2026-06-30 · GUIA · A equipe da Offensive Technology

Check, scan ou pentest completo?

Resposta curta: Um scan de vulnerabilidades é uma lista automatizada e barata de problemas conhecidos. Um check de superfície de ataque é uma primeira análise focada e revisada por um especialista da sua superfície exposta. Um teste de penetração completo exige dias de exploração manual e aprofundada. Execute scans para cobertura regular, um check para uma primeira análise rápida e honesta, e um pentest completo quando precisar de profundidade de nível de auditoria.

A palavra "pentest" é usada para cobrir três coisas muito diferentes, com preços que variam de gratuito a cinco dígitos. Se você está contratando, essa diferença é propositalmente confusa em alguns cantos do mercado. Aqui está a versão honesta, para você entender o que realmente está contratando.

Um scan de vulnerabilidades

Um scanner é uma ferramenta automatizada que verifica seus sistemas em relação a um banco de dados de problemas conhecidos. É rápido, barato e vale a pena executar regularmente. Também gera muito ruído: produz listas longas, não entende a lógica do seu negócio e não consegue encadear dois problemas médios em um grave. Um scan diz o que é possivelmente incorreto. Ele não diz o que um atacante realmente faria.

Por baixo do capô, um scanner compara o que consegue ver (portas abertas, banners de serviço, versões de software, cabeçalhos de resposta) com um banco de dados de problemas conhecidos e relata cada correspondência. Isso o torna repetível, rápido e bom para problemas sem glamour que se acumulam: patches ausentes, certificados expirados, configurações padrão, um painel administrativo aberto para a internet. Seu limite é estrutural. Ele relata o que corresponde a uma assinatura, não o que é explorável no seu contexto, portanto, uma descoberta marcada como crítica pode estar inacessível atrás de outros controles, enquanto uma marcada como baixa é o ponto de apoio exato que um atacante deseja. Até que alguém com critério trie a lista, trata-se de puro ruído.

Um check de superfície de ataque

Um check fica no meio do caminho. Ele analisa sua superfície exposta da mesma forma que um atacante inicia uma ação, combinando cobertura automatizada com a avaliação de um operador sênior que revisa e explica o resultado. É mais profundo que um scan porque alguém que realmente já invadiu sistemas decide o que importa. É mais leve que um projeto completo porque tem tempo delimitado e foco definido. É nessa categoria que se enquadra o nosso check de $100: uma primeira análise rápida e honesta.

Um check começa com a confirmação do escopo e da sua propriedade ou controle sobre ele, com autorização por escrito registrada antes de qualquer teste. Um operador sênior então trabalha a superfície exposta da forma como um projeto começa: enumerando o que está acessível, identificando subdomínios esquecidos ou serviços que nunca deveriam ter ficado públicos, e separando as descobertas relevantes das irrelevantes. Você recebe uma lista priorizada e um breve resumo elaborado por um especialista, não uma exportação de mil linhas. O que um check não faz é passar dias encadeando exploits ou fazendo movimento lateral na sua rede. É uma primeira análise, honesta quanto a seu propósito, feita para dizer rapidamente se você tem um problema real e o que fazer a seguir.

Um pentest completo

Um projeto completo é uma pessoa, ou uma equipe, dedicando dias para tentar invadir da forma como um atacante determinado faria. Testes manuais, exploração customizada, abuso de lógica de negócios, movimentação lateral, tudo incluso. Ele produz um impacto demonstrado e um relatório que auditores ou seguradoras normalmente aceitam. Custa dinheiro de verdade porque consome tempo humano real de especialistas altamente capacitados.

Isso envolve um trabalho que um scanner não consegue fazer: testar a lógica de negócios (um usuário consegue acessar dados de outro locatário? Um checkout pode ser manipulado? Um controle de acesso pode falhar por um único parâmetro alterado?), encadear diversos problemas de baixa severidade em um caminho de alta severidade e, quando o escopo permite, mover-se lateralmente para mostrar até onde um ponto de apoio realmente chega. O resultado não é uma lista de possibilidades, mas um impacto demonstrado, com etapas para reprodução e evidências anexadas, a versão que uma equipe de auditoria, seguradora ou compras corporativas normalmente aceita. É por isso que um pentest real é dimensionado, agendado e precificado como tempo humano. Se um orçamento voltar barato e instantâneo, você quase certamente está comprando um scan com uma capa mais bonita.

A mesma descoberta, três respostas

Pegue uma descoberta comum e veja como cada nível a trata. Suponha que um subdomínio antigo, staging.example.com, ainda aponte para um servidor ativo executando uma aplicação web desatualizada.

• A scan relata isso: software desatualizado, severidade média, uma linha em uma lista de duzentas. Se alguém vai ler essa linha é questão de sorte.
• A check identifica o mesmo host, mas uma pessoa analisa o resultado. O subdomínio estava esquecido, sua página de login expõe stack traces que revelam o framework, e a versão em uso possui um exploit público. Isso o move de "médio, enterrado na lista" para "corrija isto primeiro, e aqui está o motivo", explicado no resumo.
• A pentest completo vai além e comprova o problema. O operador confirma que o exploit funciona, obtém acesso e mostra se aquela máquina consegue alcançar algo crítico na rede. Agora não é mais uma possibilidade, é um caminho demonstrado com evidências anexadas.

O mesmo host, três respostas muito diferentes. O scan disse que ele existia. O check disse que ele importava. O pentest disse o quanto custa ignorá-lo.

De qual você precisa?

Essas são camadas, não concorrentes, e programas maduros utilizam as três. Um check antes de um projeto completo geralmente refina o escopo, garantindo que os dias valiosos de trabalho humano sejam direcionados para onde realmente importam, e monitorar sua superfície de ataque externa entre os testes identifica desvios que um teste anual deixaria passar. Mais sobre frequência em com que frequência você deve fazer um teste de penetração?

• Quer apenas saber se há algo óbvio exposto? Comece com um check.
• Precisa atender a um auditor, uma seguradora ou um cliente corporativo? Você quase certamente precisa de um pentest completo, e você deve confirmar os requisitos exatos deles primeiro. Se o motivo for um framework específico, nossas notas sobre se o SOC 2 exige um teste de penetração mostram o que um auditor realmente aceita.
• Quer cobertura contínua entre projetos? Execute scans de forma programada, e não os confunda com um pentest.

Se você não tem certeza, diga-nos o que motivou a dúvida. Indicaremos a opção mais acessível que realmente resolva seu problema, mesmo que não seja o serviço que preferiríamos vender.

Check, scan ou pentest? Respostas rápidas

Qual é a diferença entre um scan de vulnerabilidades e um teste de penetração?

Um scan de vulnerabilidades é uma verificação automatizada em relação a um banco de dados de problemas conhecidos: rápido, barato, repetível e ruidoso. Um teste de penetração é um trabalho manual realizado por um operador qualificado que tenta explorar e encadear falhas como um atacante real faria, comprovando o impacto. Um scan diz o que pode estar errado; um pentest mostra o que alguém realmente pode fazer.

Um check de superfície de ataque é a mesma coisa que um teste de penetração?

Não. Um check é uma primeira análise focada e com tempo delimitado da sua superfície exposta, revisada e priorizada por um operador sênior e entregue com um breve resumo explicativo. Um teste de penetração completo exige dias de exploração manual e aprofundada, produzindo impacto demonstrado e um relatório adequado para auditoria. Um check é mais profundo que um scan e mais leve que um projeto completo, por definição.

Preciso de um teste de penetração completo para conformidade?

Geralmente sim, e você deve confirmar os termos exatos da sua exigência primeiro. Frameworks como o PCI DSS exigem testes de penetração explicitamente, enquanto SOC 2 e ISO 27001 são baseados em risco e os esperam na prática. Um scan ou um check não satisfará um auditor ou seguradora que solicitou especificamente um teste de penetração.

Posso começar com um scan e um check em vez de um pentest completo?

Sim, e costuma ser a ordem mais inteligente: scans para uma cobertura contínua e acessível, um check para uma leitura rápida e honesta que pode refinar o escopo de um projeto futuro, e o pentest completo quando você precisar de profundidade ou quando alguém for exigi-lo. Apenas não apresente um scan ou um check como um teste de penetração para quem exige um.

Leituras relacionadas

• Quanto custa um teste de penetração?
• O que atacantes conseguem ver sobre a sua empresa?
• Com que frequência você deve fazer um teste de penetração?