Cibersegurança e segurança da informação

Regras de Engajamento e Âmbito na Testagem de Penetração

6 min de leituraPublicado: 5 de agosto de 2026

Ilustração visual profissional sobre Regras de Engajamento na testagem de penetração no campo de Penetration Testing

Resposta rápida

As Regras de Engajamento na testagem de penetração devem ser realizadas apenas dentro de um Âmbito e Regras de Engajamento aprovados. O processo inclui recolha de informações, verificação controlada, Evidência, avaliação de risco, remediação e Reteste.

Uma testagem de penetração profissional é um processo autorizado e definido, não uma coleção de comandos. O Âmbito (Scope), as Regras de Engajamento (Rules of Engagement), as evidências, a avaliação de risco, a remediação e o Reteste são partes integrantes do trabalho. O presente artigo foca-se nas Regras de Engajamento na testagem de penetração e destina-se a testadores iniciantes, gestores de projeto e clientes. O objetivo é fornecer um método de trabalho que possa ser aplicado na prática, em entrevistas profissionais e em ambientes de trabalho, sem se limitar a uma definição de dicionário.

O principal desafio é que os dados estão quase sempre incompletos. Os assets in-scope, out-of-scope, e a janela de tempo podem apontar para uma direção, mas o seu significado depende do tempo, do asset, do utilizador e da atividade esperada. Por isso, construímos o teste em torno de uma questão de investigação, das evidências necessárias e de um critério claro para a conclusão.

O cenário prático no artigo é: uma Lista de Verificação antes de iniciar um teste de laboratório. Todos os exemplos são dados de laboratório ou descrições de processos. Quando se trata de Testagem de Penetração, Web ou Cloud, deve-se trabalhar apenas com autorização expressa, um Âmbito definido e a capacidade de interromper o teste.

Autorização e Autoridade

O tópico 'Autorização e Autoridade' é uma parte central do trabalho sobre as Regras de Engajamento na testagem de penetração. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se pretende tomar e que evidência é suficiente para a justificar. Estas perguntas impedem o uso automático de uma ferramenta sem compreender o objetivo.

Na prática, registe os assets in-scope, out-of-scope, a janela de tempo, as técnicas permitidas, as condições de paragem, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

In-scope e Out-of-scope

O processo das Regras de Engajamento na testagem de penetração é construído a partir de fases com pontos de paragem. Define-se um objetivo, Âmbito, fontes, ações permitidas, evidências necessárias, stakeholders e critério de conclusão. Em ambientes de ataque, adicionam-se condições de paragem e um canal de emergência.

Em cada fase deve haver um Output claro: mapa de assets, Timeline, Finding, Regra, Playbook ou relatório. A transição para a próxima fase ocorre apenas quando o Output é suficiente e fiável; assim, evita-se trabalho aleatório ou a expansão do Âmbito sem autorização.

Janelas de Tempo e Fontes

Nesta fase, define-se que evidências são necessárias para responder à questão de investigação. Para as Regras de Engajamento na testagem de penetração, os pontos base são Âmbito e ROE, hora do teste e fonte, Request/Response ou saída da ferramenta, impacto comprovado em laboratório. Para cada fonte, documentam-se o proprietário, o período de retenção, o fuso horário, o atraso na receção e os campos que podem estar em falta.

A qualidade da recolha não é medida pelo facto de o registo 'chegar'. É necessário verificar a Completeness, Latency, Parsing, Duplicate events e a sincronização do tempo. Um teste Canary ou um evento de laboratório conhecido permite verificar se a ação apareceu na fonte, passou pelo Pipeline e é pesquisável nos campos corretos.

Limitações Técnicas e Ações Proibidas

O tópico 'Limitações Técnicas e Ações Proibidas' é uma parte central do trabalho sobre as Regras de Engajamento na testagem de penetração. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se pretende tomar e que evidência é suficiente para a justificar. Estas perguntas impedem o uso automático de uma ferramenta sem compreender o objetivo.

Comunicação, Interrupção e Relatório

O tópico 'Comunicação, Interrupção e Relatório' é uma parte central do trabalho sobre as Regras de Engajamento na testagem de penetração. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se pretende tomar e que evidência é suficiente para a justificar. Estas perguntas impedem o uso automático de uma ferramenta sem compreender o objetivo.

Focos de Teste Exclusivos

Neste tópico, recomenda-se construir antecipadamente um mapa de evidências focado. Os principais focos de teste são: assets in-scope, out-of-scope, janela de tempo, técnicas permitidas, condições de paragem, contactos. A lista não é um Checklist automático; cada item é escolhido porque pode ligar uma entidade, uma ação e um tempo ou explicar um comportamento legítimo.

assets in-scope: Defina qual é o valor esperado, o que será considerado anómalo e qual fonte adicional confirmará a descoberta.
out-of-scope: Defina qual é o valor esperado, o que será considerado anómalo e qual fonte adicional confirmará a descoberta.
janela de tempo: Defina qual é o valor esperado, o que será considerado anómalo e qual fonte adicional confirmará a descoberta.
técnicas permitidas: Defina qual é o valor esperado, o que será considerado anómalo e qual fonte adicional confirmará a descoberta.
condições de paragem: Defina qual é o valor esperado, o que será considerado anómalo e qual fonte adicional confirmará a descoberta.
contactos: Defina qual é o valor esperado, o que será considerado anómalo e qual fonte adicional confirmará a descoberta.

Quando um dos focos não está disponível, é necessário documentar a lacuna e escolher uma alternativa. Por exemplo, se o Process identifier não for estável, pode-se usar o tempo, Host, User e Parent; se o Payload for encriptado, usam-se Metadata, volume, frequência e TLS/DNS context.

Processo de Trabalho Recomendado

Defina o Âmbito e uma única questão de trabalho sobre as Regras de Engajamento na testagem de penetração.
Registe as fontes de dados e as evidências necessárias: assets in-scope, out-of-scope, janela de tempo, técnicas permitidas.
Crie uma Linha de Base curta de comportamento normal ou resultado esperado.
Realize o teste mínimo num ambiente de laboratório e guarde tempo, entrada e saída.
Crie um Timeline ou uma tabela de comparação e separe facto de interpretação.
Realize um Pivot para uma fonte adicional para confirmar ou refutar a explicação inicial.
Resuma a decisão, as limitações, a ação recomendada e o critério de Reteste.

Cenário Prático

O cenário escolhido é uma Lista de Verificação antes de iniciar um teste de laboratório. O objetivo do exercício não é provar a capacidade de ataque, mas sim praticar a recolha, comparação e documentação de forma segura. Antes de iniciar o trabalho, definem-se dados simulados, uma janela de tempo e um resultado esperado.

No final do exercício, deve ser apresentado um produto que um analista ou outro testador possa rever: uma imagem ou Export da evidência, um Timeline curto, uma hipótese inicial, uma evidência confirmadora, uma limitação e uma recomendação. Quando não há evidência suficiente, a conclusão correta é que o cenário não foi provado.

Fase	O que é realizado	Produto
Preparação	Defina o Âmbito, o tempo e o objetivo. Registe quais campos ou evidências de in-scope assets, out-of-scope, janela de tempo são esperados para aparecer.	Plano de teste curto
Criação de Dados	Execute uma ação segura e simulada relacionada com as Regras de Engajamento na testagem de penetração, sem informações reais ou impacto num sistema de produção.	Evento/Request/Flow controlado
Recolha	Recolha a evidência bruta e o contexto de uma fonte adicional. Verifique o Time zone, os identificadores e a integridade.	Duas evidências ligadas
Análise	Escreva o que cada evidência prova, o que não prova e qual é a explicação legítima possível.	Conclusão intermédia
Conclusão	Escolha fechar, escalar, Finding ou Tuning; adicione uma recomendação e Reteste.	Produto documentado

Lista de Verificação Prática

Verificar e documentar: Âmbito e ROE.
Verificar e documentar: Hora do teste e fonte.
Verificar e documentar: Request/Response ou saída da ferramenta.
Verificar e documentar: Impacto comprovado em laboratório.
Verificar e documentar: Risk rating.
Verificar e documentar: Remediação e Reteste.
Indicar Time zone, versão da ferramenta e hora da recolha.
Guardar os dados brutos antes de filtrar ou modificar.
Escrever o que a descoberta prova e o que ainda é desconhecido.
Definir proprietário e ação de acompanhamento com prazo.

Erros Comuns

Começar um teste sem um Âmbito assinado.
Usar um Exploit agressivo por predefinição.
Não guardar Evidência.
Relatar apenas CVSS sem contexto.
Não propor uma remediação aplicável.
Não realizar Reteste.

Resumo e CTA

As Regras de Engajamento e o Âmbito na testagem de penetração são um tópico que conecta conhecimento técnico com disciplina de trabalho. Comece com uma pergunta, recolha apenas evidências relevantes, mantenha o contexto e o tempo, e escolha uma ação que possa ser justificada e testada novamente.

No curso Cybersecurity & AI da HPI, estes princípios são praticados usando sistemas, registos e laboratórios. Uma continuação natural é passar para os artigos relacionados, realizar o exercício de laboratório e guardar o produto como parte de um portfólio de trabalho profissional.

Perguntas frequentes

É permitido testar as Regras de Engajamento na testagem de penetração num site público?

Não, sem autorização expressa do proprietário do sistema. Mesmo um teste que pareça fácil pode alterar dados, ativar mecanismos de defesa ou ser considerado acesso não autorizado.

O que fazer quando faltam alguns dados?

Documentar a falta, verificar uma fonte alternativa e reduzir o nível de confiança. Não se devem preencher campos por suposição nem apresentar 'Unknown' como correto.

Quanto tempo as evidências devem ser guardadas?

O tempo depende da política, regulamentação, custo e tipo de incidente. É importante definir antecipadamente a Retenção, o Legal hold e a capacidade de exportar evidências num formato verificável.

Como praticar sem colocar em risco um sistema real?

Usar máquinas virtuais, dados simulados, CTF ou um laboratório dedicado. Em testes autorizados, define-se o Âmbito, as condições de paragem e um backup antes de iniciar o trabalho.