Rio de Janeiro · Remoto · Disponível
Consultoria independente de segurança ofensiva. Pentest e red team com escopo contratado, relatório técnico e reteste incluído.
Agendar conversaCada engajamento segue um processo documentado. Nenhuma fase é pulada. O cliente acompanha o progresso em tempo real por canal cifrado.
Coleta passiva e ativa de informações sobre a organização: registros DNS, certificados TLS históricos, repositórios públicos, exposição de infraestrutura, dados de empregados em fontes abertas. Tudo dentro do escopo assinado.
Modelagem de ameaças específica para o ambiente do cliente. Identificação de vetores de maior criticalidade, caminhos de escalonamento de privilégio e superfícies de maior exposição. Entregue antes da fase ativa.
Execução técnica dentro da janela acordada, com regra de dano zero: nenhuma ação destrói dados, interrompe serviços ou afeta usuários reais. Todo acesso obtido é documentado em tempo real com evidências (screenshot, request/response, hash do payload).
Relatório em duas camadas: executivo (uma página, impacto de negócio, risco regulatório) e técnico (vetor de ataque, prova de conceito reproduzível, recomendação de remediação com prioridade). Score CVSS v3.1 calculado para cada achado.
Após as correções implementadas pela equipe interna, verificamos tecnicamente cada vulnerabilidade remediada. O reteste está incluído no investimento e produz um adendo ao relatório original com confirmação de fechamento.
Nenhum teste começa sem documentação assinada. Este bloco existe para o jurídico e o compliance do cliente revisarem antes da aprovação.
Contrato de prestação de serviços com cláusula de confidencialidade cobrindo achados, metodologia e qualquer dado acessado durante o teste. Assinado digitalmente antes de qualquer atividade.
Documento separado listando exatamente quais IPs, domínios, endpoints e ambientes estão no escopo. O que não está listado, não é testado. Sem surpresas.
Datas e horários de início e fim da fase ativa acordados por escrito. Fora da janela, nenhuma ação técnica é executada.
Canal direto 24h com responsável técnico do cliente durante toda a janela ativa. Se algo inesperado acontecer, o cliente sabe imediatamente.
Nenhuma ação que destrua, corrompa ou exfiltre dados reais. Nenhuma interrupção de serviço produtivo. Qualquer descoberta de criticalidade crítica é comunicada de imediato, antes do relatório final.
Todas as evidências coletadas são entregues ao cliente e destruídas nos sistemas do consultor ao fim do engajamento, com confirmação por escrito.
Para os primeiros clientes, disponibilizamos uma prévia da estrutura e do nível de detalhe do relatório técnico em uma conversa inicial.
Um pentest sem relatório de qualidade é apenas metade do serviço. O documento que entregamos ao CISO precisa ter o mesmo rigor técnico da fase de exploração: vetores documentados, provas de conceito reproduzíveis e recomendações que a equipe de desenvolvimento consiga implementar sem ambiguidade.
Entre em contato para solicitar uma conversa e ver a estrutura do relatório em detalhe.
TH Cyber Defense é uma consultoria independente de segurança ofensiva operada por um único consultor especializado. Sem subcontratados, sem terceiros no processo — o profissional que fecha o contrato é o mesmo que executa o teste e assina o relatório.
A escolha por permanecer independente é deliberada: permite recusar conflitos de interesse, manter acordos de confidencialidade estritos e focar em qualidade técnica em vez de volume de projetos.
Formação e certificações serão listadas aqui assim que verificadas publicamente. Por ora, a prova de competência é o relatório — solicite uma conversa e veja a metodologia em detalhe.
Se você encontrou uma vulnerabilidade no site thcyberdefense.com.br, agradecemos o reporte responsável.
Envie um e-mail para security@thcyberdefense.com.br com:
Esta política não autoriza testes ativos contra nossa infraestrutura, clientes, parceiros ou serviços de terceiros.
Descreva o projeto em linhas gerais. Respondemos em até 2 dias úteis.
Prefere e-mail direto? Sem problema. Inclua empresa, escopo e prazo para uma resposta mais rápida.
Para reportar vulnerabilidades no site. Ver política de divulgação.