Executando verificação de segurança...
2
LoRA
1 min de leitura ·

Queria validar uma ideia de "pentest" automatizado

Tenho percebido que muitos softwares em deploy (especialmente de PMEs e freelancers) não passam por nenhum tipo de verificação basica de segurança antes de ir para produção.

Cheguei a essa conclusão depois de começar a fazer testes de segurança em alguns sistemas e ter algumas surpresas negativas nesse quesito.

Estou estudando a ideia de criar uma ferramenta simples e acessivel que identifique falhas comuns e grosseiras — como SQL Injection basico, XSS, secrets no código e headers de segurança ausentes. A ideia é cobrir o básico pelo menos no MVP

Em uma evolução futura, penso em adicionar:

  • testes de bibliotecas para verificar se estao comprometidas ou vulneraveis

  • identificação de bibliotecas e funções legadas inseguras

  • verificação de uso de criptografia fraca ou incorreta, entre outras falhas comuns

Queria entender melhor:

  • Você já teve problemas de segurança por causa de algo “básico” assim?

  • Hoje você faz algum tipo de verificação automática?

  • Pagaria algo barato por uma ferramenta que funcionasse como primeira camada de segurança?

Qualquer feedback (positivo ou negativo) ajuda muito.

Carregando publicação patrocinada...
1
saraiva

Olha meu ponto é justamente esse: não é viável do jeito que você está colocando.

A partir do momento que você quer testar telas autenticadas, fluxo interno, níveis de acesso, etc., já não estamos mais falando de uma verificação simples. Isso vira pentest mais profundo, que depende de contexto da aplicação, entendimento do negócio e várias informações técnicas (token, sessão, perfis, URLs específicas…).

pois mesmo para testar apenas xss e sqli de um sistema, tem que ser feito por completo (todas as telas) e nao acredito que um PME tenha facilidade de configurar essa ferramenta.

Isso simplesmente não combina com uma ferramenta pensada para PME, que precisa ser simples e quase “plug and play”. Se eu começo a pedir JWT, cookie, usuário de teste e por aí vai, o produto deixa de ser acessível e passa a ser coisa de dev ou time de segurança.

Então a sua ideia não está errada tecnicamente, mas vejo que seria para outro publico. Eu já peguei vulnerabilidades nessa leva de vibe coding e quando fui falar com o criador do projeto, qualquer termo um pouco tecnico ja nao fincionava.

Lembrando que se tu vende uma ferramenta que garante pegar XSS e SQLi e em alguma pagina nao identifica, não dou advogado mas talvez possa ter algum problema (a não ser que seja gratuita )

Novamente, vejo que sua ideia é interessante mas nao para esse publico.

1
LoRA
  • Autor
    Autor

Concordo muito com você, só que minha ideia provavelmente foi mal explicada. Não quero criar uma ferramenta profunda que resolva todos os problemas, apenas uma ferramenta que ajude a evitar o vazamento de erros mais básicos e críticos.
E realmente, o público de PME é mais leigo, e seria difícil eles comprarem o produto sem gerar algum problema futuro. Então acho que o público que vou seguir provavelmente será o pessoal de SaaS e freelancers.

Mas obrigado pelo feedback!

1
gmasson

Eu pagaria 29,90 por um relatorio de pentest e sugestões de como resolve-las, e 9,90 por mes para verificação semanal, incluindo alertas de site offline e analise de possiveis arquivos publicos com virus (api do virustotal).

Fica a ideia de SaaS kkkk

2
1
1