O que é Teste de Penetração, de Verdade?

Teste de penetração é a prática de simular ataques reais contra um sistema, rede ou aplicação sob um acordo assinado, com o objetivo de encontrar fraquezas exploráveis antes que alguém sem permissão o faça. É um exercício controlado, limitado no tempo, que termina em um relatório, não uma sessão de hacking aberta e sem fim.

A diferença entre pentesting e scanning de vulnerabilidades

Um scanner de vulnerabilidades como Nessus ou OpenVAS verifica um alvo contra um banco de dados de assinaturas conhecidas e fornece uma lista de possíveis problemas, a maioria dos quais precisa de verificação manual. Um pentest vai além: o testador realmente tenta explorar os achados, encadeá-los e demonstrar impacto real. Um scan diz que uma porta está aberta e uma versão de serviço parece desatualizada. Um pentest diz que aquele serviço desatualizado pode ser usado para obter um shell, e a partir daquele shell você pode fazer pivot no controlador de domínio.

Essa distinção importa também para relatórios. Um relatório de scan é uma lista. Um relatório de pentest é uma história com evidências: capturas de tela, saída de comandos e um passo a passo do caminho de ataque do acesso inicial até o objetivo acordado (acesso a dados, domain admin, etc.).

Como um engajamento é delimitado

Antes de qualquer teste começar, cliente e testador acordam as regras de engajamento: o que está em escopo (faixas de IP específicas, domínios, aplicações), o que está fora dos limites (bancos de dados em produção, sistemas de terceiros não pertencentes ao cliente), janelas de teste e contatos de emergência se algo quebrar. Isso é documentado em uma carta de autorização assinada ou contrato. Sem essa autorização, o mesmo trabalho técnico é um crime sob leis como o US Computer Fraud and Abuse Act ou o UK Computer Misuse Act.

Engajamentos geralmente são categorizados por quanto de informação o testador começa com:

• Black box — testador recebe um alvo e nada mais, simulando um atacante externo com zero conhecimento prévio.
• Gray box — testador recebe algumas informações, como uma conta de usuário ou diagrama de rede, semelhante a um insider malicioso ou cenário de credencial comprometida.
• White box — testador tem acesso total ao código-fonte, documentação de arquitetura e credenciais, útil para testes profundos em nível de aplicação.

Como uma metodologia típica se parece

A maioria dos pentests segue aproximadamente uma estrutura próxima ao PTES (Penetration Testing Execution Standard) ou as fases no NIST SP 800-115:

1. Reconnaissance — coleta de informações passiva e ativa. Ferramentas como theHarvester, amass ou simples Google dorking por subdomínios expostos e emails de funcionários.
2. Scanning e enumeração — nmap -sC -sV contra a faixa de alvo, brute-force de diretório com gobuster ou ffuf em aplicações web, enumeração SMB com enum4linux em redes internas.
3. Exploração — usando CVEs conhecidas, configurações incorretas, credenciais fracas ou payloads customizados para ganhar acesso inicial. Isso pode significar um módulo Metasploit, um payload SQL injection crafted ou um email de phishing com uma macro maliciosa.
4. Pós-exploração — uma vez que você tem um foothold, o trabalho real começa: escalação de privilégios, movimento lateral, coleta de credenciais com ferramentas como Mimikatz ou secretsdump.py, e descobrir até onde o acesso realmente se estende.
5. Relatório — documentar achados com scores CVSS, passos de reprodução, evidências e orientação de remediação que a equipe de engenharia do cliente possa atuar.

Tipos de pentests que você encontrará

Pentests de rede visam infraestrutura interna ou externa — servidores, firewalls, roteadores. Pentests de aplicação web focam em coisas no OWASP Top 10: falhas de injeção, autenticação quebrada, desserialização insegura. Pentests de aplicativo mobile investigam arquivos APK/IPA, endpoints de API e armazenamento local. Pentests de wireless testam segurança de Wi-Fi (captura de handshake WPA2/3, pontos de acesso rogue). Pentests físicos e de engenharia social testam se alguém pode entrar em um prédio ou convencer um funcionário a entregar credenciais, sem código necessário.

Por que empresas realmente pagam por isso

Além de encontrar bugs, pentests satisfazem requisitos de conformidade. PCI DSS exige testes de penetração anuais para quem lida com dados de cartão. Auditorias SOC 2 e ISO 27001 geralmente esperam evidências de teste regular. Mas a razão honesta pela qual bons times de segurança contratam pentests não é apenas marcar a caixa — é que scanners automatizados perdem falhas de lógica de negócios, problemas de severidade baixa encadeados e o tipo de exploração criativa que um humano habilidoso encontra. Um scanner não vai notar que mudar um order ID em uma URL permite visualizar a fatura de alguém. Um testador vai.

Entrando nesse campo

Se você está mirando pentesting como carreira, prática hands-on importa mais do que certificações sozinhas. Plataformas como HackTheBox e TryHackMe constroem memória muscular; certificações como OSCP a validam. Aprenda a ler código-fonte, entenda como HTTP realmente funciona em nível de byte e fique confortável com um terminal Linux antes de se preocupar com ferramentas chamativas.

Se este resumo foi útil, Korra Studio tem mais segmentos na trilha Offensive cobrindo técnicas de exploração específicas, walkthroughs de ferramentas e prática baseada em lab que você pode acompanhar.