Salak Security
Ver relatórioFalar com especialista
Soluções

Auditoria de segurança de banco de dados

A porta do banco aberta para a internet é mais comum do que parece. Auditamos PostgreSQL, Supabase, Firebase e MongoDB.

Avaliar meu sistemaVer relatório de exemplo

O banco é onde os dados de fato estão, e muitas vezes é configurado uma vez e esquecido. Usuário da aplicação com privilégio de administrador, porta exposta, backup sem criptografia e nenhuma trilha de quem leu o quê.

Em bancos acessados direto pelo navegador, como Supabase e Firebase, as regras de acesso são a única barreira entre a internet e os dados. Testamos cada uma.

O que testamos

9 verificações, cada uma com prova

Nenhum item é aprovado sem evidência: saída de ferramenta, requisição ou trecho de código.

  • Exposição à internetPortas abertas, listas de IP permitidos e acesso sem TLS.
  • Papéis e privilégiosUsuário da aplicação com SUPERUSER ou dono das tabelas, contas sem uso.
  • Row Level Security e políticasCada tabela exposta testada com cada perfil de usuário.
  • Regras do FirebaseSecurity Rules do Firestore, Realtime Database e Storage.
  • Funções e viewsFunções SECURITY DEFINER e views que ignoram as políticas.
  • CriptografiaEm repouso, em trânsito e de colunas sensíveis, com a gestão das chaves.
  • BackupsFrequência, criptografia, quem acessa e se a restauração foi testada.
  • Trilha de auditoriaRegistro de acessos a dados sensíveis e alertas de leitura em massa.
  • Extensões e configuraçãoExtensões perigosas, parâmetros padrão e versões sem correção.
Exemplo de achado

Assim chega cada falha no relatório

Severidade, categoria OWASP e CWE, o caminho que o dado percorre até vazar, o impacto no negócio e a correção recomendada. O exemplo é fictício; o formato é o que você recebe.

Ver o relatório completo →
AltaSEC-004 · exemploA02 · CWE-250

Aplicação conecta ao banco com usuário SUPERUSER

  1. 01String de conexão no servidor da aplicação
  2. 02app_user com papel SUPERUSER
  3. 03Qualquer injeção vira controle total
  4. 04Inclui ler arquivos do servidor
Impacto
Uma única falha de injeção na aplicação dá ao atacante controle total do banco, não só das tabelas da aplicação.
Correção recomendada
Criar um papel com permissão só nas tabelas e operações que a aplicação usa, trocar a conexão e um teste que confere os privilégios do papel.
Como funciona

Quatro passos, nenhum sem evidência

Ver o método completo →
  1. 01

    Escopo e autorização

    Termo assinado com sistemas, ambientes e limites, antes de qualquer teste.

  2. 02

    Inventário e testes

    Rotas, dados sensíveis e testes em staging com cada perfil de usuário.

  3. 03

    Correção pelo seu time

    Cada falha com correção recomendada e teste de regressão.

  4. 04

    Verificação independente

    Quem não participou reproduz, confirma e assina.

Oferta recomendada

Auditoria Completa

A Auditoria Completa inclui banco, aplicação e as regras entre os dois. Para Supabase ou Firebase acessados pelo navegador, o Diagnóstico Express cobre o essencial em 5 dias úteis.

a partir de, por aplicaçãoR$ 22.300até 8 dias úteisVer a oferta
Perguntas

Sobre bancos de dados

A correção é feita pelo seu time, com a correção recomendada e o teste de regressão que entregamos. Apoio na implementação é orçado à parte.

Precisam de acesso ao banco?

Para a auditoria de configuração, sim, com um usuário de leitura dos catálogos. Para testar as regras de acesso de Supabase e Firebase, basta a aplicação e usuários de teste.

Vocês leem dados reais?

Não. Usamos dados de teste e, quando uma falha permite ler dados reais, registramos só a prova de que é possível (contagem de registros), sem copiar o conteúdo.

Cobre Supabase e Firebase?

Sim. São os casos em que as regras de acesso são a única barreira, e onde mais encontramos tabelas abertas.

Guias relacionados
Guia · 9 minRLS no SupabaseO que é Row Level Security, como escrever políticas e como testar sem enganar a si mesmo.Ler o guia →Guia · 7 minChave de API exposta no frontendQual chave pode ser pública, qual nunca pode, como achar no bundle e por que revogar.Ler o guia →
Contato comercial

Fale com um especialista em segurança

Agende uma conversa com o time. Sem formulário e sem espera: você escolhe o horário e chega com as suas dúvidas.

  • Escopo e preço antes de qualquer compromisso
  • Acordo de confidencialidade desde a primeira conversa
  • Atendimento em todo o Brasil
Conversa com especialistaTime de negócios · Salak Security
  1. 01Escolha um horário

    Direto na agenda do time de negócios, no dia que for melhor para você.

  2. 02Conte o que precisa avaliar

    Sistema, tecnologias, ambientes e o que mais preocupa hoje.

  3. 03Receba a proposta

    Escopo, prazo e preço em até um dia útil depois da conversa.

Escolher horário na agenda

Abre a agenda em uma nova aba.