O teste de intrusão é um ataque simulado autorizado. Um cliente contrata um testador para invadir os seus sistemas, redes ou aplicações. O testador utiliza as mesmas técnicas que um atacante real: reconhecimento, exploração, escalonamento de privilégios e movimentação lateral. A diferença reside nas permissões e na documentação. Tudo decorre dentro de um âmbito definido, com regras de engagement e um contrato assinado. No final, o cliente recebe um relatório onde detalha o que foi encontrado e como corrigir o problema.

Os testes podem ser de diferentes tipos. O teste de caixa negra não fornece ao testador qualquer conhecimento prévio, simulando um ataque externo. O teste de caixa branca oferece acesso completo ao código-fonte e à arquitetura, o que permite encontrar falhas mais profundas. O teste da caixa cinzenta fica entre os dois. Os testes de aplicações web focam-se na injeção de SQL, cross-site scripting e falhas de autenticação. Os testes de rede investigam firewalls, segmentação e serviços expostos. Os testes de engenharia social visam pessoas com phishing e pretextos. Um teste de intrusão é um instantâneo. Encontra o que é explorável num determinado momento. Não substitui a monitorização contínua ou o desenvolvimento seguro. Valida se as defesas funcionam ou mostra onde falham.

Tipos de teste de intrusão

• Caixa-preta — sem conhecimento prévio, perspectiva externa
• White-box — acesso total, cobertura mais aprofundada
• Caixa cinzenta — conhecimento parcial, equilíbrio realista
• Aplicação web — concentra-se em software orientado para a web
• Engenharia social — visa pessoas, não sistemas.

Um teste de intrusão sem medidas corretivas é um desperdício de dinheiro. O relatório só tem valor se alguém agir de acordo com ele.