Como a MODO validou os resultados da Strike e começou a avançar rumo a um modelo contínuo

A MODO colocou à prova a nova plataforma de Continuous Hybrid Validation da Strike com uma Threat Emulation real e comparou seus resultados com três métodos adicionais: testes manuais, seu próprio processo de IA e um serviço da AWS.

A comparação tinha uma diferença-chave: alguns desses métodos contavam com informações adicionais sobre o ambiente e o repositório. Mesmo assim, a Strike chegou aos mesmos achados partindo de muito menos contexto.

A experiência levou a MODO a avaliar uma mudança de modelo: passar de testes de segurança principalmente on-demand para uma estratégia de validação mais contínua.

‍

Sobre a MODO

A MODO trabalha com processos de segurança que combinam diferentes formas de validação, incluindo testes manuais, IA e serviços de terceiros.

Nesse contexto, a evolução da Strike para uma plataforma de Continuous Hybrid Validation representou uma oportunidade de testar uma nova forma de executar e gerenciar as avaliações de segurança.

Setor

Serviços financeiros

Produto

Carteira digital que conecta contas e cartões bancários para pagar, transferir dinheiro e gerenciar diferentes meios de pagamento a partir de um mesmo aplicativo.

‍

Contexto e desafios

A MODO trabalhava principalmente com um modelo on-demand, no qual as avaliações eram acionadas conforme as necessidades de determinadas features ou aplicações. Ao incorporar a nova plataforma da Strike, a equipe quis testar suas capacidades em um cenário real e contrastar os resultados com outros métodos que já utilizava internamente.

A comparação permitiu avaliar não só o que cada método encontrava, mas também até onde cada um conseguia chegar com as informações disponíveis.

‍

Trabalhando com a Strike

[1] Uma experiência guiada desde o início

A Strike deu um salto em seu modelo: passou de avaliações de segurança organizadas por projeto para uma plataforma de Validação Híbrida Contínua. Nela, agentes de IA e a equipe de hackers éticos certificados da Strike testam cada ativo de forma contínua, e cada achado crítico é validado antes de chegar ao cliente.

A plataforma integra o mapeamento da superfície de ataque, a execução de Threat Emulation, ou seja, ataques simulados que replicam técnicas reais, e a priorização e o acompanhamento da remediação.

Para os clientes que já trabalhavam com a Strike, como a MODO, essa mudança implicou migrar para a nova plataforma.

A MODO descreveu essa transição como um processo simples e natural, mencionando também que o onboarding foi fácil para a equipe.

Além disso, destacaram que a nova experiência oferece uma configuração mais guiada para as Threat Emulations, com menus, perguntas e um fluxo passo a passo que facilita definir o que se quer avaliar e como executar o exercício.

"O carregamento, as perguntas, o step by step para configurar as coisas, foi bem legal e mais guiado que a plataforma anterior."
Cristian Barquet, Líder de segurança ofensiva na MODO

Essa nova experiência também mantém um aspecto importante para a MODO: o controle humano sobre o processo, permitindo decidir quando executar uma avaliação e o que se espera que a plataforma faça.

"O human in the loop, como chamamos na MODO, o processo de tomar a decisão de quando rodar e o que a plataforma deve fazer. Isso é muito bom."
Cristian Barquet, Líder de segurança ofensiva na MODO

‍

[2] Os mesmos resultados, com muito menos contexto

Para colocar à prova os resultados da Strike, a MODO comparou uma Threat Emulation com três métodos adicionais: testes manuais, seu próprio processo de IA e um serviço da AWS.

A comparação não foi realizada nas mesmas condições. O processo interno de IA da MODO contava com informações adicionais do ambiente: conseguia entender o que estava em runtime e onde estava o repositório. A própria equipe descreveu esse processo como mais próximo de uma abordagem white box, com muito mais informação disponível.

"Nosso processo de IA tem o que chamamos de contexto MODO: entende o que está em runtime, entende onde está o repositório. É um pouco mais trapaceiro, digamos, porque é mais white box, tem muito mais informação."
Cristian Barquet, Líder de segurança ofensiva na MODO

Apesar dessa diferença, os quatro métodos chegaram aos mesmos achados.

Para a MODO, o resultado foi especialmente relevante porque a Strike conseguiu chegar a esses achados sem contar com o mesmo nível de contexto sobre o ambiente e o repositório. A avaliação também permitiu observar como o motor se comportava diante das defesas do ambiente, identificando elementos como Cloudflare e WAF e adaptando sua estratégia para evitar disparar alertas desnecessariamente.

O exercício começou no ambiente de desenvolvimento e depois permitiu validar os resultados em produção. Por fim, a MODO utilizou o relatório da Strike para compartilhar os resultados com suas equipes, enquanto seus próprios resultados ficaram como respaldo para controle interno.

‍

[3] Do on-demand para uma estratégia contínua

A experiência com a Strike também abriu uma conversa mais ampla sobre como a MODO gerencia suas avaliações de segurança. Atualmente, a equipe trabalha principalmente de forma on-demand, em função das necessidades que surgem em torno de features e aplicações.

O objetivo é avançar para um modelo mais cíclico e contínuo, no qual as avaliações façam parte de um processo recorrente.

"A ideia da MODO é eliminar o on-demand e chegar a esse estágio contínuo."
Cristian Barquet, Líder de segurança ofensiva na MODO

Nessa evolução, a capacidade do Live Asset Radar de identificar e acompanhar ativos também aparece como uma peça alinhada com a estratégia que a MODO busca construir.

‍

Uma experiência que a MODO já recomenda

A experiência com a Strike não só levou a MODO a avaliar um novo modelo de trabalho. Também gerou uma recomendação direta da plataforma. A equipe já tinha começado a compartilhar sua experiência com a nova plataforma dentro do seu setor. Para a MODO, a experiência combinou uma configuração mais guiada, autonomia para executar as avaliações e a capacidade de obter resultados relevantes mesmo quando outros métodos contavam com informações adicionais sobre o ambiente.