Pentest: o que é, quais os tipos e como contratar

Pentest, ou teste de intrusão, é uma simulação controlada e autorizada de ataque a sistemas, aplicações ou redes, feita para encontrar falhas antes que alguém mal-intencionado as explore. Os tipos variam conforme o alvo (aplicação web, API, rede, nuvem, aplicativo móvel) e conforme quanta informação o testador recebe. Para contratar bem, defina o escopo, formalize a autorização e exija um relatório com evidências, prioridade e recomendações.

O nome vem do inglês penetration test. A diferença em relação a uma varredura automática é que, no pentest, um profissional tenta de fato explorar as vulnerabilidades e encadear falhas, como faria um atacante real.

Para que serve um pentest?

O objetivo do pentest é responder a uma pergunta prática: até onde um atacante conseguiria chegar no seu ambiente? O resultado mostra não só que falhas existem, mas qual o impacto concreto de cada uma.

Empresas costumam contratar pentest em situações como:

• Antes de lançar um sistema, aplicativo ou API para o público.
• Depois de mudanças grandes de arquitetura ou de migração para a nuvem.
• Por exigência de clientes, parceiros, auditorias ou contratos.
• Como parte de um programa contínuo de gestão de vulnerabilidades.
• Para validar se correções anteriores realmente funcionaram.

Qual a diferença entre pentest e análise de vulnerabilidades?

Os dois termos são confundidos com frequência, e essa confusão gera propostas incomparáveis. Vulnerabilidade é uma fraqueza em um sistema que pode ser usada para causar dano, como uma configuração errada ou um software desatualizado.

As duas atividades se complementam. A análise de vulnerabilidades é uma rotina de higiene; o pentest é uma verificação mais profunda.

Quais são os tipos de pentest?

Os tipos podem ser organizados por dois eixos: o alvo do teste e o nível de conhecimento prévio do testador.

Por alvo, os mais comuns são:

1. Aplicação web: testa sites e sistemas acessados pelo navegador, frequentemente usando como referência o guia de testes do OWASP, projeto aberto de segurança de aplicações.
2. API: avalia as interfaces que conectam sistemas e aplicativos, incluindo autenticação e controle de acesso.
3. Aplicativo móvel: examina o app, a comunicação com o servidor e o armazenamento local de dados.
4. Infraestrutura externa: testa o que está exposto na internet, como servidores e serviços publicados.
5. Infraestrutura interna: simula um atacante que já está dentro da rede, como um funcionário mal-intencionado ou uma máquina comprometida.
6. Nuvem: avalia configurações, permissões e serviços em provedores de nuvem.
7. Engenharia social: testa o fator humano, como resistência a mensagens fraudulentas, sempre com regras definidas.

Por nível de informação, a classificação usual é:

• Caixa-preta (black box): o testador recebe pouca ou nenhuma informação, como um atacante externo.
• Caixa-cinza (gray box): recebe acesso parcial, como credenciais de um usuário comum.
• Caixa-branca (white box): recebe documentação, código-fonte ou acessos amplos, o que permite uma análise mais completa.

Não há um tipo melhor em absoluto. A caixa-preta mostra a visão de quem está de fora; a caixa-branca costuma encontrar mais problemas no mesmo tempo.

Como definir o escopo de um pentest?

O escopo é o documento que diz exatamente o que pode ser testado, como e quando. Um escopo vago produz testes superficiais ou, pior, testes em sistemas que não deveriam ser tocados.

Inclua no escopo os endereços, aplicações e ambientes autorizados; o que está explicitamente fora; o tipo de teste e o nível de informação; as janelas de execução; os contatos de emergência; e se o teste será em produção ou em um ambiente de homologação. Testar em produção é mais realista, mas exige cuidado redobrado com disponibilidade e dados.

O que um bom relatório de pentest precisa ter?

O relatório é o principal produto do pentest. Um bom relatório serve a dois públicos: a gestão, que precisa entender o risco, e a equipe técnica, que precisa corrigir.

Espere encontrar um sumário executivo em linguagem de negócio, a descrição de cada achado com evidências, a classificação de severidade, o passo a passo para reproduzir, o impacto possível e recomendações de correção. Um relatório que é apenas a saída de uma ferramenta, sem análise humana, não corresponde a um pentest.

Como contratar um pentest sem erros?

Alguns cuidados evitam a maior parte dos problemas:

• Peça um relatório de exemplo anonimizado antes de fechar.
• Pergunte quem executará o teste e qual a experiência dessa pessoa.
• Confirme se o reteste das correções está incluído e em qual prazo.
• Defina como falhas críticas serão comunicadas durante o teste, sem esperar o relatório final.
• Formalize a autorização por escrito, com escopo e responsabilidades, revisada por um advogado.
• Combine como os dados acessados durante o teste serão tratados e descartados, em linha com a LGPD.

Compare as propostas pelo escopo, pela profundidade e pelo que está incluído, e não apenas pelo número de dias de teste.

O que fazer depois de receber o relatório?

O pentest só gera valor quando os achados viram correções. Ao receber o relatório, priorize as falhas pela severidade e pelo impacto no negócio, defina responsáveis e prazos para cada correção e agende o reteste. Guarde o relatório com acesso restrito, porque ele descreve caminhos para atacar o seu ambiente. Registrar o que foi corrigido também ajuda a responder questionários de segurança de clientes e auditorias futuras.

Próximo passo

Se você precisa contratar um pentest, compare as empresas de cibersegurança verificadas e veja os rankings da categoria, calculados por critérios públicos. Se a sua empresa oferece testes de intrusão, reivindique o perfil gratuitamente para ser encontrada por compradores.