Plataforma
Serviços
Soluções
Recursos
Empresa
Caso de sucesso
Base de Clientes
A Base de Clientes já adotava práticas contínuas de segurança, como revisões periódicas de código, testes automatizados e validações de autorização e escopo.
Para complementar esse trabalho com uma visão ofensiva e independente, a empresa realizou seu primeiro pentest com o Pentest Autônomo com IA da Conviso. Logo na primeira execução, foram foram identificados dois findings, permitindo que fossem corrigidas antes de qualquer exploração em produção.
.png)
15min
para configurar o primeiro teste
1ª
experiência de Pentest da empresa
Finding crítico
identificado preventivamente
13
explorações realizadas
Falha identificada
antes de qualquer exploração
Uma vulnerabilidade no portal de clientes foi identificada durante o pentest e corrigida preventivamente, antes que pudesse ser explorada.
Configuração rápida
Com templates disponíveis na plataforma, o pentest estava configurado e rodando em menos de 15 minutos e a execução poderia ser programada e executada no melhor horário para a empresa.
.svg)
Decisão de produto motivada pelo pentest
Uma das falhas identificadas serviu como base para que uma decisão de negócio fosse tomada pela equipe.
Pentest Autônomo com IA
Execute simulações reais de ataque, identifique vulnerabilidades e receba uma lista priorizada por severidade, evidências técnicas com prova de conceito, attack chains documentadas e histórico para reexecução contínua.
A solução que a Base de Clientes usou e que pode se integrar diretamente ao ciclo de desenvolvimento da sua empresa.
O desafio
A prática de segurança do time era sólida para o estágio da empresa: revisões periódicas de código, verificação de escopos e privilégios nas APIs, e testes automatizados para garantir que dados não fossem expostos indevidamente entre diferentes perfis de acesso.
O que faltava era uma validação ofensiva, com perspectiva externa. Uma varredura que fosse além do que o próprio time conseguia enxergar, e que testasse fluxos menos óbvios, como o portal genérico de clientes utilizado por empresas que optavam por não personalizar sua própria interface.
As principais frentes de atenção
Portal de clientes com múltiplos perfis de acesso
Ausência de validação ofensiva externa até então
Crescimento da base de usuários aumentando a superfície exposta
Nossa estratégia era baseada em revisões periódicas de código e testes automatizados. O pentest trouxe uma visão ofensiva complementar que ainda não fazíamos.
Igor Nichele
A jornada do pentest com a Conviso
A Base de Clientes conduziu sua primeira experiência de pentest com o Pentest Autônomo com IA da Conviso, em duas rodadas de execução. A configuração foi rápida: com o apoio de templates disponíveis na plataforma, o teste estava pronto para rodar em cerca de 15 minutos, sem necessidade de informar um volume grande de dados técnicos.
O foco foi o portal de clientes e as APIs da plataforma, cobrindo fluxos de autenticação, autorização e acesso entre diferentes perfis de usuário.
A atuação contemplou:
A atuação contemplou:
Diferenciais percebidos pela Base de Clientes
1
Visibilidade e controle total sobre o que está sendo testado
Na experiência anterior de Igor em outra empresa, um cliente grande conduziu um pentest e ele simplesmente recebeu o resultado ao final, sem acompanhar nada. Com a Conviso Platform foi diferente: Igor configurou o escopo, assistiu ao fluxo de ataque em tempo real e revisou cada finding com contexto completo.
Essa autonomia mudou a relação do time com o processo. O pentest deixou de ser uma caixa-preta terceirizada e passou a ser uma ferramenta que o próprio time opera e entende.
Super legal conseguir acompanhar em tempo real. Depois você vê o que foi testado e fica muito mais fácil do que pegar uma lista e ficar olhando um por um.
Igor Nichele
2
Capacidade de contextualizar findings com lógica de negócio
Nem todo finding de um pentest é uma vulnerabilidade a corrigir. Alguns refletem decisões de produto conscientes ou limitações conhecidas do sistema. Igor destacou que a Conviso Platform permite classificar cada finding e registrar esse contexto, sinalizando quando algo é uma limitação conhecida e intencional, diferente de uma exposição real.
Isso evita que o time perca tempo investigando falsos positivos e garante que a energia vá para a correção do que realmente importa.
Às vezes ele traz algo que é uma limitação que a gente já sabe. Você consegue classificar e dizer: essa é uma limitação de negócio, estou ciente, foi desenhado assim.
Igor Nichele
3
Relatório detalhado o suficiente para acelerar a remediação
Para cada finding, o relatório descreveu com precisão o que foi descoberto, como a IA chegou àquele problema e o que poderia ser feito para resolver. Esse nível de detalhe foi além do esperado: Igor conseguiu usar o relatório diretamente como insumo para discutir caminhos de resolução com uma IA, sem precisar investigar a causa raiz do zero.
Um relatório que serve de entrada para outra ferramenta sem nenhum retrabalho é um sinal claro de completude.
O relatório estava tão completo que consegui jogar tudo numa IA e discutir a resolução. Era muito mais fácil do que tentar investigar do zero. Facilitou pra caramba.
Igor Nichele
4
Uma ferramenta para as rotinas do time
Agora, o CTO da Base de Clientes vê o pentest não como rotina de CI/CD, mas como garantia em releases de alto impacto. São nessas situações em que um problema que passou despercebido pode custar mais caro: grandes mudanças de stack, versionamentos relevantes ou reescritas significativas.
Essa clareza sobre quando acionar o pentest mostra maturidade na visão de segurança e explora os pontos fortes da segurança ofensiva com IA: cobrir o que a revisão interna não alcança, com visibilidade da cadeia de exploração e evidências para o time interno.
Vamos rodar no começo do ano, ou quando reescrever tudo, ou quando trocar de stack. São os momentos em que pode ter subido algum problema sem ninguém perceber.
Igor Nichele
Resultados alcançados
O finding mais relevante do pentest foi uma vulnerabilidade no portal genérico de clientes que não havia sido identificada pelas validações internas. A falha foi detectada antes de qualquer exploração em produção, permitindo que a equipe atuasse preventivamente.
Após revisar os logs de acesso e confirmar que não havia evidências de exploração, a Base de Clientes optou por evoluir a arquitetura da solução. O portal genérico foi descontinuado e, atualmente, todos os clientes utilizam domínios próprios ou subdomínios personalizados na plataforma.
O pentest encontrou um problema que ainda não havia sido identificado pelas nossas validações internas. Conseguimos corrigi-lo rapidamente e ainda evoluir a arquitetura da solução.
Igor Nichele