A NodeOps Security OÜ é uma consultora B2B totalmente remota. Auditamos, blindamos e operamos os sistemas Linux e Windows onde assenta o seu negócio - e depois ajudamo-lo a criar as políticas que os mantêm assim.
$ nodeops audit --scope infra --profile cis 41 hosts resolved, 3 subnets ssh: key-only, root login denied tls: 3 endpoints still negotiating TLS 1.0 postgres: superuser reachable from app subnet backups: restore test passed, RPO 4h findings.pdf remediation.md
A maioria dos fornecedores fica pela estratégia ou pela implementação. Nós fazemos as duas, o que significa que os controlos que recomendamos são controlos que sabemos operar - e os sistemas que operamos são construídos para cumprir esses controlos.
Uma análise prática daquilo a que um atacante chegaria realmente, ordenada pelo dano que causaria.
Parques Debian, Ubuntu, RHEL, Rocky e Alma construídos para serem aborrecidos, repetíveis e atualizados.
Parques Active Directory e Windows Server limpos, normalizados e mantidos atualizados.
Encontrar as consultas, os índices e as definições que lhe estão a custar dinheiro e disponibilidade em silêncio.
Pipelines, infraestrutura como código e processo de lançamento que a sua equipa consegue manter sem nós.
Uma avença contínua para o trabalho de infraestrutura que ninguém na sua equipa tem tempo para assumir.
De pouco serve um servidor blindado se ninguém sabe de quem é, o que contém, ou o que acontece se desaparecer durante um dia. A par do trabalho técnico, aconselhamos em gestão de risco, política de segurança empresarial e continuidade de negócio - a camada acima da implementação.
Estratégia que chega aos servidores. Cada camada com evidência, responsável e revisão.
Sem levantamentos sem fim, sem faturas inesperadas, sem acessos que não consigamos justificar.
Uma chamada curta e, depois, uma proposta escrita: o que vamos analisar, a que precisamos de ter acesso, o que recebe e quanto custa. Preço fixo sempre que o trabalho o permita.
Análise prática, começando com acesso só de leitura. Confirmamos cada conclusão antes de a reportar, para que não ande atrás de falsos positivos de um scanner.
Conclusões ordenadas pelo impacto real, cada uma com uma correção concreta. Implementamo-las nós, ou entregamos à sua equipa manuais precisos o suficiente para serem seguidos.
Avença opcional: atualizações, monitorização, resposta a incidentes e um relatório mensal que um diretor não técnico consegue ler.
Nascemos como empresa distribuída desde o primeiro dia. Não há custos de escritório embutidos nos nossos preços, não há dias de deslocação na sua fatura, e não se espera que alguém esteja no edifício para que um problema em produção seja analisado.
Trabalho 100% remoto, em hora da Europa Central.
01 - PROJETO
Um trabalho delimitado, com âmbito e preço fixos: uma auditoria de segurança, uma migração, recuperar uma base de dados, um plano de continuidade.
02 - AVENÇA
Uma bolsa mensal de horas para a infraestrutura que ninguém internamente tem tempo para assumir, com tempos de resposta acordados.
03 - ACONSELHAMENTO
Sessões agendadas para administrações que precisam de uma segunda opinião técnica antes de aprovar orçamento ou assinar um contrato.
Com uma chamada curta e uma proposta escrita. Acordamos o que está dentro e fora, a que precisamos de ter acesso e o que recebe no final, antes de qualquer trabalho começar. Auditorias e projetos são orçamentados a preço fixo; o trabalho contínuo funciona como avença mensal.
Do mínimo que nos permita fazer o trabalho. As análises começam só de leitura. Tudo o que altere o estado dos sistemas é acordado por escrito primeiro. Os acessos estão ligados a contas nominais, limitados à duração do projeto e revogados no fim - e trabalhamos com gosto dentro do seu próprio jump host, VPN ou ferramenta de PAM, em vez dos nossos.
Não - a certificação é emitida por um organismo acreditado, e seria um conflito de interesses que quem construiu os seus controlos os auditasse para certificação. O que fazemos é prepará-lo: análise de lacunas, o trabalho de controlos e políticas, e a estrutura de evidências que um auditor vai pedir.
Normalmente não. Grande parte do nosso trabalho convive com um fornecedor existente ou com uma equipa interna - uma auditoria independente, uma base de dados que ninguém teve tempo de afinar, ou um plano de continuidade que vai sendo adiado. Escrevemos as conclusões para serem acionáveis por quem for responsável pelo sistema, e não nos incomoda que seja outra pessoa.
Trabalhamos em hora da Europa Central, o que dá sobreposição de um dia de trabalho inteiro com o Reino Unido e o resto da UE, e uma boa sobreposição de tarde com o leste e o centro dos Estados Unidos e do Canadá. As janelas de manutenção são agendadas em função do horário do seu negócio, não do nosso.
Sim, os dois, e preferimos que nos peça. Podemos trabalhar a partir dos seus documentos ou fornecer os nossos. Como empresa registada na UE, estamos habituados às obrigações do RGPD e sabemos documentar as medidas técnicas e organizativas que lhes correspondem.
Quase tudo o que está neste sítio aplica-se igualmente a uma casa, e ninguém o oferece às famílias sem as tratar com condescendência ou sem lhes vender uma subscrição. Por isso construímos um segundo site para isso, em linguagem simples: o router, os equipamentos, os filhos na internet, as cópias e o que fazer depois de uma burla.
Diga-nos o que tem em produção e o que o preocupa. Receberá uma proposta escrita e um preço fixo - e uma resposta em um dia útil.
