Arquitetura da plataforma

A postura de segurança da plataforma WASViking. Isolamento entre tenants, criptografia, identidade, disponibilidade e os compromissos por trás de tudo isso.

A WASViking^® é uma plataforma SaaS multi-tenant. Esta página é o resumo de segurança que as equipes de compras e de segurança de clientes em potencial costumam pedir. Ela cobre os principais componentes, como os seus dados são protegidos e mantidos separados dos de outros clientes, e os compromissos de engenharia por trás do serviço. Foi escrita para poder ser anexada a uma resposta de due diligence de fornecedor sem edição adicional.

Componentes

Onde ficam os seus dados

Os dados dos clientes ficam em serviços de nuvem gerenciados nos Estados Unidos, criptografados em repouso e restritos à organização a que pertencem. Artefatos de scan, Evidence Bundles e relatórios seguem as mesmas regras. As opções regionais e a lista de suboperadores estão em Residência de dados, mais abaixo nesta página.

Criptografia

A rotação de chaves é automatizada para material de curta duração (certificados de cliente do agente, chaves de sessão) e conduzida por operador para material de longa duração (chaves de API, com uma janela de sobreposição de 24 horas).

Isolamento entre tenants

Cada cliente é uma organização, e tudo o que ela possui (alvos, achados, relatórios, agentes, usuários e chaves de API) pertence apenas a ela.

• Os seus usuários e as suas chaves de API só alcançam os dados da sua própria organização. Os dados nunca são compartilhados entre clientes.
• Os agentes Sentinel ficam vinculados à sua organização e só recebem trabalho dela.
• A trilha de auditoria que você vê cobre apenas a sua organização.

O Partner Console usa contas separadas do realm de clientes. Operadores de parceiros não são usuários de clientes. Os dois não conseguem se ver entre hosts. Mais detalhes em Isolamento entre tenants.

Identidade e acesso

• SAML 2.0 SSO como Service Provider. Mapeamento padrão de atributos, propagação opcional de grupo para papel. O primeiro login assume Read-only por política; a promoção exige um Admin ou Manager já existente.
• Autenticação multifator é obrigatória para todo operador. Baseada em TOTP quando o SSO não é obrigatório; imposta pelo IdP quando o SSO está ativo.
• RBAC com quatro papéis padrão (Admin, Manager, Analyst, Read-only) e um catálogo granular de capacidades com 25+ escopos. Os papéis são editáveis por organização.
• Chaves de API com escopo por organização. Conjunto granular de escopos por chave. Em hash em repouso, rotacionáveis com sobreposição, opcionalmente restritas por IP.
• Login local de emergência para organizações com SSO obrigatório, para quando o provedor de identidade estiver indisponível. Tem prazo limitado e todo uso é registrado como evento de auditoria de alta severidade.

Proteção de rede

• O agente Sentinel é apenas de saída. Ele se conecta à WASViking de dentro da sua rede. Sem portas de entrada, sem allowlist de IP estático, sem exigência de VPN. A chave privada do agente nunca sai do host.
• Conteúdo sensível fica fora dos logs. Cookies, tokens CSRF e o conteúdo dos seus alvos internos nunca são gravados em log.
• Os endpoints públicos são protegidos por mitigação de DDoS, gestão de bots e limitação de taxa.

Hardening

Agente:

• Releases assinadas, para que você possa verificar o binário antes de executá-lo.
• Roda como serviço endurecido, apenas com os privilégios mínimos de que precisa.

Plataforma:

• Menor privilégio para todo serviço e para toda a equipe.
• O acesso à produção exige MFA, tem prazo limitado e é registrado em log.
• As credenciais da plataforma ficam em um cofre de secrets dedicado, nunca no código.

Contas de nuvem

O Cloud Security lê as suas contas AWS por meio de uma role que você cria em cada conta e mantém sob o seu controle:

• A role é somente leitura: a policy gerenciada de auditoria somente leitura da AWS mais um pequeno suplemento de ações de listar e descrever. Ela não altera um recurso e não lê conteúdo de objetos, valores de secrets, valores de parâmetros, código de funções ou linhas de banco de dados.
• A role confia na conta WASViking com um External ID gerado só para a sua conta; as sessões são temporárias e nenhuma access key é compartilhada ou armazenada.
• Remover uma conta interrompe as leituras na hora, e só você pode apagar a role.

As policies exatas estão nos templates que o assistente de conexão gera; veja Cloud Security.

Desenvolvimento seguro de software

A WASViking usa o próprio produto contra o próprio código:

• DAST antes de toda release.
• SBOM e SCA com checagem de vulnerabilidades sabidamente exploradas em toda mudança.
• Detecção de secrets em toda mudança. Mudanças com um componente sabidamente explorado ou um secret ativo não são publicadas.
• Revisão de código obrigatória, com branches protegidas e checagens exigidas antes de uma mudança entrar.
• Releases assinadas do agente Sentinel, que você pode verificar antes de instalar.
• Modelagem de ameaças para mudanças que tocam identidade, controle de acesso ou isolamento de dados.

Este é o mesmo conjunto de gates que a WASViking entrega como produto. O conjunto de páginas do produto traz a referência completa: CI/CD com o wasviking-sentinel.

Logs e auditoria

• Trilha de auditoria voltada ao cliente em /portal/audit-log/, controlada pela capacidade de RBAC audit_logs.view. Escopo REST público audit_logs:read.
• Eventos de mutação (mudança de RBAC, emissão de chave de API, transição de status de achado, acesso a Posture Share, acesso a Evidence Bundle) são gravados de forma imutável.
• Os eventos da plataforma são monitorados pela WASViking.
• A retenção padrão de auditoria é de 24 meses; configurável até 7 anos nos planos Enterprise.
• Eventos de webhook assinados espelham as transições relevantes para auditoria, para ingestão em um SIEM externo.

Backups e recuperação

• Backups automatizados de todos os armazenamentos de dados de clientes, em rotação de 7 dias com recuperação point-in-time.
• A restauração é testada todo mês, e o resultado é guardado como evidência de auditoria.
• As cópias de dados apagados expiram com a rotação e nunca são restauradas em produção.

Residência de dados

Os dados de produção estão hospedados hoje em regiões dos Estados Unidos. Opções de residência regional para outras jurisdições fazem parte do roadmap do Enterprise. Os suboperadores e as suas regiões estão documentados no Trust Center.

Postura de conformidade

Duas posturas, mantidas estritamente separadas:

O que o produto suporta. A WASViking mapeia achados para controles de PCI DSS v4.0, LGPD, GDPR, BACEN (CMN 4.893 e BCB 85) e ISO 27001:2022, a partir de uma única tabela de regras. Os Evidence Bundles são projetados para ser anexados diretamente a uma pasta de auditoria. Veja Mapeamento de frameworks.

Para o que a empresa é certificada. A WASViking LLC está em preparação para SOC 2 Type I e certificação ISO 27001. O status atual, a lista de suboperadores, o DPA e o questionário de segurança (CAIQ / SIG) estão disponíveis no Trust Center em wasviking.com/trust-center/.

Divulgação de vulnerabilidades

A WASViking recebe bem a divulgação coordenada. A política, o escopo, o safe harbor e a chave PGP estão em Como reportar vulnerabilidades. Quem reportou e foi reconhecido é citado nominalmente (com permissão) quando a WASViking notifica os clientes afetados sobre o problema.

O que publicamos externamente

• Esta documentação.
• O site institucional de marketing.
• O Trust Center com DPA, política de privacidade, suboperadores e o roadmap de SOC 2.
• Uma política de divulgação coordenada e a chave PGP.

O que não publicamos externamente

Os itens a seguir são compartilhados apenas mediante NDA mútuo assinado (ou não são compartilhados):

• Faixas de IP internas, diagramas de rede e identificadores de contas em provedores.
• Versões específicas de frameworks, bancos de dados e runtimes em uso.
• Rotas administrativas internas e runbooks de operador.
• Modelos de margem e de custo.
• Procedimentos de resposta a incidentes.
• Configurações específicas de clientes.

Eles são retidos deliberadamente porque são operacionalmente sensíveis e não oferecem nenhum valor de segurança a um cliente em potencial.