Tipos de pentest: qual teste sua empresa precisa
Pentest se classifica de duas formas: pelo quanto o pesquisador sabe antes de começar (black, gray ou white box) e pelo alvo (web, API, nuvem, infraestrutura, mobile, IA). Escolher certo é o que faz o investimento render.
Pelo nível de informação
Black box
O pesquisador começa sem nenhuma informação, como um atacante de fora. Mostra o que é visível da internet, mas gasta boa parte das horas em reconhecimento.
Quando a pergunta é "o que alguém de fora vê?"
Gray box
O pesquisador recebe contas de teste com perfis diferentes e alguma documentação. Testa como um cliente ou funcionário mal-intencionado.
O melhor custo-benefício na maioria dos casos
White box
Acesso a código-fonte, arquitetura e documentação. Encontra mais falhas por hora e falhas mais profundas.
Sistemas críticos e antes de lançamentos grandes
Pelo alvo
Aplicações web
Sites, sistemas e plataformas com login: autenticação, controle de acesso, injeção e lógica de negócio.
Ver o serviçoAPIs
REST, GraphQL e integrações: autorização por objeto, autenticação, limite de uso e exposição de dados.
Ver o serviçoAplicações com IA
Chatbots, agentes e RAG, com base no OWASP Top 10 para LLM: injeção de prompt, vazamento, agência excessiva.
Ver o serviçoNuvem
Configuração de AWS, Azure e GCP: permissões, armazenamento exposto, chaves e serviços públicos.
Ver o serviçoInfraestrutura externa
Tudo o que a empresa expõe na internet: servidores, painéis, VPN, e-mail e serviços esquecidos.
Infraestrutura interna
O que um atacante faz depois de entrar na rede: movimentação lateral, privilégios e o caminho até os dados.
Aplicativos mobile
App Android e iOS e, principalmente, a API que ele consome: armazenamento local, comunicação e autenticação.
Engenharia social
Simulações autorizadas de phishing e de abordagem para medir o fator humano.
Pentest ou red team?
O pentest responde “quais falhas existem neste sistema?”. O red team responde “um adversário determinado chegaria ao que importa, e nós perceberíamos?”. Para a maioria das empresas, o pentest vem primeiro; o red team faz sentido quando já existe um time ou serviço de monitoramento para ser testado.
Entenda as etapas no guia de teste de intrusão e veja quanto custa cada formato.
Perguntas frequentes
Dúvidas comuns sobre os tipos de pentest.
Não sabe qual tipo faz sentido?
Em 20 minutos indicamos o teste certo para o seu caso, sem custo.