Serviços de pentest feitos para entrega contínua

O que um serviço de pentest deveria realmente entregar

A maioria dos serviços de pentest ainda é vendida do jeito que as consultorias vendiam há vinte anos: você define um escopo, espera semanas por uma vaga na agenda, recebe duas semanas de teste e um PDF, e depois fica no escuro até o próximo ciclo de orçamento. A Strike vende a mesma expertise como uma assinatura que não para — porque os sistemas testados também não param. Abaixo está o que isso cobre e por onde vale começar.

O escopo parte dos ativos, e não dos dias. Mapeamos o que você realmente expõe — domínios e subdomínios, as APIs por trás dos seus front ends, contas de cloud, infraestrutura externa, os backends mobile que ninguém lembrou de listar — e depois acordamos o que entra e o que fica de fora. Esse inventário é o escopo, e como ele é monitorado continuamente, um ativo que aparece no mês que vem é capturado, em vez de ficar silenciosamente fora de um documento assinado em janeiro.

A profundidade é definida separadamente da amplitude. Um site institucional e uma API de pagamentos não precisam do mesmo nível de atenção, então o esforço de teste se concentra onde está o impacto de negócio: fluxos autenticados, fronteiras de privilégio, movimentação de dinheiro e tudo o que guarda dados de clientes.

Aplicações web externas e as APIs por trás delas, REST e GraphQL, incluindo fluxos autenticados e as fronteiras que deveriam manter os tenants separados. Contas de cloud e sua configuração, modelos de identidade e de permissões. Infraestrutura externa, serviços expostos e a borda de rede. Backends mobile. Sistemas internos quando o escopo pede.

As superfícies que ficam de fora costumam ser justamente as que importam: um ambiente de staging que continuou acessível pela internet, um painel administrativo interno morando em um subdomínio público, uma versão de API que deveria ter sido descontinuada dois trimestres atrás. A descoberta contínua é o que traz isso à tona, e ela roda mesmo que ninguém tenha lembrado de escrever esses ativos em um documento de escopo.

Uma contratação de escopo fixo faz sentido quando o que está sendo testado é fixo. Nada num stack moderno é: você sobe código toda semana, as dependências se atualizam sozinhas, a infraestrutura muda e as permissões derivam. O modelo anual foi desenhado para um mundo de releases trimestrais e produz uma falha previsível: um relatório limpo em março e um ambiente sem validação de abril em diante.

Uma assinatura muda a economia além da cobertura. Em vez de renegociar um contrato toda vez que você quer que algo seja testado de novo, a disponibilidade de reteste depende do escopo contratado e cada reteste fica ligado ao achado que fecha. Em vez de pagar à parte por cada aplicação nova, a superfície é coberta conforme ela cresce. E em vez de um relatório por ano, você acumula uma trilha de evidência datada, que é o que apoia um programa de auditoria e conformidade.

Serviços de cibersegurança e serviços de pentest: o que cada um cobre

Um serviço de cibersegurança abrange prevenção, detecção e resposta em toda a superfície. O pentest é a parte que testa, com autorização e de forma controlada, se esses controles resistem a um ataque real. Quem avalia serviços de cibersegurança quase sempre precisa das duas camadas: a que sustenta a operação e a que a verifica.

Serviços de pentest, em perguntas

O que um serviço de pentest inclui?

Definição de escopo e descoberta de ativos, o teste em si, validação humana especializada antes da entrega ao cliente, um relatório com severidades e passos de reprodução, orientação de remediação e um reteste confirmando que a correção funciona. Na Strike tudo isso é contínuo, conforme o escopo contratado, em vez de ser uma sequência de fases orçadas separadamente.

Como um pentest é precificado?

Os fornecedores tradicionais precificam por dias de testador, e é por isso que negociar escopo é na prática pechinchar quanto tempo alguém vai olhar. A Strike precifica pela superfície coberta, como assinatura. Isso torna o custo previsível, e ele não sobe porque você pediu o reteste de uma correção.

Quanto tempo leva um pentest?

Uma contratação convencional leva de duas a quatro semanas de teste, depois de um período de definição de escopo que muitas vezes é mais longo que o próprio teste. Na Strike valem três relógios separados, que não devem ser somados: o setup da plataforma leva menos de 5 minutos assim que as informações do alvo e os acessos estiverem prontos; o início da execução depende da autorização do escopo e dos acessos; o primeiro achado validado chega em aproximadamente 1 hora e o conjunto curado em 1-2 horas, em escopos suportados.

O que a gente recebe exatamente?

Achados validados em uma plataforma de onde o seu time pode trabalhar, com severidade, evidência e passos de reprodução; remediação guiada; reteste sob demanda conforme o escopo contratado; e relatórios exportáveis que apoiam programas de auditoria e conformidade, que você entrega em uma revisão de segurança de cliente ou ao auditor sem precisar reescrever.

Qual serviço é o certo para nós?

Se você sobe software continuamente, comece pelo teste contínuo e some profundidade em aplicações web. Se está se preparando para uma auditoria, comece pelo ângulo de evidência para compliance. Se quer saber se a sua detecção e resposta funcionam de verdade, isso é red team, e não pentest. A maioria dos times acaba combinando dois dos três.

Como começamos?

Agende uma demo. Mapeamos a sua superfície externa junto com você, combinamos escopo e profundidade e colocamos o teste para rodar. Não tem processo de compras interminável nem compromisso mínimo de vários anos para começar.