Segurança da informação
para quem leva a sério.
Testes de intrusão, auditoria de segurança e resposta a incidentes. Encontramos o que o atacante encontraria, antes dele.
Serviços
Teste de Intrusão
Simulamos o ataque real em aplicações, redes e infraestrutura. Exploração validada, com prova de conceito e caminho de correção.
- Web, API, rede externa e interna
- Prova de conceito de cada achado
- Relatório priorizado e reteste opcional
Auditoria de Segurança
Revisão de configuração, código e postura em nuvem, DNS, e-mail e aplicação. Da superfície de ataque ao que expõe seus dados.
- Nuvem, DNS, e-mail e cabeçalhos
- Lista de pendências por risco
- Plano de correção com prioridades
Resposta a Incidentes
Contenção, análise forense e recuperação quando algo dá errado. Descobrimos o vetor, o alcance e como impedir a repetição.
- Contenção e preservação de evidências
- Linha do tempo e alcance do ataque
- Medidas para não acontecer de novo
Abordagem
Escopo e regras
Definimos alvos e o nível de acesso, com autorização por escrito antes de qualquer teste.
Execução técnica
Reconhecimento, exploração e validação. Cada achado é reproduzível.
Relatório com impacto
Priorizado por risco real, com o passo a passo da correção.
Reteste (opcional)
Confirmamos que as correções funcionam antes de encerrar.
Visão real de um invasor, usa mais recursos do servidor.
Sem acesso prévioAcesso a contas de teste ou contas privilegiadas.
Credenciais de usuárioAcesso ao código-fonte completo, maior cobertura.
Código e acessosDepoimentos
Empresas que já contaram com a intoIT.
[placeholder]✓ Ver no LinkedIn
[placeholder]✓ Ver no LinkedIn
[placeholder]✓ Ver no LinkedIn
Tive a oportunidade de conhecer o trabalho do Matheus durante um pentest que ele realizou na Shoryu. Desde o início, demonstrou bastante conhecimento técnico, atenção aos detalhes e profissionalismo em todas as etapas do processo. Além de identificar possíveis vulnerabilidades, apresentou explicações claras sobre os riscos encontrados e recomendações práticas para fortalecer a segurança da plataforma. Também demonstrou comprometimento e cuidado em compartilhar seus conhecimentos, contribuindo bastante para a evolução do nosso produto. Recomendo o Matheus pela competência técnica, dedicação e qualidade do trabalho realizado.✓ Ler completo no LinkedIn
Quem faz o trabalho
Quer fazer parte? →Matheus Brunheroto
Fundador · PentesterCada teste é conduzido por mim, do escopo ao reteste: quem combina as regras é quem explora e quem escreve o relatório. Sem repasse para equipe júnior, sem relatório de scanner com logo em cima.
Trabalho com segurança ofensiva no dia a dia e trago o mesmo rigor para a intoIT: autorização por escrito, evidências reproduzíveis e correções aplicáveis.
Ver perfil no LinkedIn ↗Calcule seu orçamento
Valores de referência para um teste conduzido por um profissional solo. Ajuste os parâmetros para ter uma estimativa inicial.
Uma avaliação inicial não custa nada. Conte o cenário e respondemos rápido.
Scanner automatizado ou pentest manual?
Não concorrem. O scanner roda toda semana e pega o óbvio; o pentest entra onde ele não enxerga.
| Scanner | Pentest manual | |
|---|---|---|
| O que vai no relatório | Tudo o que o plugin disparou, inclusive o que não é falha | Só o que foi reproduzido, com a requisição que prova |
| Contas e permissões | Testa a tela de login; não sabe o que um usuário pode ver do outro | Entra com duas contas e tenta ler os dados de uma pela outra |
| Regras do negócio | Não sabe o que é um cupom, um saque ou um reembolso | Tenta usar o cupom duas vezes e sacar mais do que tem |
| Falhas em cadeia | Lista cada item isolado | Junta três avisos "baixos" num acesso de administrador |
| Prioridade | Nota genérica de severidade | Pelo impacto no seu negócio: o que corrigir primeiro e por quê |
| Custo e frequência | Barato, pode rodar toda semana | Por projeto, com escopo fechado; o ideal é ter os dois |
Perguntas frequentes
O teste pode derrubar meu sistema?
Raramente, e nunca sem aviso. Técnicas destrutivas (negação de serviço, exploração que corrompe dados) ficam fora do escopo por padrão. Quando um teste tem risco de instabilidade, combinamos a janela antes. O ideal é testar em um ambiente de homologação igual ao de produção; se só existe produção, ajustamos o ritmo.
Um scanner automatizado não resolve?
O scanner é um bom começo e faz parte do processo. O que ele não faz: validar cada achado, entender a lógica do seu negócio e encadear falhas pequenas em um ataque real. A comparação completa está logo acima.
O que preciso preparar?
Autorização por escrito de quem responde pelo sistema, a lista de alvos (URLs, IPs, aplicativos), contas de teste no caso de gray box, acesso ao código no caso de white box e um contato técnico para dúvidas durante o teste. O resto é com a gente.
Precisa de acordo de confidencialidade?
Sim, antes de qualquer acesso. Pode ser o seu modelo. Tudo o que vemos durante o teste fica restrito ao engajamento.
Quanto tempo leva e quando recebo o relatório?
Depende do escopo: a calculadora acima dá a estimativa em dias. O relatório sai ao fim do teste. Achados críticos são comunicados na hora, sem esperar o fim.
O que acontece com as evidências depois?
Dados e evidências coletados ficam restritos ao engajamento e são apagados depois do encerramento, no prazo combinado em contrato. Só fica o que você pedir para manter.
Vocês corrigem as falhas?
O relatório traz o caminho de correção de cada achado e tiramos dúvidas com o time que vai corrigir. A implementação fica com a sua equipe; o reteste confirma que funcionou.
Como é o relatório?
Sumário executivo para quem decide, lista de achados por severidade com evidência, impacto e correção, e a metodologia usada. Veja um relatório de exemplo (PDF, dados fictícios).