O setor onde testar deixou de ser boa prática e passou a ser obrigação.
Instituição financeira de média dimensão. Banca digital, app móvel, portal de parceiros. Auditoria anual feita em março; estamos em setembro e entraram catorze releases desde então.
Percurso-tipo · descreve o método aplicado a um perfil representativo do setor
- Dia 1 · Âmbito
O que está autorizado, por escrito
A equipa define o perímetro: domínios da instituição, intervalos de IP próprios, e exclusão explícita dos sistemas de pagamento em produção fora da janela acordada. Nada fora disto será tocado, e o âmbito fica registado com quem o autorizou.
- Dia 1 · Descoberta
Aparece o que não estava no inventário
O varrimento do domínio encontra ativos que nenhuma lista interna continha: um ambiente de pré-produção de uma campanha antiga, ainda acessível, e um subdomínio de um portal de parceiros descontinuado há dois anos que continua a responder.
- Dia 2 · Correlação
Um achado isolado não é um risco
O ambiente de pré-produção corre uma versão antiga da aplicação. Um scanner pararia aqui, com um alerta de severidade alta. A pergunta que fica por responder é se aquilo dá mesmo acesso a alguma coisa — e é essa que separa ruído de risco.
- Dia 2 · Validação
Provar, não supor
A exploração confirma que a versão antiga aceita credenciais de teste que nunca foram removidas (T1078, contas válidas). A partir daí é possível ler configuração que inclui uma chave de integração ainda válida em produção. O caminho deixou de ser hipótese.
- Dia 2 · Contenção
Até onde ir, decide quem responde pelo sistema
O passo seguinte — usar a chave contra o sistema de produção — é o que confirmaria o impacto real. É também o que pode afetar serviço a clientes. A plataforma para aqui.
Utilizar a chave de integração encontrada para confirmar acesso ao sistema de produção.
- Porque é que isto exige uma decisão humana
- Confirma o impacto real em vez de o estimar, mas toca num sistema com clientes ligados. É exatamente o tipo de ação que não deve acontecer sem alguém responsável dizer que sim.
- O que foi decidido
- O responsável de segurança aprova para a janela de manutenção da madrugada seguinte, com o registo da decisão associado ao pedido.
O que fica documentado
- Cadeia completa do caminho de ataque, do ativo esquecido à chave de produção
- Prova reproduzível de cada passo, com data, hora e âmbito aplicável
- Registo de quem autorizou a ação sensível e quando
- Reteste automático depois da correção, para confirmar que fechou
Veja a DIANA em ação.
Uma operação ao vivo num âmbito de exemplo: da descoberta à exploração validada, com aprovação humana e o relatório de evidências gerado na sessão.