Nunca perca uma vulnerabilidade.
Prove o que um atacante realmente faria, antes dele.
A empresa
A ONEVERSEC é uma empresa brasileira de segurança de aplicação, nascida do encontro de duas disciplinas que quase nunca conversam: quem quebra sistemas e quem coloca a correção dentro do ciclo de desenvolvimento. É por isso que a plataforma atende os dois lados da mesma mesa.
Os produtos
- EVERSEC RAGE: Bug bounty autônomo, para o hunter. Em operação.
- EVERSEC FUSION: Validação contínua do perímetro, para a empresa. Em desenvolvimento.
- EVERSEC OPS: Segurança na esteira, para a empresa. Em desenvolvimento.
EVERSEC RAGE · O produto do hunter
Você conecta as plataformas onde já tem conta, escolhe um programa autorizado do catálogo e clica em iniciar. O agente conduz a caça inteira, do recon ao report, e você aprova o que vai ser enviado.
- ~1.500 programas no catálogo, de HackerOne a YesWeHack
- 10 portões antes de virar report, padrão descartar
- 0 submissões automáticas: você aprova cada envio
- Prova reproduzível em vídeo (PoC), não só alerta
- Severidade derivada (CVSS 4.0)
A caça, do recon ao report.
O agente caminha por uma máquina de fases, uma superfície de ataque por vez, consultando o conhecimento antes de agir e registrando o que já testou.
- INIT: Escopo autorizado carregado e travado pelo código.
- RECON: Enumera a superfície e, onde o alvo publica o próprio código, reconstrói o fonte pelo source-map. O recon contínuo já vinha varrendo o catálogo.
- FILTER: Filtra contra o escopo autorizado, decisão fail-closed do código, e prioriza pelo que tende a pagar.
- DISCOVERY: Monta o modelo cognitivo do alvo, entidades, papéis e invariantes, e a matriz de autorização completa.
- EXPLOIT: O Cartógrafo aprende a máquina de estados e a verifica. Cada contraexemplo é um exploit deduzido, com o passo a passo exato.
- VALIDATION: Estágio de finalização, dez portões, juiz adversarial e reprodução ponta a ponta. O padrão é descartar.
- REPORT: Gera o artefato pronto para a plataforma e nunca submete sozinho.
O que faz a dedução funcionar.
- Cartógrafo de Estados: Aplicações web e APIs são máquinas de estado: login, checkout, wizards, MFA. O Cartógrafo aprende essa máquina interrogando o alvo (aprendizado ativo de autômato, Angluin L*) e a verifica contra propriedades de segurança do tipo "nunca alcançar pedido confirmado sem passar por pagamento aprovado". Cada contraexemplo é um caminho de exploit deduzido, com o passo a passo exato.
- Blueprint do Alvo: Reconstrói o código-fonte original a partir do source-map publicado pelo próprio alvo: contrato de API tipado e a superfície invisível que o crawling black-box não vê.
- Modelo Cognitivo: Infere invariantes de segurança a partir dos diferenciais entre identidades e projeta cada fraqueza confirmada sobre todo o modelo, para achar onde ela se repete.
- Matriz de Autorização: Enumera principal × objeto × instância × operação com oráculo diferencial, e sintetiza a sequência legítima de vários passos que torna a célula alcançável.