero que verificam o dispositivo continuamente.
- Segurança e criptografia
- Cloudflare Zero Trust
- HashiCorp Vault
- Software bill of materials (SBOM)
- Normas e regulamentos
- NIS2
- EU DORA
- EU Cyber Resilience Act (CRA)
Como começar
O que acontece a seguir
Sessão de pré-consultoria
Uma sessão em linha gratuita de pré-consultoria de 30 minutos: analisamos os seus objetivos, sistemas e restrições.
Avaliação de prontidão
Numa avaliação de prontidão gratuita de 48 horas, um Arquiteto Principal verifica o seu projeto com a Definição de Prontidão em 6 pontos e recomenda o percurso adequado.
Escolha do percurso
Projetos com âmbito pronto recebem uma proposta vinculante em 3–5 dias úteis. Projetos em estágio de conceito começam no Blueprint Studio. Um sistema em produção com falhas, não documentado ou que precisa de integração começa com um diagnóstico de 1–2 semanas. O Blueprint Studio e o diagnóstico têm cada um uma taxa fixa, cotada na proposta.
Entrega em cinco etapas
Mobilização, sprints com demonstrações ao vivo, integração e robustecimento, aceitação e entrada em produção e, depois, serviços geridos. Após o lançamento vem um período de garantia e, depois, suporte e manutenção opcionais.
Projetos com resultado fixo e serviços geridos 24/7
Entrega com âmbito fixo e orientada a marcos, com responsáveis de entrega nomeados, e serviços geridos de aplicação 24 horas por dia sob governação de SLA.
Especialistas embarcados e reforço estratégico
Engenheiros principais e especialistas nearshore e no local, e arquitetos embarcados de solução, de transformação, de PQC e de integração.
O caminho mais rápido é o pacote Auditoria de segurança pós-quântica (CBOM) e de agentes, um dos nossos pacotes de trabalho rápido.
Por onde começarPerguntas e respostas
Precisamos substituir a nossa VPN para adotar confiança zero?
Não de imediato. A confiança zero é introduzida em etapas, normalmente começando pelas aplicações mais sensíveis e pelo acesso de administrador. A VPN pode ficar para o que ainda precisa dela e é desativada quando nada mais depende dela.
O que é uma SBOM e por que precisamos de uma?
Uma lista de materiais de software relaciona todos os componentes e bibliotecas dentro de um software, com as suas versões. Quando uma nova vulnerabilidade é anunciada, ela diz rapidamente se é afetado e onde. Regulamentações como o Regulamento de Ciberresiliência da UE (CRA), e muitos clientes, agora a exigem.
Como os seus engenheiros acedem aos nossos sistemas?
Cada engenheiro tem uma conta nominal com apenas os direitos de que a tarefa precisa e entra com uma chave de segurança de hardware. Quando tem um processo para acesso de administrador, nós o seguimos. As sessões são registadas, e o acesso é removido quando o trabalho termina ou quando alguém deixa o projeto.
O que é gestão contínua da exposição a ameaças?
É um programa permanente em vez de um teste anual. Ele mantém uma lista atual do que um atacante poderia alcançar, classifica cada exposição pela probabilidade de ser usada e pelo custo que teria, e acompanha cada correção até o seu encerramento. As análises correm continuamente e os testes acompanham cada mudança significativa.
O que é um exercício de red team e blue team?
É um ensaio em condições reais. Uma equipa vermelha ataca os seus sistemas dentro de regras acordadas, enquanto a sua equipa azul, as pessoas que detectam e respondem, os defende. Depois, os dois lados revisam o que foi encontrado, o que passou e quanto tempo cada etapa levou, e recebe as mudanças que fecham as lacunas.
Pronto para construir? Peça uma proposta.
Envie os seus requisitos ou o seu RFP. Os nossos arquitetos os validam e devolvem uma proposta vinculante de âmbito fixo.
O que acontece a seguir
Avaliação de prontidão
Numa avaliação de prontidão gratuita de 48 horas, um Arquiteto Principal verifica o seu projeto com a Definição de Prontidão em 6 pontos e recomenda o percurso adequado.
Proposta vinculante
Após validação de arquitetura sem custo, recebe uma proposta vinculante de âmbito fixo em 3–5 dias úteis: marcos, arquitetura, estrutura da equipa e SLAs. Assinamos um acordo de confidencialidade (NDA) consigo quando solicitado, antes de partilhar os seus requisitos.
Mobilização
Depois da assinatura, as nossas equipas de engenharia iniciam o Sprint 0 em 5–10 dias úteis após a assinatura do contrato.
Entrega em cinco etapas
Mobilização, sprints com demonstrações ao vivo, integração e robustecimento, aceitação e entrada em produção e, depois, serviços geridos. Após o lançamento vem um período de garantia e, depois, suporte e manutenção opcionais.