Question 1

O que é um pentest?

Accepted Answer

Pentest (teste de invasão) é uma simulação controlada de ataque contra seus sistemas, redes ou aplicações. O objetivo é identificar vulnerabilidades reais antes que um atacante as explore, entregando um relatório detalhado com as falhas encontradas e recomendações de correção.

Question 2

Qual a diferença entre pentest e Red Team?

Accepted Answer

O pentest foca em encontrar o maior número de vulnerabilidades em um escopo definido dentro de um prazo. Já o Red Team simula um ataque real completo, incluindo engenharia social, evasão de controles e movimentação lateral, testando não só a tecnologia mas também processos e pessoas.

Question 3

Vocês testam firmware e dispositivos físicos?

Accepted Answer

Sim, é a nossa frente principal. O trabalho segue a OWASP FSTM: obtenção do firmware (por atualização oficial, extração via UART/JTAG/SPI ou dump de memória), análise do sistema de arquivos, emulação para execução controlada e análise dos binários. Para isso precisamos de amostras do dispositivo — de preferência mais de uma unidade, já que parte dos testes é destrutiva — e de qualquer documentação de hardware disponível.

Question 4

Quando eu preciso de engenharia reversa?

Accepted Answer

Quando não existe código-fonte para ler: binário de fornecedor, protocolo proprietário, dispositivo legado sem documentação ou um artefato encontrado em incidente. Trabalhamos com análise estática e dinâmica, depuração e instrumentação, e entregamos o entendimento do formato ou protocolo com prova de conceito quando há falha explorável.

Question 5

O que vocês avaliam em uma implementação criptográfica?

Accepted Answer

Escolha de primitivas e modo de operação, qualidade da fonte de aleatoriedade, gestão do ciclo de vida das chaves segundo a NIST SP 800-57, armazenamento de segredos e uso de HSM, além de comportamento em tempo constante quando o cenário exige. A FIPS 140-3 é a referência para dizer se um módulo criptográfico se sustenta ou não.

Question 6

Precisamos entregar o código-fonte?

Accepted Answer

Não é obrigatório. Trabalhamos em caixa-preta quando é isso que existe. Com acesso ao código, porém, o resultado é mais profundo e costuma custar menos tempo, porque deixamos de gastar horas inferindo o que poderia ser lido direto. Para revisão de código crítico e de implementação criptográfica, o acesso é necessário.

Question 7

Quanto tempo dura um projeto?

Accepted Answer

Depende do escopo e da complexidade. Um pentest em aplicação web costuma levar de 1 a 3 semanas. Análise de firmware e engenharia reversa variam bastante com o alvo, porque parte do tempo é entender o artefato antes de testá-lo. Operações de Red Team costumam durar de 4 a 8 semanas. O cronograma é definido no pré-engagement, antes de iniciar qualquer trabalho.

Question 8

Meus sistemas ficam em risco durante o teste?

Accepted Answer

Não. Trabalhamos com regras de engajamento definidas previamente, evitando ações que possam causar indisponibilidade ou perda de dados. Em casos que exigem testes mais agressivos, alinhamos janelas de manutenção e procedimentos de rollback.

Question 9

Que tipo de relatório recebo ao final?

Accepted Answer

Entregamos um relatório com executive summary para a diretoria e detalhamento técnico para a equipe de TI. Cada vulnerabilidade inclui descrição, evidências, classificação de risco (CVSS), impacto e recomendações de correção. Também oferecemos reteste após a remediação.

Question 10

Como vocês tratam a confidencialidade?

Accepted Answer

Acordo de confidencialidade assinado antes de qualquer discussão de escopo. Dados do cliente ficam em ambiente controlado e separado por projeto, o relatório é entregue por canal seguro e o material coletado é descartado ao fim do prazo combinado em contrato. Não usamos nome de cliente como referência comercial sem autorização por escrito.

Question 11

Quem executa o projeto?

Accepted Answer

Um time pequeno e estável conduz o trabalho de ponta a ponta. Quando o projeto exige uma especialidade específica ou certificação formal, acionamos profissionais certificados alocados para aquele escopo. Você sabe quem está no projeto antes de ele começar.

Question 12

Vocês trabalham com empresas de qual porte?

Accepted Answer

Atendemos desde startups até grandes corporações. Nossos serviços são sob demanda e adaptados à realidade e maturidade de segurança de cada cliente. O importante é a disposição da empresa em proteger seus ativos.

Question 13

Preciso ter uma equipe de segurança interna?

Accepted Answer

Não. Muitos dos nossos clientes não possuem equipe dedicada de segurança. Nesses casos, trabalhamos diretamente com a equipe de TI e fornecemos orientação clara para que as correções sejam implementadas.

Question 14

Como funciona a contratação?

Accepted Answer

Você entra em contato, alinhamos o escopo e objetivos, definimos regras de engajamento e formalizamos via contrato. Após a execução, entregamos o relatório e agendamos uma reunião de apresentação dos resultados.

FAQ — perguntas frequentes sobre pentest, firmware e criptografia