Atualizado em
Pentest (penetration test) é um teste de invasão autorizado conduzido por profissional especializado para identificar vulnerabilidades reais no seu ambiente antes que um atacante as encontre. Não é o mesmo que scan de vulnerabilidades, e contratar errado desperdiça orçamento sem entregar segurança real.
O que é pentest — e o que ele não é
Imagine que você contrata um especialista para tentar entrar na sua empresa como se fosse um ladrão. Ele testa as travas, verifica se câmeras têm ângulo morto, tenta passar pela recepção com um crachá falso, checa se a porta dos fundos está sempre destrancada. No final, entrega um relatório: “consegui entrar por aqui, por aqui e por aqui — e esse é o caminho que um atacante real usaria.”
Isso é penetration test. A diferença fundamental em relação a outras formas de avaliação de segurança é que o pentester age como um atacante real — explorando vulnerabilidades de forma encadeada, tentando escalar privilégios, buscando caminhos não óbvios. Não é apenas “listar o que está vulnerável”, é “demonstrar o que é possível fazer com essas vulnerabilidades”.
Pentest é diferente de vulnerability assessment (avaliação de vulnerabilidades), que identifica e classifica vulnerabilidades existentes mas não as explora. Vulnerability assessment responde “o que está vulnerável”. Pentest responde “o que um atacante consegue fazer com o que está vulnerável”. Os dois se complementam dentro de um processo estruturado de gestão de vulnerabilidades.
Pentest também é diferente de bug bounty — programa em que pesquisadores de segurança independentes buscam vulnerabilidades de forma contínua em troca de recompensa por achados válidos. Bug bounty é escala horizontal; pentest é profundidade em um escopo definido.
Tipos de pentest — black box, gray box e white box
A quantidade de informação fornecida ao pentester antes do teste define o tipo e o que cada um simula.
Black box: O pentester recebe apenas o alvo — um domínio, um bloco de IPs, um nome de aplicação — sem qualquer informação sobre a infraestrutura interna, o código ou a arquitetura. Simula um atacante externo sem conhecimento prévio. É o cenário mais próximo de um ataque real por terceiro, mas pode perder vulnerabilidades que levariam mais tempo para serem descobertas.
Gray box: O pentester recebe informações parciais — credenciais de um usuário com permissão padrão, documentação básica de arquitetura, acesso de leitura ao repositório. Simula um usuário interno malicioso, um parceiro com acesso limitado ou um atacante que já obteve algumas informações. É o tipo mais comum em testes de aplicação web.
White box: O pentester tem acesso completo: código-fonte, arquitetura detalhada, credenciais de administrador, documentação completa. Simula um atacante interno com conhecimento total, ou uma revisão de segurança aprofundada. É mais custoso em tempo, mas descobre vulnerabilidades que os outros tipos podem perder — como falhas de lógica de negócio que só ficam visíveis no código.
A escolha do tipo depende do objetivo. Se você quer saber como um atacante externo enxerga seu ambiente, black box. Se quer uma avaliação aprofundada de uma aplicação crítica, white box. Se quer balancear profundidade e realismo, gray box.
Escopo típico de um pentest
Pentest pode ter escopos muito diferentes — e escopo mal definido é uma das principais causas de resultado insatisfatório.
Pentest de rede externa: Avalia o que está exposto à internet — servidores públicos, APIs, portais de clientes, VPN. Foco em reconhecimento, exploração de serviços expostos, tentativas de acesso não autorizado.
Pentest de rede interna: Conduzido de dentro da rede — via acesso físico ao escritório, via VPN fornecida para o teste, ou via VM dentro do ambiente. Avalia segmentação, movimento lateral, escalada de privilégios, acesso a sistemas críticos internos.
Pentest de aplicação web: Avalia especificamente uma aplicação web — autenticação, autorização, injeção de dados, lógica de negócio, APIs expostas. Segue metodologia OWASP (OWASP Testing Guide, OWASP WSTG).
Pentest de cloud: Avalia configurações de ambiente cloud — IAM, storage, permissões excessivas, chaves expostas, serviços mal configurados. Tem particularidades importantes: provedores de cloud têm regras de uso que precisam ser respeitadas (é preciso notificar o provedor antes de testes em alguns casos), e o que está dentro do seu escopo de teste depende do modelo de responsabilidade compartilhada.
Engenharia social: Testa o fator humano — simulações de phishing, pretexting por telefone, tentativas de acesso físico não autorizado. Frequentemente combinado com pentest técnico para uma avaliação mais completa. É o vetor de entrada mais comum em ataques de ransomware.
O que um relatório de pentest deve conter
Você vai saber se o pentest foi bem feito principalmente pelo relatório. Um bom relatório tem duas seções distintas.
Sumário executivo: Para gestores e tomadores de decisão, sem jargão técnico. Apresenta a postura geral de segurança, as vulnerabilidades mais críticas encontradas, o impacto potencial de negócio de cada uma e as recomendações de alto nível com priorização.
Relatório técnico detalhado: Para o time de TI e segurança. Para cada vulnerabilidade: título, descrição técnica, evidência do que foi possível fazer (screenshot, log, payload), classificação de criticidade (baseada em CVSS), e recomendação de remediação específica — não genérica. “Aplique as atualizações de segurança” não é recomendação útil. “Atualize o Apache para 2.4.57 para corrigir CVE-2023-XXXX, aplicando o patch disponível em [link]” é.
Um relatório que lista vulnerabilidades sem evidências de exploração ou sem recomendações específicas de remediação tem valor limitado. Exija evidências e recomendações acionáveis.
Como contratar um pentest sem erros
O mercado de pentest tem qualidade muito variável. Esses critérios ajudam a contratar melhor.
Certificações do profissional: OSCP (Offensive Security Certified Professional) é o certificado mais reconhecido no mercado — é prático, não teórico, e requer que o profissional execute um pentest real para ser aprovado. CEH (Certified Ethical Hacker) é mais teórico mas amplamente reconhecido. GPEN (GIAC Penetration Tester) é outra referência confiável.
Metodologia documentada: O fornecedor deve documentar qual metodologia segue — PTES (Penetration Testing Execution Standard), OWASP Testing Guide para aplicações web, PTES para rede, entre outros. Metodologia não documentada é sinal de processo ad hoc.
Escopo bem definido: Nunca comece um pentest sem escopo formal e assinado. O escopo define o que pode ser testado, o que está fora dos limites (sistemas de produção críticos que não devem ser afetados, por exemplo), o horário permitido para testes, e as regras de engajamento.
Verificação de referências: Peça referências de clientes anteriores, especialmente em setores semelhantes ao seu. Profissionais sérios de pentest têm portfólio e referências disponíveis.
Com que frequência fazer pentest
A resposta depende do contexto: uma fintech em crescimento acelerado precisa de pentest mais frequente do que uma empresa com ambiente estável e mudanças lentas.
Como referência geral: pentest anual é o mínimo para qualquer empresa com sistemas críticos. PCI DSS exige pentest ao menos anual, e também após mudanças significativas no ambiente. A cada mudança relevante no ambiente — nova aplicação em produção, mudança de arquitetura, migração de cloud — um pentest de escopo reduzido no que mudou é boa prática.
Pentest não é evento único: é parte de um ciclo contínuo de avaliação. A sequência ideal é: pentest → remediação das vulnerabilidades críticas → re-teste para validar que foram corrigidas → ciclo seguinte.
A Adentro pode orientar sobre como estruturar um programa de pentest para ambientes de cloud privada. Fale com nosso time para entender as considerações específicas do seu ambiente.