A diferença em uma linha
O scan de vulnerabilidades pergunta "existe alguma falha conhecida aqui?". O pentest pergunta "um atacante consegue chegar aos dados que importam, e como?".
Scan de vulnerabilidades
- Feito por ferramenta, com pouca ou nenhuma análise humana.
- Compara versões e configurações com bases de falhas conhecidas.
- Rápido e barato, pode rodar toda semana ou todo mês.
- Gera muitos alertas, inclusive falsos positivos, que alguém precisa filtrar.
- Não entende regra de negócio nem testa o que acontece depois do login com profundidade.
Pentest
- Feito por especialistas, com ferramentas de apoio e muito teste manual.
- Valida cada falha: só entra no relatório o que foi confirmado, com evidência.
- Testa autorização, lógica de negócio e encadeamento de falhas.
- Mostra o impacto real: quais dados ficariam expostos e o que um atacante faria com eles.
- Mais caro e pontual, normalmente anual e depois de mudanças grandes.
Qual escolher
Não é um ou outro. O scan é a higiene contínua: pega rápido a versão desatualizada e a configuração que escapou. O pentest é a prova de fogo: mostra se as defesas aguentam um ataque pensado. Empresas maduras usam o scan com frequência e o pentest em ciclos.
Se você só pode fazer um agora e o sistema tem login e dados de clientes, comece pelo pentest: ele encontra as falhas que causam vazamento, e o relatório já orienta o que monitorar depois.
Atenção a propostas de "pentest" que na prática são um scan com logotipo: peça a quantidade de horas de teste manual e exemplos de achados de lógica de negócio.