Evidências reais, não listas teóricas
Cada achado inclui sua prova de conceito. Demonstramos que a vulnerabilidade pode ser explorada e mostramos o impacto e como corrigi-la.
Tipos de pentest
Sem informação inicial
Simula um atacante externo, a partir da internet, tentando explorar vulnerabilidades. Ideal para medir a sua exposição pública.
Informação parcial sobre a TI
Temos conhecimento parcial do seu ambiente e simulamos um atacante com acesso básico, como um cliente ou fornecedor comprometido. Ideal para o primeiro teste formal da sua empresa.
Conhecimento completo dos seus sistemas
Trabalhamos lado a lado com a sua equipe de TI para conhecer os detalhes. Este pentest simula uma ameaça interna ou uma revisão bem mais profunda. Ideal para auditorias e setores regulados.
O Neo responde às perguntas mais frequentes
Pentest, ou teste de intrusão, é um ataque simulado, autorizado e controlado contra os sistemas de uma empresa, executado por hackers éticos para identificar vulnerabilidades, explorá-las de forma segura e documentar o impacto real no negócio, junto com as medidas para corrigi-las.
Estão relacionados, mas não são idênticos. O hacking ético é a disciplina geral de usar técnicas de ataque com autorização e fins defensivos. O pentest é um projeto concreto de hacking ético, com escopo definido, datas, metodologia e um relatório formal de resultados.
A análise de vulnerabilidades varre e prioriza falhas potenciais sem explorá-las. O pentest vai além: explora as falhas de forma controlada para demonstrar quais são reais e com que impacto. Os dois se complementam: a análise é a higiene periódica, e o pentest é a validação profunda.
O pentest avalia a fundo um escopo definido em um período limitado. Um exercício de Red Team simula um adversário real durante semanas ou meses, combinando intrusão técnica, engenharia social e evasão de controles, para desafiar a organização inteira. Para a maioria das empresas, o pentest periódico é o passo anterior e necessário.
Depende do cenário que você quer simular. Se for o primeiro teste formal da sua empresa, o Gray Box costuma dar o melhor equilíbrio entre profundidade e tempo.
O preço é definido pelo escopo: quantos IPs, domínios, aplicações web ou segmentos de rede são avaliados, e a modalidade escolhida. Com a sua lista de ativos, preparamos um orçamento preciso, em dólares (USD). O reteste e o Certificado de Reteste já estão incluídos. Também oferecemos o pentest por assinatura (PTaaS), para testar seus sistemas de forma recorrente.
Pelo menos uma vez por ano e depois de cada mudança significativa: migrações para a nuvem, novas aplicações expostas à internet, fusões ou incidentes de segurança. O PCI DSS exige o teste de forma periódica, e nas auditorias de ISO 27001 ele costuma ser pedido como parte da gestão de vulnerabilidades técnicas.
Sim. O resumo executivo, o relatório técnico e a sessão de resultados são entregues em português.
