[services_pentest]PENTEST PROFISSIONAL

Teste de intrusão com finding validado na unha.

Pentest é sobre encontrar o que atacante real encontraria — e provar o impacto. Nossos engajamentos combinam ferramentas consagradas com scripts proprietários e, o principal, validação manual linha-a-linha.

O que está incluído

Escopo abaixo é o padrão para um engajamento típico. Tudo é ajustável durante a call de scoping, sem custo.

// superfícies testadas

Aplicações Web (SPA, SSR, PHP, .NET, Java, Node)
APIs REST, GraphQL e gRPC
Aplicações mobile (Android & iOS)
Redes internas & externas
Wi-Fi corporativo
Infraestrutura on-premises

// classes de falha priorizadas

Injeções (SQLi, NoSQLi, LDAP, template)
Authn / Authz / IDOR / escalada
SSRF, XXE, deserialização
Logic flaws de negócio
XSS, CSRF, clickjacking com impacto
Falhas de criptografia e token

Modalidades

ajustáveis ao escopo

01 /

Black Box

Sem informação prévia. Simula o atacante externo oportunista. Ideal para medir exposição pública.

02 /

Grey Box

Acesso de usuário comum + documentação parcial. Melhor custo-benefício para aplicações SaaS.

03 /

White Box

Acesso a código, arquitetura e credenciais diversas. Máxima cobertura e densidade de findings.

Como conduzimos

[pipeline]

01/recon

Reconhecimento

OSINT, enumeração de DNS, fingerprinting de stack, coleta de credenciais vazadas e mapeamento de superfície.

02/exploit

Exploração

Testes com ferramentas consagradas + scripts proprietários. Cada finding é validado manualmente — zero ruído de scanner.

03/post

Pós-Exploração

Demonstração de impacto em ambiente controlado: escalada, pivot e captura de dado sensível conforme escopo.

04/report

Relatório & Reteste

Entregáveis técnico + executivo, CVSS calculado, PoC, recomendação priorizada. Reteste incluso após correção.

Entregáveis

dupla visão · NDA

01Relatório técnico (PDF + HTML interativo) com evidência, payload e passos de reprodução para cada finding.

02Relatório executivo (PDF) com narrativa de risco para C-level, comitê e board — sem jargão.

03Planilha de rastreamento (CSV/XLSX) com CVSS, severidade, responsável sugerido e prazo.

04Briefing de 1h com engenharia para Q&A técnico e priorização.

05Reteste completo incluso após correção, com atualização do relatório e selo de revalidação.

06Certificado de execução válido para auditoria externa e due diligence.

Perguntas frequentes

01Qual o prazo típico de um pentest?

De 2 a 4 semanas para engajamentos padrão. Aplicações muito grandes ou com múltiplos perfis podem estender para 6 semanas. Cronograma detalhado sai no scoping.

02Os testes afetam produção?

Operamos com janelas, escopos e regras de engajamento acordadas por escrito. Ações destrutivas só ocorrem com autorização explícita. A regra é zero impacto operacional.

03Posso pedir para focar em um módulo específico?

Sim. É comum concentrar esforço em áreas críticas (pagamento, autenticação, admin) em vez de varrer tudo superficialmente. O escopo é desenhado junto.

04O relatório serve para auditoria externa e due diligence?

Sim. É aceito por auditorias ISO, SOC 2, PCI, investidores em M&A e comitês de risco — vem com metodologia declarada e evidência assinada.

// serviços relacionados

Red Team Engagement Auditoria em Nuvem

// contato

Pronto para descobrir suas falhas?

Primeira call de scoping é gratuita e coberta por NDA. Em 48 horas você recebe proposta técnica, escopo e cronograma. Sem formulários burocráticos.

contato→METODOLOGIA