pular para o conteúdo
sec/atlas
voltar ao mapa
conceito
etapa: scope
2 min de leitura

Metodologia de teste de intrusão

Um bom teste de intrusão é um método, não um saco de ferramentas: defina o objetivo, percorra as fases de forma sistemática, registre tudo e relate para que o cliente possa agir.

PTESNIST SP 800-115OWASP Web Security Testing GuideOSSTMMMITRE ATT&CKnote-taking and evidence tools (Obsidian, Dradis)

Tipos de avaliação

  • Avaliação de vulnerabilidades: descoberta ampla, em grande parte automatizada, e classificação das fraquezas. Responde "o que está exposto?" e não tenta explorar.
  • : uma tentativa, com tempo limitado, de explorar fraquezas e mostrar o impacto real, dentro de um escopo acordado. Responde "o que um atacante realmente consegue fazer?"
  • : uma simulação orientada a objetivos de um adversário realista ao longo de um período maior, que muitas vezes testa a detecção e a resposta tanto quanto a prevenção.
  • Black box (sem conhecimento prévio), gray box (algum conhecimento, como contas e documentação) e white box (código-fonte e arquitetura): mais conhecimento encontra mais problemas no mesmo tempo.

As fases

  • Planejamento e definição de escopo: objetivos, escopo, , acessos e logística.
  • Reconhecimento: conhecer o alvo a partir de fontes públicas e permitidas.
  • Descoberta e enumeração: encontrar hosts, serviços, aplicações e contas, e quais versões e configurações eles expõem.
  • Análise de vulnerabilidades: decidir quais fraquezas são reais e quais valem ser testadas.
  • Exploração: demonstrar a fraqueza com o menor impacto necessário.
  • Pós-exploração: determinar o que o acesso realmente permite (dados, outros sistemas, privilégios) e limpar o que foi alterado.
  • Relatório e reteste: explicar os achados com evidências e correções e depois verificar as correções.

Padrões que vale conhecer

O (PTES) descreve as fases acima. O NIST SP 800-115 é um guia técnico para testes de segurança. O OWASP Web Security Testing Guide é o checklist detalhado para aplicações web, e o define o que verificar. O oferece um vocabulário comum para as técnicas usadas, de modo que os achados possam ser ligados à cobertura de detecção.

Trabalhe de forma repetível

  • Mantenha notas com carimbo de tempo e evidências brutas desde o início; relatórios se escrevem a partir de notas, não da memória.
  • Torne cada teste reproduzível: a requisição exata, a conta usada, o resultado esperado e o obtido.
  • Registre o que você altera para poder limpar tudo por completo.
  • Prefira profundidade em caminhos de ataque realistas a uma longa lista de problemas de pouco valor.
engagement-notes-template.mdmarkdown
# Engajamento: <name>   Testador: <name>   Período: <dates>

## Escopo e restrições (copiar das RoE assinadas)

## Linha do tempo (UTC)
- 2026-11-02 09:10  início do recon passivo em app.example.com
- 2026-11-02 11:40  rotas da API enumeradas (ver evidence/api-routes.txt)

## Hipóteses e resultados
| Hipótese | Teste | Resultado | Evidência |
|---|---|---|---|
| O usuário B consegue ler as faturas do usuário A | GET /api/invoices/{id} com o token de B | Confirmado | evidence/idor-01.png |

## Achados (rascunho)
- F-01  Controle de acesso quebrado em /api/invoices/{id}

## Checklist de limpeza
- [ ] contas de teste removidas  - [ ] arquivos enviados apagados  - [ ] scanners parados
Teste de intrusãopentestUma tentativa, com tempo limitado, de explorar fraquezas dentro de um escopo acordado, para mostrar o que um atacante realmente poderia fazer.ver no glossário →Red teamUma simulação baseada em objetivos, em geral encoberta, de um adversário realista, que testa as pessoas, os processos e a tecnologia da organização.ver no glossário →Regras de engajamentoRoEO documento acordado que transforma a permissão em limites práticos: escopo, janela de tempo, ações proibidas, taxa de requisições, contatos de emergência e como os achados são reportados.ver no glossário →PTESPenetration Testing Execution StandardUma descrição das fases de um teste de intrusão, do pré-engajamento ao relatório.ver no glossário →OWASP ASVSverification standardApplication Security Verification Standard: checklist verificável, em três níveis de rigor, para auditar uma aplicação ou contratar auditoria. Onde o Top 10 ensina, o ASVS audita.ver no glossário →MITRE ATT&CKUma base de conhecimento pública de táticas e técnicas de adversários observadas em intrusões reais, usada para descrever comportamento e medir a cobertura de detecção.ver no glossário →

conexões no mapa

atualizado em 14/10/2026 · fontes para aprofundar · reportar erro

Estude antes

Desbloqueia

teste o que entendeu

Carregando perguntas…