Introdução a Pentest e Ethical Hacking
Teste de invasão (pentest) é o processo de simular um ataque real, com autorização formal, para encontrar falhas de segurança antes que um atacante de verdade as encontre. É uma das áreas mais procuradas da segurança — e também uma das que mais gera dúvida sobre limites legais e éticos.
🎯 O que você vai aprender
- Por que autorização por escrito não é opcional — é o que separa pentest de crime
- As fases clássicas de um teste de invasão
- Black box, white box e grey box: diferentes níveis de informação prévia
- Como começar a praticar de forma legal
Autorização: a linha entre pentest e crime
A técnica usada em um teste de invasão autorizado e em um ataque criminoso pode ser tecnicamente idêntica. O que diferencia um do outro é exclusivamente a autorização: um documento formal (Rules of Engagement / termo de autorização) definindo escopo, datas, sistemas incluídos e excluídos, e os limites do que pode ser testado. Testar qualquer sistema sem autorização explícita e por escrito é crime na maioria dos países — inclusive no Brasil — mesmo que a intenção seja "só ajudar" ou "só avisar depois".
Fases de um teste de invasão
- Reconhecimento (Recon): coletar informações públicas sobre o alvo, dentro do escopo autorizado.
- Varredura (Scanning): identificar sistemas ativos, portas abertas, serviços e versões em execução.
- Exploração (Exploitation): tentar explorar vulnerabilidades identificadas para obter acesso.
- Pós-exploração (Post-Exploitation): avaliar até onde o acesso obtido poderia ir (escalonamento de privilégio, movimentação lateral), sempre dentro do escopo combinado.
- Relatório: a etapa mais valiosa para o cliente — documentar o que foi encontrado, o risco real de cada achado, e como corrigir. Um pentest sem relatório claro não gera valor nenhum.
Black box, white box, grey box
| Tipo | Informação prévia | Simula |
|---|---|---|
| Black box | Nenhuma (só o nome/domínio do alvo) | Um atacante externo sem conhecimento interno |
| White box | Acesso total (código-fonte, arquitetura, credenciais) | Uma revisão profunda e completa, mais rápida e abrangente |
| Grey box | Informação parcial (ex: uma conta de usuário comum) | Um atacante com algum nível de acesso interno, ou um funcionário mal-intencionado |
Pentest vs. Red Team vs. Bug Bounty
- Pentest: escopo definido, tempo limitado (geralmente dias a semanas), foco em encontrar o máximo de vulnerabilidades possível dentro do escopo.
- Red Team: mais amplo e furtivo, simula um adversário real tentando atingir um objetivo específico sem ser detectado — testa também a capacidade de detecção e resposta da equipe de defesa (Blue Team).
- Bug Bounty: programa aberto e contínuo onde pesquisadores independentes são recompensados por encontrar e reportar vulnerabilidades dentro de regras publicadas pela empresa.
💡 Exemplo prático
Uma empresa contrata um pentest de aplicação web em modelo grey box, fornecendo uma conta de usuário comum. O testador descobre que, ao alterar o ID de um pedido na URL, consegue ver pedidos de outros usuários — uma falha clássica de controle de acesso (IDOR). Esse achado é documentado no relatório com passos para reproduzir, risco associado e recomendação de correção (validar permissão no servidor, não confiar apenas no ID enviado pelo cliente).
⚠️ Erro comum
Achar que "estudar hacking" exige testar sites reais sem permissão. Existem ambientes 100% legais e feitos exatamente para prática: plataformas como TryHackMe e CTFs (Capture The Flag) oferecem máquinas vulneráveis propositalmente, projetadas para aprendizado, sem nenhum risco legal.
✅ Pontos-chave
- Autorização por escrito é o que separa pentest de crime — tecnicamente as ações podem ser idênticas.
- Fases: Reconhecimento → Varredura → Exploração → Pós-exploração → Relatório.
- Black box (sem informação), white box (informação total), grey box (parcial).
- Pratique apenas em ambientes legais: CTFs e plataformas como TryHackMe.
🔗 Para se aprofundar
- TryHackMeambiente legal e guiado para praticar pentest
- OWASP Top 10as vulnerabilidades web mais críticas, referência da indústria
- Teste de intrusão — Wikipédia