O contrato estava fechado até chegar o questionário de segurança do cliente. Entre as perguntas, uma que ninguém sabia responder: quando foi realizado o último teste de invasão nos sistemas que armazenam dados dos clientes? A empresa tinha antivírus, senha forte e um fornecedor de confiança. Não tinha resposta.
Essa situação virou rotina em quem vende para empresas maiores, para o setor público ou para qualquer cliente que leve conformidade a sério. E ela expõe uma distância desconfortável entre duas coisas: acreditar que o sistema está seguro e ter como demonstrar isso.
A tese deste texto é que o pentest não é um item de luxo reservado a bancos. É o exame que transforma opinião em evidência. Mas ele só faz sentido depois que o básico está feito, e contratá-lo cedo demais é dinheiro gasto para descobrir o que já se sabia.
O que é um pentest?
Pentest, ou teste de invasão, é um exercício autorizado em que especialistas tentam explorar as falhas de um sistema da mesma forma que um invasor faria, com escopo, regras e prazo definidos em contrato. O objetivo não é derrubar nada, e sim provar o que é possível fazer e documentar como impedir.
A palavra autorizado é a que muda tudo. O time recebe permissão formal, uma lista do que pode e do que não pode ser testado, uma janela de horário combinada e um canal direto para avisar caso encontre algo grave no meio do caminho. Sem esse acordo por escrito, não é teste, é incidente.
Os formatos variam conforme a informação entregue a quem testa. Sem nenhum acesso prévio, simulando um estranho na internet. Com acesso de usuário comum, simulando alguém que já entrou, seja um cliente ou um funcionário. Ou com acesso à documentação e ao código, o que costuma render mais achados por hora investida. O terceiro formato é o mais eficiente para sistemas próprios; o primeiro é o mais parecido com o mundo real.
Qual a diferença entre pentest e varredura de vulnerabilidades?
Confundir os dois é o erro mais comum e o mais caro, porque leva empresas a pagar por um e receber o outro.
A varredura é automatizada. Uma ferramenta percorre o sistema procurando versões desatualizadas e falhas conhecidas, e devolve uma lista, muitas vezes longa, com itens classificados por gravidade teórica. É barata, rápida e deveria ser feita com frequência, idealmente de forma contínua.
O pentest é conduzido por pessoas. O especialista encadeia problemas pequenos até chegar a um impacto real, coisa que ferramenta nenhuma faz. Uma falha classificada como média por um scanner pode virar acesso total quando combinada com uma configuração errada e uma senha reaproveitada. É esse encadeamento que a máquina não enxerga.
Na prática, os dois se complementam: varredura frequente para higiene, pentest periódico para profundidade. Se a proposta que você recebeu entrega apenas um relatório de ferramenta com o nome de pentest, você está pagando caro por varredura.
Quando sua empresa realmente precisa de um?
Alguns gatilhos tornam o teste claramente justificável:
- Você guarda dados sensíveis de terceiros. Dados pessoais, financeiros ou de saúde elevam o dano potencial e as obrigações legais, como já tratamos ao falar de LGPD no desenvolvimento de software.
- Um cliente ou parceiro exige. Questionários de fornecedores e processos de licitação passaram a pedir evidência recente de teste.
- O sistema expõe algo na internet. Portal do cliente, área logada, aplicativo, integração aberta para parceiros. Tudo que é público é testado por terceiros de qualquer forma, com ou sem sua autorização.
- Houve mudança grande. Um sistema novo entrando no ar, uma migração de infraestrutura ou uma integração relevante muda a superfície exposta.
- A empresa passou por um susto. Tentativa de fraude, e-mail comprometido, acesso indevido. Depois do incidente, o teste ajuda a saber o que mais está aberto.
Se nenhum desses gatilhos existe e o básico ainda não está resolvido, comece pelo básico. Vai render mais segurança por real investido.
Quanto custa e quanto tempo leva?
O preço é definido pelo escopo, não pelo tamanho da empresa. O que pesa é a quantidade de alvos, o volume de funcionalidades a percorrer e a profundidade contratada.
Para dar ordem de grandeza sem virar cotação, um teste focado em uma aplicação web de porte médio costuma ocupar de uma a duas semanas de trabalho especializado, incluindo a redação do relatório. Escopos que somam aplicação, aplicativo e infraestrutura, ou que exigem repetição periódica, evidentemente crescem a partir daí. Os números são referências ilustrativas: propostas variam bastante conforme o que está incluído.
Um alerta útil na hora de comparar orçamentos: proposta muito abaixo das outras geralmente significa escopo menor, ferramenta automatizada no lugar de análise humana, ou relatório sem reteste. Compare o que está incluído antes de comparar valores, do mesmo jeito que se faz para não estourar o escopo de um projeto de software.
O que você recebe no final?
O produto do pentest é o relatório, e ele precisa servir a dois públicos ao mesmo tempo. Um relatório bem feito tem, no mínimo:
Resumo executivo. Uma página em linguagem de negócio dizendo o que foi testado, o que foi encontrado e qual o risco para a operação. É a parte que vai para a diretoria e para o cliente que exigiu o teste.
Achados detalhados. Cada problema com descrição, gravidade, evidência de que é real e passo a passo de reprodução. Sem evidência, o time de desenvolvimento perde tempo discutindo se o item procede.
Recomendação prática. O que fazer para corrigir cada item, com indicação do que é urgente e do que pode entrar no planejamento normal.
O que foi testado e o que ficou de fora. Delimitação honesta do escopo. Isso protege os dois lados e evita a leitura equivocada de que o sistema inteiro foi coberto.
O que fazer com o resultado?
Relatório guardado na gaveta é a pior forma de gastar dinheiro com segurança. O ciclo só se fecha com correção e verificação.
Priorize pelo impacto no negócio, não apenas pela nota técnica. Uma falha classificada como média que expõe dados de clientes costuma ser mais urgente que uma alta em um ambiente interno de teste. Combine prazos por faixa de gravidade e coloque isso no plano de trabalho do time ou do fornecedor.
Contrate o reteste. É a etapa que confirma que as correções funcionaram e que nada novo foi introduzido no caminho. Muitos contratos já incluem uma rodada de verificação por um período após a entrega; se não incluir, negocie.
Por fim, use o resultado para melhorar o processo, não só o sistema. Se apareceram três falhas do mesmo tipo, o problema está na forma como o software é construído e testado, e é aí que vale investir, como discutimos em testes de software e QA.
O que resolver antes de contratar o primeiro teste?
Existe uma lista curta de medidas que custam pouco e evitam boa parte dos achados óbvios. Fazer o teste antes delas é pagar caro para ouvir o previsível:
- Autenticação em duas etapas em tudo que for possível, começando por e-mail, acesso administrativo e servidores.
- Atualizações em dia de sistema operacional, bibliotecas e plugins. Boa parte dos ataques bem-sucedidos explora falha conhecida e já corrigida.
- Acessos revisados. Ex-funcionário sem acesso, cada pessoa com o mínimo necessário, nada de senha compartilhada em planilha.
- Backup testado. Não basta existir, precisa ter sido restaurado alguma vez, como detalhamos em backup e continuidade.
- Registro e monitoramento ativos. Sem histórico de acessos, ninguém investiga incidente nenhum, e sem alerta ninguém percebe a tempo.
Esses itens formam a base descrita em segurança digital na empresa. Com eles resolvidos, o pentest passa a encontrar o que realmente interessa.
Segurança que não é medida é apenas expectativa
Empresas costumam descobrir o próprio nível de segurança de duas formas: contratando um teste ou sofrendo um incidente. A primeira custa uma fração da segunda e acontece em uma data escolhida por você, com relatório no fim e sem cliente afetado.
O caminho sensato é gradual: resolver o básico, contratar um teste com escopo bem definido, corrigir o que aparecer, verificar as correções e repetir quando o sistema mudar de forma relevante. Segurança não é projeto com data de término, é rotina com evidência.
Se a sua empresa precisa comprovar segurança para um cliente ou quer saber o que está exposto antes que alguém descubra por conta, converse com o nosso time. A DevCore ajuda a definir o escopo certo, conduzir o teste e priorizar as correções pelo impacto no seu negócio.
Perguntas frequentes sobre pentest
Com que frequência o pentest deve ser refeito?
A referência mais usada é anual, com testes adicionais sempre que houver mudança relevante, como um sistema novo no ar, uma migração de infraestrutura ou uma integração importante. Empresas que atualizam software com frequência costumam combinar varredura contínua com um teste aprofundado por ano.
O pentest pode derrubar o sistema durante o teste?
O risco existe e é gerenciado por contrato. Define-se janela de execução, lista do que não pode ser testado e um canal de contato imediato para interromper qualquer ação. Quando a preocupação com indisponibilidade é grande, o teste é feito em ambiente equivalente ao de produção, com a ressalva de que os achados precisam ser confirmados depois.
Preciso de pentest se meu sistema é hospedado em nuvem?
Sim. O provedor de nuvem responde pela segurança da infraestrutura dele, não pela aplicação que você colocou lá em cima, nem pelas permissões que a sua equipe configurou. A maior parte dos incidentes em ambientes de nuvem tem origem em configuração e acesso, exatamente o que o teste avalia.