Teste de intrusão: o que é e como funciona
Teste de intrusão, ou pentest, é uma tentativa autorizada de invadir os sistemas da empresa para descobrir, com prova, onde um atacante real entraria. Veja as etapas, o que diferencia de uma varredura automática e quando faz sentido contratar.
As 6 etapas de um teste de intrusão
01
Escopo e autorização
Alvos, limites, janelas, contas de teste e contato de emergência definidos por escrito. Sem autorização formal não existe teste de intrusão, existe crime.
02
Reconhecimento
Mapeamento da superfície: domínios, rotas, APIs, tecnologias, perfis de acesso e fluxos de negócio.
03
Análise de vulnerabilidades
Ferramentas e revisão manual levantam hipóteses de falha em autenticação, acesso, entrada de dados e configuração.
04
Exploração controlada
Cada hipótese é testada até provar ou descartar o impacto, sem destruir dados nem derrubar serviço.
05
Relatório
Evidência de cada falha, severidade, impacto no negócio e correção recomendada, em versão técnica e executiva.
06
Reteste
Depois das correções, cada falha é validada de novo e o laudo é atualizado com o status final.
Teste de intrusão x varredura de vulnerabilidades
| Varredura automática | Teste de intrusão | |
|---|---|---|
| O que faz | Procura padrões conhecidos de forma automática | Um especialista tenta invadir de verdade, encadeando falhas |
| Falhas de lógica e acesso | Quase nunca encontra | É o foco principal |
| Falso positivo | Comum, exige triagem | Cada achado vem com prova de impacto |
| Frequência ideal | Contínua, a cada build ou semana | Anual e após mudanças relevantes |
| Aceito em auditoria | Raramente como evidência única | Sim, quando feito por terceiro independente |
Os dois se complementam. A varredura cuida do básico de forma contínua; o teste de intrusão encontra o que só uma pessoa pensando como atacante encontra. Conheça os tipos de pentest e veja quanto custa.
O que você recebe no final
Um relatório técnico com cada falha, a evidência, a severidade e o passo a passo da correção, para o time de desenvolvimento. Um sumário executivo que explica o risco em linguagem de negócio, para a diretoria, o cliente ou o auditor. E, depois das correções, o reteste que atualiza o laudo com o status de cada item.
Antes de contratar, dá para ver a superfície pública do seu site sem custo: verifique seu site grátis.
Perguntas frequentes
Dúvidas comuns sobre teste de intrusão.
Sua empresa resiste a um teste de intrusão?
Conversa de escopo gratuita de 20 minutos e proposta em até 24 horas úteis.