1
Reconhecimento e Escopo
Definição do escopo (black box, gray box ou white box), coleta de informações sobre o alvo e modelagem de ameaças. Alinhamento de regras de engajamento e janelas de teste.
Pentest com metodologia OWASP + PTES: infraestrutura externa, interna e aplicações web — relatório executivo + reteste de validação.
Teste de invasão controlado conduzido pela SPKR com metodologia OWASP + PTES — escopo externo (perímetro), interno (lateral movement, escalação) e aplicações web (OWASP Top 10). Entrega: relatório executivo (Comitê) + relatório técnico (equipe TI) + plano de remediação priorizado por criticidade CVSS + reteste de validação após correção.
01 Caso real
Quando "estamos seguros porque tem firewall" vira "essas 4 vulnerabilidades exploráveis foram corrigidas no reteste" — pentest transforma suposição em evidência.
02 Como funciona
Reconhecimento, exploração e remediação validada — três fases OWASP/PTES.
2
Testes e Exploração
Varredura de vulnerabilidades, exploração controlada de falhas, tentativa de escalação de privilégios e movimentação lateral. Cada etapa documentada com evidências.
3
Relatório e Remediação
Relatório executivo para a diretoria e técnico para a equipe de TI. Plano de correção priorizado por criticidade (CVSS) e reteste para validar as correções aplicadas.
03 O que muda
Seis mudanças concretas com pentest periódico documentado.
Brechas exploráveis
Vulnerabilidades reais separadas das teóricas.
Scan automatizado lista vulnerabilidades; pentest prova quais delas são realmente exploráveis no contexto do ambiente — e qual o impacto real no negócio se exploradas.
Compliance regulatório
Evidência auditável para PCI-DSS, ISO 27001 A.12.6, BACEN.
PCI-DSS req. 11 (semestral em ambiente de cartão), ISO 27001 A.12.6 (anual), BACEN para gestoras financeiras, OAB Provimento 198/2023 (advocacia) — pentest gera evidência documentada para auditoria externa.
Validação de controles
Firewall, EDR, SIEM e Conditional Access testados sob pressão.
Cada camada de defesa do ambiente é testada com técnicas reais de invasor — não apenas configurada por checklist. Detecta gaps de configuração e falsos positivos de proteção.
Priorização CVSS
Investimento em segurança baseado em criticidade real.
Classificação CVSS por vulnerabilidade permite priorizar correções por impacto × probabilidade — Comitê de Risco aprova orçamento com evidência defensável, não com suposição.
Relatório dual
Sumário executivo + relatório técnico detalhado.
Dois documentos por engagement: sumário para Comitê/Conselho aprovar investimentos e relatório técnico para a equipe TI corrigir vulnerabilidade por vulnerabilidade com PoC reproduzível.
Reteste contratual
Validação pós-correção incluída no escopo.
Após a equipe TI aplicar correções, equipe SPKR retesta cada vulnerabilidade explorada — ciclo completo identificar, corrigir e confirmar com evidência documentada para auditoria.
04 Escopo
Externo, interno, aplicações web e relatórios — escopo contratual.
Frente
Pentest Externo
- Varredura de portas, serviços e perímetro
- Teste de firewalls, VPNs e WAFs
- Exploração de servidores web expostos
- Análise de DNS, e-mail e registros públicos
Frente
Pentest Interno
- Active Directory — Kerberoasting, Pass-the-Hash
- Escalação de privilégios local e de domínio
- Movimentação lateral entre segmentos
- Teste de segmentação de rede e VLANs
Frente
Aplicações Web
- OWASP Top 10 — cobertura completa
- SQL Injection, XSS, CSRF e SSRF
- Falhas de autenticação e controle de acesso
- APIs REST e GraphQL — BOLA, IDOR, rate limiting
Frente
Entregáveis
- Relatório executivo — sumário para a diretoria
- Relatório técnico com evidências e PoC
- Plano de remediação priorizado por CVSS
- Reteste de validação após correções
05 Perguntas frequentes
Perguntas frequentes sobre Pentest SPKR.
Qual a diferença entre pentest e scan de vulnerabilidades?
Scan de vulnerabilidades é automatizado — identifica falhas conhecidas em software e configurações. Pentest vai além: um especialista tenta explorar essas falhas de verdade, encadear ataques e medir o impacto real no negócio. Scan lista o que pode estar vulnerável. Pentest prova o que está.
O pentest pode derrubar sistemas em produção?
Risco mínimo. Antes de iniciar, definimos regras de engajamento que incluem escopo, janelas de teste e limites de exploração. Técnicas destrutivas (como DoS) ficam fora do escopo padrão. Testes mais agressivos podem ser realizados em ambientes de homologação, se necessário.
Com que frequência devo fazer pentest?
O padrão de mercado é anual para compliance (PCI-DSS, ISO 27001). Mas a recomendação prática é testar após grandes mudanças na infraestrutura — migração cloud, nova aplicação web, fusão de redes. Ambientes de alto risco (fintech, saúde, e-commerce) se beneficiam de testes semestrais.
Quais metodologias a SPKR utiliza?
OWASP Testing Guide para aplicações web, PTES (Penetration Testing Execution Standard) para infraestrutura e NIST SP 800-115 como framework de referência. A classificação de vulnerabilidades segue o padrão CVSS v3.1 para garantir comparabilidade e priorização objetiva.
O que acontece após a entrega do relatório?
Apresentação dos achados para a equipe técnica e, opcionalmente, para a diretoria. O plano de remediação priorizado guia as correções. Após a aplicação das correções, realizamos o reteste para confirmar que as vulnerabilidades foram efetivamente eliminadas. Ciclo completo: identificar, corrigir, validar.
06 Relacionados
Produtos e ecossistema técnico que conversam com Pentest.
Decida com base em fato — discovery do escopo, modalidade recomendada (black/gray/white box), proposta em real.
Conversa de 30 minutos com a equipe técnica SPKR mapeia o escopo do pentest (perímetro externo, infra interna, aplicações web, ambiente PCI-DSS) e recomenda modalidade. Em parte dos casos, a recomendação é começar por escopo externo + 1 aplicação crítica e expandir conforme maturidade — honestidade técnica antes de proposta comercial.