1
Reconhecimento e Escopo
Definição do escopo (black box, gray box ou white box), coleta de informações sobre o alvo e modelagem de ameaças. Alinhamento de regras de engajamento e janelas de teste.
Invasores testam sua defesa todos os dias. Quando foi a última vez que você testou?
Teste de invasão controlado com metodologia OWASP e PTES — infraestrutura externa, interna e aplicações web. Relatório executivo com plano de remediação priorizado.
Solicitar teste de invasãoSimulação real de ataque. Resultado real de proteção.
A maioria das empresas só descobre suas vulnerabilidades depois de um incidente. Firewalls configurados, antivírus atualizado, políticas de acesso definidas — e mesmo assim a brecha existe. Sem teste real, segurança é suposição.
Pentest é a simulação controlada de um ataque real contra sua infraestrutura. Especialistas utilizam as mesmas técnicas de invasores — reconhecimento, exploração, movimentação lateral — mas de forma autorizada e documentada. O resultado é um mapa preciso de onde sua defesa falha e o que corrigir primeiro.
Vulnerabilidade conhecida é vulnerabilidade corrigível. Vulnerabilidade ignorada é incidente esperando acontecer.
Como funciona
2
Testes e Exploração
Varredura de vulnerabilidades, exploração controlada de falhas, tentativa de escalação de privilégios e movimentação lateral. Cada etapa documentada com evidências.
3
Relatório e Remediação
Relatório executivo para a diretoria e técnico para a equipe de TI. Plano de correção priorizado por criticidade (CVSS) e reteste para validar as correções aplicadas.
O que muda na sua operação
Visibilidade real das brechas
Scan automatizado lista vulnerabilidades. Pentest prova quais delas são realmente exploráveis — e qual o impacto real no negócio.
Conformidade regulatória
PCI-DSS, ISO 27001, LGPD e SOC 2 exigem testes de segurança periódicos. Pentest gera evidências auditáveis de conformidade.
Validação dos controles existentes
Firewall, EDR, SIEM e políticas de acesso — o pentest testa se cada camada de defesa funciona de verdade sob pressão.
Decisão baseada em risco
Classificação CVSS por criticidade permite priorizar investimentos em segurança com base em evidências, não em suposições.
Relatório executivo e técnico
Dois documentos: sumário executivo para a diretoria aprovar investimentos e relatório técnico detalhado para a equipe corrigir.
Reteste incluso
Após a remediação, validamos se as correções foram efetivas. Ciclo completo: identificar, corrigir e confirmar.
O que está incluído
Pentest Externo
- Varredura de portas, serviços e perímetro
- Teste de firewalls, VPNs e WAFs
- Exploração de servidores web expostos
- Análise de DNS, e-mail e registros públicos
Pentest Interno
- Active Directory — Kerberoasting, Pass-the-Hash
- Escalação de privilégios local e de domínio
- Movimentação lateral entre segmentos
- Teste de segmentação de rede e VLANs
Aplicações Web
- OWASP Top 10 — cobertura completa
- SQL Injection, XSS, CSRF e SSRF
- Falhas de autenticação e controle de acesso
- APIs REST e GraphQL — BOLA, IDOR, rate limiting
Entregáveis
- Relatório executivo — sumário para a diretoria
- Relatório técnico com evidências e PoC
- Plano de remediação priorizado por CVSS
- Reteste de validação após correções
Perguntas frequentes
Qual a diferença entre pentest e scan de vulnerabilidades?
Scan de vulnerabilidades é automatizado — identifica falhas conhecidas em software e configurações. Pentest vai além: um especialista tenta explorar essas falhas de verdade, encadear ataques e medir o impacto real no negócio. Scan lista o que pode estar vulnerável. Pentest prova o que está.
O pentest pode derrubar sistemas em produção?
Risco mínimo. Antes de iniciar, definimos regras de engajamento que incluem escopo, janelas de teste e limites de exploração. Técnicas destrutivas (como DoS) ficam fora do escopo padrão. Testes mais agressivos podem ser realizados em ambientes de homologação, se necessário.
Com que frequência devo fazer pentest?
O padrão de mercado é anual para compliance (PCI-DSS, ISO 27001). Mas a recomendação prática é testar após grandes mudanças na infraestrutura — migração cloud, nova aplicação web, fusão de redes. Ambientes de alto risco (fintech, saúde, e-commerce) se beneficiam de testes semestrais.
Quais metodologias a SPKR utiliza?
OWASP Testing Guide para aplicações web, PTES (Penetration Testing Execution Standard) para infraestrutura e NIST SP 800-115 como framework de referência. A classificação de vulnerabilidades segue o padrão CVSS v3.1 para garantir comparabilidade e priorização objetiva.
O que acontece após a entrega do relatório?
Apresentação dos achados para a equipe técnica e, opcionalmente, para a diretoria. O plano de remediação priorizado guia as correções. Após a aplicação das correções, realizamos o reteste para confirmar que as vulnerabilidades foram efetivamente eliminadas. Ciclo completo: identificar, corrigir, validar.
Descubra suas brechas antes que o invasor descubra
Pentest controlado com metodologia reconhecida, relatório executivo e plano de correção priorizado. Fale com nossos especialistas.
Solicitar teste de invasão