O que a plataforma zynTRIQ entrega para a organização

Reúne, numa única tela, o total de ativos monitorados, as vulnerabilidades encontradas por gravidade, uma nota de risco de 0 a 100 e a situação dos agentes instalados nas máquinas da empresa.

Por que importa: permite que a liderança entenda a postura de segurança da organização em segundos, sem precisar interpretar relatórios técnicos.

• Nota de Risco Executiva (0–100) — resume o risco geral do projeto num único número.
• Densidade de exposição — quanto da superfície exposta concentra problemas.
• Tendência dos últimos 7 dias — novos ativos, novas falhas, falhas corrigidas.
• Pontos críticos ("hotspots") — quais sites/sistemas concentram mais falhas abertas.
• Postura dos agentes de endpoint — quantas máquinas estão protegidas, online, offline ou com problema.
• Cobertura da rede interna — % de dispositivos internos com proteção instalada.
• Serviços de rede expostos e visados — catálogo de ~40 portas/serviços de risco conhecido (bancos de dados, acesso remoto etc.) cruzado com o que foi encontrado.
• Exposição a ataques de indisponibilidade (DDoS) — serviços que podem ser usados para tirar sistemas do ar.
• CISA KEV — destaca falhas que já são ativamente exploradas por criminosos no mundo real, não apenas teóricas (detalhado na próxima seção).
• Catálogo de CVEs — todas as falhas catalogadas mundialmente encontradas no ambiente.
• Explicação automática por IA — resume, em linguagem simples, o impacto e a correção de cada falha crítica.
• Painel personalizável — cada usuário pode reorganizar o que vê primeiro.

CISA é a agência de cibersegurança do governo dos Estados Unidos. Ela mantém uma lista pública e oficial — o catálogo KEV (Known Exploited Vulnerabilities) — com todas as falhas de segurança que já foram comprovadamente usadas em ataques reais, e não apenas falhas "teoricamente perigosas". O zynTRIQ baixa esse catálogo automaticamente a cada 6 horas (e também sob demanda, com um botão "Atualizar") e cruza, falha por falha, cada CVE encontrado no ambiente da organização contra essa lista.

Por que isso muda a prioridade da equipe: uma nota de severidade tradicional (Crítica/Alta/Média) mede o dano teórico que uma falha poderia causar. O selo KEV responde a uma pergunta diferente e mais urgente: "criminosos já estão usando essa falha para invadir empresas agora?". Uma falha "Alta" comum pode esperar a fila normal de correção; uma falha "Alta" que também está no KEV — especialmente se ligada a uma campanha de ransomware conhecida — deve furar a fila.

• Data de inclusão no catálogo — desde quando o governo americano confirmou exploração ativa daquela falha.
• Sinalizador de ransomware — indica se a falha já foi usada especificamente em campanhas de sequestro de dados; quando sim, o zynTRIQ eleva automaticamente sua urgência ao nível máximo.
• Prazo de correção recomendado (due date) — o mesmo prazo que o governo dos EUA exige de suas próprias agências federais para corrigir aquela falha; serve como referência externa e objetiva de urgência para a organização.
• Ação requerida — texto oficial explicando o que deve ser feito (corrigir, mitigar ou descontinuar o uso do produto vulnerável).
• Busca livre no catálogo completo — a equipe pode consultar qualquer CVE do mundo contra o catálogo, mesmo que ainda não tenha sido encontrado em um scan.

Organiza o trabalho por projeto/cliente/área e controla quem, na equipe, pode ver ou alterar cada informação.

• Gestão de Projetos — cada projeto é um espaço isolado de trabalho.
• Gestão de usuários e permissões — controle de acesso por papel/função.
• Busca global — localizar rapidamente qualquer ativo ou achado.

Cadastro dos domínios/sites que devem ser monitorados, com opção de agrupá-los sob uma mesma organização (ex.: uma empresa com várias marcas ou subsidiárias) para varreduras em lote.

• Cadastro de domínios — o que deve ser vigiado continuamente.
• Agrupamento por organização/marca — visão consolidada de múltiplos domínios.
• Resumo de risco por site — quantidade de vulnerabilidades e histórico de varreduras por domínio.
• Dados de propriedade (WHOIS) — quem registrou o domínio, servidores DNS, histórico de IPs — útil para identificar domínios "esquecidos".

Diferente do módulo de rede interna (que descobre dispositivos de fora), aqui o agente é instalado dentro da máquina (Linux ou Windows) e envia telemetria em tempo real: quem está logado, o que está rodando, uso de recursos e alterações de comportamento.

Por que importa: funciona como um "sensor de saúde" para cada equipamento — parecido com um check-up médico contínuo — sinalizando quando algo foge do padrão antes que vire incidente.

• Mapa geográfico dos agentes — onde as máquinas protegidas estão localizadas.
• Status online / offline / com problema — visibilidade imediata de falhas de comunicação.
• Telemetria contínua — sistema operacional, uso de CPU/memória/disco, usuário logado, tempo ligado.
• Nota de risco por máquina — pontua cada equipamento individualmente.
• Detecção de mudanças — alerta quando algo muda de forma relevante no equipamento.
• Achados cruzados — une o que o agente vê com o que as varreduras de vulnerabilidade encontraram.
• Controle de acesso do agente — aprovação, revogação e renovação de credenciais dos agentes.
• Políticas de retenção de dados — por quanto tempo o histórico é guardado.

Descobre computadores, servidores, impressoras, câmeras, roteadores, firewalls e outros dispositivos IoT/industriais conectados à rede — inclusive aqueles que ninguém sabia que existiam ("shadow IT"). Cruza cada dispositivo com os agentes instalados para revelar o que está desprotegido.

Por que importa: é comum que 20–40% dos dispositivos de uma rede corporativa estejam fora do radar da TI. Este módulo fecha essa lacuna de visibilidade.

• Dashboard de cobertura — % de dispositivos com e sem agente, por tipo, criticidade e sistema operacional.
• Sensores de descoberta — gestão dos pontos que fazem a varredura da rede.
• Inventário detalhado — ficha de cada dispositivo: rede, portas abertas, serviços, dono, criticidade.
• Achados de risco — problemas específicos por dispositivo (exposição, ausência de agente, movimento lateral).
• Portas internas sensíveis — serviços administrativos/perigosos expostos mesmo dentro da rede corporativa.
• Ativos não identificados — dispositivos que a varredura não conseguiu classificar — pontos cegos que exigem investigação.
• Histórico de varreduras — quando e como cada varredura de rede foi executada.
• Segmentos de rede / VLANs — configuração de como a rede está dividida, usada para calcular criticidade.

Controla quando e como as varreduras acontecem, guarda o histórico de tudo que já foi executado e consolida tudo o que foi descoberto ao longo do tempo.

• Histórico de varreduras completas — o que foi escaneado, quando e com qual resultado.
• Histórico de sub-varreduras — reverificações pontuais de uma parte específica.
• Agendamento automático — varreduras recorrentes sem intervenção manual.
• Inventário global de subdomínios — todos os endereços web associados aos domínios monitorados.
• Inventário global de endpoints — todas as páginas/URLs mapeadas.
• Lista consolidada de vulnerabilidades — todas as falhas encontradas no projeto, filtráveis.
• Lista de tarefas (Todo) dos analistas — acompanhamento do trabalho manual da equipe de segurança.

Um quadro Kanban (Aberto / Em Andamento / Corrigido / Fechado) por vulnerabilidade, com filtros e mudança de status em lote — a ferramenta de trabalho do dia a dia da equipe técnica.

OSINT significa "inteligência de fontes abertas": tudo o que qualquer pessoa — inclusive um golpista — já consegue encontrar publicamente sobre a organização, sem precisar invadir nada.

• Credenciais expostas — e-mails e senhas vazados em bases públicas de vazamentos, o item de maior prioridade da aba.
• E-mails e funcionários — identidades expostas, usadas em golpes de phishing e engenharia social direcionados.
• Domínios, hosts e URLs relacionados — outros ativos ligados à organização que também aparecem em fontes públicas.

Enquanto o OSINT lista o que está exposto, a aba Threat Intelligence busca em fontes externas de inteligência de ameaças (vazamentos, menções, documentos públicos) qualquer sinal adicional ligado aos domínios, subdomínios, e-mails e URLs daquela varredura — dando contexto sobre se aquela exposição já é conhecida por quem monitora ameaças.

A plataforma automaticamente compara os mesmos ativos (domínios, subdomínios, e-mails) através de três fontes diferentes — Vulnerabilidades encontradas na varredura, OSINT e Threat Intelligence — e sinaliza quando um mesmo ativo aparece em mais de uma fonte ao mesmo tempo:

• Correlação Cruzada de Fontes — lista de ativos que aparecem em 2 ou mais das três fontes ao mesmo tempo; quanto mais fontes confirmam o mesmo ativo, maior a certeza de que aquele risco é real e não um falso positivo isolado.
• Identidades expostas em múltiplas fontes — e-mails que aparecem tanto no OSINT quanto na Threat Intelligence, reforçando o risco de uso indevido daquela identidade.
• Insights automáticos em texto — frases prontas como "X ativos aparecem simultaneamente em Vulnerabilidades, OSINT e Threat Intelligence — tratar como prioridade máxima".

Cada vulnerabilidade encontrada é analisada automaticamente (por correlação de texto — tipo de falha, categoria técnica, descrição) e associada ao(s) padrão(ões) de segurança que ela mais se relaciona. Isso elimina o trabalho manual de um analista ter que, achado por achado, decidir "isso fere qual norma?".

• OWASP Top 10 (2021) — o catálogo mais usado no mundo para classificar falhas em aplicações web (ex.: Injeção, Controle de Acesso Quebrado, Configuração Insegura).
• NIST Cybersecurity Framework — referência do governo americano, organizada em 5 funções: Identificar, Proteger, Detectar, Responder e Recuperar.
• CIS Controls (v8) — conjunto prático de controles de segurança adotado por empresas de todos os portes, do inventário de ativos à resposta a incidentes.
• PPSI 2.0 — Política de Segurança da Informação do governo brasileiro; avaliado automaticamente apenas em domínios .gov.br.

• Histórico de vulnerabilidades — evolução desde o primeiro scan até hoje, não apenas a varredura atual.
• Lacunas e recomendações de governança — pontos fracos identificados e sugestões de ação.
• Maturidade por framework (0–100) — traduzida em 5 estágios de leitura simples: Inicial → Em Desenvolvimento → Definido → Gerenciado → Otimizado.
• Cartão por framework — postura de risco, controles falhos/parciais/eficazes, e as 3 ações prioritárias recomendadas para aquele padrão específico.
• Selo de conformidade consolidado — leitura única (Conforme / Parcial / Não Conforme), sempre baseada no framework com pior resultado — para não maquiar um problema real.
• Tabela de mapeamento — cada vulnerabilidade, o(s) framework(s) relacionado(s), o controle específico e a confiabilidade daquela associação.

Dentro da aba "Visualização", cada vulnerabilidade encontrada na varredura gera uma "cadeia de ataque" animada — pontos de luz que percorrem, em tempo real, o caminho entre o atacante e o resultado final daquela falha.

Por que isso ajuda o Board a entender risco técnico: uma lista de 61 vulnerabilidades é abstrata para quem não é da área técnica. Ver, visualmente, "esta falha específica permite que um invasor chegue até aqui, e o resultado seria este" transforma uma lista técnica em uma narrativa de negócio compreensível — e ajuda a justificar investimento em correção para quem aprova orçamento.

• Padrão (Default) — relatório técnico completo, achado por achado: CVSS, CVEs, CWEs, descrição, impacto e remediação de cada vulnerabilidade. Público: equipe técnica/auditoria.
• Moderno (Modern) — o mesmo conteúdo técnico do Padrão, com visual atualizado, sumário navegável e uma seção extra de exposição a ameaças. Público: equipe técnica.
• Board — o único modelo pensado para quem não é da área técnica: sem lista de achados um a um, todo o conteúdo é resumido em indicadores, narrativa executiva e matriz de risco. Público: diretoria e comitês.

• Resumo executivo redigido por IA — texto em linguagem de negócio (risco, impacto potencial, recomendações), gerado a partir dos dados reais da varredura — nunca a partir de dados inventados.
• Governança histórica — não olha só a varredura atual: reúne o histórico de todas as varreduras já feitas contra aquele alvo.
• Matriz de risco 5×5 — impacto x probabilidade, com uma orientação explícita de como o comitê deve interpretar cada célula.
• Postura dos agentes instalados — inclusão opcional dos dados de Managed Assets (endpoints), com sua própria matriz de risco.
• Inteligência de ameaças resumida — reaproveita os mesmos cartões de Correlação, Cabeçalhos HTTP e OSINT vistos no dashboard técnico, em versão executiva.
• Agenda de governança — fecha com recomendações práticas de patrocínio do Board e uma leitura de risco e impacto potencial ao negócio.

• PDF ou HTML — PDF para arquivar/imprimir; HTML para uma versão interativa, que inclui a Simulação de Caminho de Ataque navegável.
• Português, inglês ou espanhol — apenas o modelo Board oferece essa escolha de idioma; os modelos técnicos são sempre em inglês.
• Gerado sob demanda — qualquer pessoa autorizada gera o relatório na hora, em segundos; não existe hoje envio automático agendado por e-mail.
• Identidade visual configurável — nome, endereço, e-mail e site da empresa, além das cores de destaque, podem ser personalizados nas Configurações.

Recebe o arquivo do aplicativo e faz uma análise automática de segurança, apontando falhas conhecidas e classificando-as segundo os padrões internacionais de segurança mobile (OWASP Mobile Top 10 e MASVS).

• Dashboard mobile — visão geral de segurança dos apps da organização.
• Cadastro de aplicativos — controle de versões analisadas.
• Nova varredura — envio do app para análise automática.
• Histórico e logs — rastreabilidade de cada análise executada.
• Achados classificados — cada falha ligada a um padrão internacional reconhecido, com sugestão de correção por IA.
• Relatórios em PDF — documento de evidência por app analisado.

• Motores de varredura — definem o que é verificado (portas, vulnerabilidades, OSINT etc.) e com qual profundidade.
• Dicionários de busca (wordlists) — listas usadas para encontrar páginas e subdomínios escondidos.
• Palavras-chave de interesse — destaca automaticamente páginas sensíveis (ex.: login, admin).
• Configuração fina por ferramenta — ajustes avançados das ferramentas de varredura.
• Cofre de chaves de integração — credenciais para IA, bug bounty e serviços externos, armazenadas com segurança.
• Arsenal de ferramentas externas — catálogo de ferramentas de segurança instaladas e atualizadas.
• Personalização de relatórios — identidade visual e conteúdo dos PDFs gerados.
• Painel de saúde do sistema — uso de armazenamento e desempenho da plataforma.
• Integração com HackerOne — envio automático de achados para programas de bug bounty.
• Canais de notificação — alertas automáticos por Slack, Discord, Telegram etc.
• Proxies — roteamento de tráfego usado nas varreduras.

• WHOIS — quem é o dono de um domínio e desde quando.
• Detector de CMS — identifica a plataforma usada por um site.
• Consulta de CVE — detalhes de uma falha catalogada específica.
• Detector de WAF — verifica se um site tem proteção de firewall de aplicação ativa.
• Atalhos de cadastro — adicionar rapidamente novo alvo, domínio, motor de varredura ou ferramenta.

CVE

Identificador público e mundial de uma falha de segurança já catalogada.

CISA

Agência de cibersegurança do governo dos Estados Unidos, referência mundial em resposta a ameaças.

CISA KEV

Catálogo oficial (EUA) de falhas comprovadamente usadas em ataques reais — não são apenas teóricas.

BOD 22-01

Diretiva do governo dos EUA que define prazos obrigatórios de correção para falhas do catálogo KEV — usada aqui como referência externa de urgência.

GRC

Governança, Risco e Compliance — a disciplina de alinhar segurança a normas e obrigações.

OWASP Top 10

As 10 categorias de falhas mais críticas em aplicações web, segundo a organização internacional OWASP.

NIST CSF

Framework de cibersegurança do governo americano, organizado em 5 funções: Identificar, Proteger, Detectar, Responder, Recuperar.

CIS Controls

Conjunto prático de controles de segurança, amplamente adotado por empresas de todos os portes.

PPSI 2.0

Política de Segurança da Informação do governo brasileiro, aplicável a domínios .gov.br.

Maturidade (Inicial→Otimizado)

Escala de 5 estágios que traduz a pontuação de governança (0–100) em um rótulo de fácil leitura para o Board.

MASVS

Padrão internacional específico para avaliar a segurança de aplicativos móveis.

WAF

Firewall de aplicação web — uma camada de proteção na frente de um site.

SLA

Prazo definido para corrigir um problema, de acordo com sua gravidade.

Shadow IT

Equipamentos ou sistemas conectados à rede sem o conhecimento formal da área de TI.

OSINT

Informação disponível publicamente na internet que pode ser usada contra a organização (ex.: e-mails, credenciais vazadas).

Matriz de Risco 5×5

Tabela que cruza impacto no negócio com probabilidade de exploração, usada para decidir o que corrigir primeiro.