Em que um pentest difere de um scanner?

O scanner lista fraquezas conhecidas. O pentest responde o que um atacante consegue fazer com o que encontrou: explora sob autorização, encadeia achados e documenta o caminho. A validação pode ser limitada por segurança; o relatório deve explicar o que foi demonstrado e o que ficou sem teste.

Quem autoriza cada ação intrusiva?

Uma pessoa. Agentes propõem caminhos e aceleram o reconhecimento; não assinam e não disparam exploração sozinhos. Cada ação intrusiva passa por um gate humano registrado. O relatório é assinado por quem supervisionou.

← Learn

Método

O que é um teste de penetração

O que é um pentest de verdade: exploração autorizada, PoC reproduzível e gate humano. Quando não contratar a Rekon.

Rekon — cibersegurança ofensiva híbrida · 2026-09-18

Um teste de penetração não é um inventário de CVEs. É um ataque autorizado: alguém tenta entrar, encadeia o que encontra e demonstra até onde chega. O que fica é um relatório que o seu time reproduz. Um pentest pode não encontrar um caminho explorável. Sua qualidade depende do escopo, das provas e da evidência, não de forçar uma exploração.

O que um teste de verdade inclui

Escopo escrito antes de tocar qualquer coisa. Regras de engajamento: janelas, alvos proibidos, contatos de emergência. Exploração autorizada, não «best effort» verbal. PoC por achado: passos, evidência, condições. Controles negativos definidos para verificar recusas esperadas; tentativas sem sucesso e limitações documentadas separadamente. Assinatura de uma pessoa, não de uma plataforma.

O gate humano

Agentes percorrem a superfície, enumeram e propõem caminhos. Isso acelera. Não decidem o escopo, não disparam ação intrusiva e não assumem o resultado. Uma pessoa autoriza cada passo que quebra alguma coisa e assina o relatório. Sem esse gate, a automação é teatro com orçamento de ataque.

Quando não nos contrate

Se o compliance exige um logo que não é o nosso. Se o ativo a testar não está inventariado e o escopo seria ficção. Se não há dono de remediação do outro lado. Se você quer a promessa de não tocar produção e, ao mesmo tempo, um teste real: essas duas coisas não convivem. A Rekon não publica prazos na web.

Cadência: evento ou continuidade

Um pentest pontual congela o momento do teste. Serve para um fechamento de ano, um requisito de contrato, um board. Se você entrega toda semana, o relatório envelhece antes de você terminar de ler: aí a pergunta é de cadência, não de marca. A comparativa está em PTaaS vs pentest tradicional. Empresas no Brasil: pentest no Brasil e LGPD vs Bacen. Se o método cabe, propomos escopo.

Perguntas diretas

Em que um pentest difere de um scanner?: O scanner lista fraquezas conhecidas. O pentest responde o que um atacante consegue fazer com o que encontrou: explora sob autorização, encadeia achados e documenta o caminho. A validação pode ser limitada por segurança; o relatório deve explicar o que foi demonstrado e o que ficou sem teste.
Quem autoriza cada ação intrusiva?: Uma pessoa. Agentes propõem caminhos e aceleram o reconhecimento; não assinam e não disparam exploração sozinhos. Cada ação intrusiva passa por um gate humano registrado. O relatório é assinado por quem supervisionou.
Quando NÃO contratar a Rekon?: Se você precisa do timbre de uma Big Four, não somos o fornecedor. Se o que quer é um PDF de scanner, tampouco. Se ninguém do seu lado vai remediar, o relatório vira documento de ansiedade. Se a continuidade é crítica, acordamos ambiente, janelas, limites e critérios de parada; não garantimos risco zero. E se precisa de prazo publicado na web, não vamos colocar: a janela se fixa no contrato.

É o momento de testar portas?

Conte o que precisa validar. Respondemos com escopo proposto, não com brochure.

Falar com a Rekon Mais no Learn