De recon a relatório: o que a Tandera organiza no fluxo de pentest

Pentest de verdade não acaba no scan. Acaba no PDF que o cliente entende, no finding que não aparece três vezes e no reteste que ninguém perdeu no e-mail. No meio do caminho tem Burp, Nuclei, ZAP, CSV, pasta de evidência e um relatório que envelhece no dia seguinte.

A Tandera é uma plataforma de workflow pra time de pentest: recon, importação, finding canônico, caminho de ataque, relatório e portal do cliente numa fonte só. A home é em inglês. O produto é pra quem já faz engagement, não pra quem quer "hackear o site do vizinho".

Acesso hoje é early access. Fila, sem cartão, sem spam segundo o site. Não trate como ferramenta pública irrestrita.

O que a Tandera junta num engagement

Três blocos giram em torno do mesmo banco de findings.

Recon automatizado mapeia superfície: subdomínio, DNS, porta, stack web, TLS, ativo de nuvem, credencial vazada. Quando o recon casa com uma vulnerabilidade conhecida, abre finding sozinho. Tem modo Lite, passivo, em minutos. Tem modo Full, mais fundo e ativo, em horas. A landing cita runtime de recon em minutos e mais de 120 importadores.

Finding centralizado é o ponto. Cada vulnerabilidade vira registro estruturado, deduplicado e correlacionado. Viaja com severidade, CVSS, EPSS, KEV, CWE, CVE, OWASP, MITRE, compliance, evidência e procedência. O mesmo buraco visto no Nuclei, no Burp e no ZAP aparece uma vez. A home empurra "zero duplicate findings" como meta do fluxo, não como milagre de scanner.

Importador cobre Burp Suite (XML), Nuclei (JSON), OWASP ZAP (JSON), Caido e CSV genérico. O CLI entra no terminal: exporta o escopo, passa em httpx e nuclei, importa de volta com dedupe. A demo mostra 1.284 hosts, 37 findings, 12 duplicatas mescladas. É exemplo de marketing. O seu escopo é outro.

Attack path é o recorte que lista crua não entrega. A Tandera encadeia findings. Credencial vazada no git vira acesso a storage, vira token interno, vira domínio. Quatro itens médios, juntos, viram comprometimento. Relatório que só ranqueia CVSS esconde isso. Dashboard "saudável" também.

Relatório sai em PDF e PPTX, white-label: logo, cor, capa, domínio da firma. Seção, tom, layout e nota são configuráveis. IA rascunha remediação e ranqueia por exploitabilidade e exposição, segundo o site. Caminho de ataque entra no documento como cadeia, não como bullet solto.

Portal do cliente é o pós-PDF. Link seguro, só o engagement daquela conta. Status, dono, evidência, thread de remediação. Cliente pede reteste. Você verifica e fecha. O portal também é white-label. O cliente entra na sua marca, no seu domínio. Não vê Tandera.

Tandera não é Dradis com tema novo

A própria home se compara com SysReptor e Dradis. Esses dois ajudam a escrever finding. A Tandera diz que também acha, encadeia caminho de ataque e acompanha remediação com o cliente. Recon e automação vêm no pacote. Importer os três têm. White-label de portal, a Tandera marca como diferencial.

Isso não substitui o pentester. Scanner e recon Lite não são autorização. Escopo, regra de engagement e responsabilidade legal continuam seus. A plataforma organiza o trabalho de quem já tem mandato. Não ensina exploit, não libera alvo e não transforma CSV em pentest válido.

Se o seu processo já é um Dradis maduro e a dor é só template, o ganho é menor. Se a dor é recon separado do relatório, duplicata entre ferramentas e PDF que morre na caixa de entrada, o recorte cabe.

Como pedir acesso sem misturar com scan solto

1. Abra a Tandera e veja o demo. Confira se o CLI e os importadores que você já usa estão na lista.
2. Entre na waitlist com e-mail de trabalho. Early access em ondas, preço de early access travado, canal direto com quem constrói, segundo a landing.
3. Na conversa, leve um engagement real: quantas ferramentas geram XML/JSON, quantos findings duplicam, se o cliente pede portal ou só PDF.
4. Pergunte o que o recon Full faz de ativo, o que o Lite não toca, e como o dado do cliente fica isolado no portal.
5. Não jogue alvo fora de escopo na ferramenta. Workflow de pentest assume contrato.

Quem ocupa um estado no Os 27 está pedindo visita. O mapa e o histórico mostram quem já pagou pra aparecer. Este post descreve o produto da fila, não um kit de ataque.

Se o relatório ainda nasce colando Burp no Google Docs, o caminho é a Tandera: uma tabela de finding, um caminho de ataque e um PDF que ainda tem portal depois que o e-mail foi enviado.