Tipos de pentest e as fases de um teste de invasão

Contratar o tipo errado de pentest é uma forma silenciosa de desperdiçar orçamento de segurança. A empresa paga por um teste, recebe um relatório, marca a tarefa como concluída, e a área que realmente concentrava o risco nunca foi avaliada.

Este guia mostra os tipos de pentest existentes, o que cada um cobre e, principalmente, como escolher o adequado para o seu cenário. Se você ainda não tem clareza sobre o conceito, vale começar pelo nosso artigo sobre o que é pentest.

Tipos de pentest por alvo

A primeira classificação responde a uma pergunta objetiva: o que exatamente será testado? Cada tipo cobre uma superfície diferente da sua operação.

Pentest de rede externa

Avalia tudo o que está exposto à internet: sites, servidores públicos, portais de acesso remoto, VPN, servidores de e-mail e qualquer serviço acessível de fora.

É o teste que simula o atacante que não tem nenhum acesso prévio e precisa encontrar uma entrada. Como a maioria dos ataques oportunistas começa por varredura de perímetro, esse costuma ser o ponto de partida para quem nunca fez pentest.

Pentest de rede interna

Parte de um pressuposto diferente: o atacante já está dentro. Pode ser alguém que rompeu o perímetro, um dispositivo comprometido por malware ou um colaborador com acesso legítimo agindo de má-fé.

Esse teste responde a uma pergunta que assusta muitas organizações: uma vez dentro da rede, quanto tempo alguém levaria para chegar aos dados mais críticos? Ambientes que investem pesado no perímetro e pouco na segmentação interna costumam ter resultados desconfortáveis aqui.

Pentest de aplicação web

Foca nas falhas da própria aplicação, orientado pelo OWASP Top 10. Avalia controle de acesso, autenticação, tratamento de entradas, exposição de dados e lógica de negócio.

É indispensável para quem tem e-commerce, portal de clientes, sistema SaaS ou qualquer aplicação que trate dados de terceiros. Boa parte das violações de dados envolve exploração direta de vulnerabilidades em aplicações web.

Pentest de aplicativo mobile e de API

Aplicativos móveis têm superfície própria: armazenamento local inseguro, comunicação mal protegida, chaves embutidas no código do app. E quase todo aplicativo conversa com uma API, que muitas vezes é o elo mais frágil.

APIs mal protegidas se tornaram um dos vetores mais explorados justamente porque ficam invisíveis para testes focados só na interface.

Pentest em nuvem

Ambientes em AWS, Azure ou Google Cloud têm um tipo de risco particular: a má configuração. Um bucket de armazenamento aberto, uma permissão excessivamente ampla, uma credencial padrão não alterada.

A edição 2025 do OWASP Top 10 elevou Security Misconfiguration para a segunda posição entre os riscos mais críticos, refletindo exatamente esse cenário de ambientes cloud e containers.

Engenharia social

Testa o fator humano com campanhas controladas de phishing, ligações de pretexto ou tentativas de acesso físico. Mede quantos colaboradores clicam, informam credenciais ou concedem acesso.

É o único tipo de pentest cujo resultado se corrige com treinamento e mudança de processo, não com atualização de sistema. Vale um cuidado adicional aqui: o objetivo é medir a resiliência da organização, não expor indivíduos. Resultados devem ser tratados de forma agregada, e o retorno para as equipes precisa ser educativo, nunca punitivo, sob pena de as pessoas passarem a esconder incidentes reais.

Tipos por abordagem: black box, grey box e white box

A segunda classificação define quanta informação o pentester recebe antes de começar. A escolha muda profundamente o que o teste consegue cobrir dentro do tempo contratado.

Um alerta importante sobre o black box: quando o relatório de um teste cego conclui que nada relevante foi encontrado, a interpretação natural é que o ambiente está seguro. Mas há uma segunda hipótese igualmente plausível: o pentester consumiu o tempo contratado em reconhecimento e não chegou às áreas onde o risco realmente estava. Sem informação prévia, o esforço se dilui.

É por isso que, na prática, o grey box virou o padrão de mercado para a maioria das contratações. Ele preserva boa parte do realismo, mas evita que horas caras sejam gastas descobrindo o que a empresa poderia simplesmente ter informado.

Qual tipo escolher para o seu cenário

Na prática, a escolha se resolve olhando onde estão seus dados e sua exposição. A tabela abaixo relaciona situações comuns ao tipo de teste mais indicado:

Se a sua situação envolve mais de uma linha da tabela, o caminho não é contratar tudo de uma vez, e sim priorizar. Um bom fornecedor ajuda a definir esse escopo antes de propor valores, olhando onde a perda seria maior caso o pior acontecesse.

As fases de um teste de invasão

Independente do tipo escolhido, um pentest profissional segue metodologia. As referências mais usadas são o PTES (Penetration Testing Execution Standard), o OWASP para aplicações e o NIST SP 800-115.

O PTES organiza o trabalho em sete fases:

1. Interações pré-engajamento. Definição de escopo, regras, janelas de execução e autorizações formais.
2. Coleta de inteligência. Reconhecimento do alvo, mapeando o que está exposto e quais tecnologias estão em uso.
3. Modelagem de ameaças. Identificação dos ativos mais valiosos e dos caminhos que um atacante provavelmente tentaria.
4. Análise de vulnerabilidades. Identificação das falhas potenciais, combinando ferramentas e análise manual.
5. Exploração. Tentativa efetiva de explorar as falhas, para separar o que é real do que é falso positivo.
6. Pós-exploração. Avaliação do impacto: até onde seria possível avançar e a quais dados chegar.
7. Relatório. Documentação com priorização por risco, camada executiva e recomendações técnicas.

A existência de metodologia é, por si só, um critério de avaliação de fornecedor. Um teste sem método declarado é difícil de auditar e impossível de comparar.

Como definir o escopo antes de pedir proposta

A qualidade de um pentest é decidida antes do teste começar, na conversa sobre escopo. Chegar preparado nessa etapa melhora o resultado e evita orçamentos que não se comparam entre si.

Quatro perguntas ajudam a organizar essa definição:

1. O que aconteceria de pior? Vazamento de dados de clientes, parada da operação, fraude financeira, perda de propriedade intelectual. A resposta indica quais sistemas precisam entrar no escopo com prioridade.
2. Onde esses dados moram? Mapeie quais aplicações, bancos de dados e ambientes concentram a informação crítica. Não adianta testar o site institucional se o risco está no sistema interno de gestão.
3. O que mudou recentemente? Migrações, integrações novas, aplicações lançadas nos últimos meses. Mudança recente é onde falha nova costuma aparecer.
4. O que está fora dos limites? Sistemas de terceiros, ambientes que não podem sofrer indisponibilidade, janelas de operação crítica. Definir o que não pode ser testado é tão importante quanto definir o que pode.

Com essas respostas em mãos, a conversa com o fornecedor deixa de ser sobre preço genérico e passa a ser sobre cobertura real. É também o que permite comparar propostas de forma honesta, já que duas empresas podem cotar valores muito diferentes simplesmente porque entenderam escopos diferentes.

Erros comuns na escolha do tipo de teste

• Testar só o que é fácil de testar. É comum escolher o site institucional porque é simples de escopar, enquanto o sistema que realmente processa dados sensíveis fica de fora. O critério deve ser risco, não conveniência.
• Confundir escopo amplo com escopo profundo. Um teste que cobre trinta sistemas superficialmente encontra menos que um teste que cobre três com profundidade. Amplitude sem tempo adequado dilui o resultado.
• Ignorar as APIs. Muitas empresas testam a aplicação web e esquecem que as APIs que a alimentam ficam expostas de forma independente, muitas vezes com controles mais frágeis.
• Repetir o mesmo escopo todo ano. Se o ambiente mudou, o escopo precisa mudar junto. Repetir o teste anterior por inércia significa deixar de avaliar exatamente o que é novo.
• Tratar o teste como formalidade. Contratar o mais barato apenas para ter o certificado de auditoria resolve o requisito burocrático e não reduz risco nenhum.

Não sabe qual tipo de pentest sua empresa precisa?

A Viwsec ajuda a definir o escopo certo antes de propor o teste, para o investimento ir onde o risco realmente está.

Falar com um especialista

Em resumo

Os tipos de pentest se organizam por alvo (rede externa, rede interna, aplicação web, mobile e API, nuvem, engenharia social) e por abordagem (black box, grey box e white box). A escolha certa depende de onde estão seus dados críticos e qual superfície está mais exposta.

Para a maioria das empresas em primeira contratação, um teste externo em modelo grey box entrega o melhor equilíbrio entre custo, realismo e cobertura. E independente do tipo, o teste precisa seguir metodologia reconhecida, porque é isso que torna o resultado auditável e comparável.

Perguntas frequentes

Qual tipo de pentest minha empresa precisa?

Depende de onde estão seus dados críticos e qual superfície está mais exposta. Se o risco maior está na aplicação web, comece por ela. Se a preocupação é alguém já dentro da rede, o pentest interno faz mais sentido. Muitas empresas combinam externo e interno para ter visão completa.

Black box é melhor que white box?

Não existe melhor, existe adequado. O black box é mais realista porque simula um atacante sem informação prévia. O white box é mais completo porque cobre código e configuração. Para a primeira contratação, o grey box costuma dar o melhor equilíbrio.

Preciso fazer todos os tipos de pentest?

Não. O ideal é priorizar pelo risco: onde estão os dados mais sensíveis e qual superfície está mais exposta. Um bom fornecedor ajuda a definir esse escopo antes de propor o teste.

Quantas fases tem um pentest?

Depende da metodologia adotada. O PTES define sete fases, do pré-engajamento ao relatório. Na prática, o essencial é planejar o escopo, coletar informações, identificar falhas, explorar, documentar e retestar após as correções.

Pentest em nuvem é diferente de pentest tradicional?

Sim. Em nuvem, boa parte do risco está em configuração e permissões, não em falhas de software. Além disso, provedores como AWS e Azure têm políticas próprias sobre o que pode ser testado, o que precisa ser considerado no planejamento.

Fontes

OWASP. OWASP Top 10:2025, Open Worldwide Application Security Project: posicionamento de Security Misconfiguration entre os riscos mais críticos.

PTES. Penetration Testing Execution Standard: as sete fases de um teste de invasão.

NIST. Special Publication 800-115, Technical Guide to Information Security Testing and Assessment.