Cibersegurança e segurança da informação

Metodologia de Teste de Penetração: Do Scope ao Retest

6 min de leituraPublicado: 5 de agosto de 2026

Ilustração visual profissional sobre a metodologia de Teste de Penetração na área de Teste de Penetração

Resposta rápida

A metodologia de Teste de Penetração deve ser realizada apenas dentro de um Scope e Rules of Engagement aprovados. O processo inclui recolha de informações, validação controlada, Evidência, avaliação de risco, remediação e Retest.

Um teste de penetração profissional é um processo autorizado e definido, não uma coleção de comandos. Scope, Rules of Engagement, evidências, avaliação de risco, remediação e Retest são partes integrantes do trabalho. Este artigo foca-se na metodologia de Teste de Penetração e destina-se a estudantes de PT, clientes e Pentesters Júnior. O objetivo é fornecer uma metodologia de trabalho que possa ser aplicada na prática, em entrevistas profissionais e em ambiente de trabalho, sem se contentar com uma definição de dicionário.

O principal desafio é que os dados são quase sempre parciais. Os ativos in-scope, out-of-scope e a janela de tempo podem indicar uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Por isso, construímos o teste em torno de uma questão de investigação, evidências necessárias e um critério claro para a conclusão.

O cenário prático no artigo é: mapear um projeto de laboratório para todas as etapas da metodologia. Todos os exemplos são dados de laboratório ou descrições de processos. Quando se trata de Teste de Penetração, Web ou Cloud, deve-se trabalhar apenas com autorização explícita, um Scope definido e a capacidade de parar o teste.

Pre-engagement e Scope

O processo da metodologia de Teste de Penetração é construído em etapas com pontos de paragem. Define-se um objetivo, Scope, fontes, ações permitidas, evidências necessárias, funções e critério de conclusão. Em ambientes de ataque, adicionam-se Stop conditions e um canal de emergência.

Cada etapa deve ter um Output claro: um mapa de ativos, Timeline, Finding, Rule, Playbook ou relatório. A transição para a próxima etapa ocorre apenas quando o Output é suficiente e fiável; assim, evita-se trabalho aleatório ou expansão do Scope sem autorização.

Reconnaissance e Enumeration

O tópico 'Reconnaissance e Enumeration' é uma parte central do trabalho na metodologia de Teste de Penetração. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e qual a evidência suficiente para a justificar. Estas perguntas evitam o uso automático de ferramentas sem compreender o objetivo.

Na prática, registe os ativos in-scope, out-of-scope, a janela de tempo, as técnicas permitidas, as stop conditions, compare-as com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Validation e Exploitation controlados

Um teste profissional para a metodologia de Teste de Penetração começa com condições de sucesso e condições de falha. Define-se um Caso positivo, Caso negativo, Caso limite e atividade legítima semelhante. Assim, podem-se identificar tanto False Negative como False Positive.

Num ambiente autorizado, utiliza-se a ação mínima que prova a alegação sem causar danos. Guardam-se o Input, Output, tempo e versão, e após a correção, realiza-se um Retest no mesmo cenário e verifica-se também a Regressão em funções próximas.

Evidence, Risk e Reporting

A documentação da metodologia de Teste de Penetração deve permitir que uma pessoa que não participou no trabalho compreenda o que aconteceu e reproduza a conclusão. Separa-se entre factos, interpretação, suposições e decisões, e liga-se cada alegação a uma evidência, consulta ou captura de ecrã.

Uma estrutura útil inclui Summary, Scope, Timeline, Evidence, Impact, Actions, Limitations e Next steps. Num relatório de PT, adicionam-se Remediation e Retest; numa investigação, adicionam-se Containment, Recovery e Lessons learned.

Remediation e Retest

Focos de teste únicos

Neste tópico, recomenda-se construir antecipadamente um mapa de evidências focado. Os principais focos de teste são: in-scope assets, out-of-scope, time window, allowed techniques, stop conditions, contacts. A lista não é uma Checklist automática; cada item é escolhido porque pode ligar uma entidade, ação e tempo ou explicar um comportamento legítimo.

in-scope assets: Defina o valor esperado, o que será considerado anómalo e qual a fonte adicional que verificará o achado.
out-of-scope: Defina o valor esperado, o que será considerado anómalo e qual a fonte adicional que verificará o achado.
time window: Defina o valor esperado, o que será considerado anómalo e qual a fonte adicional que verificará o achado.
allowed techniques: Defina o valor esperado, o que será considerado anómalo e qual a fonte adicional que verificará o achado.
stop conditions: Defina o valor esperado, o que será considerado anómalo e qual a fonte adicional que verificará o achado.
contacts: Defina o valor esperado, o que será considerado anómalo e qual a fonte adicional que verificará o achado.

Quando um dos focos não está disponível, deve-se documentar a lacuna e escolher uma alternativa. Por exemplo, se o Process identifier não for estável, pode-se usar o tempo, Host, User e Parent; se o Payload for encriptado, usam-se Metadata, volume, frequência e TLS/DNS context.

Processo de trabalho recomendado

Defina um Scope e uma questão de trabalho sobre a metodologia de Teste de Penetração.
Registe as fontes de dados e evidências necessárias: in-scope assets, out-of-scope, time window, allowed techniques.
Crie uma Baseline curta de comportamento normal ou resultado esperado.
Realize o teste mínimo num ambiente de laboratório e guarde o tempo, entrada e saída.
Construa uma Timeline ou tabela de comparação e separe facto de interpretação.
Faça um Pivot para uma fonte adicional para verificar ou refutar a explicação inicial.
Conclua uma decisão, limitações, ação recomendada e critério de Retest.

Cenário prático

O cenário escolhido é o mapeamento de um projeto de laboratório para todas as etapas da metodologia. O objetivo do exercício não é provar a capacidade de ataque, mas sim praticar a recolha, comparação e documentação de forma segura. Antes de iniciar o trabalho, definem-se dados simulados, janela de tempo e resultado esperado.

No final do exercício, deve-se apresentar um resultado que um analista ou outro verificador possa criticar: uma captura de ecrã ou Export da evidência, uma Timeline curta, uma suposição inicial, uma evidência de verificação, uma limitação e uma recomendação. Quando não há evidência suficiente, a conclusão correta é que o cenário não foi provado.

Etapa	O que fazer	Produto
Preparação	Defina Scope, tempo e objetivo. Registe quais campos ou evidências dos ativos in-scope, out-of-scope, time window devem aparecer.	Plano de teste curto
Criação de dados	Execute uma ação segura e simulada relacionada com a metodologia de Teste de Penetração, sem informações reais ou impacto num sistema de produção.	Evento/Pedido/Fluxo controlado
Recolha	Recolha a evidência bruta e o contexto de uma fonte adicional. Verifique Time zone, identificadores e integridade.	Duas evidências ligadas
Análise	Escreva o que cada evidência prova, o que não prova e qual a explicação legítima possível.	Conclusão intermédia
Conclusão	Escolha fechar, escalar, Finding ou Tuning; adicione recomendação e Retest.	Produto documentado

Checklist prático

Verifique e documente: Scope e ROE.
Verifique e documente: Hora do teste e fonte.
Verifique e documente: Request/Response ou saída da ferramenta.
Verifique e documente: Impacto comprovado em laboratório.
Verifique e documente: Risk rating.
Verifique e documente: Remediation e Retest.
Indique Time zone, versão da ferramenta e hora da recolha.
Guarde os dados brutos antes de filtrar ou alterar.
Escreva o que a descoberta prova e o que ainda é desconhecido.
Defina o proprietário e a ação de acompanhamento com prazo.

Erros comuns

Iniciar um teste sem um Scope assinado.
Usar um Exploit agressivo como padrão.
Não guardar Evidência.
Reportar apenas CVSS sem contexto.
Não propor uma correção aplicável.
Não realizar Retest.

Resumo e CTA

Metodologia de Teste de Penetração: Do Scope ao Retest é um tópico que conecta conhecimento técnico com disciplina de trabalho. Comece com uma pergunta, recolha apenas evidências relevantes, mantenha o contexto e o tempo, e escolha uma ação que possa ser justificada e verificada novamente.

No curso Cybersecurity & AI da HPI, estes princípios são praticados usando sistemas, logs e laboratórios. O próximo passo natural é consultar os artigos relacionados, realizar o exercício de laboratório e guardar o produto como parte de um portfólio profissional.

Perguntas frequentes

É permitido testar a metodologia de Teste de Penetração num site público?

Não sem autorização explícita do proprietário do sistema. Mesmo um teste que pareça fácil pode alterar dados, ativar mecanismos de defesa ou ser considerado acesso não autorizado.

O que fazer quando alguns dados estão em falta?

Documentar a falta, verificar uma fonte alternativa e reduzir o nível de confiança. Não se devem preencher campos com base em suposições ou apresentar 'Unknown' como válido.

Quanto tempo as evidências devem ser guardadas?

O tempo depende da política, regulamentação, custo e tipo de incidente. É importante definir antecipadamente Retention, Legal hold e a capacidade de exportar evidências num formato verificável.

Como praticar sem colocar um sistema real em risco?

Utilizar máquinas virtuais, dados simulados, CTF ou um laboratório dedicado. Em testes autorizados, definem-se Scope, Stop conditions e backup antes de iniciar o trabalho.