Cybersecurity contínua para o seu SaaS.
Pentest contínuo e gestão de vulnerabilidades na mesma plataforma, da descoberta à correção confirmada.
Offensive Security
Sem vulnerabilidade alta ou crítica, metade do preço.
No seu primeiro pentest com a Haku, se nenhuma vulnerabilidade alta ou crítica for encontrada, você recebe 50% de desconto.
- FAQAs dúvidas que aparecem antes de fechar.
- IntegraçõesOnde os findings chegam no fluxo do seu time.
- Due diligenceA evidência que o comprador pede.
- Gestão de VulnerabilidadesO que a plataforma faz por dentro.
- EntregáveisO que chega na sua mão ao final do pentest.
- Como funcionaDo kickoff à apresentação de resultados.
Como funciona
Do kickoff à apresentação de resultados
Cada sprint de pentest começa com uma reunião de alinhamento e termina com os achados vivos na plataforma, não num PDF parado.
Kickoff
Definição de escopo, alvos, janela e regras de engajamento.
Acesso à plataforma
Seu time acompanha correção, prazo e reteste, com o histórico de cada vulnerabilidade.
Mapeamento
Enumeração da superfície de ataque, identificação de tecnologias e versões, subdomínios, diretórios e endpoints expostos.
Execução
Identificação e exploração de vulnerabilidades.
Resultados
Descrição técnica, prova de conceito e recomendação de correção, apresentadas em call com a sua equipe.
Reteste
Validação das correções aplicadas, com evidência registrada e atualização do status de cada vulnerabilidade na plataforma.
Entregáveis
O que você recebe ao final do pentest
Cada vulnerabilidade documentada de ponta a ponta.
Nada de “corrija isso”. Seu time recebe o suficiente para reproduzir, priorizar e resolver sem voltar com pergunta.
- Título e descrição
- o que é a falha, em linguagem que o time de produto entende
- Severidade e CVSS v3.1
- classificação por score, não por opinião
- CWE relacionada
- o tipo de falha, referenciado no padrão da indústria
- Prova de conceito
- passo a passo reproduzível, não captura de tela solta
- Impacto no negócio
- o que um atacante consegue fazer, em consequência e não em jargão
- Recomendação de correção
- o caminho técnico, com referência quando existe
Plataforma Haku
Plataforma completa de gestão de vulnerabilidades, com dashboards, inbox de findings, atribuição de prioridade, SLA e muito mais.
Atestado de execução
Documento formal que comprova a realização do pentest, com identificação da Haku como executora. É o que você apresenta quando um cliente ou auditoria pede evidência.
Badge digital verificável
Página pública da Haku com código de validação e QR code, que qualquer pessoa confere em segundos.
Ver um exemploApresentação de resultados
Reunião em que a Haku apresenta os resultados da avaliação, detalha as vulnerabilidades identificadas, justifica a classificação de severidade atribuída e orienta sobre as estratégias de correção.
Gestão de Vulnerabilidades
A plataforma por dentro
O que acontece com uma vulnerabilidade entre o achado e o fechamento.
Inbox e kanban na mesma fila
Duas visões do mesmo pipeline. A inbox para tratar um por um, o kanban para enxergar onde a fila trava.
Validação antes da engenharia
Finding de pentest chega ao seu time já reproduzido, com severidade definida e prova de conceito. O que vira prioridade é o que é real.
Prazo por fase, não um prazo só
O SLA é definido por etapa do ciclo. Você vê o que estourou na validação e o que estourou na correção, separado.
Reteste com evidência antes e depois
A correção é confirmada por teste, não por aviso de que foi corrigida. O antes e o depois ficam anexados ao finding.
Severidade com quem decidiu e por quê
Toda mudança de severidade guarda o valor anterior, o novo, o autor e a justificativa. Divergência sobre criticidade se resolve no registro, não na memória.
Trilha de auditoria que ninguém edita
Cada mudança de status fica registrada com autor e data, e o banco recusa alteração ou exclusão desse histórico.
Due diligence
Demonstre maturidade de segurança para clientes e investidores.
Pentest recorrente com escopo e metodologia documentados, mais o histórico de cada vulnerabilidade até a correção. Base objetiva para due diligence, revisão de cliente e contrato enterprise, sem preparar nada na véspera.
Due diligence
Evidências para auditoria
Pentest
Escopo e metodologia
Severidade
CVSS v3.1, não achismo
SLA
Prazo por fase, medido
Trilha
Decisões registradas
Integrações
Conecte ao fluxo que seu time já usa
Os findings chegam onde seu time já trabalha: conecte via webhooks assinados ao Slack, Jira, Teams, Discord ou ao seu sistema interno.
Não encontrou sua ferramenta? Qualquer sistema que receba webhooks pode ser acoplado.
Pentest para SaaS
O que é um pentest?
Se ninguém no seu time já contratou um, a página de pentest começa do começo: o que o teste faz, por que ele virou exigência antes do contrato e como a Haku conduz o seu.
Ler a página completaO que é
O teste explicado pelas perguntas que um atacante faz ao seu produto.
Por que importa
Por que quem construiu o produto não enxerga o que um atacante enxerga.
Metodologia
As seis frentes que a avaliação cobre, e o que cada uma procura.
Primeiro pentest
Sem vulnerabilidade alta ou crítica, você paga metade do valor.
FAQ
Perguntas frequentes
Respostas curtas; detalhes no restante da página e no produto.
O que é pentest contínuo, e por que não um teste por ano?
Um teste por ano fotografa um produto que muda toda semana. No contínuo, cada ciclo entra sobre o que subiu desde o anterior, e o que foi corrigido volta para reteste. O histórico de cada vulnerabilidade fica na plataforma, então você compara ciclo a ciclo em vez de recomeçar do zero.
Quanto tempo leva, do kickoff à apresentação de resultados?
Depende integralmente do escopo. Pode ir de uma semana a um mês ou mais, conforme o tamanho da superfície, a quantidade de fluxos autenticados e as regras de engajamento. O prazo é fechado com você no kickoff, antes de qualquer teste começar.
Em que situação vale o desconto de 50%?
No seu primeiro pentest com a Haku. Se nenhuma vulnerabilidade alta ou crítica for encontrada, você paga metade do valor. A severidade é classificada por CVSS v3.1 Base Score, o padrão público que qualquer auditor consegue conferir. Vale uma vez, no primeiro contrato.
O que exatamente eu recebo no final?
Cada vulnerabilidade documentada de ponta a ponta: título e descrição, severidade por CVSS v3.1, CWE relacionada, prova de conceito reproduzível, impacto no negócio e recomendação de correção. Junto vêm o acesso à plataforma, o atestado de execução e a apresentação de resultados com o seu time.
Ver os entregáveisE quando o meu produto muda depois do teste?
É o que o ciclo contínuo cobre. Cada novo ciclo entra sobre o que mudou desde o anterior, e o que já foi fechado continua no histórico, com a data e o autor de cada mudança de status.
Como o meu time acompanha o que está aberto e o prazo de cada coisa?
Inbox e kanban sobre a mesma fila: a inbox para tratar um a um, o kanban para enxergar onde a fila travou. Cada etapa do ciclo tem SLA próprio, então o que estourou na validação aparece separado do que estourou na correção.
Conecta com Jira, Slack ou com o nosso sistema interno?
Sim, por webhooks assinados. Slack, Jira, Teams, Discord ou qualquer sistema que receba webhook. Os findings chegam onde o seu time já trabalha, sem obrigar ninguém a abrir mais uma aba.
Dá para receber só o resultado, sem operar na plataforma?
Sim. Nada obriga o seu time a tocar a correção dentro da Haku: as vulnerabilidades são documentadas e apresentadas em call de qualquer forma. A plataforma vem junto porque é onde o ciclo de correção e o reteste ficam registrados, mas onde o trabalho acontece é decisão sua.