Security
Discovery
What has already leaked from your company, what is exposed to the internet, and whether it still opens the door
This page is available in Portuguese only.
O que já vazou da sua empresa, o que está exposto para a internet, e se aquilo ainda abre a porta.
Toda empresa tem credenciais que já saíram por um fornecedor, serviços publicados que ninguém lembra de ter ligado e domínios parecidos registrados por terceiros. O Discovery mede essa exposição sem enviar um único pacote à sua infraestrutura, entrega um diagnóstico que cabe em quatro páginas, e deixa a única pergunta que exige acesso privilegiado para ser respondida por você, dentro da sua própria casa.
- Coleta sem contato com a sua rede
- Nada entra sem a sua autorização
- Procedência em cada afirmação
- Projetado segundo ISO/IEC 27001 e 27701
- 0 pacotes enviados à sua infraestrutura durante a coleta
- 4 páginas no relatório executivo, por limite de projeto e não por acaso
- 3 versões do relatório, uma para cada público que vai lê-lo
- 1 verificação entra na sua rede, e roda com a credencial do seu administrador
01 · O desafio
A exposição que já aconteceu, e que ninguém mediu
A pergunta não é se a sua empresa vai ser alvo. É o quanto dela já está publicado, e há quanto tempo. Três situações aparecem em praticamente toda avaliação, e nenhuma delas depende de alguém ter invadido você.
-
As credenciais já saíram
A sua empresa não foi invadida. Um serviço que a sua equipe usava foi, e a senha corporativa estava lá. A partir desse dia, a credencial circula em bases que qualquer pessoa consegue consultar, e a sua equipe de segurança não é avisada.
-
A superfície cresceu sem inventário
Um serviço publicado para um teste e nunca desligado. Um certificado emitido para um endereço que ninguém reconhece. Uma versão antiga que a internet consegue ler e que já tem falha pública conhecida. Nada disso aparece no inventário interno.
-
A pergunta que fica sem resposta
Suponha que a lista de credenciais vazadas exista. A pergunta seguinte é a que decide o orçamento: alguma delas ainda funciona hoje? Sem essa resposta, o levantamento é interessante e não é acionável.
Por que isso virou assunto de diretoria
Credencial reutilizada é o caminho de entrada mais barato que existe, e não exige nenhuma falha técnica da sua parte. Enquanto a conversa sobre segurança ficar restrita a quem opera a rede, a decisão de investir continua sendo tomada sem o número que a justifica.
02 · O que é o Discovery
Um diagnóstico de exposição que você pode levar ao conselho
O Discovery é uma ferramenta defensiva. Ela existe para que uma organização entenda a própria exposição, e foi construída com controles que impedem o uso dela como instrumento de reconhecimento contra terceiros.
As três perguntas
- Quais credenciais corporativas estão expostas. Endereços do seu domínio que aparecem em vazamentos e em bases de credenciais roubadas, com a data em que foram vistos, a categoria de dado envolvida e, quando a fonte entrega, a própria senha.
- Qual é a superfície visível de fora. Serviços publicados, falhas conhecidas associadas às versões expostas, nomes emitidos em certificados, situação do registro do domínio e a higiene do envio de e-mail em nome dele.
- Se aquelas credenciais ainda funcionam. Esta é a de maior impacto na mesa de diretoria, e a única que exige acesso privilegiado. Ela é respondida dentro do seu perímetro, pela sua equipe, com a credencial dela.
-
O que ele é
- Um diagnóstico com data base, validade declarada e procedência em cada linha.
- Uma conversa que começa com um número e termina com um plano de ação ordenado por esforço.
- Um documento redigido presumindo que a sua equipe técnica vai contestar cada achado.
-
O que ele não é
- Não é teste de invasão, e não substitui um.
- Não é monitoramento contínuo. É uma fotografia datada, e o documento diz isso na própria capa.
- Não é um painel que fica ligado consumindo consulta sem alguém ter pedido uma medição.
03 · O que ele entrega
Seis frentes, um retrato só
Cada frente responde uma pergunta que a sua empresa já tem, e nenhuma delas exige acesso à sua rede para ser respondida.
-
Credenciais expostas
Identidades do seu domínio encontradas em vazamentos, com data de observação, categorias de dado comprometidas e quantas trazem senha. A taxa de exposição sai daqui.
-
Superfície de ataque
Serviços que a internet enxerga, versões reconhecíveis e as falhas públicas associadas a elas, separadas por severidade.
-
Exploração conhecida
Cruzamento com o catálogo público de falhas sob exploração ativa. Esta é a linha que separa a vulnerabilidade teórica da que já está sendo usada, e é o argumento mais forte de priorização.
-
Cadeia de suprimentos
Fornecedores identificados a partir da configuração pública do seu domínio, quais deles têm vazamento conhecido, e quais estão autorizados a enviar e-mail em nome da sua empresa.
-
Higiene de domínio e e-mail
Situação e vencimento do registro, titularidade, nomes emitidos em certificados públicos, e a configuração que protege o seu domínio contra uso indevido em mensagens.
-
Carteira de domínios
Para quem tem mais de uma marca ou mais de uma empresa no grupo, a visão do conjunto, com documento próprio e as mesmas regras de proteção de identidade.
04 · Como funciona
Dois lados, e uma fronteira que ninguém atravessa por conexão
O produto tem dois lados com fronteiras de confiança diferentes, e eles não conversam por rede. O que passa de um para o outro é um arquivo, assinado e depois cifrado, que você entrega pelo canal que preferir.
Operação da Hosanna
Bases públicas e de terceiros
vazamentos, serviços expostos, certificados, registro, catálogos
leitura, nunca varredura
Análise e relatório
consolida, pontua, redige e emite a autorização assinada
O seu perímetro
Estação do seu administrador
aplicação separada, aberta por ele, sem acesso à internet
O seu diretório corporativo
lido com a credencial dele, localmente
Nenhum dos dois lados abre porta de escuta: a ausência de superfície de rede é uma decisão de projeto, verificada a cada entrega, e não uma consequência de como o produto ficou
-
A cifra
Troca de chaves X25519 com cifra autenticada ChaCha20-Poly1305, em biblioteca aberta e auditada. O produto não constrói esquema criptográfico próprio.
-
A assinatura
Assinatura Ed25519 sobre o conteúdo, conferida na chegada. Arquivo adulterado para apontar para outro alvo é recusado antes de qualquer execução.
-
O escopo
A autorização carrega o escopo que você validou, e a estação do seu administrador recusa executar fora dele. O escopo não é uma recomendação, é uma condição de execução.
05 · O que se vê de fora
A coleta que não encosta na sua rede
Toda a primeira fase é leitura de bases que já realizaram a coleta, mais consultas de domínio e de certificados públicos. Em nenhum momento o produto envia tráfego de varredura contra a sua infraestrutura, e o relatório declara isso em página própria.
| Frente | O que é consultado | O que você recebe |
|---|---|---|
| Credenciais | Bases públicas e comerciais de vazamento, por endereço e por domínio | Identidades atingidas, data de observação, categorias de dado e quantas trazem senha |
| Serviços expostos | Inventários públicos de serviços alcançáveis pela internet | Portas e serviços visíveis, versões reconhecíveis e falhas associadas |
| Exploração ativa | Catálogo público de falhas sob exploração conhecida, baixado por inteiro e cruzado localmente | Quais das falhas encontradas já estão sendo exploradas no mundo real |
| Nomes e certificados | Registros públicos de transparência de certificados | Endereços emitidos em nome do seu domínio, inclusive os que você não reconhece |
| Registro do domínio | Serviço oficial de consulta de registro | Titular, data de criação, vencimento e situação |
| Cadeia e e-mail | Configuração pública de domínio e de envio de mensagens | Fornecedores inferidos e quem está autorizado a enviar e-mail por você |
O cruzamento com o catálogo de exploração é feito do lado de cá
O catálogo inteiro é baixado e comparado localmente. Consultar falha por falha revelaria o inventário da sua empresa para a fonte consultada, e isso é exatamente o que uma ferramenta de diagnóstico não pode fazer.
Cada achado diz o quanto se pode confiar nele
Achado confirmado e achado inferido não são a mesma coisa, e o relatório nunca os apresenta com o mesmo peso. Uma falha deduzida a partir da versão que o serviço anuncia é escrita em forma condicional e marcada como tal, porque ela precisa de confirmação interna para virar certeza. Ausência de achado também não é prova de ausência de exposição, e isso fica escrito no documento em vez de ficar subentendido.
Abrir o painel não dispara medição
Consultar o resultado de uma avaliação lê o que já foi coletado. Nova consulta às fontes externas só acontece quando alguém pede, porque medir tem custo e ninguém deve recebê-lo sem ter decidido pagá-lo.
06 · A verificação interna
Aquelas senhas ainda abrem a porta?
Esta é a pergunta de maior impacto executivo e a de maior sensibilidade operacional. Por isso ela não é respondida por nós: ela é respondida pela sua equipe, na sua rede, com a credencial dela, e só o resultado volta.
Tudo isto acontece dentro do seu perímetro
Autorização
assinada e cifrada, entregue a você
O seu administrador
abre, confere o escopo e consente
O diretório é lido
com a credencial dele, pelo mecanismo padrão
Comparação
em memória, no local
Veredito
sim ou não por identidade
O que nunca sai da sua rede: nenhum resumo criptográfico do seu diretório, nenhuma senha e nenhum material de credencial de qualquer natureza
-
A parte que toca credencial é pequena de propósito
O trecho do produto que lida com material de credencial é mantido mínimo, coeso e isolado, justamente para que a sua equipe de segurança consiga auditá-lo sozinho, sem revisar o produto inteiro. Funcionalidade que não precisa estar ali não entra.
-
Sem acesso à internet, e sem chave nossa
A aplicação que roda na sua casa opera sem qualquer conexão externa, e não carrega chave de acesso a fornecedor nenhum. Tudo de que ela precisa chega selado dentro da autorização que você aprovou.
07 · O relatório
O entregável é o documento, e ele foi projetado para a sala
A coleta, a pontuação e a criptografia existem para produzir o relatório. Um diagnóstico tecnicamente impecável cujo documento não sustenta uma reunião é um diagnóstico perdido, e o documento é lido por pessoas com perfis incompatíveis na mesma sala.
| Versão | Para quem | Identidades | Teto |
|---|---|---|---|
| Síntese | Quem aprova a decisão de outra pessoa, em noventa segundos | Sempre agregadas | 1 página |
| Executiva | Diretoria executiva e conselho | Sempre agregadas | 4 páginas |
| Técnica | Segurança e tecnologia, para verificar e agir | Nominais, com evidência bruta em apêndice | sem teto |
A síntese não é um resumo da executiva. A distinção é de leitor: a executiva é lida por quem vai decidir o orçamento, a síntese por quem vai aprovar a decisão de outra pessoa, quase sempre no celular, entre duas reuniões. Por isso ela abre pelo que mudou, e não pelo número.
As quatro páginas da versão executiva
- Sumário de exposição. Cliente, domínio, data base e validade. A pontuação de exposição com faixa nomeada, e, como número de maior destaque da página, a taxa de exposição: quantas identidades corporativas comprometidas, de quantas conhecidas. Entre três e cinco achados mais severos, em linguagem de negócio, e uma frase de veredito factual.
- Onde está o risco. A exposição distribuída em três blocos com números absolutos: credenciais, superfície de ataque e cadeia de suprimentos.
- Plano de ação priorizado. Uma tabela ordenada pela relação entre impacto e esforço, em que cada ação declara quanto a pontuação cai se ela for executada, qual o esforço e qual o responsável sugerido.
- Metodologia e limitações. Obrigatória, e nunca omitida. Quais fontes foram consultadas, que a coleta foi exclusivamente passiva e sem contato com a sua infraestrutura, que parte dos achados é inferida e pede confirmação interna, e que ausência de achado não comprova ausência de exposição.
A coluna que transforma relatório em orçamento aprovado
Dizer quanto a pontuação cai com cada ação é o que converte um diagnóstico em plano de trabalho. É com essa coluna que a área de segurança justifica a prioridade, e é por ela que a diretoria consegue comparar duas ações sem precisar entender a técnica de nenhuma delas.
As cinco regras de redação do documento
-
Procedência obrigatória
Toda afirmação é rastreável a uma evidência, uma fonte e uma data de observação. Afirmação sem procedência não entra.
-
Nada de alarmismo
Sem linguagem de medo, superlativo dramático, contagem regressiva ou estimativa de prejuízo sem fundamento. A exposição real já é persuasiva o bastante.
-
Confiança explícita
Cada achado exibe o quanto se pode confiar nele, e o que é inferido é redigido em forma condicional.
-
Sempre com caminho
Todo achado vem com recomendação executável, esforço estimado e responsável sugerido. Documento que só alarma é lido como peça de venda.
-
Resiste ao contraditório
O texto é escrito presumindo que a sua equipe vai contestar cada linha, e a evidência bruta fica disponível para a verificação independente.
-
Classificado em toda página
O documento carrega a marcação de confidencialidade em todas as páginas, e fecha declarando o que não foi olhado.
08 · Dado pessoal e autorização
A prova vem antes do nome
Um diagnóstico de credencial exposta trata dado pessoal por natureza. O produto resolve isso invertendo a ordem usual: o achado aparece primeiro, a identidade só depois de alguém provar que o domínio é seu.
O domínio é consultado
o diagnóstico aparece com identidade ofuscada
Prova de propriedade
um registro publicado no DNS do seu domínio
Revelar fica disponível
e cada revelação vira um registro de auditoria
Autorização
só para domínio comprovadamente seu
A prova libera a ação de revelar, e não o conteúdo: a diferença entre dizer não posso te mostrar o que encontrei e dizer encontrei isto, e para ver de quem é preciso provar que o domínio é seu
-
A senha, quando a fonte entrega
Algumas fontes devolvem a própria senha. Ela é guardada selada, exibida mascarada por padrão, e só aparece inteira quando as duas condições existem ao mesmo tempo: a prova de propriedade do domínio e a escolha explícita na sessão. Mostrar o começo e o fim é o que faz o titular reconhecer a própria senha e validar o diagnóstico na mesa.
-
Onde ela nunca aparece
No documento entregue, no arquivo de troca e na trilha de auditoria. São os três lugares que saem do produto e que ninguém vigia depois, e por isso a proibição neles é absoluta, independentemente de qualquer permissão.
Uma chave por avaliação
Cada avaliação tem a própria chave de dados, e o acervo fica cifrado em repouso. Encerrar uma avaliação é destruir a chave dela, o que torna o conteúdo irrecuperável sem depender de apagar registro por registro.
09 · O que ele não faz
Os limites estão escritos, e eles são verificados
Uma ferramenta que mede exposição alheia é uma ferramenta que pode ser usada contra terceiros. As restrições abaixo não são política interna: elas estão no projeto do produto e são conferidas a cada entrega.
-
Não explora falha
Nenhuma exploração de vulnerabilidade, nenhum movimento lateral e nenhuma ação posterior a comprometimento, em nenhuma circunstância.
-
Não tenta senha
Nenhuma tentativa de autenticação contra qualquer serviço, interno ou externo. Verificar reutilização por comparação é o único método autorizado.
-
Não varre sem autorização
Nenhuma varredura ativa contra domínio ou infraestrutura sem autorização verificada. Domínio não comprovado não recebe autorização nenhuma.
-
Não constrói base de todos
Um acervo que juntasse a exposição de vários clientes seria um mapa de ataque multiorganização. Ele não é construído, e a decisão de não construí-lo está registrada no projeto.
O que fica de fora, e é bom que fique
Postura de autenticação em múltiplos fatores não é observável de fora. De fora só é possível identificar qual provedor de identidade a empresa usa, e qualquer afirmação além disso seria chute apresentado como achado. O produto diz o que vê e para onde não vê.
10 · ISO e LGPD
Controles no projeto, evidências no processo
O produto foi desenhado segundo os requisitos das normas abaixo, e o que ele produz serve de evidência para quem precisa demonstrar conformidade.
-
ISO/IEC 27001
Classificação da informação em todo documento gerado, cifra em repouso por avaliação, separação de perímetros de confiança, trilha de acesso e controle de quem pode revelar o quê.
-
ISO/IEC 27701
Ofuscação de dado pessoal por padrão, prova de legitimidade antes da revelação, e trilha de autorização auditável em que revelar é um evento registrado e não um estado implícito.
-
LGPD
Finalidade declarada, minimização na origem, retenção vinculada à avaliação e descarte por destruição de chave. O relatório entregue nunca carrega credencial em texto claro.
Uma nota sobre a norma de inteligência artificial
A ISO/IEC 42001 trata de sistemas de gestão de inteligência artificial. Ela não se aplica a este produto hoje, e está dito aqui em vez de omitido. As certificações listadas ao final desta apresentação referem-se à Hosanna Tecnologia e ao escopo dos sistemas certificados dela.
11 · Quando usar
Cinco situações em que o diagnóstico decide alguma coisa
-
Antes de aprovar o orçamento de segurança
A conversa deixa de ser sobre risco abstrato e passa a ser sobre um número com data e um plano com esforço estimado. A diretoria compara ações, e não opiniões.
-
Em uma due diligence
Comprar uma empresa é herdar a exposição dela. O diagnóstico mede isso sem pedir acesso à infraestrutura da outra parte, o que é exatamente o que uma negociação em curso permite.
-
Depois do incidente de um fornecedor
Quando um serviço que a sua equipe usava é comprometido, a pergunta imediata é quantas pessoas da sua empresa estavam ali e se alguma reaproveitava a senha corporativa.
-
Na preparação para uma auditoria
O documento fornece evidência datada e com procedência, e a trilha de autorização demonstra como o dado pessoal foi tratado durante o próprio levantamento.
-
Na revisão periódica
Repetir a avaliação transforma a fotografia em tendência, e a comparação entre duas datas mostra o que a sua equipe efetivamente fechou no período.
-
Em um grupo com várias marcas
Cada empresa recebe o próprio diagnóstico, e a holding recebe a visão do conjunto, com as mesmas regras de proteção de identidade aplicadas.
12 · Como é o engajamento
Do escopo ao relatório, com uma decisão sua no meio
O engajamento tem sete etapas, e a quinta é um ponto de decisão que só você pode tomar. Até ali, nada tocou a sua infraestrutura.
- 1 · Escopo e domínios
- 2 · Prova de propriedade
- 3 · Coleta sem contato
- 4 · Leitura conjunta
- 5 · Sua autorização
- 6 · Verificação na sua casa
- 7 · Relatório consolidado
ponto de decisão do cliente
Escopo e domínios
Definimos quais domínios entram e qual é a data base. O escopo é escrito antes de qualquer consulta.
Você recebe: o escopo acordado por escrito.
Prova de propriedade
Sua equipe publica um registro no DNS de cada domínio. É o que autoriza a revelação de identidade e o que destrava a etapa 5.
Você recebe: a instrução exata do registro a publicar.
Coleta sem contato
A leitura das fontes públicas e de terceiros acontece inteiramente do nosso lado. Nenhum pacote chega à sua infraestrutura.
Você recebe: nada ainda, e essa é a intenção.
Leitura conjunta
Apresentamos o diagnóstico à sua equipe antes de qualquer verificação interna, para que ela conteste o que quiser contestar.
Você recebe: a versão executiva e a técnica.
Sua autorização
Você decide se quer responder a terceira pergunta, e com qual escopo. Se a resposta for não, o engajamento termina aqui com valor entregue.
Você recebe: a autorização assinada, para abrir quando quiser.
Verificação na sua casa
Seu administrador executa, com a credencial dele, dentro do seu perímetro. Acompanhamos por chamada se você quiser, sem acesso nenhum.
Você recebe: o arquivo de resultado, que fica com você também.
Relatório consolidado
O documento final reúne o que se vê de fora e o que foi confirmado dentro, com o plano de ação priorizado.
Você recebe: as três versões do relatório.
13 · O que a sua empresa ganha
O mesmo levantamento, lido por quatro cadeiras diferentes
-
Para o presidente e o conselho
Um número com data e um plano com esforço. A pergunta se estamos expostos passa a ter resposta em uma frase, e a decisão de investir deixa de depender de quem argumenta melhor.
-
Para a segurança da informação
Achados com procedência e evidência bruta para verificação independente, priorização por impacto real e a confirmação de reutilização sem abrir a rede para ninguém de fora.
-
Para a tecnologia
Um inventário do que a internet enxerga, inclusive do que ninguém lembrava de ter publicado, e a lista de nomes emitidos em certificados que não constam do inventário interno.
-
Para a privacidade e a conformidade
Evidência datada para auditoria, trilha de autorização do tratamento feito durante o próprio levantamento, e um documento que nunca carrega credencial em texto claro.
Indicadores para acompanhar entre duas avaliações
- Taxa de exposição: identidades comprometidas sobre as conhecidas
- Falhas expostas que estão em exploração conhecida
- Serviços visíveis que não constam do inventário interno
- Credenciais vazadas que ainda funcionavam no diretório
14 · Perguntas frequentes
Respostas diretas para as dúvidas mais comuns
Vocês vão escanear a nossa rede?
Não. A coleta é inteiramente leitura de bases que já fizeram a coleta, mais consultas públicas de domínio e de certificado. Nenhum pacote parte daqui para a sua infraestrutura, e o relatório declara isso em uma das quatro páginas.
Então como vocês confirmam se a senha ainda funciona?
Nós não confirmamos. Você confirma. A verificação roda em uma aplicação separada, dentro do seu perímetro, aberta pelo seu administrador e com a credencial dele. A comparação acontece em memória, no local, e só o veredito por identidade retorna.
Vocês ficam com alguma senha ou com dados do nosso diretório?
Nenhum resumo criptográfico do seu diretório e nenhum material de credencial deixa a sua rede. As senhas que aparecem no diagnóstico vêm de vazamentos públicos, ficam seladas, são exibidas mascaradas e nunca entram no documento entregue, no arquivo de troca nem na trilha de auditoria.
Precisamos instalar alguma coisa?
Só se você decidir fazer a verificação interna, e apenas na estação do seu administrador. É uma aplicação de desktop que não abre porta de escuta, opera sem acesso à internet e não carrega chave de acesso a fornecedor nenhum.
Por que vocês pedem para publicar um registro no nosso DNS?
Porque é o que prova que o domínio é seu. Antes dessa prova, o diagnóstico aparece com toda identidade ofuscada: você vê qual vazamento, quando aconteceu e o que fazer, mas não de quem é. A prova libera a ação de revelar, e cada revelação fica registrada.
Isso substitui um teste de invasão?
Não, e os dois respondem perguntas diferentes. O teste de invasão pergunta se alguém consegue entrar explorando falhas. Este diagnóstico pergunta o que já saiu e o que já está visível, sem tocar na sua infraestrutura. Em geral ele é o primeiro, porque custa menos e costuma achar o caminho mais barato de entrada.
O relatório serve para auditoria?
Serve como evidência datada e com procedência. Cada afirmação é rastreável a uma fonte e a uma data de observação, a versão técnica traz a evidência bruta em apêndice, e o documento declara explicitamente o que não foi olhado.
E se vocês não encontrarem nada?
O documento vai dizer isso, e vai dizer também que ausência de achado não comprova ausência de exposição. Um relatório que se apresenta como exaustivo é desmontado pela primeira pergunta difícil, e declarar a limitação é o que sustenta a credibilidade do resto.
15 · Próximos passos
Comece por um domínio
A conversa mais curta começa com o seu domínio principal e uma reunião de leitura. Até a etapa quatro, nada precisa ser instalado e nada toca a sua infraestrutura.
- Escolha um domínio. O principal costuma ser o mais revelador, porque é onde estão os endereços corporativos.
- Publique o registro de prova. Sua equipe de rede leva poucos minutos, e é isso que permite falar de identidades depois.
- Receba o diagnóstico e conteste. A leitura conjunta existe para a sua equipe desafiar os achados antes de qualquer decisão.
- Decida sobre a verificação interna. Se fizer sentido, você autoriza o escopo e executa na sua casa.
16 · Contato
Fale com a Hosanna Tecnologia
Vamos conversar sobre o seu domínio, o seu cenário e o que faz sentido medir primeiro.
Certificações
O Discovery utiliza tecnologia desenvolvida e mantida pela Hosanna Tecnologia Ltda; as certificações referem-se à Hosanna Tecnologia Ltda e ao escopo dos seus sistemas certificados.