Pentest ou scan de vulnerabilidades: diferenças e quando usar cada um

Pentest e scan de vulnerabilidades não competem; eles se complementam. Em geral, o scan automatizado serve para varrer todos os ativos com frequência e encontrar falhas conhecidas, como versões desatualizadas e configurações inseguras. O pentest, conduzido por especialistas, é indicado periodicamente e após mudanças relevantes, para descobrir o que um atacante de fato conseguiria explorar, inclusive combinando falhas. Empresas maduras usam o scan como rotina e o pentest como validação.

O que é cada um?

Scan de vulnerabilidades é a varredura automatizada de sistemas, redes ou aplicações em busca de falhas conhecidas, comparando o que encontra com bases de vulnerabilidades. O resultado é uma lista priorizada de achados, que precisa ser verificada e corrigida.

Pentest, ou teste de intrusão, é uma avaliação conduzida por especialistas que simulam os objetivos e as ações de um atacante. O CIS descreve o controle de testes de intrusão como a verificação da eficácia e da resiliência dos ativos por meio da identificação e da exploração de fraquezas nos controles. O pentest usa ferramentas, inclusive scanners, mas depende do raciocínio humano.

O NIST, na publicação SP 800-115, trata as duas técnicas como partes de um programa de testes de segurança, cada uma com benefícios e limitações próprias. Para entender os tipos de pentest em detalhe, veja pentest: o que é, tipos e como contratar.

Como os dois se comparam lado a lado?

Quando o scan de vulnerabilidades é a ferramenta certa?

• Para manter a higiene contínua. O controle 7 do CIS pede um plano para avaliar e acompanhar vulnerabilidades continuamente em todos os ativos da empresa.
• Para cobrir muitos ativos, como servidores, estações, sites e serviços expostos na internet.
• Para verificar correções. Depois de aplicar uma atualização, um novo scan confirma se a falha sumiu.
• Para atender exigências de frequência. O PCI DSS, padrão para quem processa dados de cartão, exige scans internos e externos ao menos a cada três meses, com os externos feitos por um fornecedor aprovado (ASV).

O limite do scan é que ele só encontra o que conhece. Falhas de autorização, regras de negócio mal implementadas e combinações de pequenas falhas costumam escapar.

Quando o pentest é indispensável?

• Antes de lançar um sistema ou aplicativo que expõe dados de clientes.
• Depois de mudanças significativas, como uma nova arquitetura, migração para a nuvem ou integração com parceiros.
• Quando um cliente ou regulador exige evidência de teste independente.
• Para validar se as defesas funcionam, e não apenas se existem.

O PCI DSS exige pentests internos e externos pelo menos uma vez a cada 12 meses e após qualquer mudança significativa de infraestrutura ou aplicação, com independência organizacional de quem testa. Mesmo empresas fora desse padrão usam essa frequência como referência.

Como os dois trabalham juntos?

Um programa simples tem três camadas:

1. Scan contínuo ou periódico dos ativos, com triagem dos achados e prazos de correção por severidade.
2. Gestão de correções, com responsável, prazo e novo scan para confirmar.
3. Pentest periódico e após grandes mudanças, que testa o que o scan não alcança e valida se a gestão de vulnerabilidades está funcionando.

Quando o pentest encontra falhas que o scan deveria ter visto, é sinal de que a rotina de varredura ou de correção precisa de ajuste. Integrar scans de código e dependências ao processo de desenvolvimento, como propõe o DevSecOps, reduz o número de achados que chegam à produção.

O que muda no preço de cada um?

Não há tabela pública de preços confiável para o mercado brasileiro, e os valores variam muito entre fornecedores. O que se pode fazer é entender os fatores que pesam em cada serviço.

No scan, o custo cresce com o número de ativos varridos, a frequência, a necessidade de scans autenticados, o tipo de alvo (rede, aplicação web, nuvem) e o serviço de triagem incluído. Uma ferramenta operada pela própria TI custa menos em dinheiro e mais em horas internas.

No pentest, o preço depende do escopo e da profundidade: quantidade de aplicações, APIs e endereços, perfis de usuário a testar, abordagem caixa-preta, cinza ou branca, testes internos além dos externos, exigência de reteste e nível de detalhamento do relatório. Para comparar propostas, peça a mesma descrição de escopo a todos os fornecedores e a estimativa em dias de trabalho de especialistas.

Quais erros são mais comuns?

1. Vender ou comprar scan como se fosse pentest. Um relatório automático com centenas de itens não é teste de intrusão.
2. Rodar o scan e não corrigir. O valor está no ciclo de correção, não no relatório.
3. Fazer pentest sem escopo claro. Sem definir sistemas, ambientes, janelas e contatos de emergência, o teste perde valor e pode afetar a operação.
4. Testar só o perímetro. Aplicações web, APIs e acessos internos também precisam de avaliação.
5. Tratar o pentest como certificado. Ele mostra o estado do ambiente naquele momento; mudanças posteriores podem abrir novas falhas.
6. Não retestar. Após corrigir achados críticos de um pentest, peça a verificação ao fornecedor.

Como decidir o que contratar em cinco passos?

1. Inventarie os ativos. Liste sistemas, aplicações, domínios e serviços expostos. Sem inventário, nenhum dos dois cobre tudo.
2. Implante o scan primeiro se ainda não houver rotina de varredura. É a base mais barata e mais ampla.
3. Priorize o pentest pelo risco. Comece pelos sistemas que tratam dados sensíveis ou processam pagamentos.
4. Verifique exigências externas, como contratos com clientes, PCI DSS ou políticas de seguradoras, que podem definir frequência e independência.
5. Defina o ciclo completo, com prazos de correção, reteste e reavaliação anual do programa.

Próximo passo

Compare empresas de cibersegurança verificadas e veja como se posicionam nos rankings da Citeo, que seguem metodologia pública. Antes de contratar, leia como contratar uma empresa de cibersegurança. Se a sua empresa oferece pentest ou gestão de vulnerabilidades, crie ou reivindique o perfil gratuito e descreva com clareza o que cada serviço inclui.

Fontes

• NIST SP 800-115 — Technical Guide to Information Security Testing and Assessment — técnicas de teste de segurança, com benefícios e limitações de cada uma
• CIS — The 18 CIS Critical Security Controls — controle 7 (gestão contínua de vulnerabilidades) e controle 18 (testes de intrusão)
• Microsoft Learn — PCI DSS Requirement 11 — texto dos requisitos 11.3 (scans a cada três meses, externos por ASV) e 11.4 (pentest a cada 12 meses e após mudanças significativas)