O que é pentest?
Pentest é um ataque simulado e autorizado aos seus sistemas, executado por especialistas em segurança que tentam invadir do mesmo jeito que um atacante real faria. O objetivo não é uma lista de fraquezas teóricas, e sim prova: quais falhas podem de fato ser exploradas, até onde um atacante chegaria por meio delas e o que corrigir primeiro.
Para quem o pentest serve
Times que colocam software em produção continuamente, em que o código testado no trimestre passado já não é o código que roda hoje em produção.
Organizações diante de uma auditoria SOC 2, ISO 27001 ou PCI DSS que precisam de evidência de que uma pessoa real tentou explorar as falhas — e não de um export de scanner.
Líderes de segurança que precisam traduzir achados técnicos em uma resposta à pergunta do conselho: qual desses pode realmente nos custar dinheiro?
[ FUNDAMENTOS ]
Pentest, scan de vulnerabilidades e pentest contínuo
Os três são vendidos como teste de segurança, e a diferença aparece no instante em que um auditor, um cliente enterprise ou o seu conselho pergunta o que você fez de fato. Um scanner lista o que pode estar vulnerável. Um teste de intrusão prova o que está. O pentest contínuo mantém essa prova atualizada conforme seus sistemas mudam.
Os programas mais maduros rodam os três: scan para higiene, teste conduzido por pessoas para profundidade e validação contínua para que nenhum dos dois fique desatualizado.
[ TIPOS E PROCESSO ]
Os principais tipos de pentest
O escopo é o que separa um pentest de outro. Estes são os trabalhos que as organizações realmente contratam, e o que cada um procura.
Pentest de rede externa
Tudo o que é alcançável pela internet: serviços de perímetro, VPN e endpoints de acesso remoto, e-mail e DNS, e subdomínios esquecidos. O objetivo é achar a porta de entrada antes que outra pessoa a mapeie.
Pentest de rede interna
Parte de um acesso que já está dentro da rede e pergunta até onde ele vai: movimentação lateral, reuso de credenciais e os caminhos de Active Directory que terminam em administrador de domínio.
Pentest de aplicação web
Autenticação e gestão de sessão, controle de acesso entre usuários e entre tenants, injeção e regras de negócio que podem ser abusadas sem quebrar uma única regra técnica.
Pentest de API
Endpoints não documentados, autorização em nível de objeto quebrada e a suposição de que só o seu próprio app mobile vai chamar a API. Hoje as APIs carregam a maior parte do tráfego e recebem uma fração dos testes.
Pentest de cloud
Roles de IAM que concedem muito mais do que o pretendido, storage exposto, serviços de metadata de instância e serviços gerenciados mal configurados em AWS, Azure e GCP.
Engenharia social e red team
Phishing, pretexting e acesso físico, normalmente como parte de um exercício de red team mais amplo que testa detecção e resposta em vez de um único alvo técnico.
A Strike roda tudo isso como um programa contínuo, e não como projetos isolados. Veja os serviços de pentest, o pentest de aplicação web e a metodologia de testes completa.
Como funciona um pentest, passo a passo
1. Escopo e regras de engajamento. O que entra no escopo, o que fica explicitamente de fora, quando o teste pode rodar e para quem ligar se algo quebrar. A autorização por escrito que sai daqui é o que torna o teste legal.
2. Reconhecimento. Mapeamento da superfície de ataque real: domínios, faixas de IP, serviços, tecnologias, credenciais vazadas e ativos de terceiros. Na maioria dos projetos aparecem ativos que o cliente não sabia que estavam expostos.
3. Descoberta de vulnerabilidades. Identificação automatizada e manual de fraquezas em toda a superfície mapeada, priorizadas pela chance real de cada uma levar a algum lugar.
4. Exploração. O passo que separa um pentest de um scan. Os pentesters tentam exploração real, dentro das regras acordadas, para confirmar que a fraqueza existe e é alcançável na prática.
5. Pós-exploração e movimentação lateral. A partir de um acesso confirmado, até onde mais um atacante consegue ir: escalada de privilégios, pivoteamento entre sistemas e acesso aos dados que realmente importam.
6. Relatório e reteste. Achados com evidência, impacto no negócio e orientação de correção, seguidos de um reteste que confirma que o caminho de ataque foi fechado, em vez de supor isso.
[ ENTREGÁVEIS ]
O que um relatório de pentest deve conter
O relatório é o produto que você está comprando de verdade. Se ele parece um export de scanner com um logo na capa, você pagou por um scan. Quatro coisas separam um relatório útil de um artefato de compliance.
Sumário executivo
O que foi testado, o que um atacante conseguiu alcançar e o que isso significaria para o negócio — escrito para que um executivo não técnico consiga tomar uma decisão a partir dele.
Evidência reproduzível
Para cada achado: o ativo afetado, os passos exatos para reproduzir, requests, respostas ou prints, e as precondições necessárias. Se o seu time de engenharia não consegue reproduzir, não consegue corrigir.
Severidade com contexto
Severidade que considera a explorabilidade real e o impacto no negócio no seu ambiente, não um número CVSS cru copiado de uma base e aplicado sem contexto.
Correção e reteste
Uma correção específica para cada achado em vez de conselho genérico, mais a confirmação, depois da correção, de que o caminho de ataque está realmente fechado.
Quanto custa um pentest?
O preço é definido por escopo e profundidade, não por tabela. As variáveis que mais pesam são a quantidade e o tipo de alvos, se o teste é autenticado, quanta exploração manual o escopo exige e se você precisa de um relatório único ou de uma cobertura que se mantenha atualizada.
Um teste externo enxuto e sem autenticação em poucos hosts fica na faixa baixa do mercado. Uma avaliação completa e autenticada de aplicação web e API, com teste manual de regras de negócio, fica na faixa alta. Projetos pontuais são cobrados por projeto; o pentest contínuo normalmente é cobrado como assinatura ligada ao tamanho da sua superfície de ataque, e é isso que torna o reteste depois de cada correção economicamente viável em vez de um pedido de mudança.
A comparação mais útil é custo por unidade de garantia. Um relatório anual que já está desatualizado seis semanas depois da entrega pode custar menos e entregar bem menos do que teste contínuo que mantém a resposta atualizada — o modelo por trás do pentest as a service.
[ FAQ ]
Perguntas frequentes sobre pentest
Pentest é legal?
Sim, quando é autorizado. O que torna um pentest legal é a permissão por escrito do dono dos sistemas em escopo, definindo exatamente o que pode ser testado, como e em quais janelas. Testar sem essa autorização é crime na maioria das jurisdições, e é por isso que todo trabalho legítimo começa com um documento de regras de engajamento assinado.
Quanto tempo leva um pentest?
Um teste externo focado ou uma única aplicação web normalmente leva de uma a duas semanas de teste ativo mais o relatório. Escopos amplos, teste autenticado e regras de negócio complexas esticam esse prazo. O pentest contínuo muda o formato da pergunta: o teste roda permanentemente e cada achado chega depois de validado, em vez de chegar tudo de uma vez semanas depois.
Com que frequência devemos fazer um pentest?
No mínimo uma vez por ano, e de novo depois de qualquer mudança relevante em arquitetura, autenticação ou infraestrutura exposta. Para times que fazem deploy toda semana, essa regra na prática significa continuamente — um teste anual verifica a versão do produto que existia na semana em que ele rodou, não a que seus clientes estão usando agora.
Pentest atende SOC 2, ISO 27001 ou PCI DSS?
O pentest apoia os três. Auditores de SOC 2 e avaliadores de ISO 27001 esperam evidência de que o teste técnico acontece e de que os achados são corrigidos, e o PCI DSS exige pentest de forma explícita. Nenhum teste isolado certifica compliance por si só: é um controle entre muitos, e o que os auditores procuram é evidência de um processo repetível, não um PDF pontual.
Qual é a diferença entre pentest e ethical hacking?
Ethical hacking é a prática mais ampla de usar técnicas de atacante com permissão para melhorar a segurança. Um pentest é um trabalho com escopo e prazo definidos dentro dessa prática, com alvo definido, metodologia acordada e uma entrega. Leia mais sobre ethical hacking.
O reteste depois da correção está incluído?
Deveria estar, e vale perguntar antes de assinar. Uma correção fica sem verificação até alguém tentar de novo o caminho de ataque original — patches são aplicados no ambiente errado e mudanças de configuração são revertidas. Pergunte a qualquer fornecedor se o reteste está incluído, quantas vezes e por quanto tempo depois da entrega.
PENTEST
Mais do que um teste. Uma camada estratégica para segurança real.
Nossa IA é potencializada por uma camada de dados proprietários construída a partir de milhares de horas de pentesting e validações reais. A Strike combina execução autônoma e validação humana especializada para identificar riscos complexos, reduzir ruído e priorizar achados acionáveis.
Testes contínuos e em profundidade
Os Strikers identificam vulnerabilidades de alto impacto em múltiplas tecnologias — aplicações web, APIs, mobile, nuvem e muito mais.
Retestes sob demanda impulsionados por IA
Valide as correções na hora, sem esperar o próximo ciclo de testes.
Correção em tempo real
Agentes de IA guiam sua equipe passo a passo durante a remediação para acelerar a resolução.
Criação de pentests passo a passo
Defina facilmente o escopo, inicie e acompanhe seus pentests com total transparência.
Triage humano e revisão entre pares
Cada achado é validado por especialistas em segurança para garantir precisão e impacto.
Visibilidade total
Monitore cada descoberta com transparência completa, registros de trabalho dos especialistas e notificações em tempo real.
Integrações fluídas
Conecte-se diretamente ao Slack, Teams e Jira para agilizar a colaboração entre suas equipes de segurança e desenvolvimento.
Vulnerability Manager
Visualize, gerencie e reteste vulnerabilidades em uma única plataforma, com contexto completo sobre severidade, origem e remediação.
Relatórios prontos para compliance
Gere automaticamente relatórios atualizados e alinhados com PCI DSS, HIPAA, ISO 27001, SOC 2 e muito mais.
Parceria contínua
Reuniões semanais com um Customer Success Manager dedicado, além de onboarding personalizado e planejamento estratégico.
Um pentest responde à pergunta que um scanner não alcança: não o que parece vulnerável, mas o que um atacante consegue de fato alcançar, encadear e transformar em um incidente real.
Escolhida pelas equipes de segurança que lideram o setor.
Experiência humana. Poder da IA. Segurança superior.
Quer você esteja crescendo rapidamente, fechando contratos corporativos ou apenas cansado de relatórios barulhentos, ajudaremos você a construir uma pilha de segurança que se mova mais rápido do que suas ameaças.
