Pentest
O que é Pentest e por que sua empresa precisa de um?
Entenda como funciona um teste de invasão, o que ele avalia e por que esperar um incidente para agir pode custar milhões à sua organização.
O que um atacante vê da sua empresa pela internet
Começamos sem nenhuma informação, como um criminoso faria: só o nome da empresa. A partir daí mapeamos tudo que está exposto, procuramos a porta de entrada e provamos até onde ela leva.
- Execução
- 1 a 2 semanas
- Abordagem
- Black-box
- Reteste
- Incluso
O que está incluso
- Mapeamento da superfície exposta e de Shadow IT
- Teste de sites, portais e APIs públicas
- VPN, e-mail, DNS e serviços de acesso remoto
- Busca por credenciais vazadas que ainda funcionam
- Relatório técnico e executivo
- Reteste das correções sem custo
O teste em detalhe
Quem cuida da segurança e quem aprova o orçamento procuram coisas diferentes. Escolha a sua leitura.
- Descoberta
- Subdomínios, faixas de IP, serviços e painéis esquecidos no ar. Encontramos o que nem sempre está no inventário.
- Exploração
- Falhas em aplicações web, serviços desatualizados, configurações expostas e autenticação fraca.
- Credenciais vazadas
- Cruzamos vazamentos conhecidos com os seus serviços de acesso para ver o que ainda abre a porta.
- Sem informação prévia
- Black-box de verdade: recebemos só o alvo, como um atacante externo que nunca viu a empresa por dentro.
- A primeira linha
- O perímetro é o que qualquer pessoa no mundo consegue alcançar. É por ele que a maioria dos ataques começa.
- Impacto provável
- Mostramos o que um atacante conseguiria a partir do que está exposto, sem jargão técnico.
- Compliance
- Evidência de teste para LGPD, ISO 27001, PCI DSS (requisito 11.4) e a Resolução CMN 4.893 do BACEN.
- Investimento
- Proposta com preço fechado. Contrato e NDA assinados antes de qualquer teste.
Por que testar o perímetro
Guia completo: Pentest: o que é, como funciona e quanto custaVocê expõe mais do que imagina
Um time sobe um subdomínio, outro publica uma API de teste, um painel fica no ar depois de uma migração. Nada disso passa pela segurança, e tudo fica visível para quem procura.
O atacante começa sem nada
Um criminoso real não recebe documentação nem usuário de teste. O black-box reproduz essa condição e mostra o que dá para fazer só com o que está público.
Credencial vazada é porta aberta
Senhas de funcionários aparecem em vazamentos o tempo todo. Se a VPN ou o webmail não exigem um segundo fator, uma dessas senhas basta.
O que é público é indexado
Buscadores, mecanismos de varredura e fóruns já catalogaram boa parte do que você expõe. O teste encontra isso antes que vire o ponto de partida de um ataque.
O que você recebe
- Mapa da superfície exposta
- Domínios, subdomínios, IPs e serviços que encontramos no ar, incluindo o que não estava no inventário.
- Relatório técnico
- Cada falha com evidência, passo a passo de reprodução, severidade (CVSS) e recomendação de correção.
- Relatório executivo
- O risco em linguagem de negócio: o que está exposto, o que um atacante faria e a ordem de correção.
- Reteste e encerramento
- Depois das correções, testamos de novo os mesmos pontos e emitimos o documento com o status final.
Um exemplo do que encontramos no perímetro
Achados típicos de um pentest externo, do mapeamento à porta de entrada.
Relatório de pentest externo5 achados
- #01Crítico
Painel administrativo exposto sem MFA
Tela de administração de um sistema interno publicada na internet, protegida só por senha.
- #02Crítico
Credencial de VPN válida em vazamento
Senha de um funcionário em um vazamento conhecido ainda abre a VPN, sem segundo fator.
- #03Alto
Subdomínio órfão sequestrável
DNS aponta para um serviço desativado que outra pessoa pode registrar e usar com a sua marca.
- #04Alto
API de teste em produção
Endpoint de homologação no ar devolve dados reais de clientes sem autenticação.
- #05Médio
Servidor com versão vulnerável conhecida
Serviço desatualizado com falha pública aguardando exploração.
Reteste: 5 de 5 corrigidos
Para quem é
- Empresas com muitos sistemas expostos na internet
- Quem fez migração, fusão ou cresceu rápido
- SaaS e e-commerce com perímetro grande
- Empresas em auditoria de ISO 27001, PCI DSS ou BACEN
- Quem nunca mapeou a própria superfície de ataque
Etapas
- 1
Escopo
Definimos os domínios e faixas no alvo e os limites. Contrato e NDA assinados antes de começar.
- 2
Reconhecimento
Mapeamos a superfície exposta, serviços e tecnologias, sem interagir de forma intrusiva.
- 3
Exploração
Buscamos e confirmamos a porta de entrada, com evidência de cada falha encontrada.
- 4
Relatórios e reteste
Entrega dos relatórios, reunião para tirar dúvidas e reteste depois que a sua equipe corrige.
Outros tipos de pentest
Internal Pentest
Rede interna e Active Directory
External Black-Box Pentest
O que está exposto na internet
Você está nesta página
Gray-Box Pentest
Teste autenticado, com acesso de usuário
AI Pentest
LLMs, chatbots e agentes
Cloud Pentest
AWS, Azure e Google Cloud
Mobile Pentest
Apps Android e iOS
Dúvidas sobre o pentest externo
Se a sua dúvida não estiver aqui, pergunte direto para a equipe.
Enviar uma perguntaO que é um teste black-box?
É o teste em que a equipe não recebe nenhuma informação prévia: nem usuário, nem documentação, nem código. Só o alvo. Simula um atacante externo que nunca viu a empresa por dentro.
Qual a diferença para o pentest interno?
O externo testa o que está exposto na internet, de fora para dentro. O interno parte de dentro da rede e mede até onde alguém chega depois de entrar. Os dois costumam ser contratados juntos.
Vocês encontram sistemas que a gente nem lembra que existem?
Com frequência. Boa parte do risco externo está em subdomínios, painéis e APIs que ficaram no ar e saíram do radar. O mapeamento da superfície é parte do teste.
O teste atrapalha os sistemas em produção?
Os testes são controlados. Técnicas com risco de indisponibilidade só são usadas com autorização, e a janela de execução é combinada antes.
Precisa de acesso aos nossos sistemas?
Não para o teste externo black-box: trabalhamos só com o que está exposto. Se quiser cobrir também as áreas logadas, aí combinamos usuários de teste em um escopo separado.
Artigos relacionados
Pentest
As 10 vulnerabilidades mais encontradas em pentests no Brasil
Um panorama das falhas que mais aparecem em testes de invasão reais e o que sua equipe pode fazer para corrigi-las antes do próximo teste.
Threat Intelligence
Um servidor mal configurado expôs três operações de phishing contra o Microsoft 365
Directory listing ligado e histórico de comandos acessível transformaram o servidor de um grupo de phishing em um livro aberto. Entenda o que os logs revelaram e como se defender de ataques AiTM e device code.
Peça um pentest externo
Informe os domínios que quer testar. Em até 24h úteis você recebe escopo, prazo e preço fechados.
Fale com nosso time
Prefere conversar antes? Agende uma reunião ou escreva para info@xpsecsecurity.io.