HACKERS DO BRASIL

Início › Segurança ofensiva › pentest

Etapas de um pentest: fases, tipos e como avaliar o relatório

Antes de contratar ou de executar, vale entender o que acontece dentro de um pentest: quais etapas existem, o que cada uma entrega e como julgar o resultado. Este guia percorre o projeto do escopo ao reteste, com foco no que o teste entrega de fato.

Etapas de um pentest, na ordem

Um pentest bem executado segue etapas previsíveis: definição de escopo, coleta de informações, análise de superfície, teste de vulnerabilidades, validação com prova de conceito, relatório e reteste. Cada etapa tem entregável e critério de conclusão.

O escopo é a peça mais importante do contrato. Ele define hosts, aplicações, contas de teste, janela de execução, ambientes permitidos e ações proibidas, como teste de negação de serviço ou engenharia social.

Tipos mais comuns

Pentest de aplicação web avalia autenticação, autorização, injeção, lógica de negócio e configuração. Pentest de infraestrutura avalia serviços expostos, segmentação e configuração de sistema. Pentest de rede interna avalia movimento lateral e escalada em domínio.

Existem também avaliações especializadas: mobile, API, nuvem, wi-fi, engenharia social e red team. O tipo correto depende do risco que a organização quer reduzir, não do que está na moda.

Caixa preta, cinza ou branca

Caixa preta simula atacante sem informação prévia e mede exposição externa. Caixa cinza parte de credencial de usuário comum e mede o que um usuário autenticado consegue fazer. Caixa branca inclui código e arquitetura e costuma encontrar falhas mais profundas com menos tempo.

Para objetivo de correção, caixa cinza e branca entregam mais por real investido. Para medir exposição realista sem contexto interno, caixa preta é mais fiel.

Como avaliar a entrega

Um bom relatório tem sumário executivo em linguagem de negócio, descrição técnica com passos de reprodução, evidência, impacto demonstrado, recomendação específica e priorização. Também deve informar o que foi testado e o que ficou fora do escopo.

Desconfie de relatório que só lista scanner. Ferramenta não distingue falso positivo de falha explorável, e cliente não consegue priorizar correção com base em saída bruta.

Escopo: onde a maioria dos projetos dá errado

Escopo mal escrito gera três problemas: teste incompleto, cobrança contestada e risco jurídico. Um escopo utilizável lista ativos por nome, ambiente, tipo de teste, credenciais fornecidas, janela de execução e ações proibidas. Também define quem aprova mudança de escopo durante o projeto.

Outro ponto crítico é o tratamento de terceiros. Se a aplicação roda em provedor de nuvem ou usa serviço de Pagamento, pode ser necessário avisar o fornecedor. Testar infraestrutura de terceiro sem previsão contratual é problema do cliente e do testador.

O que fazer com o resultado

Relatório sem plano de correção é arquivo morto. O ciclo útil inclui priorização por risco, acordo de prazo com o time responsável, correção e reteste. O reteste é a única prova de que a falha deixou de existir, e deve repetir o mesmo procedimento do teste original.

Organizações maduras transformam achado recorrente em mudança de processo: revisão de código obrigatória, teste automatizado de autorização, biblioteca segura padronizada. Corrigir instância sem corrigir causa garante que o problema volte no próximo release.

Um detalhe que evita desgaste: combine o formato do relatório antes de começar. Cliente que espera planilha e recebe PDF narrativo, ou o contrário, perde tempo na entrega. Alinhar sumário executivo, nível de detalhe técnico, idioma e prazo de reteste no início do projeto economiza revisão depois.

Vai contratar o serviço? Preço, modelo de contrato e critérios para comparar fornecedores estão em contratar pentest. Vai praticar? A plataforma Hackers do Brasil reúne laboratórios e trilhas de segurança ofensiva para estudo com autorização e registro de progresso.

Conhecer a plataforma

Perguntas frequentes

Quanto tempo dura um pentest?

Depende do escopo. Uma aplicação web isolada costuma consumir de 5 a 10 dias úteis de execução. Infraestrutura com vários segmentos, API extensa ou exercício de red team levam semanas. Prazo apertado demais costuma significar cobertura rasa, não eficiência.

Precisa avisar o provedor de nuvem?

Se o ativo está em nuvem, o contrato do provedor geralmente exige autorização prévia e, em alguns casos, cadastro do teste antes da execução. Testar sem esse aval pode violar os termos de uso e levar a bloqueio da conta.

O que é reteste e por que ele importa?

É a repetição do procedimento original depois da correção, com a mesma técnica e a mesma evidência. Sem reteste, a correção fica sem comprovação: o time acredita que resolveu e a falha pode continuar explorável por outro caminho.

O teste pode derrubar o sistema?

Um escopo bem escrito limita o impacto: define ações proibidas, janela de execução horário e contato de emergência. Teste que derruba produção normalmente indica falha de escopo ou de comunicação, não agressividade técnica.

Continue estudando