Um pentest, ou teste de penetração, é um teste de segurança autorizado em que especialistas tentam explorar vulnerabilidades de sistemas concretos, com regras acordadas previamente, para demonstrar o que um atacante real poderia conseguir e com que impacto.
Como funciona
Antes de começar, assina-se um âmbito: que sistemas são testados, em que datas e horários, que técnicas ficam excluídas (por exemplo, a negação de serviço ou a engenharia social, salvo autorização expressa), quem é o contacto de emergência e como se interrompe o teste se algo se degradar.
Os especialistas combinam ferramentas automáticas com validação manual e encadeiam fragilidades para perceber até onde um ataque consegue chegar. O teste pode ser feito sem informação prévia (caixa preta), com informação completa (caixa branca) ou num ponto intermédio, e centrar-se na rede externa, na rede interna, em aplicações web, na cloud ou em dispositivos. O resultado é um relatório com constatações confirmadas, evidências, risco, percurso do ataque e recomendações ordenadas por prioridade.
Exemplo
Exemplo ilustrativo, não um caso real. Uma empresa publica um portal para os seus clientes e acorda testar apenas esse portal e o respetivo servidor, em horário noturno e sem testes de negação de serviço. Os especialistas verificam que um painel de administração continua acessível a partir da Internet e que uma conta usa uma palavra-passe fraca; com ela chegam a dados de clientes de teste.
O relatório descreve os passos, as evidências e o risco, e recomenda fechar o acesso, ativar a autenticação multifator e rever permissões. Depois da correção, esses pontos são verificados novamente (reteste) para confirmar que ficaram fechados, em vez de se dar o assunto por resolvido só porque a tarefa foi encerrada.
O que um pentest não é
Não é uma análise de vulnerabilidades automática: esta costuma ser mais ampla e repetível, ao passo que o pentest valida se uma fragilidade é realmente explorável. Não testa o que ficou fora do âmbito nem prova que não existem outras falhas.
É uma fotografia de um momento. Segundo o NCSC, o organismo de cibersegurança do Reino Unido, só valida que os sistemas não são vulneráveis a problemas conhecidos no dia do teste, e a sua qualidade depende da competência de quem o realiza. Um certificado ou o nome de uma ferramenta não provam cobertura. E, sem autorização escrita do titular dos sistemas, testar sistemas alheios pode ser ilegal.
Quando chamar um especialista
Convém encomendar um pentest quando um cliente, uma seguradora ou uma norma o pedem, quando se lança uma aplicação ou um serviço exposto à Internet, ou depois de alterações importantes, e quando já existe uma gestão básica de atualizações e de acessos: caso contrário, o relatório enche-se de constatações evitáveis. Peça que o âmbito conste por escrito, que quem executa seja independente de quem administra os sistemas e que se inclua um reteste.
Na Impulso Tecnológico trabalhamos em diagnóstico, controlos técnicos e formação: podemos ajudar com o diagnóstico prévio, com os controlos técnicos que o relatório recomendar e com a formação da equipa. Consulte o nosso guia de auditoria informática aos sistemas, o serviço de cibersegurança ou conte-nos o seu caso.
Saber mais
Termos relacionados do glossário: gestão de patches, EDR e SIEM.
Fontes oficiais e de referência (em inglês): o guia Penetration testing do NCSC, a publicação NIST SP 800-115 sobre testes e avaliações de segurança e o OWASP Web Security Testing Guide.