O que é um teste de intrusão (pentest)? Como funciona e que tipos existem
Guia completo: definição de teste de intrusão, etapas, tipos por nível de informação (black, grey e white box) e por alvo, o que um bom relatório deve ter e com que frequência testar.
Definição: um teste de intrusão (pentest) é uma simulação autorizada de ataque, conduzida por especialistas, para encontrar e explorar vulnerabilidades em sistemas, aplicações, APIs ou modelos de IA — e demonstrar o impacto real no negócio antes que um atacante o faça. A diferença para um varrimento de vulnerabilidades é a exploração e o encadeamento: o pentest prova o que é possível fazer, não apenas o que parece estar errado.
Este guia responde às perguntas básicas — o que é, como funciona, que tipos existem — e às que importam na hora de decidir: que tipo escolher, o que esperar do relatório e quando é obrigatório.
Para que serve um teste de intrusão
- Reduzir risco real. Encontrar o caminho que leva um utilizador comum até aos dados de outros clientes, a privilégios de administração ou a movimentos financeiros indevidos.
- Cumprir requisitos. O PCI DSS exige pentest anual e após alterações significativas; a ISO 27001, o SOC 2, a NIS2 e o DORA tratam os testes de segurança como evidência de controlo. Veja testes de intrusão na NIS2 e no DORA e ISO 27001, SOC 2 e RGPD.
- Vender. Clientes empresariais pedem um relatório recente nos questionários de segurança. Sem ele, o contrato pára no processo de compras.
Como funciona, passo a passo
- Âmbito e regras de atuação. O que pode ser testado, em que ambiente, em que janela, com que contas e o que está proibido (por exemplo, negação de serviço). Tudo por escrito e autorizado.
- Reconhecimento. Mapeamento da superfície: subdomínios, endpoints, tecnologias, documentação exposta, funcionalidades por perfil.
- Análise e descoberta. Ferramentas e análise manual em paralelo — o que a ferramenta sinaliza, o especialista confirma; o que ela não vê (autorização, lógica de negócio), o especialista procura.
- Exploração e encadeamento. Transformar a vulnerabilidade em impacto demonstrável, com o mínimo de intrusão.
- Relatório. Sumário executivo, achados com severidade, evidência reproduzível, impacto no negócio e recomendação de correção.
- Reteste. Validação de que as correções funcionam.
Tipos de teste por nível de informação
Black box
O especialista começa sem qualquer informação além do alvo — como um atacante externo. Indicado para avaliar o que está exposto na internet e testar a deteção. Limitação: grande parte do orçamento vai para descobrir o que a sua equipa saberia dizer em minutos.
Grey box
O especialista recebe credenciais por perfil, documentação (OpenAPI, arquitetura) e contexto de negócio. Simula um utilizador legítimo mal-intencionado ou um atacante que já roubou uma conta — o cenário mais comum em incidentes reais. É a melhor relação custo-benefício para aplicações web, APIs e sistemas de IA.
White box
Acesso ao código-fonte, configurações e arquitetura completa. Permite a análise mais profunda. Indicado para componentes críticos (autenticação, pagamentos), due diligence técnica e produtos maduros.
| Black box | Grey box | White box | |
|---|---|---|---|
| Informação prévia | nenhuma | contas + documentação | código + arquitetura |
| Realismo de atacante externo | alto | médio | baixo |
| Cobertura por dia de teste | baixa | alta | muito alta |
| Indicado para | perímetro, deteção | web, API, IA (padrão) | componentes críticos |
Tipos de teste por alvo
- Aplicação web: autenticação, sessão, autorização, injeções, lógica de negócio, SSRF. Referências: OWASP Top 10 e OWASP WSTG.
- API: REST, GraphQL e gRPC, com o OWASP API Security Top 10 — o campeão dos achados críticos é o BOLA/IDOR. Guia completo em testes de intrusão a APIs.
- IA e LLM: chatbots, RAG e agentes, segundo o OWASP Top 10 para LLM.
- Mobile: a app e, sobretudo, a API que consome.
- Infraestrutura e cloud: rede externa e interna, Active Directory, AWS/Azure/GCP.
- Red team / TLPT: simulação de adversário orientada a objetivos, que testa também deteção e resposta.
Pentest, varrimento e bug bounty
O varrimento automático encontra o conhecido e o superficial; o bug bounty paga achados a uma multidão sem garantir cobertura; o pentest garante metodologia, profundidade e um relatório com âmbito definido. Detalhamos em pentest vs. scanner vs. bug bounty.
O que deve ter um bom relatório
- Sumário executivo em linguagem de negócio.
- Achados com severidade justificada (CVSS ajustado ao contexto).
- Passos de reprodução e evidências que a equipa de desenvolvimento consiga seguir.
- Cadeias de ataque, não apenas itens isolados.
- Recomendações específicas para a sua stack.
- Âmbito, período, metodologia e limitações — o que o auditor vai procurar.
Com que frequência
Pelo menos uma vez por ano e após alterações relevantes. Produtos com deploy contínuo beneficiam de ciclos mais pequenos e recorrentes. Sobre orçamento, veja quanto custa um teste de intrusão.
Perguntas frequentes
Um teste de intrusão é legal?
Sim, quando autorizado por escrito pelo responsável pelos sistemas e com âmbito definido. Sem autorização, a mesma atividade é crime (em Portugal, Lei do Cibercrime — Lei n.º 109/2009).
O pentest pode deitar o sistema abaixo?
Um teste bem conduzido não. Testes de negação de serviço ficam fora do âmbito por omissão, as cargas são controladas e as ações destrutivas são combinadas antes.
Quanto tempo demora?
Uma aplicação web ou API de dimensão média leva tipicamente 5 a 15 dias de teste, mais 2 a 5 dias de relatório.
Qual a diferença entre teste de intrusão e análise de vulnerabilidades?
A análise de vulnerabilidades lista falhas potenciais, em geral de forma automática. O teste de intrusão confirma, explora e encadeia essas falhas para mostrar o impacto real — e encontra classes que as ferramentas não detetam, como falhas de autorização e de lógica de negócio.