A XPSec acompanha a segurança da sua empresa em cada etapa: encontramos o que está exposto, protegemos o que importa, monitoramos a operação o ano todo e agimos rápido quando o ataque chega.
A proposta chega em até 24 horas úteis.
9 CVEs descobertos pela equipe e registrados na MITRE
Equipe certificada em OSCP, OSWP, CRTA, eJPT, eCPPT, eWPTX e eMAPT
Frentes que cobrem a segurança da sua empresa de ponta a ponta. Contrate uma ou combine várias, com um time só por trás.
Atacamos seus sistemas com autorização para mostrar o que um invasor conseguiria fazer e como corrigir cada falha.
Varremos seus ativos com frequência, priorizamos cada falha pelo risco real e acompanhamos a correção até a validação.
O BreachFinder vigia fóruns, mercados e canais da deep e da dark web e avisa quando aparece algo ligado à sua empresa.
Avaliamos a maturidade de segurança, traduzimos as exigências regulatórias em um plano priorizado e acompanhamos a execução.
Inteligência dos últimos 90 dias: mapeamento da superfície de ataque, ameaças do período e plano de mediação.
Não sabe por onde começar? A gente indica o ponto de partida certo.
Falar com um especialistaProteção de verdade não termina em um teste. Acompanhamos o ciclo inteiro: de encontrar a falha a responder ao ataque.
Mapeamos tudo que a sua empresa expõe e encontramos onde ela está vulnerável, antes de um atacante.
Priorizamos a correção pelo risco real e ajudamos a fortalecer controles, processos e pessoas.
Vigiamos a sua exposição o tempo todo e caçamos os sinais de ameaça antes que virem incidente.
Quando um incidente acontece, orientamos a contenção e a recuperação, lado a lado com o seu time.
Prefere um pacote a contratar serviço por serviço? Cada plano reúne o que faz sentido para um momento da empresa, com contrato e NDA.
Projeto fechado, de 1 a 3 semanas
Pentest com reteste incluso
Para auditoria, lançamento de produto, exigência de cliente ou o primeiro pentest da empresa.
Exemplo do que você recebe
Assinatura anual ou semestral
Sua exposição monitorada o ano todo
Para empresas que mudam rápido e não podem depender de um teste por ano.
Exemplo do que você recebe
Operação de 4 a 12 semanas
Red Team e inteligência de ameaças
Para setor financeiro, infraestrutura crítica e empresas com SOC que precisam testar a própria detecção.
Exemplo do que você recebe
Não sabe qual faz sentido? Em uma conversa a gente indica o plano certo.
Pedir uma recomendaçãoQuando o trabalho é testar os seus sistemas, são quatro etapas, do contrato ao reteste. Ao lado de cada uma está o documento que você recebe no fim dela.
Definimos o que entra no teste, o tipo (caixa preta, cinza ou branca) e a janela de execução. O contrato e o NDA são assinados antes de qualquer teste.
Você recebe: escopo assinado
Exploramos manualmente, com as mesmas técnicas usadas por grupos criminosos. Só vai para o relatório a falha que conseguimos explorar.
Você recebe: evidência de cada falha
Entregamos dois documentos. O técnico mostra como reproduzir e corrigir cada falha. O executivo explica o risco para quem decide o orçamento.
Você recebe: relatório técnico e executivo
Depois que sua equipe corrige, testamos de novo os mesmos pontos. O projeto termina quando cada falha está confirmada como resolvida.
Você recebe: carta de reteste
O BreachFinder é a plataforma de threat intelligence que desenvolvemos. Ele varre fóruns, mercados e canais da deep e da dark web o tempo todo e avisa quando aparece algo ligado à sua marca. Usamos a mesma plataforma nos nossos projetos.
Digite o domínio do e-mail corporativo. O BreachFinder procura credenciais e dados ligados a ele nas fontes que monitora.
A XPSec é uma empresa brasileira de cibersegurança, com sede em São Paulo. Nascemos na segurança ofensiva e hoje cobrimos o ciclo inteiro, com equipe própria. Não terceirizamos.
Ver todos os motivos para escolher a XPSecCertificações da equipe
Vulnerabilidades inéditas que a equipe descobriu e registrou na MITRE
Se a sua dúvida não estiver aqui, pergunte direto para a equipe.
Enviar uma perguntaCobrimos o ciclo de segurança: segurança ofensiva (pentest interno, externo, gray-box, em IA, cloud e mobile, Red Team e phishing), gestão de vulnerabilidades, threat intelligence com o BreachFinder e o CTI Strategic Report, e consultoria em segurança e compliance. Dá para contratar um serviço ou combinar vários.
Sim. Dá para começar por uma avaliação pontual, pelo monitoramento contínuo ou por uma consultoria, e ampliar depois. Muitas empresas começam com um diagnóstico e evoluem para um acompanhamento o ano todo.
Sim. Atuamos como uma extensão do seu time: a sua equipe conhece os sistemas, a gente traz a especialização em segurança. Em um incidente, trabalhamos lado a lado com quem já está na operação.
Sim. De startups a grandes empresas, em todo o Brasil e de forma remota. O escopo é ajustado ao que você precisa proteger e ao orçamento disponível.
Projetos pontuais, como um pentest, têm preço fechado por escopo. Serviços contínuos, como monitoramento e gestão de vulnerabilidades, são assinatura mensal ou anual. A primeira conversa não tem custo.
Sim. A consultoria conduz a adequação e prepara a documentação que auditores e reguladores pedem, e os testes geram a evidência técnica de que os controles foram validados.
Depende do serviço. Em uma avaliação, você recebe relatório técnico com evidência, relatório executivo em linguagem de negócio, plano de correção priorizado e reteste. Em um serviço contínuo, relatórios periódicos, alertas em tempo real e acompanhamento da correção.
Contrato e NDA são assinados antes de qualquer troca de informação. Não guardamos os dados sensíveis encontrados durante os testes.
Como um recurso ligado por padrão desde o PHP 5.4, o session.upload_progress, virou um caminho de execução remota de código sem autenticação, e por que desligar uma flag não resolve.
Uma violação de dados nem sempre começa com ransomware. Às vezes, começa com um único acesso indevido.
Directory listing ligado e histórico de comandos acessível transformaram o servidor de um grupo de phishing em um livro aberto. Entenda o que os logs revelaram e como se defender de ataques AiTM e device code.
Conte o que precisa proteger. Não precisa saber o nome técnico do serviço: a gente indica o caminho e devolve uma proposta.
