Pentest: o que é, como funciona e quanto custa

No pentest, especialistas usam as mesmas técnicas de um atacante real contra aplicações, redes ou ambientes de nuvem da empresa. A diferença é que tudo acontece com autorização por escrito, escopo definido e janela combinada. O objetivo é responder a uma pergunta prática: o que alguém conseguiria fazer hoje se quisesse atacar a empresa?

Um pentest não termina na lista de falhas. A equipe explora cada vulnerabilidade para provar que ela funciona, mede até onde dá para chegar a partir dela e explica como corrigir. É isso que separa o pentest de uma varredura automática.

Na prática, o pentest costuma ser contratado por um destes motivos:

• Exigência de cliente ou contrato. Empresas que atendem bancos, varejo grande ou multinacionais costumam precisar apresentar um relatório de pentest recente.
• Regulação e auditoria. O PCI DSS (requisito 11.4) exige teste de invasão pelo menos uma vez por ano e após mudanças significativas. A Resolução CMN 4.893 do BACEN pede testes e varreduras periódicas para detectar vulnerabilidades. A LGPD (art. 46) exige medidas técnicas de segurança, e o pentest é a evidência de que elas foram testadas. Veja mais em LGPD e pentest.
• Lançamento de produto ou API. Testar antes de abrir para o público custa muito menos do que corrigir depois de um incidente.
• Fusões, aquisições e investimento. O pentest entra na due diligence para medir o risco técnico do que está sendo comprado.
• Depois de um incidente. Para entender por onde mais um atacante poderia entrar.

O tipo de pentest é definido pelo que vai ser testado. Um mesmo projeto pode juntar vários alvos.

Para ver as falhas que mais aparecem na prática, leia as 10 vulnerabilidades mais encontradas em pentests no Brasil.

A abordagem define quanta informação a equipe de teste recebe antes de começar. Nenhuma é melhor que as outras em geral; cada uma responde a uma pergunta diferente.

1. 1

   Escopo e regras de engajamento

   Definem alvos, abordagem, janela de execução, contatos de emergência e o que não pode ser feito (por exemplo, testes de negação de serviço). Contrato e NDA são assinados antes de qualquer teste.

2. 2

   Reconhecimento

   Coleta de informações sobre o alvo: subdomínios, tecnologias, versões, funcionários expostos, documentação pública.

3. 3

   Mapeamento e análise

   Ferramentas e testes manuais apontam possíveis falhas. Aqui ainda são hipóteses.

4. 4

   Exploração

   Cada hipótese é testada. Só vira achado o que de fato funciona, com evidência.

5. 5

   Pós-exploração

   A partir de uma falha confirmada, a equipe mede até onde consegue chegar: outros sistemas, dados sensíveis, privilégios de administrador.

6. 6

   Relatório

   Documento técnico e documento executivo, apresentados em reunião com o time.

7. 7

   Reteste

   Depois das correções, os mesmos pontos são testados de novo para confirmar que foram fechados.

Os frameworks mais usados para guiar esse processo são o OWASP Web Security Testing Guide, o PTES e o NIST SP 800-115. Para se preparar antes do início, veja como preparar sua empresa antes de um pentest.

• Relatório técnico: cada falha com descrição, evidência (prints e requisições), passo a passo para reproduzir, severidade (normalmente CVSS) e recomendação de correção.
• Relatório executivo: o risco em linguagem de negócio, para a diretoria entender o que está em jogo sem ler o detalhe técnico.
• Plano de correção priorizado: por onde começar, considerando o impacto real e não só a nota de severidade.
• Resultado do reteste: a confirmação de que as falhas corrigidas foram de fato fechadas.

O preço depende do tamanho do escopo: quantas aplicações, quantos perfis de usuário, quantos endpoints de API, quantos IPs. Também pesam a abordagem escolhida, a janela de execução (testes fora do horário comercial custam mais) e se o reteste está incluído.

São faixas de referência. O orçamento real sai depois de uma conversa de escopo. Desconfie de preço fechado sem nenhuma pergunta sobre o seu ambiente.

A referência mínima é uma vez por ano, que é o que o PCI DSS exige. Além disso, vale repetir sempre que houver mudança significativa: um sistema novo, uma migração para a nuvem, uma integração com parceiro ou uma reestruturação de rede.

Empresas que mudam muito rápido costumam combinar o pentest anual com monitoramento contínuo da superfície de ataque. Entenda como funciona em gestão de superfície de ataque.

Faça estas perguntas antes de assinar:

• O teste é manual ou é uma ferramenta com relatório em cima?
• Quem executa? A equipe é própria ou o serviço é terceirizado?
• Que certificações a equipe tem? OSCP, eCPPT e eWPTX são referências em segurança ofensiva. Veja o guia de certificações.
• Posso ver um relatório de exemplo?
• O reteste está incluso no preço?
• Como vocês tratam os dados encontrados durante o teste?

Um pentest bem conduzido raramente causa indisponibilidade, mas alguns cuidados reduzem o risco a quase zero: combinar a janela de execução, ter backup recente, definir um contato técnico de plantão e deixar claro o que é proibido. Quando há dúvida sobre a estabilidade de um sistema, o teste pode começar em homologação, desde que o ambiente seja parecido com o de produção.