CyberGuard AIPentest e Red Team
Teste de invasão é serviço técnico, com escopo assinado — não é botão de painel. Esta página explica o que é, quando faz sentido contratar e o que a nossa plataforma faz (e não faz) sozinha.
O CyberGuard AI faz Avaliação externa de baixo impacto, sem exploração de vulnerabilidades, força bruta ou tentativa de acesso indevido: consulta DNS, certificado, cabeçalhos, arquivos comumente expostos, portas conhecidas e disponibilidade. Ele não explora falhas, não injeta carga, não tenta adivinhar senha e não acessa nada. É o que se pode fazer sem autorização específica e sem risco de derrubar o serviço.
O que é pentest
É a simulação controlada de um ataque, feita com autorização escrita, para provar se uma falha realmente pode ser explorada. A diferença para a nossa varredura é simples: a varredura diz "este cabeçalho falta"; o pentest diz "com esta falha eu entrei, li o banco de clientes e saí sem deixar registro".
O que é red team
É o passo seguinte: em vez de atacar só o sistema, ataca a organização — pessoas, processos e fornecedores. Inclui engenharia social autorizada, tentativa de acesso a contas, teste de detecção da equipe e, em alguns casos, simulação de ameaça persistente. Exige escopo muito mais detalhado e, normalmente, equipe dedicada.
| O que você recebe | Varredura (plano) | Pentest | Red team |
|---|---|---|---|
| Nota e achados com evidência | sim | sim | sim |
| Prova de exploração (entrou / não entrou) | não | sim | sim |
| Teste de pessoas e processos | não | não | sim |
| Escopo e contrato assinados | não precisa | obrigatório | obrigatório |
| Janela combinada fora do horário de pico | — | sim | sim |
| Reteste após a correção | sim (automático) | sim | sim |
Metodologia, escopo e entregáveis
Trabalhamos com referência reconhecida, não com metodologia inventada. O teste segue a lógica do PTES (padrão aberto de execução de pentest) com os catálogos do OWASP Testing Guide para aplicação web e OWASP API Top 10 para APIs; o relatório é organizado pelas funções do NIST CSF 2.0 para que a diretoria leia risco, não exploit.
Escopo — o que entra na proposta
- lista de domínios, IPs e aplicações autorizados, com o que fica de fora;
- tipo de teste: caixa-preta (sem informação prévia), caixa-cinza (com credenciais de teste) ou caixa-branca (com código);
- janela de execução e horário de parada;
- limite de impacto: o que não pode ser feito (negação de serviço, alteração de dado, engenharia social sem aviso);
- contatos de emergência dos dois lados.
Entregáveis
- Relatório técnico: cada achado com evidência, passo a passo de reprodução, impacto e correção sugerida;
- Relatório executivo: risco por área do negócio, prioridade e esforço estimado de correção;
- Reunião de apresentação: uma leitura para o técnico e uma para quem decide;
- Reteste: depois da correção, com prova de que a falha deixou de existir;
- Anexo de escopo assinado e registro das ações executadas com data e hora.
O que não está no escopo nunca aparece como "não testado e aprovado": o relatório diz explicitamente o que foi avaliado, o que não foi e quando ocorreu a última verificação.
Quando contratar pentest
- antes de lançar um sistema que vai receber pagamento ou dado pessoal;
- quando a empresa precisa provar segurança para um cliente grande ou para uma auditoria;
- depois de um incidente, para saber por onde entraram;
- quando a nota da varredura já está alta e você quer saber se a configuração resiste a ataque real.
Como funciona o teste autorizado
- Escopo escrito: quais domínios, IPs, aplicações e horários; o que está fora; quem é o contato de emergência.
- Autorização: documento assinado pelo responsável legal, com declaração de titularidade dos ativos.
- Janela combinada: execução em horário acordado, com plano de parada se algo sair do previsto.
- Execução e evidência: cada achado com passo a passo, captura e impacto no negócio — nunca só "crítico".
- Relatório e reunião: leitura para o técnico e leitura para quem decide.
- Reteste: depois da correção, provamos que a falha não existe mais.
Por que não vendemos "pentest automático"
Porque ferramenta automática não assume responsabilidade pelo que faz. Quem executa teste de invasão precisa de escopo, autorização, controle de dano e alguém que responda pelo resultado. É por isso que o pentest aqui é serviço à parte, com proposta própria — e não uma linha na tabela de planos.
Quer avaliar se você precisa
Comece pela varredura — ela é gratuita e mostra o que está exposto sem risco nenhum. Se o cenário pedir teste de invasão, a gente conversa com escopo na mesa.
Falar sobre pentest no WhatsAppPerguntas frequentes
O que é pentest?
É um teste de invasão autorizado, conduzido por profissionais, que tenta explorar falhas de forma controlada para provar o impacto real no negócio.
Qual a diferença entre pentest e red team?
O pentest tem escopo técnico delimitado. O red team simula um adversário com objetivos mais amplos, incluindo pessoas, processos e tecnologia, sempre com autorização e regras de engajamento.
O CyberGuard faz pentest automático?
Não. A plataforma faz avaliação passiva de superfície. O pentest é um serviço à parte, com escopo, autorização escrita, janela combinada e relatório.
Preciso autorizar por escrito?
Sim. Sem documento assinado pelo titular do ativo, com escopo e limites, o teste não é executado.
Quanto tempo leva e quanto custa?
Depende do escopo, do número de aplicações e da janela. A proposta define prazo, esforço e valor antes de qualquer execução.
Segurança Contra IA · CNPJ 55.808.714/0001-12 · Curitiba/PR · Atendimento a ativos cujo cliente declara titularidade ou autorização expressa.