Pentest
Teste de intrusão conduzido por especialista, com exploração ativa autorizada, para encontrar e provar as falhas do seu ambiente antes que um atacante real o faça.
Visão geral do serviço
O Pentest da ACT é um teste de intrusão ofensivo e controlado: o especialista assume a posição de um atacante e busca ativamente falhas exploráveis no ambiente do cliente, validando o impacto real de cada uma delas. Diferente de um scan de vulnerabilidades, aqui cada achado é confirmado manualmente, explorado dentro dos limites acordados e documentado com evidência reproduzível. O escopo é fechado em conjunto com o cliente e a carga horária é dimensionada projeto a projeto, conforme o tamanho e a criticidade do ambiente.
Pentest Web
Sites, sistemas web, portais e APIs REST/GraphQL. Testes guiados pelo OWASP WSTG e Top 10, com severidade calculada em CVSS 3.1.
Pentest de Redes
Hosts, servidores, serviços expostos e Active Directory na rede local. Enumeração, exploração, escalonamento de privilégio e movimentação lateral.
Engenharia Social
Fator humano: campanhas de phishing, pretexting e contato direcionado, com métricas agregadas de exposição e resposta da equipe.
Modalidades de abordagem
A abordagem define quanto o pentester sabe do ambiente antes de começar, o que muda diretamente a profundidade dos achados e o tempo necessário. A escolha é feita com o cliente na etapa de escopo.
| Modalidade | Informação disponível | O que simula e onde se aplica |
|---|---|---|
| Black box | Nenhuma, apenas o alvo definido no escopo | Atacante externo sem qualquer conhecimento prévio. Mede a exposição real da superfície de ataque |
| Gray box | Credenciais de usuário comum e/ou informações parciais do ambiente | Usuário legítimo ou atacante que já obteve um acesso inicial. Melhor relação profundidade/tempo na maioria dos projetos |
| White box | Acesso completo: documentação, arquitetura, credenciais privilegiadas e código-fonte quando aplicável | Análise máxima de cobertura, com foco em encontrar o maior número de falhas no menor tempo |
| Interno autenticado | Ponto de rede e/ou host cedido pelo cliente dentro do ambiente | Insider ou estação já comprometida. Aplicado ao pentest de redes locais |
Modalidades podem ser combinadas em um mesmo projeto: por exemplo, uma fase black box externa seguida de uma fase autenticada interna.
Pentest Web: escopo técnico
Testes em sites, sistemas web, portais autenticados e APIs, conduzidos com base no OWASP Web Security Testing Guide (WSTG) e classificados por CVSS 3.1. As classes abaixo compõem a bateria padrão; a cobertura efetiva depende do escopo e da carga horária contratada.
| Classe de vulnerabilidade | O que é testado |
|---|---|
| Controle de acesso quebrado | IDOR/BOLA, escalonamento horizontal e vertical de privilégio, funções administrativas acessíveis por usuário comum, bypass de autorização por manipulação de parâmetro |
| Injeção | SQL Injection e NoSQL Injection, injeção de comandos de sistema operacional, LDAP, XPath e Server-Side Template Injection (SSTI) |
| Cross-Site Scripting (XSS) | Refletido, armazenado e baseado em DOM, com avaliação de impacto sobre sessão e dados do usuário |
| Autenticação e sessão | Força bruta e credential stuffing, política de senha, bypass e enfraquecimento de MFA, fixação e invalidação de sessão, atributos de cookie, manipulação e assinatura de tokens JWT |
| Falhas criptográficas | Configuração de TLS e cifras, dados sensíveis em trânsito e em repouso, uso de algoritmos obsoletos, exposição de segredos na aplicação |
| Configuração incorreta | Cabeçalhos de segurança, métodos HTTP permitidos, listagem de diretórios, mensagens de erro verbosas, CORS permissivo, painéis e interfaces administrativas expostas |
| SSRF e requisições forjadas | Server-Side Request Forgery, acesso a recursos internos e metadados de nuvem, Cross-Site Request Forgery (CSRF) |
| Upload e manipulação de arquivos | Validação de tipo e conteúdo, path traversal, LFI/RFI e caminhos que levem à execução remota de código |
| Lógica de negócio | Burla de fluxos, manipulação de preço, quantidade e etapas, condições de corrida, abuso de funcionalidades legítimas |
| APIs REST e GraphQL | Autenticação e autorização por endpoint, BOLA/BFLA, mass assignment, introspecção habilitada, consultas aninhadas abusivas, ausência de rate limiting |
| Componentes e dependências | Tecnologias e bibliotecas desatualizadas, versões com CVEs conhecidas e exploráveis no contexto da aplicação |
| Exposição de informação | Metadados, arquivos de backup, repositórios expostos, comentários e artefatos de desenvolvimento, enumeração de usuários |
Todo achado automatizado é validado manualmente antes de entrar no relatório: falsos positivos não são reportados como vulnerabilidade.
Pentest de Redes (local): escopo técnico
Teste de intrusão sobre a infraestrutura interna: identificação dos hosts e serviços em atividade, exploração das falhas encontradas e avaliação do quão longe um atacante chegaria a partir de um ponto dentro da rede. As técnicas empregadas são mapeadas contra o MITRE ATT&CK, permitindo ao cliente correlacionar os achados com a própria capacidade de detecção.
| Frente de teste | O que é testado |
|---|---|
| Descoberta e mapeamento | Varredura de hosts ativos, portas, serviços e versões; identificação de sistemas operacionais e de ativos não inventariados pela equipe de TI |
| Vulnerabilidades de serviço | Serviços desatualizados ou com CVEs exploráveis, protocolos legados (SMBv1, Telnet, FTP), RDP e RPC expostos, serviços em execução com configuração insegura |
| Active Directory | Enumeração de domínio, usuários e grupos; Kerberoasting e AS-REP Roasting; ACLs e delegações inseguras; relações de confiança; caminhos de ataque até privilégios de administrador de domínio |
| Credenciais e autenticação | Senhas padrão, fracas e reutilizadas; contas de serviço com privilégio excessivo; captura de credenciais por envenenamento de LLMNR/NBT-NS/mDNS e relay de autenticação SMB |
| Escalonamento de privilégio | Escalonamento local em estações e servidores Windows e Linux: permissões incorretas, serviços vulneráveis, tarefas agendadas, binários e configurações mal aplicadas |
| Movimentação lateral | Pivoting entre hosts, reuso de credenciais e sessões, alcance a partir de um ativo comprometido: dentro do limite autorizado no escopo |
| Segmentação de rede | Validação do isolamento entre VLANs, redes de visitantes, ambientes produtivos e segmentos administrativos |
| Compartilhamentos e dados | Compartilhamentos de rede acessíveis, permissões excessivas e exposição de dados sensíveis a usuários não autorizados |
| Superfície interna exposta | Interfaces de gerenciamento, impressoras, câmeras, dispositivos IoT, consoles e painéis acessíveis sem autenticação adequada |
| Hardening de endpoints | Avaliação da postura de estações e servidores: atualizações, políticas locais, controles de segurança ativos e sua efetividade contra as técnicas aplicadas |
O alcance da pós-exploração (persistência, lateralização e profundidade) é sempre limitado ao que foi autorizado no termo de escopo.
Engenharia Social: escopo técnico
Avaliação do elo humano da segurança: em vez de atacar apenas sistemas, o teste mede como as pessoas da organização reagem a tentativas reais de manipulação e se o incidente é percebido e reportado.
Vetores aplicados
- Campanhas de phishing por e-mail, com página de captura controlada
- Pretexting: contato com pretexto construído a partir do contexto real da empresa
- Abordagem por telefone e por mensagem, conforme autorização
- OSINT prévio: coleta de informações públicas para embasar o cenário
Métricas entregues
- Taxa de abertura e de clique na campanha
- Taxa de submissão de credenciais
- Tempo até o primeiro reporte ao time de TI
- Percentual de colaboradores que identificaram e reportaram o ataque
Resultado agregado, não exposição individual.
O objetivo do teste é medir a maturidade da organização e orientar conscientização: os resultados são apresentados de forma consolidada. Nenhuma credencial capturada é utilizada além da comprovação do vetor, e todas são descartadas ao fim do projeto.
Metodologia e classificação de risco
Cada vulnerabilidade encontrada recebe uma nota calculada em CVSS 3.1 (Common Vulnerability Scoring System), com o vetor completo registrado no relatório para que o cliente possa auditar a pontuação. A severidade resultante orienta a prioridade de correção.
| Severidade | Faixa CVSS 3.1 | Leitura prática |
|---|---|---|
| Crítica | 9.0 – 10.0 | Comprometimento direto do ambiente ou dos dados; exige ação imediata |
| Alta | 7.0 – 8.9 | Impacto severo e exploração viável; correção prioritária |
| Média | 4.0 – 6.9 | Impacto relevante, geralmente dependente de pré-condições ou encadeamento |
| Baixa | 0.1 – 3.9 | Impacto limitado; correção planejada dentro do ciclo normal |
| Informativa | 0.0 | Observação de boa prática ou de endurecimento, sem risco direto associado |
Frameworks e execução dos testes
Frameworks de referência
- OWASP WSTG: roteiro de testes do pentest web
- OWASP Top 10: categorização dos riscos mais críticos
- CVSS 3.1: cálculo de nota e severidade dos achados
- MITRE ATT&CK: mapeamento das técnicas no pentest de redes
Execução manual, apoio automatizado
- Ferramentas comerciais e open source usadas como apoio à descoberta
- Validação manual obrigatória de todo achado antes de reportar
- Eliminação de falsos positivos: o relatório traz apenas o confirmado
- Encadeamento de falhas para demonstrar o impacto real, e não apenas a existência isolada
- Testes exploratórios de lógica de negócio, que nenhum scanner cobre
Outros frameworks podem ser adotados no relatório mediante solicitação do cliente.
Ciclo do projeto
O projeto segue fases definidas, com começo e fim acordados. Nada é executado antes da formalização do escopo e da autorização por escrito.
-
1
Definição de escopo
Levantamento dos alvos, domínios, faixas de rede e sistemas; dimensionamento da carga horária conforme a realidade do cliente
-
2
Autorização e NDA
Assinatura do termo de autorização dos testes e do acordo de confidencialidade antes de qualquer atividade técnica
-
3
Kickoff
Alinhamento das regras de engajamento, janelas de teste, contatos de emergência e entrega de credenciais nas modalidades gray e white box
-
4
Reconhecimento
Coleta de informações e mapeamento da superfície de ataque dentro do escopo autorizado
-
5
Enumeração e análise
Identificação de serviços, tecnologias, pontos de entrada e vulnerabilidades candidatas
-
6
Exploração
Validação prática das falhas, com comprovação de impacto real e coleta de evidências
-
7
Pós-exploração
Avaliação do alcance obtido, escalonamento, lateralização e acesso a dados, restrita ao limite autorizado
-
8
Relatório
Consolidação dos achados, classificação CVSS 3.1, evidências passo a passo e medidas de remediação
-
9
Apresentação
Reunião de apresentação do relatório, com leitura dos riscos, prioridades e esclarecimento técnico junto às equipes do cliente
-
10
Reteste
Nova validação das falhas corrigidas, quando previsto em contrato
A fase de reteste é opcional e definida conforme a preferência do cliente na contratação.
Regras de engajamento e limites
Pentest é uma atividade ofensiva conduzida dentro de limites rígidos. As regras abaixo valem para todas as três linhas de serviço e são formalizadas antes do início dos trabalhos.
O que fazemos
- Exploração ativa autorizada, para comprovar o impacto real e não apenas apontar indícios
- Execução exclusivamente dentro da janela de testes acordada com o cliente
- Atuação restrita aos alvos listados no termo de escopo
- Registro de toda atividade executada, para rastreabilidade posterior
Limites observados
- Testes de negação de serviço (DoS) só ocorrem mediante comunicação e autorização prévia específica
- Nenhum alvo fora do escopo é testado, mesmo que acessível durante os trabalhos
- Ações destrutivas ou de indisponibilidade não autorizadas não são executadas
- Dados sensíveis são acessados apenas na medida necessária para comprovar o impacto
- Acessos, artefatos e credenciais obtidos são removidos ou descartados ao fim do projeto
Sobre testes em ambiente produtivo.
Quando o teste ocorre em produção, existe risco inerente de instabilidade em sistemas frágeis ou mal dimensionados. Por isso a janela de testes, os contatos de emergência e o procedimento de interrupção imediata são definidos no kickoff: a execução pode ser suspensa a qualquer momento a pedido do cliente.
Especificações
| Formato e entrega | Relatório em PDF, enviado por e-mail ao término do projeto |
| Sumário executivo | Visão de risco de negócio, panorama geral do ambiente e distribuição dos achados por severidade |
| Relatório técnico | Detalhamento individual de cada vulnerabilidade: descrição, localização, nota e vetor CVSS 3.1, severidade e impacto |
| Evidências e PoC | Provas de conceito com passo a passo de reprodução, capturas de tela e requisições/respostas relevantes |
| Remediação | Medidas de correção recomendadas para cada falha; a escolha da abordagem de implementação permanece com o cliente |
| Apresentação | Reunião de apresentação dos resultados com o pentester responsável pelo projeto |
| Reteste | Emissão de relatório de reteste após as correções, quando previsto em contrato |
| Adaptação de frameworks | O relatório pode ser adequado a outro framework ou norma exigida pelo cliente, mediante alinhamento prévio |
Distribuição restrita por definição.
O relatório circula exclusivamente entre o pentester responsável pelo projeto e as pessoas nominalmente indicadas pelo cliente para recebê-lo. Nenhum dado, evidência ou informação do ambiente é compartilhado fora dessa lista, e todo o material coletado durante os testes é tratado sob acordo de confidencialidade.
Quer saber se Pentest resolve o que a sua operação precisa?
Fale com a ACT e entenda, com clareza, como essa solução se encaixa no seu ambiente.
Falar com a ACT