Saltar para o conteúdo
Nemesis
Pedir uma avaliação

Os atacantes não esperam pela sua próxima auditoria

O Nemesis avalia os seus sistemas em funcionamento com agentes de IA coordenados e comprova o que encontra. Analisa cada alteração de código e monitoriza a dark web à procura das suas credenciais. Isto é gestão contínua da exposição a ameaças (CTEM), assegurada como serviço: uma subscrição, um portal, um relatório semanal.

Pedir uma avaliação

O que uma subscrição cobre

  • Aplicações web
  • APIs
  • Serviços de rede
  • Configuração de cloud
  • Repositórios de código
  • Exposição na dark web

Um só programa cobre os seus sistemas em funcionamento, o seu código e as suas credenciais. Os resultados da avaliação são comprovados de novo de forma independente antes de serem reportados, e cada resultado chega à sua equipa com o que fazer a seguir.

Todas as semanas
Um relatório escrito que cobre as três áreas
Cada commit
Analisado, com uma correção sugerida em cada resultado
Todos os dias
A dark web analisada à procura das suas credenciais

Um programa, três áreas

O que tem em funcionamento,
o que lança, o que foi exposto

Os atacantes entram por um sistema em funcionamento, uma alteração no código ou uma credencial exposta. Uma subscrição cobre os três, num só portal de clientes e num só relatório semanal.

  • O que tem em funcionamento

    Sistemas em funcionamento

    Agentes de IA coordenados avaliam a sua superfície exposta e comprovam o que cada fragilidade permite.

    Os agentes percorrem as suas aplicações web, APIs, serviços de rede e configuração de cloud, todo o ano, dentro do âmbito que autoriza por escrito. Cada resultado da avaliação é comprovado e, depois, comprovado de novo de forma independente, antes de chegar ao seu relatório semanal.

    Como funciona a segurança ofensiva

  • O que lança

    Código

    Cada commit analisado e os pull requests revistos antes do merge.

    As análises por regras correm em cada commit e uma revisão por IA lê os pull requests e segue cada alteração pelo resto da sua base de código. Os resultados chegam ao pull request com uma correção sugerida, e só os problemas que a alteração introduz o podem reter.

    Como funciona a monitorização de código

  • O que foi exposto

    Credenciais

    Contas e palavras-passe expostas e menções à sua empresa, analisadas diariamente.

    Todos os dias procuramos contas expostas nos seus domínios, incluindo as dos seus clientes, as suas contas principais e as respetivas palavras-passe, em 15+ fóruns e mercados da dark web. Cada correspondência torna-se um alerta no seu portal com os passos para a conter.

    Como funciona a monitorização da dark web

Os três estão incluídos numa só subscrição anual.

Gestão contínua da exposição a ameaças

O ciclo CTEM,
assegurado por nós como serviço

A CTEM é a prática de gerir a exposição como um ciclo, e não como um evento anual. O Nemesis executa as suas cinco fases por si, nos seus sistemas em funcionamento, no seu código e nas suas credenciais.

  1. Delimitar

    Acordamos consigo o âmbito e a autorização escrita, liga os seus repositórios e diz-nos que domínios, contas e nomes monitorizar.

  2. Descobrir

    Os agentes mapeiam a sua superfície alcançável, cada commit e pull request é analisado e a dark web é monitorizada todos os dias à procura dos seus identificadores.

  3. Priorizar

    Os resultados da avaliação são ordenados por impacto e por caminhos de ataque, não por contagens brutas. Só problemas novos de código podem reter um pull request. Os alertas de exposição indicam uma gravidade.

  4. Validar

    Os resultados da avaliação são comprovados de novo de forma independente antes de serem reportados. Os indícios não comprovados ficam de fora. Os resultados de código podem ser comprovados na aplicação em execução. Os alertas mostram onde os dados apareceram.

  5. Mobilizar

    Um relatório escrito todas as semanas, evidências e remediação em cada resultado, correções sugeridas no pull request e alertas de exposição no seu portal.

Depois, o ciclo recomeça.

Como decorre o ciclo

Sistemas em funcionamento

Uma avaliação,
muitos especialistas

  • Mapear primeiro

    Cada avaliação começa por mapear o que é realmente alcançável.

  • Trabalho por fases

    Agentes coordenados avançam da superfície para dentro, fase a fase.

  • Focado onde conta

    O esforço concentra-se nos caminhos de maior valor, não em tarefas sem valor.

Uma equipa de agentes a trabalhar em conjunto

O Nemesis coordena agentes especializados numa só avaliação, cada um a passar os seus resultados ao seguinte, de modo que o quadro completo se forma à medida que avança.

Como decorrem as avaliações

Descobrir o que está exposto e alcançável dentro do âmbito que acordar.

Testar a superfície de forma metódica à procura de fragilidades reais e alcançáveis.

Confirmar o que uma fragilidade permite de facto, com uma prova segura.

Transformar tudo em resultados claros e num relatório sustentado por evidências.

Um portal

Cada resultado,
numa só vista integrada

  • Resultados ordenados

    Resultados ordenados pelo impacto real, não por contagens brutas.

  • Caminhos, não pontos

    Veja como fragilidades separadas se encadeiam num caminho de ataque real.

  • As três áreas

    Resultados da avaliação, resultados de código e exposições da dark web, no mesmo portal.

Dos resultados à história completa

O Nemesis liga cada resultado num só quadro, para ver não só o que foi encontrado, mas como tudo se encaixa e o que põe em risco.

Conheça o portal

Uma lista ordenada do que foi encontrado, cada um com as suas evidências.

Acompanhe como os resultados se ligam num caminho que um atacante podia seguir.

Veja o que cada caminho alcança de facto e põe em risco.

Sinal, não ruído

Um indício não é um resultado
até ser comprovado

  • Cada afirmação verificada

    Nenhum resultado da avaliação é reportado sem ter sido comprovado de novo.

  • Evidência anexada

    Cada resultado verificado traz a prova que o sustenta.

  • Os indícios ficam de fora

    Os indícios não comprovados nunca chegam ao seu relatório como resultados.

Prova sobre a qual pode agir

Antes de um resultado da avaliação chegar ao seu relatório, o Nemesis comprova-o, volta a comprová-lo de forma independente e anexa as evidências. Um resultado no seu código pode ser comprovado da mesma forma, na sua aplicação em execução.

Como decorrem as avaliações

Porquê contínuo

A profundidade de uma avaliação,
entregue todas as semanas

O que tem em funcionamento, o que lança e o que foi exposto mudam todo o ano. Cada forma habitual de os analisar deixa uma lacuna.

Uma ilustração de um ano em três linhas de dias. Uma auditoria anual preenche um único trecho; um scanner preenche dias dispersos; o Nemesis preenche todos os dias, com uma marca mais brilhante para o relatório de cada semana. As linhas são desenhadas até à semana atual.

Auditoria anual
Um retrato profundo do momento.
Scanner
Frequente, mas sem triagem.
Nemesis
Todos os dias, com um relatório todas as semanas.
Ilustração · as linhas da auditoria e do scanner mostram as formas habituais de analisar, não dados.
Auditorias anuais
Profundas, mas um retrato do momento. O que mudar depois espera pela próxima.
Scanners
Frequentes, mas sem triagem. A sua equipa ainda tem de perceber quais são os alertas reais.
Ferramentas separadas
Em geral, uma área por ferramenta. Ligar um problema de código ao que permite num sistema em funcionamento cabe à sua equipa.

Como se compara

O Nemesis acompanha todo o ano os seus sistemas em funcionamento, o seu código e as suas credenciais, e comprova os resultados da avaliação antes de os reportar.

  • O que cobre

    Avaliação tradicional
    Os sistemas no âmbito, num dado momento
    Scanner automático
    Em geral, uma área por ferramenta
    Nemesis
    Sistemas em funcionamento, código e credenciais, num só programa

  • Como se adquire

    Avaliação tradicional
    Por avaliação, sob orçamento de cada vez
    Scanner automático
    Uma licença de ferramenta que a sua equipa executa
    Nemesis
    Uma subscrição anual para as três áreas, em dois planos publicados, com âmbito maior sob orçamento

  • Tempo até aos resultados

    Avaliação tradicional
    Semanas, do âmbito ao relatório final
    Scanner automático
    Minutos, em dados em bruto
    Nemesis
    Todas as semanas, num relatório escrito

  • Frequência

    Avaliação tradicional
    Uma ou duas vezes por ano
    Scanner automático
    Sempre que alguém o executa
    Nemesis
    Continuamente, todo o ano

  • O seu código

    Avaliação tradicional
    Revisto quando está no âmbito, num dado momento
    Scanner automático
    Correspondências de regras em cada commit, incluindo a dívida técnica existente
    Nemesis
    Cada commit analisado e pull requests revistos, retendo apenas problemas novos

  • Falsos positivos

    Avaliação tradicional
    Analisados manualmente
    Scanner automático
    Muitos, e cabe-lhe analisá-los
    Nemesis
    Resultados da avaliação comprovados de novo antes de serem reportados

  • O que recebe

    Avaliação tradicional
    Um documento estático
    Scanner automático
    Uma lista de alertas
    Nemesis
    Resultados verificados com evidências, resultados de código com correções sugeridas, alertas de exposição e um relatório semanal

  • Prova

    Avaliação tradicional
    Evidências de quem o encontrou nos testes
    Scanner automático
    Uma correspondência de padrão ou versão
    Nemesis
    Evidências em cada resultado da avaliação, confirmadas por um passo de verificação separado

  • Código e sistemas em funcionamento

    Avaliação tradicional
    Ligados à mão, quando o são
    Scanner automático
    Em geral, só um dos dois
    Nemesis
    Um resultado no seu código pode ser comprovado na aplicação em execução

As avaliações tradicionais e os scanners variam. Comparamos o funcionamento típico de cada um.

Veja o que recebe

O relatório semanal

Três áreas,
um relatório escrito

Um relatório escrito, todas as semanas

Cada um cobre as três áreas: o que foi avaliado e comprovado, o que há de novo no seu código e na dark web, e o que fazer a seguir. É entregue no seu portal de clientes.

Em cada relatório

  1. ResumoO que foi avaliado esta semana e o que mais importa.
  2. Resultados verificadosOrdenados por gravidade, com evidências e remediação.
  3. Caminhos de ataqueComo as fragilidades se encadeiam até ao que põem em risco.
  4. Resultados de códigoProblemas novos dos commits e pull requests da semana, com as suas correções sugeridas.
  5. ExposiçõesContas e palavras-passe expostas e menções à sua empresa na dark web.
  6. Próximos passos recomendadosO que corrigir primeiro, e porquê.
Veja o que recebe

A capa apresentada é um exemplo para a Example Corp, uma organização ilustrativa em example.com. Não é um relatório real de um cliente.

Planos e preços

Um programa,
dois tamanhos

Ambos os planos cobrem as três áreas. Escolha pelo tamanho: um domínio ou três.

  • Essential

    Preço
    7.000 € por ano, sem IVA
    Segurança ofensiva
    1 domínio, até 10 subdomínios
    Monitorização de código
    5 repositórios, 100 revisões por IA ao mês
    Monitorização da dark web
    1 domínio, 25 contas de email, 25 palavras-passe, 1 termo de pesquisa
    Relatório e apoio
    Relatório escrito semanal e portal de clientes

  • Standard

    Preço
    15.000 € por ano, sem IVA
    Segurança ofensiva
    3 domínios, até 25 subdomínios cada
    Monitorização de código
    10 repositórios, 150 revisões por IA ao mês
    Monitorização da dark web
    3 domínios, 100 contas de email, 100 palavras-passe, 5 termos de pesquisa
    Relatório e apoio
    O mesmo, mais uma chamada trimestral de balanço

Ou faça primeiro um Starter Assessment de um domínio: 3.000 €, pagamento único. Subscreva no prazo de 90 dias e os 3.000 € são deduzidos ao preço do seu plano.

Preços sem IVA.

Veja os planos na íntegra

Perguntas frequentes

O que as equipas perguntam
antes de começar

Cada resultado candidato de uma avaliação passa por um passo de verificação independente que o comprova de novo antes de ser reportado. Nada confirma o próprio resultado, e os indícios que não se conseguem comprovar nunca chegam ao seu relatório. Um resultado no seu código pode ser comprovado da mesma forma, na sua aplicação em execução.

Como decorrem as avaliações

Um scanner sinaliza o que pode estar errado e deixa a sua equipa analisá-lo. O Nemesis comprova cada resultado da avaliação antes de o reportar, anexa as evidências e mostra como as fragilidades se encadeiam em caminhos de ataque. No seu código, lê os seus pull requests e pode comprovar um resultado na sua aplicação em execução.

CTEM significa gestão contínua da exposição a ameaças, um ciclo de cinco fases: delimitar, descobrir, priorizar, validar e mobilizar. O Nemesis assegura esse ciclo como serviço, nos seus sistemas em funcionamento, no seu código e nas suas credenciais, com um relatório escrito todas as semanas.

Como decorre o ciclo

Os seus sistemas em funcionamento: aplicações web, APIs, serviços de rede e configuração de cloud, dentro do âmbito que autorizar. O seu código: cada commit e pull request nos repositórios que ligar. As suas credenciais: contas expostas nos seus domínios, incluindo as dos seus clientes, palavras-passe expostas e menções à sua empresa, analisadas todos os dias.

Sim. O Essential e o Standard cobrem ambos as três áreas. Diferem no tamanho.

Uma subscrição anual, em dois planos que cobrem ambos as três áreas. O Essential custa 7.000 € e o Standard custa 15.000 €, cada um por ano, sem IVA. Extras e planos à medida são sob orçamento: mais domínios, subdomínios, repositórios, revisões por IA ou contas.

Veja os planos

As revisões por IA ficam em pausa até ao mês seguinte. As análises por regras continuam a correr em cada commit, e não há custos adicionais automáticos.

Só se quiser. Para cada gravidade escolhe se um resultado avisa, retém o pull request para uma aprovação designada ou o bloqueia. Só contam os problemas que uma alteração introduz, por isso a dívida técnica existente nunca bloqueia um pull request.

Como funciona a monitorização de código

O trabalho só começa depois de dar autorização escrita explícita e decorre apenas dentro do âmbito acordado consigo. Um operador supervisiona cada avaliação, que pode ser parada a qualquer momento. Se precisar de pausar os testes, por um lançamento ou outro motivo, peça e paramos.

Confiança e segurança

Sim. Define a sua janela de testes, e fazemos uma pausa a pedido.

Os seus dados ficam isolados dos de qualquer outro cliente, e os resultados e relatórios são entregues através de um portal de clientes autenticado e restrito à sua organização. O código-fonte é analisado num espaço de trabalho temporário, destruído no fim da análise. Nunca é armazenado, apenas os resultados.

Confiança e segurança

Sim. Respondemos por escrito ao seu questionário de segurança, e cada cliente pode assinar o nosso acordo de tratamento de dados.

Confiança e segurança

Um relatório escrito que cobre as três áreas: o que foi avaliado e comprovado, problemas novos no seu código e novas exposições na dark web, com o que fazer a seguir. Cada resultado verificado traz as suas evidências, gravidade, impacto e orientação de remediação.

Veja o que recebe

Peça uma avaliação e diga-nos o que quer cobrir. Acordamos o âmbito consigo e autoriza-o por escrito. Liga os seus repositórios e partilha os domínios e as contas a monitorizar, e o trabalho começa.

Pedir uma avaliação

Brochura

Prefere ler primeiro?

Todo o programa num só PDF: as três áreas, como funciona, o que recebe e os planos e preços.

Obtenha a brochura

Comece aqui

Um programa para
toda a sua exposição

Diga-nos o que quer cobrir: os seus sistemas em funcionamento, o seu código, as suas credenciais ou os três. Acordamos o âmbito consigo e explicamos o que pode esperar.

Pedir uma avaliação

Contratamos quem lê as letras pequenas.