Pentest: o que é teste de intrusão e quando fazer

Por que scan não substitui pentest

O scanner acerta na cobertura e erra na profundidade: ele varre muito, com pouco contexto, e produz falso positivo. O pentest acerta na profundidade e é limitado na cobertura: alcança menos alvos, com muito mais contexto, e o que ele reporta é real. Confundir os dois gera dois erros opostos e igualmente caros. Tratar scan como pentest cria falsa segurança e listas enormes de achados que ninguém prioriza. Tratar pentest como se fosse cobertura contínua leva a testar uma vez por ano um ambiente que muda toda semana. O desenho correto usa varredura contínua como linha de base e pentest como validação periódica e como prova de exploração encadeada.

Tipos e o que cada um responde

Externo: o que um atacante sem credencial alcança a partir da internet, olhando o perímetro exposto. Interno: até onde alguém que já está na rede consegue avançar lateralmente e escalar privilégio - o cenário de credencial vazada ou de dispositivo comprometido. Aplicação web e API: falhas de lógica de negócio, autorização quebrada, exposição de dados entre contextos. É onde o scanner é mais fraco e o teste manual mais rende. Nuvem: configuração de identidade e permissão, caminhos de escalonamento entre papéis, exposição de serviços gerenciados. Engenharia social: se a organização quer medir também o fator humano, e não só o técnico. Caixa preta, cinza ou branca descreve quanta informação o time recebe antes de começar. Caixa branca costuma render mais achado por hora, porque não se gasta tempo redescobrindo o que o cliente já sabe.

Quando fazer e o que a norma exige

A frequência mínima usual é anual, mas o gatilho mais importante não é o calendário: é mudança relevante. Nova aplicação exposta, migração de infraestrutura, entrada em nuvem, integração com terceiro crítico e aquisição de outra empresa são momentos em que o ambiente testado deixou de existir. Do lado regulatório, o PCI DSS exige teste de intrusão periódico de forma explícita, e normas de gestão de segurança da informação tratam o teste como parte da verificação técnica dos controles. Em processo de auditoria e em due diligence de cliente enterprise, o relatório de pentest com evidência de reteste virou item de checklist - não basta afirmar que o teste foi feito. No fluxo de trabalho, pentest fecha o ciclo que a gestão de vulnerabilidades abre: a varredura mantém a visibilidade contínua, o pentest prova o que dela é de fato explorável, e o resultado do pentest realimenta a priorização.

Solução Tripla