Portfólio Favitech
Serviços e produtos
Pacotes de validação ofensiva, governança, forense, LGPD, IA e automotivo — organizados por modelo de engajamento Black Box, Gray Box e White Box, com mapeamento normativo em cada entrega.
Evidence-first
Conhecimento zero — Atacante externo anônimo
Conhecimento parcial — Usuário autenticado · insider · foothold
Conhecimento total — Insider total · revisão profunda
Validamos o que é explorável — não apenas o que está documentado. Cada engajamento produz evidência rastreável, plano de correção priorizado e revalidação quando aplicável.
Pacotes de serviço
Oito pacotes consolidados a partir do portfólio completo — escopo formalizado em proposta.
Ponto de entrada · Black Box enxuto
Reconhecimento externo e validação dos pontos expostos — mapa de superfície de ataque com PoC nos achados críticos, sem depender de credenciais ou código-fonte.
Pentest · Gray / White Box
Testes de intrusão em aplicações, APIs, infraestrutura, cloud e mobile — com profundidade ajustada ao modelo de conhecimento e prova de exploração.
Simulação multi-vetor
Emulação de adversário com kill chain completa para validar detecção, resposta do SOC e gaps de telemetria — além de engenharia social autorizada.
DFIR · Perícia · OSINT
Contenção, investigação, laudo pericial e fraude digital com cadeia de custódia preservada e valor probatório.
Recorrência · vCISO · Prontidão
Validação contínua de exposição, liderança fracionada de segurança, visibilidade operacional e prontidão a ransomware.
Conformidade · DPO · Incidente
Gap assessment, DPO as a service, medidas técnicas art. 46–49 e resposta a incidentes de dados pessoais com comunicação à ANPD.
LLM · RAG · Agentes
Revisão de prompt injection, envenenamento de RAG, abuso de MCP e agentes autônomos antes da produção.
ISO/SAE 21434 · UNECE R155
TARA, CSMS, pentest veicular e rastreabilidade para OEM, Tier 1/2 e fornecedores da cadeia automotiva.
Metodologia de pentest
O modelo de conhecimento define a perspectiva simulada, a cobertura e o tempo de execução do engajamento.
Conhecimento zero
O operador não recebe informação interna: sem código-fonte, credenciais ou diagramas. Parte apenas do que está exposto publicamente e reconhece o alvo do zero.
Vantagens
Informação fornecida
Quando o objetivo é responder: “o que um atacante externo, sem acesso, consegue fazer hoje?” Ideal para validar postura perimetral e simulação realista.
Conhecimento parcial
O operador recebe informação limitada: credenciais de usuário comum, documentação parcial ou acesso de baixo privilégio. Equilíbrio entre realismo e eficiência.
Vantagens
Informação fornecida
Cenário mais comum e custo-efetivo. Valida o que um usuário comum, parceiro ou conta comprometida consegue alcançar — escalonamento, lógica de negócio e movimento lateral.
Conhecimento total
Acesso completo: código-fonte, arquitetura, credenciais privilegiadas e diagramas de rede. Também chamado de clear, glass ou crystal box.
Vantagens
Informação fornecida
Quando se busca máxima profundidade: revisão de código, aplicações críticas, ambientes regulados ou validação pré-produção onde nenhuma falha pode passar.
| Critério | Black Box | Gray Box | White Box |
|---|---|---|---|
| Informação prévia | Nenhuma | Parcial | Completa |
| Perspectiva | Atacante externo anônimo | Usuário / insider com acesso | Insider total / auditor de código |
| Realismo do ataque | Alto | Médio-alto | Baixo |
| Cobertura | Baixa | Média-alta | Máxima |
| Tempo de execução | Maior (reconhecimento longo) | Equilibrado | Eficiente na descoberta |
| Custo × benefício | Menor | Ótimo | Alto valor técnico |
| Risco de pontos cegos | Alto | Moderado | Baixo |
Áreas de atuação
Pentest web, API, mobile e DevSecOps com OWASP e prova de exploração.
Ver pacote relacionadoAWS, Azure, GCP, rede híbrida, IAM e caminhos de ataque correlacionados.
Ver pacote relacionadoAD, Entra ID, MFA, privilégios e federação em cenários adversariais.
Ver pacote relacionadoDFIR, laudo pericial, fraude digital e resposta regulatória.
Ver pacote relacionadoDPO, gap assessment, medidas técnicas e comunicação à ANPD.
Ver pacote relacionadoLLM, RAG, agentes e MCP — segurança antes da produção.
Ver pacote relacionadoCatálogo detalhado
28 serviços organizados em sete categorias — cada um com entregáveis e referências normativas.
Hacking ético autorizado · Metodologia 9 fases
Operações ofensivas autorizadas com kill chain MITRE ATT&CK, PoC controlada e cadeia de evidências do reconhecimento ao reteste.
Operação ofensiva fim-a-fim sobre o alvo definido, percorrendo 9 fases com comprometimento controlado e prova de exploração.
Entregáveis
Phishing direcionado, pretexting e testes de fator humano autorizados, medindo comportamento real com proteção de dados pessoais.
Entregáveis
Threat modeling do desenho real: fronteiras de confiança, fluxos de identidade e permissões implícitas.
Entregáveis
Emulação para provar se o SOC/MDR detecta, registra e responde — fechando gaps de detecção.
Entregáveis
Pentest · Red Team · Cloud
Validação prática de exposição em aplicações, rede, cloud e mobile — sempre com prova de exploração e prioridade por impacto real.
Exploração manual de apps e APIs: autenticação, lógica de negócio, IDOR/BOLA, rate limit e exposição de dados.
Entregáveis
Perímetro, rede interna e ativos híbridos com movimento lateral controlado.
Entregáveis
Auditoria ofensiva de IAM, storage, WAF, CI/CD, containers e bancos gerenciados.
Entregáveis
Emulação multi-vetor com kill chain completa para validar detecção e resposta do SOC.
Entregáveis
Análise ofensiva de apps Android/iOS e backend: storage, pinning, JWT e abuso de endpoints.
Entregáveis
Segurança no pipeline: secret scanning, SAST/SCA, containers, IaC e postura GitHub/GitLab.
Entregáveis
DFIR · Laudo · OSINT
Contenção, investigação, laudo e fraude digital com cadeia de custódia e valor probatório preservado.
Contenção, erradicação e recuperação com coleta forense. Acionamento ou retainer de prontidão.
Entregáveis
Reconstrução de incidentes via pcap, dispositivos e logs, com atribuição técnica.
Entregáveis
Opinião técnica para processos administrativos, cíveis, criminais ou trabalhistas, com OSINT integrado.
Entregáveis
Golpes, Pix, cripto, engenharia social e domínios falsos — de evidência solta a cronologia e nexo técnico.
Entregáveis
Recorrência · Monitoramento
Validação contínua, vCISO, visibilidade operacional e prontidão a ransomware para empresas que precisam de execução recorrente.
Revalidação recorrente com baseline/diff — prova do que mudou a cada ciclo.
Entregáveis
Liderança de segurança fracionada: governança, roadmap, risco de terceiros e autoridade de NO-GO defensável.
Entregáveis
Visão operacional para empresas médias sem o custo de SOC enterprise: coletores, alertas e inventário.
Entregáveis
Validação de backup, restauração, segmentação e caminho de ransomware com tabletop.
Entregáveis
Blindagem de M365, AD, GPO, MFA, conditional access e endpoints.
Entregáveis
Phishing/BEC: DNS, WAF, DMARC/DKIM/SPF e DNSSEC como superfície de ataque.
Entregáveis
LLM · RAG · Agentes
Testes de prompt injection, RAG poisoning, MCP e agentes autônomos antes da produção, com mapeamento MITRE ATLAS.
Prompt injection, envenenamento de RAG, abuso de ferramentas/MCP e exfiltração via output.
Entregáveis
Segurança de agentes com acesso a ferramentas e dados corporativos: autorização, MCP e memória.
Entregáveis
Lei 13.709/2018 · ANPD
Linha que une DPO, jurídico e segurança técnica — transformando LGPD documental em prevenção, resposta e comunicação defensável.
Gap assessment frente à LGPD, inventário de tratamentos e mapa de dados pessoais.
Entregáveis
Encarregado pelo Tratamento com interface jurídica e técnica contínua.
Entregáveis
Medidas técnicas e administrativas exigidas pela lei, validadas por teste ofensivo.
Entregáveis
Plano e operação de incidente de dados pessoais com comunicação tempestiva.
Entregáveis
Veículos · E/E · OEM · Tier 1/2
Engenharia de cibersegurança para sistemas E/E do veículo, alinhada à UNECE WP.29 R155 e complementar à ISO 26262.
Ativos (ECUs, CAN, interfaces), cenários STRIDE, caminhos de ataque e classificação viabilidade × impacto.
Entregáveis
Cybersecurity Management System organizacional com políticas, papéis e governança.
Entregáveis
Teste em ECUs, CAN, Bluetooth, Wi-Fi, celular, USB e canais OTA.
Entregáveis
Responsabilidades entre OEM, Tier 1 e Tier 2 com Cybersecurity Interface Agreement.
Entregáveis
Vuln monitoring, incidentes de campo e políticas de patch/OTA em operação.
Entregáveis
Cybersecurity case que sustenta auditoria regulatória e do cliente.
Entregáveis
Ciclo de engajamento
Os três modelos de teste são o início do ciclo — o valor sustentável vem do acompanhamento após o relatório.
Black Box enxuto: mapa de superfície de ataque e validação dos pontos expostos.
Entrada · baixo atritoGray Box (e White Box quando o ativo exige) com profundidade, cobertura e PoC.
Pentest · exploitabilidadeAcompanhamento da correção e reteste para confirmar o fechamento dos achados.
Validação · retestRevalidação cíclica da exposição com as equipes internas de SI e desenvolvimento.
Recorrente · vCISOComo operamos
Ativos, limites, janela, contatos, Rules of Engagement e ações proibidas.
Superfície externa, cloud, rede interna, identidade e controles defensivos.
Caminhos plausíveis de ataque sem DoS, destruição ou exposição indevida de dados.
Achados com prova, impacto, prioridade, responsável sugerido e plano de reteste.
Escopo, profundidade e condições de cada entrega são definidos em proposta formal, conforme ambiente, criticidade do ativo e Rules of Engagement. A Favitech não emite certificações de conformidade; atua na implementação, validação técnica e preparação para auditoria conduzida por organismos competentes. Este material não constitui aconselhamento jurídico.
Próximo passo
A conversa inicial define escopo, ativos, janela, modelo de teste e como a Favitech tratará PoC, dados e evidências.