External Attack Surface Management
Corrija primeiro o que realmente importa. Estas são telas do produto — não ilustração.
Capturas de uma organização de demonstração com dados fictícios. Nenhum dado de cliente aparece neste site.
Um nome que apareceu em Certificate Transparency e não resolveu DNS não é o mesmo que um host que respondeu. A coluna diz qual é qual, e o inventário não inventa provedor, país ou porta para preencher espaço vazio.
O risco não é um número opaco: é a soma de severidade técnica, explorabilidade, exposição efetiva, sensibilidade do dado, confiança da detecção e controles compensatórios observados. Se um fator não pôde ser avaliado, ele aparece como desconhecido em vez de virar zero.
O grafo liga ponto de entrada, exposição, identidade e dado sensível. O que interessa não é a lista de passos — é qual pré-condição, corrigida sozinha, derruba a cadeia inteira.
Uma ferramenta que toca a infraestrutura de terceiros precisa dizer com clareza onde ela para. Estas regras são verificadas no servidor, não escondidas na interface.
Nenhuma coleta ativa começa antes de o alvo ter verificação concluída e autorização dentro da validade. A checagem acontece no momento de criar o job.
Sem tentativa de persistência, sem exfiltração de dados. A evidência guarda apenas o necessário para demonstrar o achado.
Um segredo encontrado vira prefixo mascarado e hash. O valor completo não existe no banco, no log, no relatório nem na API.
Fonte que falhou aparece como falha. Campo não observado fica como desconhecido. Zero e “não medido” são coisas diferentes na tela.
Uma avaliação inicial entrega o inventário do que está exposto, os findings com evidência e o plano de correção por faixa de urgência. A conversa de escopo leva menos de uma hora.