Question 1

O que é teste de penetração?

Accepted Answer

Teste de penetração (pentest) é um ataque cibernético simulado e autorizado contra os seus sistemas informáticos para identificar vulnerabilidades exploráveis. É uma avaliação de segurança proativa que simula as técnicas utilizadas por atacantes maliciosos para descobrir pontos fracos antes que sejam explorados. Os nossos especialistas certificados utilizam metodologias reconhecidas internacionalmente como OWASP, PTES e NIST para garantir uma avaliação abrangente da sua postura de segurança.

Question 2

Quanto tempo demora um teste de penetração?

Accepted Answer

A duração de um teste de penetração varia conforme o âmbito, complexidade e tipo de sistemas avaliados. Testes básicos de aplicações web podem demorar 3-5 dias úteis, enquanto avaliações completas de infraestrutura empresarial podem estender-se por 2-4 semanas. Fatores que influenciam a duração incluem: número de sistemas/aplicações, tamanho da rede, requisitos de conformidade, e profundidade da análise necessária. Fornecemos sempre um cronograma detalhado durante a fase de planeamento.

Question 3

Quanto custa um teste de penetração?

Accepted Answer

Os custos de teste de penetração variam baseados no âmbito, complexidade e tipo de avaliação. Testes básicos de aplicações web começam em €2.500, testes de infraestrutura de rede a partir de €5.000, e avaliações completas empresariais podem custar €10.000 ou mais. Fatores que influenciam o preço incluem: número de IPs/URLs, complexidade da aplicação, requisitos de conformidade, urgência do projeto, e necessidade de testes especializados. Oferecemos orçamentos personalizados gratuitos após análise inicial dos seus requisitos.

Question 4

O teste de penetração é seguro para os meus sistemas?

Accepted Answer

Sim, os nossos testes de penetração são cuidadosamente controlados e desenhados para minimizar qualquer risco aos seus sistemas de produção. Utilizamos metodologias aprovadas, técnicas não-destrutivas, e coordenamos todas as atividades com a sua equipa de TI. Estabelecemos protocolos de segurança rigorosos, incluindo: testes em horários acordados, backups de segurança, canais de comunicação de emergência, e procedimentos de rollback. Os nossos especialistas certificados têm anos de experiência em ambientes empresariais críticos.

Question 5

O que vou receber após o teste?

Accepted Answer

Após o teste de penetração, receberá um relatório abrangente e profissional que inclui: resumo executivo para gestão, descobertas detalhadas com classificações de risco (Crítico, Alto, Médio, Baixo), evidências técnicas com screenshots, recomendações específicas de correção, cronograma de remediação sugerido, e apêndices técnicos. Também fornecemos uma sessão de debriefing presencial ou virtual para explicar os resultados, responder a questões, e discutir prioridades de correção. O relatório segue standards internacionais e pode ser utilizado para auditorias de conformidade.

Question 6

Os testes ajudam com conformidade RGPD?

Accepted Answer

Sim, os nossos testes de penetração são especificamente desenhados para atender aos requisitos de segurança do RGPD (Regulamento Geral sobre a Proteção de Dados). Avaliamos medidas técnicas e organizacionais de proteção de dados pessoais, identificamos vulnerabilidades que podem levar a violações de dados, e fornecemos recomendações para implementar 'segurança por design'. O nosso relatório inclui secções específicas sobre conformidade RGPD e pode ser utilizado como evidência de due diligence para autoridades reguladoras como a CNPD.

Question 7

Com que frequência devo fazer testes de penetração?

Accepted Answer

Recomendamos testes de penetração anuais no mínimo, mas a frequência ideal depende de vários fatores: tipo de indústria, requisitos regulamentares, mudanças na infraestrutura, e perfil de risco. Organizações do setor financeiro podem necessitar de testes semestrais, enquanto empresas com mudanças frequentes de sistemas devem considerar testes trimestrais. Também recomendamos testes adicionais após: implementação de novos sistemas, mudanças significativas na rede, incidentes de segurança, ou antes de auditorias de conformidade importantes.

Question 8

Como me devo preparar para um teste de penetração?

Accepted Answer

A preparação adequada é crucial para o sucesso do teste. Passos essenciais incluem: definir claramente o âmbito e objetivos, obter aprovações legais e de gestão, informar equipas de TI e segurança, preparar documentação de sistemas (diagramas de rede, inventário de aplicações), estabelecer canais de comunicação de emergência, agendar janelas de teste apropriadas, e designar pontos de contacto técnicos. Também recomendamos realizar backups de segurança e ter planos de contingência preparados.

Question 9

Que tipos de testes de penetração oferecem?

Accepted Answer

Oferecemos uma gama completa de serviços de teste de penetração: Aplicações Web (OWASP Top 10, lógica de negócio), Infraestrutura de Rede (servidores, firewalls, switches), Aplicações Móveis (iOS/Android), Engenharia Social (phishing, vishing), Operações Red Team (simulações de APT), Testes de API (REST, SOAP, GraphQL), Segurança Cloud (AWS, Azure, GCP), Testes IoT, Avaliação Wi-Fi, e Revisão de Código Seguro. Cada tipo utiliza metodologias específicas e ferramentas especializadas para máxima eficácia.

Question 10

Oferecem suporte para correção de vulnerabilidades?

Accepted Answer

Sim, oferecemos suporte abrangente para correção de vulnerabilidades descobertas. Os nossos serviços incluem: consultoria especializada para implementação de correções, desenvolvimento de planos de remediação priorizados, suporte técnico durante a implementação, testes de re-verificação para confirmar correções, formação de equipas internas, e monitorização contínua de segurança. Também oferecemos serviços de DevSecOps para integrar segurança no ciclo de desenvolvimento e prevenir futuras vulnerabilidades.

Question 11

Os testes ajudam com certificação ISO 27001?

Accepted Answer

Absolutamente. Os nossos testes de penetração são alinhados com os controlos de segurança da ISO 27001 e ajudam a demonstrar conformidade com vários requisitos da norma. Especificamente, contribuem para: A.12.6 (Gestão de vulnerabilidades técnicas), A.14.2 (Segurança em processos de desenvolvimento), e A.18.2 (Revisões de segurança da informação). O nosso relatório inclui mapeamento específico para controlos ISO 27001 e pode ser utilizado como evidência durante auditorias de certificação. Também oferecemos consultoria para implementação completa do SGSI.

Question 12

Qual a diferença entre teste black box e white box?

Accepted Answer

Teste Black Box simula um atacante externo sem conhecimento interno dos sistemas - apenas com informações publicamente disponíveis. É ideal para avaliar a postura de segurança externa. Teste White Box fornece acesso completo a código-fonte, documentação e credenciais - permitindo análise profunda de vulnerabilidades internas. Teste Gray Box combina ambas as abordagens, fornecendo conhecimento limitado dos sistemas. Recomendamos White Box para desenvolvimento seguro, Black Box para avaliação realista de ameaças externas, e Gray Box para avaliações abrangentes.

Question 13

Como testam aplicações móveis?

Accepted Answer

O nosso teste de aplicações móveis segue a metodologia OWASP MSTG (Mobile Security Testing Guide) e cobre: análise estática de código (SAST), análise dinâmica em runtime (DAST), teste de comunicações de rede, avaliação de armazenamento local, teste de autenticação e autorização, análise de criptografia, teste de lógica de negócio, e avaliação de proteções anti-tampering. Testamos em dispositivos reais iOS e Android, utilizamos ferramentas especializadas como MobSF, Frida, e Burp Suite Mobile Assistant. Fornecemos relatórios específicos para cada plataforma.

Question 14

Testam segurança em ambientes cloud?

Accepted Answer

Sim, oferecemos testes especializados para ambientes cloud (AWS, Azure, Google Cloud Platform). Os nossos testes incluem: configuração de IAM e permissões, segurança de storage (S3, Blob, Cloud Storage), configuração de redes virtuais e firewalls, avaliação de containers e Kubernetes, teste de APIs cloud-native, análise de logs e monitorização, avaliação de compliance (SOC2, ISO 27017), e teste de disaster recovery. Utilizamos ferramentas especializadas como ScoutSuite, Prowler, e CloudMapper, seguindo frameworks como CSA CCM e NIST Cloud Computing.

Question 15

O que inclui uma avaliação de engenharia social?

Accepted Answer

A nossa avaliação de engenharia social testa o fator humano na segurança através de: campanhas de phishing simuladas (email, SMS, WhatsApp), testes de vishing (chamadas telefónicas), avaliação de segurança física (tailgating, pretexting), teste de USB drops, análise de informações em redes sociais (OSINT), avaliação de políticas de segurança, e formação de consciencialização. Todos os testes são éticos, controlados, e coordenados com RH. Fornecemos métricas detalhadas, análise comportamental, e recomendações para programas de formação em segurança.

Perguntas Frequentes