Quatro módulos, cada um com limite declarado.
O que cada módulo faz e o que ele nunca faz. O segundo par é tão importante quanto o primeiro — é o que separa uma plataforma de segurança defensiva autorizada de uma ferramenta genérica de varredura.
Módulos
Attack Surface Management
Descobre domínios, subdomínios, IPs, serviços, repositórios e contas cloud ligados à organização, e mantém o inventário atualizado com verificação de propriedade por DNS TXT, arquivo HTTP, documento aprovado ou agente.
Nuncaalcança ativo fora da allowlist declarada, mesmo que ele pertença à organização.
Validação segura de vulnerabilidades
Coleta prova de existência reprodutível e não destrutiva, sem escrita e sem exfiltração, sob autorização com perfil e janela declarados. Só a partir dessa prova o produto usa a palavra vulnerabilidade.
Nuncaexplora, escreve, apaga ou extrai dado do ativo alvo — nem para provar o achado.
Data Exposure Intelligence
Encontra os caminhos que expõem dado pessoal, credencial e segredo fora do perímetro — e não os lê. O que fica registrado é a prova de que o caminho existe, com mascaramento aplicado antes da persistência.
Nuncalê o conteúdo do que encontrou, armazena dado pessoal íntegro nem o transporta em e-mail, webhook, URL ou notificação.
Breach simulation controlada
Executa cenário simulado com limite de taxa, janela declarada e dupla aprovação, medindo se a defesa viu e em quanto tempo.
Nuncausa payload destrutivo nem simula fora da janela e do escopo aprovados.
Como achamos o que você não sabe que tem
A objeção é justa: se só alcançamos o que foi declarado, não achamos shadow IT — que é o motivo de existir da categoria. A resposta está na diferença entre descobrir e tocar.
Descoberta não toca o alvo
Certificate Transparency é um conjunto de logs públicos onde as autoridades certificadoras registram cada certificado que emitem. Um certificado emitido para interno.suaempresa.com.br publica a existência daquele nome no mundo inteiro — tenha ele DNS público ou não, saiba você dele ou não. Ler esse registro é ler um documento público: a sua infraestrutura não é contatada.
O que aparece entra como descoberto
Nunca como verificado. A descoberta prova que o nome existe, não que a sua organização é dona dele — e tratar as duas coisas como a mesma é o erro que faz uma plataforma varrer o servidor de outra pessoa.
Descoberto só aceita coleta passiva
Para que um ativo passe a receber coleta que toca o alvo, alguém precisa provar a propriedade. Até lá ele fica no inventário, visível e contado, sem nunca ter recebido um pacote nosso.
É por isso que o inventário cresce sozinho e a allowlist continua valendo. O que a allowlist limita não é o que enxergamos — é o que tocamos.
Postura é cobertura de controle, não lista de problemas
Uma matriz de ativo por camada, com quatro estados. O quarto é o mais importante.
Verificado
O controle existe e foi comprovado por evidência com origem e data.
Parcial
O controle existe em parte da superfície do ativo, e a lacuna está declarada.
Ausente
Sabemos que o controle não existe. É um problema medido.
Sem informação
Não sabemos. Não é ausência de risco nem presença dele — é ausência de observação.
O quarto estado é hachurado, nunca colorido, porque distinguir “sabemos que está mal” de “não sabemos” muda toda a leitura. Um painel que pinta o desconhecido de verde inventa uma cobertura que não existe; um que pinta de vermelho inventa um problema que não foi medido.
Detecção testada, não declarada
A camada Detecção da matriz é preenchida por teste.
Como funciona
Mudanças benignas provocadas dentro do escopo autorizado, com aviso prévio ao SOC, medindo se a defesa viu e em quanto tempo. Criar um usuário local com nome marcado, alterar uma regra de firewall, escrever um arquivo inerte em caminho declarado.
Por que avisar não invalida
O objetivo é medir se a defesa vê, não surpreendê-la. A equipe sabe que haverá uma janela de teste; não sabe qual mudança será provocada nem em que momento. O resultado é do controle, e não das pessoas de plantão.
Três peças que sustentam o resto
Agente Sentinel
Coletor interno somente-leitura, instalado pelo seu time. Cobre camadas que varredura externa não alcança e é a prova mais forte de propriedade.
Nunca executa comando enviado pela plataforma, não lê conteúdo de dados, não transmite segredo e não abre porta de escuta.
Plano de ação
Fila única de remediação alimentada por findings, exposições, postura e pontos cegos.
Ação sem responsável aparece como bloqueada, com o aviso explícito do que fica comprometido enquanto durar.
Prova de não-execução
Recibo assinado por período com alcances avaliados, permitidos e recusados, e a afirmação verificável de que os itens excluídos nunca foram tocados.
É a evidência que sustenta “deny by default” fora do código.