Serviços de Consultoria

Auditorias de Segurança

O serviço de Auditoria de Segurança engloba uma diversidade de componentes que se complementam, oferendo às empresas uma visão global da sua infraestrutura e serviços, identificando os pontos onde a segurança deve ser reforçada.
A nossa equipa de experientes hackers éticos cria os cenários mais complexos e sofisticados de ataque testando, até ao limite, a cibersegurança de cada sistema. O objetivo é recriar as técnicas mais avançadas utilizadas por potenciais invasores, antecipando eventuais ataques.
No final dos trabalhos executados pela equipa da ADYTA, é disponibilizado ao cliente um relatório detalhado com as vulnerabilidades e falhas detetadas, bem como com as medidas corretivas necessárias para garantir mais e melhor segurança.
Cada projeto é desenvolvido em total adaptação à realidade e necessidade de cada cliente. A equipa técnica da ADYTA estará lado a lado com as equipas de cada cliente.

As metodologias adotadas pela Adyta no serviço de Penetration Testing podem ser divididas em 3 métodos distintos, listados abaixo.

Black Box

Este método tem como finalidade testar as vulnerabilidades da infraestrutura, do ponto de vista de um atacante externo, onde não existe partilha de informação por parte do cliente, tendo a Adyta que recorrer ao uso de ferramentas de Threat Intelligence e OSINT.

Gray Box

Este método, à semelhança do método Black Box, tem como finalidade testar as vulnerabilidades da infraestrutura, do ponto de vista de um atacante externo, mas existe partilha de alguma informação por parte do cliente, permitindo à Adyta já ter uma base de trabalho. No entanto, dado que a informação será limitada, haverá o recorso a ferramentas de Threat Intelligence e OSINT.

White Box

Este método tem como finalidade testar as vulnerabilidades da infraestrutura, tendo a Adyta informação total da infraestrutura, permitindo que os trabalhos possam ser executados de forma estruturada. Permite, ainda, que sejam encontradas mais vulnerabilidades, que possam não ser facilmente percetíveis por um atacante, mas que possam estar presentes na infraestrutura.

 

Adicionalmente, oferecemos dois possíveis mecanismos para a execução dos trabalhos:

Análise Automatizada

Com recurso a ferramentas state of the art, lançamos scans automatizados da infraestrutura exposta pelo cliente. Estes testes exploram as portas e serviços expostos pelos servidores do cliente, e procuram detetar vulnerabilidades que sejam do conhecimento do público (ex: CVEs).

Nos serviços web, procuramos detetar vulnerabilidades de frameworks e plataformas web em uso, bem como a possibilidade de ataques como XSS e SQL Injection.

Este tipo de análise, ainda que recorrendo a ferramentas de exploração automática, tem sempre o acompanhamento dos nossos especialistas de segurança, validando manualmente as vulnerabilidades encontradas.

Análise com Exploração Manual

Aos serviços de infraestrutura expostos, para além do uso de ferramentas automáticas de análise, são realizados testes manuais de deteção de vulnerabilidades, da perspetiva de atacantes externos, tendo em consideração a informação contextual partilhada ou adquirida, e procurando também movimentações laterais (em adição à tradicional movimentação vertical que caracteriza o conceito de teste de penetração).

Este tipo de análise tem a possibilidade de detetar ataques mais complexos, que necessitem de múltiplos passos, ou uma conjugação de fragilidades, para os executar, tirando, assim, partido dos anos de experiência e qualificações da nossa equipa técnica para providenciar os melhores resultados, indo além do que é normalmente oferecido pelo mercado.

Tem sido, maioritariamente, através deste tipo de análise, que têm sido descobertas as vulnerabilidades mais críticas nos ativos dos nossos clientes.

Uma rede segura é fundamental para o seu negócio.

A equipa técnica da ADYTA examina o estado atual da sua infraestrutura para avaliar a resiliência dos seus controlos de segurança, identificando todas as possibilidades que um invasor pode usar para obter acesso não autorizado.

Cada projeto é acompanhado de relatórios que detalham as vulnerabilidades de segurança identificadas na sua infraestrutura e que podem ser potencialmente exploradas num ataque.

Os testes podem ser desenvolvidos como utilizadores autenticados, ou como utilizadores não autenticados.

A segurança das suas apps pode colocar as suas informações e sistemas corporativos em risco.

Garantimos uma análise de segurança completa da implementação das suas aplicações. Os nossos especialistas examinarão e avaliarão todos os principais componentes da sua aplicação, bem como da infraestrutura de suporte.

Desenvolvemos testes focados em como os componentes da sua app são implementados e comunicam com o utilizador e com o servidor.

Realizamos a análise de vários pontos, considerando diversos cenários, dependendo dos objetivos de cada cliente, desde a revisão do código-fonte até ao teste de intrusão interativa.

Os dispositivos móveis são alvos atraentes para invasores mal-intencionados.

Tendo acesso à sua rede corporativa por email, VPNs e outros métodos de acesso remoto, um ataque bem-sucedido pode resultar na intrusão em bases de dados com detalhes de clientes, dados financeiros e outros elementos confidenciais e fundamentais de uma organização.

Os nossos serviços de teste de segurança a dispositivos móveis são projetados especificamente para identificar falhas de configuração e implementação, associadas à integração de soluções móveis num ambiente corporativo, e fornecer conselhos detalhados de mitigação.

Com vasta experiência em testes de intrusão de acesso remoto, podemos ajudá-lo a avaliar a segurança de todos os componentes que constituem o seu ambiente de trabalho flexível, analisar a sua arquitetura, configurações e implementações de segurança, bem como testar vulnerabilidades e recomendar políticas de segurança apropriadas para mitigar um potencial ataque.

Garantimos que as organizações estejam equipadas e preparadas para gerir os riscos de segurança que surgem do trabalho remoto.

Questões como segurança de equipamentos, segurança de VPNs, acesso a servidores remotos, modems e uso de dispositivos portáteis são consideradas.

A cibersegurança e os seus riscos associados são uma das maiores ameaças às organizações em todo o mundo.

Tradicionalmente, a cibersegurança centra-se em aplicações e infraestrutura. Contudo, os vetores usados pelos atacantes são cada vez mais sofisticados e diversificados.

Os invasores não se limitam apenas a atacar ativos informáticos, mas incluem também ativos físicos e humanos. É por isso que as organizações precisam defender e proteger os seus negócios prevendo vários cenários de ataque.

A avaliação de simulação de ataque de espectro total é um compromisso à medida, que inclui recursos de ataque e resposta.

A adoção de tecnologias de virtualização em ambientes públicos e privados aumentou a preocupação sobre como proteger esses sistemas contra ciberataques.

Os invasores procuram continuamente estes ambientes em busca de controlos de segurança fracos, configurações incorretas e vulnerabilidades. Existe ainda a possibilidade distinta de que estes sistemas não tenham os mesmos padrões de cibersegurança que os sistemas internos.

Podemos ajudá-lo a proteger os seus ambientes cloud com os nossos testes detalhados de intrusão e análises de configuração.

Realizamos ataques de Negação de Serviço, não distribuídos, de forma a verificar a resiliência dos servidores do cliente quanto a este tipo de ataques.

A execução de uma simulação de ataque de phishing a um conjunto de colaboradores da entidade permitirá aferir da resistência, e resiliência, destes perante a ameaça que um ataque deste tipo personifica.

Em complemento do serviço de Phishing, temos o serviço de formação especializada, onde podem ser desenvolvidos conteúdos específicos para o cliente, permitindo à organização ter uma formação ajustada à sua necessidade e dos seus colaboradores.

Phishing Genérico

Serão enviadas campanhas de phishing generalizadas, procurando atingir o máximo número de colaboradores da empresa, enviados de forma automatizada e recorrendo a modelos pré-existentes. O resultado do simulacro de phishing será um conjunto de estatísticas, que permitem ao cliente ter uma visão geral sobre a preparação dos colaboradores da sua instituição perante este tipo de ameaças.

Phishing Direcionado

Para a realização deste tipo de phishing, recolhemos o máximo de informação disponível sobre a empresa e alguns dos seus colaboradores, à escolha do cliente, usando ferramentas e mecanismos de Open Source Intelligence (OSINT). Após recolhida essa informação, realizamos ataques de Phishing direcionado a estes colaboradores.

Ataques de Phishing direcionados, ou Spear Phishing, mostram-se mais eficazes que os ataques de phishing generalizados, sendo o melhor mecanismo para testar a resiliência da organização a este tipo de ataques.

Resposta a Incidentes e Análise Forense

Em caso de ter sido alvo de ataque é fundamental recolher todas as evidências e colocar em prática a melhor resposta, minimizando danos e preservando ativos.
Os nossos especialistas utilizam as mais adequadas metodologias para realizar a análise forense dos dados, investigação avançada dos sistemas, engenharia reversa e outros testes por forma a determinar a causa, a origem e o impacto de cada incidente.
Utilizamos as melhores práticas do setor na preservação de evidências.
Também ajudamos os nossos clientes no desenvolvimento e implementação de Planos de Resposta a Incidentes, preparando cada organização para as melhores respostas em cenários de crise.

Avaliação de Conformidade

Avaliamos a conformidade dos seus sistemas e soluções relativamente aos mais exigentes standards.
A ADYTA tem uma equipa de especialistas reconhecidos na avaliação de conformidades com os mais exigentes standards e requisitos ao nível da cibersegurança e proteção de dados e informação.
Sendo já recorrente o trabalho desenvolvido no âmbito da avaliação criptográfica e funcional de sistemas e plataformas, bem como da conformidade com os requisitos mais exigentes, estamos aptos a auxiliar os nossos clientes na avaliação de conformidade e cumprimento de requisitos perante as mais exigentes matrizes e normas de avaliação.

Levantamento de ativos, análise de risco, identificação de medidas mitigadoras do risco, incluindo, mas não limitado a:

  1. Enquadramento Normativo do RJSC e restante regulamentação relevante;
  2. Política de Segurança da Informação;
  3. Inventário de ativos;
  4. Análise de riscos;
  5. Medidas para cumprimento dos requisitos de segurança;
  6. Plano de Segurança;
  7. Notificação de incidentes;
  8. Métricas e indicadores (KPIs);
  9. Auditoria de cibersegurança;
  10. Relatório Anual;
  11. Sensibilizações aos colaboradores para a cibersegurança;
  12. Elaboração dos entregáveis de conformidade a enviar ao CNCS.

Ponto de contacto permanente “as-a-service” (Artigo 4º do DL 65/2021) e Responsável de segurança “as-a-service” (Artigo 5º do DL 65/2021) com cobertura 24h por dia;

O responsável de segurança terá como responsabilidade agir como contacto permanente (24horas por dia) com a organização e com CNCS em termos de cibersegurança, para além de acompanhar periodicamente o plano de tratamento de riscos junto do cliente e elaborar, quando ocorrerem incidentes de cibersegurança, o respetivo relatório com a estrutura e as evidências relevantes. Fará ainda a ponte com o Centro Nacional de Cibersegurança em termos de comunicação de incidentes de cibersegurança com a elaboração da documentação necessária e suficiente, e interagindo de acordo com o procedimento de resposta a incidentes de cibersegurança. As principais responsabilidades são:

  1. Assegurar a implementação de uma estratégia de segurança da informação;
  2. Desenvolver e implementar políticas, processos e procedimentos de segurança da informação;
  3. Definir e implementar estratégias de avaliação e de resposta aos riscos;
  4. Acompanhar e participar no processo de gestão de incidentes;
  5. Realizar e Acompanhar auditorias de segurança e implementação de medidas de melhorias;
  6. Dinamizar sessões de sensibilização em segurança da informação e cibersegurança;
  7. Atualização do inventário de ativos;
  8. Acompanhamento do plano de segurança;
  9. Notificação de incidentes;
  10. Elaboração do relatório anual e demais entregáveis de conformidade.

Desenvolvimento de políticas de segurança adaptadas ao cliente.

Treino Avançado em Cibersegurança

A equipa técnica da ADYTA está disponível para auxiliar as equipas do cliente a estarem cientes das últimas tendências em segurança.
Desenvolvendo planos adaptados à necessidade de cada cliente, podemos fornecer formação em cibersegurança.
Apoiamos cada cliente desde a aposta na informação, na partilha de conhecimento e na consciencialização para a cibersegurança, assim como na adoção de melhores práticas para desenvolvimento de software seguro.

Voltar ao topo