Configuração de assets: features de planos, profundidade e recorrência

Este guia explica como funciona a configuração de testing de cada asset na plataforma da Strike: o que define a profundidade e a recorrência, como e quando são atribuídas, onde são gerenciadas e como entender a capacidade contratada no seu plano.

💡 Se você procura uma explicação conceitual de cada nível de profundidade e recorrência, consulte o artigo Recurrencia y profundidad de las pruebas.

Do que se trata?

A plataforma da Strike permite definir exatamente como e com que frequência cada ativo da sua organização é testado. Em vez de aplicar uma configuração uniforme, é possível atribuir diferentes níveis de profundidade e recorrência de acordo com a criticidade de negócio de cada asset.

Isso é feito por meio de dois parâmetros que são configurados ao ativar o testing em um asset:

• Testing depth — quão profunda é a análise.

• Testing frequency — com que frequência ela é executada.

⚠ Esses parâmetros são definidos no momento de ativar o testing sobre o asset e não podem ser modificados depois. Planeje bem a configuração antes de confirmar.

Níveis de profundidade

O Testing depth define quão profunda é a análise de segurança aplicada sobre um asset. A escolha depende de quão crítico é o asset para o seu negócio e quanta exposição ao risco ele tem.

Deep

Testing completo com reconhecimento estendido e simulação avançada de ataques. Cobre falhas de lógica de negócio complexas, cadeias de ataque multi-etapas e achados de baixa severidade que combinados geram cenários de alto impacto.

Ideal para: APIs de produção, sistemas de autenticação e qualquer asset onde uma brecha teria consequências críticas.

Medium

Testing focado na superfície de ataque mais exposta. Cobre as classes de vulnerabilidade mais conhecidas, padrões de ataque comuns e pontos de entrada críticos, incluindo fluxos de autenticação.

Ideal para: ferramentas internas, ambientes de staging e assets com exposição moderada ao risco que exigem cobertura regular.

Superficial

Detecção automatizada de vulnerabilidades conhecidas, configurações incorretas e CVEs comuns. Rápido e escalável, sem lógica de testing manual.

Ideal para: assets de baixa criticidade, cobertura ampla do inventário e monitoramento de linha de base de segurança.

Frequência do testing

A Testing frequency define com que frequência a plataforma executa o testing sobre um asset. Há quatro opções disponíveis de acordo com o nível de cobertura temporal necessária:

Como e quando atribuir uma configuração

A configuração de profundidade e frequência é atribuída ao ativar o asset, não ao criá-lo. O fluxo tem duas etapas: primeiro o asset é criado e depois é ativado com Start testing, onde se escolhe a configuração. Uma vez confirmada, não pode ser modificada.

Antes de começar

O momento ideal para definir a configuração é antes de criar o asset. Considere estes critérios:

• Quão crítico é este asset para o negócio? (exposição, dados que gerencia, impacto de uma brecha)

• Com que frequência ele muda ou é atualizado? Assets que mudam com frequência precisam de maior frequência.

• Você tem capacidade disponível? Verifique em Plan & Usage antes de criar.

• O contrato contempla este nível de configuração? Confirme com o seu Customer Success Manager se tiver dúvidas.

Passo 1: Criar o asset

1. Preencha os dados básicos do asset (nome, URL, tipo, environment).

2. Enquanto preenche o formulário, no painel lateral Testing depth available é possível ver a capacidade disponível por profundidade e por frequência. Cada combinação mostra quantos assets você pode ativar nesse nível (por exemplo, 2 ASSETS LEFT) ou se já está no máximo (NO ASSETS LEFT).

3. Salve o asset. Criar o asset não consome capacidade — a capacidade é reservada apenas ao ativá-lo.

💡 O painel lateral inclui a nota "No capacity is used until you activate this asset", que confirma que apenas o fato de criar um asset não impacta o seu plano.

Passo 2: Ativar o asset — Start testing

1. A partir do asset criado, clique no botão Start testing.

2. Selecione o Testing depth e a Testing frequency de acordo com a criticidade do asset e o que está contratado.

3. Se o add-on Strikers on top estiver disponível, é possível ativá-lo nesta etapa.

4. Verifique se os IPs da Strike estão liberados (whitelisted) na sua infraestrutura — a plataforma os mostra nesta etapa.

5. Confirme. O asset fica ativo, a capacidade é reservada no seu plano e a configuração fica atribuída.

⚠ A configuração de Testing depth e Testing frequency é escolhida ao ativar o asset, não ao criá-lo. Uma vez confirmada, não pode ser modificada.

Aba Configuration — Visualizar e gerenciar a configuração do asset

Quando o asset estiver ativo, é possível consultar e gerenciar sua configuração a partir da aba Configuration dentro do detalhe do asset (junto com Overview, Details e Access). Esta é a única visão onde se pode ver o que está configurado e fazer ajustes operacionais.

💡 No header do detalhe do asset também aparece um campo Testing depth com um badge que combina a profundidade e a frequência configuradas (por exemplo, DEEP - QUARTERLY).

O que a aba mostra

A seção principal é Recurrent testing, que agrupa toda a configuração ativa:

• Toggle Enabled / Disabled — indica se o testing periódico está ativo ou pausado.

• Testing depth — o nível de profundidade atribuído ao asset (Deep, Medium ou Superficial).

• Testing frequency — a frequência configurada (Monthly, Quarterly, Semi-annual ou Annual).

• Next threat emulation scheduled — a data da próxima execução programada.

Pausar e retomar o testing

A partir desta aba é possível pausar o testing recorrente alterando o toggle da seção Recurrent testing para Disabled. Isso interrompe as execuções programadas sem liberar a capacidade reservada no seu plano nem perder a configuração. É possível reativá-lo a qualquer momento voltando para Enabled.

⚠ Pausar o recurrent testing não libera a capacidade reservada no seu plano. O asset continua ocupando um slot. Se for necessário liberar o slot, é preciso desativar o asset.

Human hacking / Strikers on top

Se o plano inclui o add-on Strikers on top, a aba Configuration também mostra a seção Human hacking, com um badge que indica quantos strikers estão disponíveis (por exemplo, 3 AVAILABLE) e um botão Assign human hacker para atribuir um ao asset.

💡 A disponibilidade desta seção depende do add-on contratado. Se não vir a opção, consulte o seu Customer Success Manager.

Plan & Usage — Entender sua capacidade

Em Settings → Plan & Usage é possível ver em tempo real quanta capacidade de testing está contratada e quanto está em uso. A tela inclui o subtítulo "Contract overview, asset coverage and active add-ons" e é organizada em três áreas: KPIs principais, detalhamento por profundidade e add-ons ativos.

KPIs principais

Na parte superior aparecem três indicadores com o seu plano ativo, sua data de início e sua data de vencimento (Valid until):

• Testing slots in use — porcentagem de slots ocupados sobre o total contratado, com um detalhamento por profundidade abaixo (por exemplo, Deep 2/3 · Medium 3/5) e um badge com a quantidade restante (23 REMAINING).

• On-demand tests executed — porcentagem de tests on-demand executados, com o detalhe de quantos foram focused e quantos change-based, mais um badge com os restantes (49 REMAINING).

• Active human hackers — quantidade de strikers atribuídos sobre o total contratado (por exemplo, 2/4 assigned) e um badge com os disponíveis (2 AVAILABLE).

Slot usage by depth

Mais abaixo encontrará a seção Slot usage by depth, com um link ABOUT DEPTHS que abre o artigo conceitual sobre níveis de profundidade. A seção mostra cada nível (Deep, Medium, Superficial) com a porcentagem em uso e um botão SHOW DETAIL que expande o detalhamento por frequência.

Estados possíveis por nível de profundidade

• 0% in use — nenhum asset ativo nesse nível. Toda a capacidade contratada está disponível.

• Parcialmente em uso — há assets ativos, mas restam slots disponíveis para ativar mais.

• 100% in use — todos os slots desse nível estão ocupados. Não é possível ativar mais assets nesse nível sem ampliar o plano.

Ready to cover more?

No final da tela encontrará o bloco Ready to cover more?, com a opção de ampliar o plano, estender a cobertura a novos níveis ou adicionar mais add-ons. Se atingiu o limite ou precisa de mais capacidade, entre em contato com o seu Customer Success Manager a partir daí.

Perguntas frequentes

Posso alterar o depth ou a frequency depois de ativar o asset?

Não. Na versão atual, esses parâmetros são definidos apenas no momento de ativar o asset e não podem ser modificados depois. Se for necessário alterá-los, entre em contato com o seu Customer Success Manager para gerenciar o suporte.

Como sei qual depth escolher para cada asset?

A regra geral é: quanto maior a criticidade de negócio, maior a profundidade. Um asset de produção exposto à internet (como uma API pública ou um sistema de pagamentos) merece Deep. Ferramentas internas ou ambientes de staging podem ir com Medium. Para inventário amplo ou assets de baixo risco, Superficial é suficiente.

O que acontece se eu ficar sem capacidade disponível?

Se todos os slots de um nível de profundidade estiverem ocupados, a plataforma avisa ao criar um asset com um indicador NO ASSETS LEFT no painel Testing depth available. Para continuar adicionando assets nesse nível é necessário ampliar o plano. Entre em contato com o seu Customer Success Manager a partir do bloco Ready to cover more? em Plan & Usage.

A capacidade é consumida ao criar o asset ou ao ativá-lo?

A capacidade é reservada apenas quando o asset é ativado, ou seja, ao clicar em Start testing. É possível criar o asset e deixá-lo sem ativar, sem consumir capacidade do plano.

A frequência afeta o custo do plano?

A estrutura de pricing é baseada na combinação de depth × frequency acordada com a equipe de vendas no momento da contratação. Os valores disponíveis na plataforma já refletem o que está contratado. Se for necessário alterar a combinação, fale com o seu Customer Success Manager.

O que significa 'Superficial' exatamente? É menos seguro?

Superficial não significa inseguro: significa que o testing é automatizado e cobre vulnerabilidades conhecidas, CVEs e configurações incorretas. É ideal para manter uma linha de base de segurança em assets de baixa criticidade. Para assets críticos ou com lógica de negócio complexa, sempre se recomenda Medium ou Deep.