Pentest Black Box em SaaS

Requisitos

• Buscamos profissional especializado em Pentest de aplicações SaaS, na modalidade Black Box, para avaliar a segurança da nossa plataforma
• O objetivo é identificar e validar vulnerabilidades na aplicação Web e nas APIs, simulando a perspectiva de um atacante externo, sem acesso ao código-fonte
• Escopo esperado: - Testes de segurança na aplicação Web e em APIs/endpoints expostos. - Avaliação de autenticação, autorização e controle de acesso. - Verificação de escalação de privilégios, exposição de informações e manipulação de parâmetros. - Testes de lógica de negócio e demais vetores de ataque aplicáveis. - Avaliação com base no OWASP Top 10 e, quando aplicável, no OWASP API Security Top 10
• Relatório e entregáveis: - Relatório formal contendo, no mínimo, escopo avaliado, período de execução, metodologia, vulnerabilidades identificadas, classificação de severidade, evidências técnicas, impacto e recomendações de correção. - Rastreabilidade dos testes e possibilidade de reprodução dos achados, incluindo a identificação do profissional ou empresa responsável pelo assessment. - O responsável deverá possuir certificação profissional reconhecida em segurança ofensiva/Pentest, válida quando aplicável, e apresentar sua comprovação. - O relatório deverá identificar o responsável técnico e conter assinatura ou outro mecanismo de validação de autenticidade. - Não buscamos apenas uma varredura automatizada
• As vulnerabilidades deverão ser analisadas e validadas tecnicamente
• Reteste: - Informar se está incluído no valor contratado um reteste das vulnerabilidades após a aplicação das correções, em até 90 dias da entrega do relatório original. - O reteste deverá incluir a validação das correções e a atualização do status dos achados em relatório complementar. - Caso não esteja incluído, informar o custo adicional
• Ao enviar sua proposta, informe: - Metodologia utilizada. - Escopo e cobertura previstos. - Entregáveis e formato dos relatórios. - Prazo estimado para execução. - Valor total do serviço. - Se o reteste em até 90 dias está incluído. - Certificações profissionais aplicáveis e respectivas comprovações. - Experiência anterior com Pentest de aplicações SaaS, Web e APIs. - Exemplo anonimizado de relatório anterior, se disponível
• Os testes serão realizados exclusivamente nos ambientes e ativos previamente autorizados, conforme o escopo acordado