Reconhecimento e superfície de ataque

Você não pode defender o que não sabe que tem. Os atacantes começam mapeando o alvo; os defensores que executam a mesma descoberta primeiro encontram o servidor esquecido antes que ele seja usado contra eles.

nmapamass / subfinderhttpxShodan / Censyscertificate transparency (crt.sh)masscan

O que o recon cobre

Passivo: reunir informações sem tocar nos sistemas do alvo, como registros públicos, dados de DNS, logs de transparência de certificados, mecanismos de busca e relatórios de credenciais vazadas.
Ativo: interagir com o alvo para saber mais, como varreduras de portas e sondagens de serviços. Somente dentro do escopo e em uma taxa acordada nas .
Ativos: domínios, subdomínios, faixas de IP, recursos de nuvem, aplicações, APIs e serviços de terceiros.
Pessoas e processos (quando estiverem no escopo): informações públicas sobre funções e tecnologia que moldam a abordagem de um atacante.

Mapeando a sua própria superfície

Execute isto contra ativos que sejam seus ou que você esteja autorizado a testar. Os mesmos comandos mostram a um atacante o que está visível e mostram a um defensor o que deveria ser desligado.

surface-discovery.sh (apenas alvos autorizados)bash

# 1. subdomínios a partir de fontes passivas
subfinder -d example.com -silent > subs.txt

# 2. quais deles respondem na web, com título e tecnologia
httpx -l subs.txt -title -tech-detect -status-code -silent > web.txt

# 3. portas abertas e versões de serviço em um host dentro do escopo, em taxa moderada
nmap -sV -T3 --top-ports 1000 --max-rate 100 -oA scans/web01 203.0.113.10

# 4. transparência de certificados: nomes que já receberam um certificado
curl -s 'https://crt.sh/?q=%25.example.com&output=json' | jq -r '.[].name_value' | sort -u

O que procurar

Ativos esquecidos: servidores de staging antigos, domínios de teste, produtos desativados que ainda respondem.
Interfaces administrativas e bancos de dados expostos, e serviços que nem deveriam estar na internet.
Versões desatualizadas e configurações padrão reveladas por banners.
Recursos de nuvem abertos ao mundo: armazenamento, snapshots, painéis.
Subdomínios que apontam para serviços que você não controla mais ().
Segredos e detalhes internos em código público, documentos e páginas de erro.

A visão do defensor

Trate isto como gestão contínua de ativos, não como um teste pontual. Mantenha um inventário autoritativo, execute a descoberta externa em uma agenda, compare-a com o inventário e investigue cada diferença. Reduza a superfície: feche o que não é necessário, coloque o acesso administrativo atrás de uma VPN ou gateway e remova registros DNS pendentes.

Alerte quando surgir um novo ativo exposto à internet que não esteja no inventário.
Atribua um responsável a cada ativo; um ativo sem dono é um risco.
Desative as coisas corretamente: remova DNS, certificados e recursos de nuvem juntos.

Regras de engajamentoRoEO documento acordado que transforma a permissão em limites práticos: escopo, janela de tempo, ações proibidas, taxa de requisições, contatos de emergência e como os achados são reportados.ver no glossário →Subdomain takeoverUm registro DNS que aponta para um recurso de nuvem ou SaaS que não existe mais e que outra pessoa pode reivindicar para servir conteúdo a partir do seu domínio.ver no glossário →Zero trustModelo que parte da premissa de não confiar em ninguém por posição na rede: cada requisição é autenticada, autorizada e logada, mesmo vinda da rede interna. Substitui o castelo com fosso por verificação contínua em cada porta, humana ou de serviço.ver no glossário →

conexões no mapa

Metodologia de teste de intrusãocomeça comReconhecimento e superfície de ataque
Reconhecimento e superfície de ataquealimentaTestes de segurança de web e API

atualizado em 14/10/2026 · fontes para aprofundar · reportar erro

em outros domínios

CSPM — postura cloudcloudseco que o atacante enxerga de fora, o CSPM enxerga por dentro

Estude antes

Metodologia de teste de intrusão

teste o que entendeu

Carregando perguntas…