Buteo
Auditoria da superfície de ataque externa
O que a internet sabe sobre o seu domínio, antes que alguém o use contra si: falhas pontuadas e com evidência, e cada análise comparada com a anterior.
Contacte-nos Ver todos os produtosA diferença
O que apareceu, o que desapareceu, o que mudou de gravidade. Registado como eventos com histórico.
A vista de fora
O Buteo lê o que o seu domínio já publica na internet, do registo SPF ao certificado, dos subdomínios esquecidos aos cabeçalhos em falta, e transforma-o em falhas pontuadas, com evidência e ciclo de vida. Depois volta a analisar e diz-lhe o que mudou. Nada a instalar, sem agentes, e nunca toca nos seus sistemas: só analisa domínios cuja titularidade foi provada, e reporta uma fraqueza em vez de a explorar.
O Ibex é a vista de dentro, o appliance selado na rede onde a cloud não chega. O Buteo é a outra: o seu domínio como qualquer pessoa na internet o vê. Um buteo é uma águia-de-asa-redonda, a ave de rapina que circula alto e lê o terreno lá em baixo, que é exatamente o ponto de vista que adota.
A superfície que ninguém revê
A maioria das organizações sabe o que corre dentro da sua infraestrutura, e muito menos sobre o que a sua infraestrutura diz ao mundo. Um registo SPF terminado em soft fail que nunca foi corrigido. Um subdomínio de uma campanha de 2019 que ainda aponta para um serviço cancelado. Um certificado que expira a um sábado. Um cabeçalho de segurança perdido numa migração.
Nada disto aparece num inventário interno, e tudo isto está visível para quem se der ao trabalho de olhar. Quando é encontrado, costuma ser encontrado primeiro pela pessoa errada.
Problemas, não relatórios
O Buteo pergunta o que o domínio publica e avalia-o como o faria um servidor recetor ou um browser: não se existe um registo SPF, mas se ele trava uma mensagem forjada; não se o DMARC está definido, mas se está a rejeitar ou apenas a observar.
Cada falha tem uma gravidade, uma explicação, a sua evidência e um ciclo de vida próprio. Volte a correr a análise e o Buteo mostra o que mudou entre as duas, que é a pergunta que realmente interessa a partir da segunda semana.
Primeiro a prova, sempre passivo
Duas regras separam o Buteo de um scanner que se pode apontar a qualquer lado.
O motor recusa analisar um domínio enquanto a sua titularidade não estiver provada: um registo TXT, um ficheiro num local conhecido, ou um desafio por email. E nunca experimenta credenciais, procura ficheiros esquecidos, sonda caminhos por palpite ou confirma uma fraqueza explorando-a. Um CNAME pendente é reportado, nunca reclamado. Um cookie fraco é reportado, nunca reutilizado. O limite é uma decisão de produto com consequências jurídicas, e não se desloca por ser conveniente num trabalho em particular.
Funcionalidades principais
Titularidade provada primeiro
Um registo TXT, um ficheiro num local conhecido ou um desafio por email. Enquanto um deles não resultar, o motor recusa analisar.
Postura de email que funciona
SPF resolvido por inteiro com a contagem de consultas, DMARC verificado quanto a rejeitar ou não, a cadeia DNSSEC seguida até à raiz.
TLS, cabeçalhos e cookies
Protocolos e cifras classificados, a cadeia de certificados e o tempo que lhe resta, cada cabeçalho em falta com o que a sua ausência permite.
O perímetro que esqueceu
Subdomínios, CNAME pendentes expostos a takeover, portas acessíveis, blocos de IP e ASN, e domínios semelhantes registados por terceiros.
O que mudou desde ontem
Cada análise é comparada com a anterior. A mudança que merece alerta é separada do ruído recorrente, e os eventos alimentam um histórico.
Falhas com ciclo de vida
Gravidade, explicação e evidência por falha, e um estado próprio: nova, reconhecida, resolvida, risco aceite.
Relatórios que se conseguem ler
PDF e DOCX a partir dos mesmos dados e dos mesmos gráficos, a pedido em todos os planos, agendados e enviados por email nos planos superiores.
Passivo por decisão
Nenhuma credencial experimentada, nenhum caminho sondado, nenhuma fraqueza confirmada explorando-a. O limite não se desloca de trabalho para trabalho.
Como funciona
Provar o domínio
Um registo TXT, um ficheiro num local conhecido ou um desafio por email. Enquanto um deles não resultar, nada é analisado.
O Buteo lê o que é público
Postura de DNS e de email, transporte de correio, DNSSEC, subdomínios, portas, TLS, cabeçalhos, cookies, tecnologias, IP e ASN.
Falhas, com ciclo de vida
Gravidade, explicação e evidência por falha, e um estado que é seu: nova, reconhecida, resolvida, risco aceite.
A análise seguinte diz o que mudou
Agendada ou a pedido. A mudança que merece alerta é separada do ruído e segue por email para quem precisa de saber.
Um relatório que se consegue ler
PDF e DOCX a partir dos mesmos dados e gráficos, a pedido em todos os planos, agendados e entregues nos planos superiores.
Três planos
De um único domínio à auditoria de um grupo. O preço é sob consulta: diga-nos quantos domínios tem e com que frequência os quer analisar, e respondemos com uma proposta.
| Plano | Para quem é | O que acrescenta |
|---|---|---|
| Freeum domínio | Um domínio verificado, analisado a pedido. | Postura de DNS e de email, TLS, cabeçalhos, subdomínios e portas, exportação em PDF e DOCX, 30 dias de histórico, dois utilizadores. |
| Proaté dez domínios | Quem precisa de saber o que mudou desde ontem. | Monitorização contínua e comparação entre análises, alertas por email, relatórios agendados, o validador de registos DNS, domínios semelhantes, pesquisa de vulnerabilidades e risco de takeover, um ano de histórico. |
| Enterpriseilimitado | Um grupo, um portefólio de marcas, ou a auditoria de terceiros. | Análises diárias, exposição de serviços e de bases de dados, domínios relacionados e vizinhos de nameserver, a sua própria marca nos relatórios, acesso por API, dois anos de histórico. |
As regras que definem o produto
Só domínios verificados
Não há forma de analisar, a partir da sua conta, um domínio que não tenha provado. É um limite jurídico e contra abusos, não uma formalidade.
Um scanner honesto
Cada host em que o Buteo toca consegue ver quem está a perguntar e para onde escrever. Respeita pedidos de exclusão e responde a denúncias de abuso.
Uma pontuação que diz o que é
A pontuação de risco é uma heurística indicativa, e o relatório identifica-a como tal em vez de a apresentar como uma norma que não é.