Externo (perímetro)
O que um atacante vê a partir da Internet: serviços expostos, VPN, email e sites.
Testes de intrusão
Testes de intrusão para empresas:tipos, processo e o que recebe
Um teste de intrusão (pentest) é uma prova autorizada: tentamos explorar as vulnerabilidades do seu site, da sua rede ou das suas aplicações como faria um atacante, para demonstrar o risco real e dizer-lhe em que ordem corrigir. É feito por uma equipa certificada (CEH, eJPT), com validação manual e não só com scanners.
Pentest, análise e auditoria não são o mesmo
| Análise de vulnerabilidades | Pentest | Auditoria | |
|---|---|---|---|
| Objetivo | Listar falhas conhecidas | Demonstrar se podem ser exploradas | Rever controlos e processos |
| Profundidade | Automática e ampla | Manual e dirigida | Organizativa e técnica |
| Resultado | Lista de achados | Evidências, impacto e prioridades | Mapa de riscos e plano |
Tipos de pentest que fazemos
Interno e Active Directory
O que poderia fazer alguém já dentro da sua rede ou com uma conta roubada.
Aplicação web e API
Seguindo o OWASP Top 10 e o guia de testes WSTG: autenticação, autorização, injeções.
Aplicação móvel
Segundo a norma OWASP MASVS: armazenamento, comunicações e lógica.
Wi-Fi e nuvem
Redes sem fios e configuração do Microsoft 365, Azure ou AWS.
Engenharia social
Simulações de phishing e testes aos processos das pessoas.
Caixa preta, cinzenta ou branca
Caixa preta
Sem informação prévia, como um atacante externo. Mede o que se vê de fora.
Caixa cinzenta
Com um utilizador ou alguma documentação. É a opção mais habitual nas empresas.
Caixa branca
Com acesso ao código ou à arquitetura. Encontra mais em menos tempo.
Um pentest do início ao fim
Seguimos metodologias reconhecidas (OWASP WSTG, PTES, OSSTMM e NIST SP 800-115) e mapeamos as técnicas com o MITRE ATT&CK.
- 01
Âmbito e autorização
Definimos o que se testa, quando e como, e assinamos a carta de autorização e o acordo de confidencialidade.
- 02
Reconhecimento
Recolhemos informação pública e técnica do alvo, como faria um atacante.
- 03
Exploração controlada
Tentamos explorar o que encontramos sem afetar a operação e paramos perante qualquer risco.
- 04
Relatório e reunião
Entregamos os resultados e revemo-los com a administração e a equipa técnica.
- 05
Verificação
Confirmamos que as correções funcionam, conforme o âmbito acordado.
O que recebe
- Relatório executivo para a administração: risco, impacto e prioridades em linguagem clara.
- Relatório técnico: cada achado com a sua severidade (CVSS), evidências, passos para o reproduzir e como o corrigir.
- Reunião de fecho com a administração e a equipa técnica.
- Verificação das correções conforme o âmbito.
De que depende o orçamento
Não há um preço único: preparamos uma proposta à medida em função de:
- O tipo de teste (externo, interno, web, API, móvel, nuvem).
- A dimensão do âmbito: número de IPs, URLs, aplicações ou utilizadores.
- A profundidade (caixa preta, cinzenta ou branca) e as janelas de teste.
- Se inclui a verificação das correções.
Com que frequência
- Pelo menos uma vez por ano e depois de qualquer mudança importante (novo site, migração para a nuvem, fusão).
- A NIS2 (art. 21.º) exige avaliar a eficácia das medidas de cibersegurança.
- A ISO/IEC 27001:2022 pede a gestão das vulnerabilidades técnicas (controlo A.8.8).
- O PCI DSS (requisito 11.4) exige testes de intrusão periódicos.
- O DORA prevê testes de penetração baseados em ameaças (TLPT) para as entidades financeiras significativas.
Perguntas frequentes sobre testes de intrusão
Não deveria. Acordamos janelas de teste, evitamos técnicas destrutivas e paramos se algo puser em risco um sistema em produção.
Só nos testes de caixa cinzenta ou branca. Em caixa preta trabalhamos sem informação prévia, como um atacante externo.
Avisamos de imediato, sem esperar pelo relatório final, para que possa agir o quanto antes.
Sim: o relatório é uma evidência de que avalia a eficácia das suas medidas, algo que pedem a NIS2, a ISO 27001 e muitas seguradoras.
Sim. Antes de começar assinamos a carta de autorização e o acordo de confidencialidade.
Quer saber por onde entraria um atacante?
Diga-nos o que quer testar e enviamos uma proposta com o âmbito e as datas.