Gestão de vulnerabilidades e pentest respondem a perguntas diferentes. A gestão de vulnerabilidades é um processo contínuo que descobre, prioriza e corrige falhas conhecidas em escala. O pentest é uma avaliação pontual que explora falhas — conhecidas ou não — para provar impacto real. Um cobre amplitude; o outro, profundidade. Programas maduros usam os dois.
Confundir os dois é uma das causas mais comuns de dinheiro mal investido em segurança. Uma empresa roda um scanner, recebe um relatório de milhares de itens e acredita ter feito um "pentest". Outra contrata um teste de invasão anual e assume que está coberta o ano inteiro. Nenhuma das duas está errada sobre a ferramenta que usou — está errada sobre o que aquela ferramenta prova. Este artigo separa os conceitos e mostra como encaixá-los em um único programa.
O que é gestão de vulnerabilidades?
Gestão de vulnerabilidades é o ciclo operacional de identificar, classificar, priorizar, corrigir e verificar falhas conhecidas em todo o parque tecnológico. Ela é contínua por definição: novos ativos entram em produção, novas CVEs são publicadas todos os dias e configurações mudam. Um processo maduro percorre estas etapas de forma recorrente:
- Descoberta e inventário — mapear ativos, serviços expostos, versões de software e dependências. Sem inventário confiável, não há gestão de vulnerabilidades, apenas varreduras cegas.
- Varredura — scanners autenticados e não autenticados comparam o que existe no ambiente com bases de vulnerabilidades conhecidas (CVE) e regras de configuração.
- Priorização — nem toda falha importa igualmente. A priorização combina severidade técnica (CVSS), probabilidade de exploração (por exemplo, indicadores como EPSS e a presença em catálogos de exploração ativa) e o contexto do ativo: um item de severidade média em um servidor de pagamento exposto pode superar um item alto em uma estação isolada.
- Remediação — aplicar correções, ajustar configurações ou mitigar o risco com controles compensatórios quando o patch não é viável.
- Verificação — reexecutar a varredura para confirmar que a correção surtiu efeito e não introduziu regressões.
O que a gestão de vulnerabilidades entrega bem é cobertura e velocidade. Ela enxerga o ambiente inteiro em ciclos curtos e sinaliza rapidamente quando uma nova falha crítica surge. O que ela não faz é provar que uma falha é realmente explorável no seu contexto, nem encadear várias fraquezas menores em um comprometimento real. Scanners geram falsos positivos e, principalmente, não entendem lógica de negócio.
O que é um pentest?
Um pentest, ou teste de invasão, é uma avaliação conduzida por especialistas que exploram ativamente as falhas de um alvo definido para demonstrar impacto concreto. Em vez de listar o que poderia dar errado, o pentest mostra o que dá errado: até onde um atacante chega, quais dados alcança e o que consegue fazer com esse acesso.
A diferença central é o método. Um scanner correlaciona versões e assinaturas; um pentester raciocina como adversário. Ele encadeia falhas — combina uma configuração fraca com uma credencial reaproveitada e uma falha de autorização para chegar a um objetivo — e testa a lógica de negócio, terreno em que scanners são cegos: abusar de um fluxo de checkout, manipular um parâmetro de autorização, contornar uma regra de aprovação.
Os pentests se organizam por alvo e por nível de conhecimento entregue à equipe. Entre as modalidades mais contratadas estão o pentest de rede, o pentest de API, o pentest cloud e o pentest mobile, além de exercícios de Red Team com objetivos definidos que medem detecção e resposta. Cada engajamento termina com achados priorizados, prova de conceito reproduzível e recomendações de correção.
O que o pentest entrega bem é profundidade e evidência. Ele valida exploração real, revela cadeias de ataque que nenhum scanner monta e traduz risco técnico em impacto de negócio. O que ele não faz é cobrir todo o ambiente continuamente: é um retrato de um escopo específico em um momento específico.
Qual a diferença entre gestão de vulnerabilidades e pentest?
A tabela abaixo resume os eixos que mais confundem as duas práticas.
| Critério | Gestão de vulnerabilidades | Pentest |
|---|---|---|
| Objetivo | Encontrar e corrigir falhas conhecidas em escala | Provar impacto explorando falhas em profundidade |
| Cobertura | Ampla — todo o ambiente | Focada — escopo definido |
| Frequência | Contínua (varreduras recorrentes) | Pontual (por projeto ou janela) |
| Método | Automatizado, baseado em assinaturas e CVE | Manual e criativo, conduzido por especialistas |
| Encadeia falhas | Não | Sim |
| Testa lógica de negócio | Não | Sim |
| Falsos positivos | Comuns, exigem triagem | Raros — achados são validados |
| Prova de conceito | Não | Sim |
| Resultado | Lista priorizada de vulnerabilidades | Cadeias de ataque com impacto demonstrado |
| Custo por ciclo | Menor, recorrente | Maior, concentrado |
Nenhuma coluna é "melhor". Elas medem coisas diferentes. A gestão de vulnerabilidades responde "onde estão minhas falhas conhecidas hoje?". O pentest responde "o que um atacante de fato consegue fazer com o que existe aqui?".
Com que frequência executar cada um?
A gestão de vulnerabilidades é contínua — essa é a sua natureza. Na prática, isso costuma significar varreduras autenticadas em ciclos curtos (mensais é um piso razoável para muitos ambientes), varreduras não autenticadas do perímetro externo com frequência ainda maior, e verificação sempre que houver mudança significativa: um novo sistema em produção, uma alteração de arquitetura ou a publicação de uma CVE crítica que afete a sua stack.
O pentest é periódico e orientado a eventos. A boa prática combina uma cadência de calendário com gatilhos:
- Anualmente, no mínimo, para os sistemas críticos e o perímetro exposto.
- Após mudanças relevantes — uma nova aplicação, uma reformulação de arquitetura, uma migração de nuvem ou a exposição de uma nova API.
- Antes de marcos de negócio — o lançamento de um produto, uma auditoria, uma due diligence de aquisição.
Requisitos regulatórios e contratuais frequentemente definem a cadência mínima. O PCI DSS, por exemplo, exige varreduras de vulnerabilidade internas e externas ao menos trimestrais (as externas por ASV) e testes de invasão ao menos anuais, além de repetições após mudanças significativas — um caso claro em que os dois processos são obrigatórios e complementares. No setor financeiro brasileiro, as resoluções do BACEN/CMN sobre segurança cibernética, incluindo a 4.893, tratam a gestão de vulnerabilidades e os testes como parte de um programa contínuo de resiliência. Verifique sempre a norma aplicável ao seu setor antes de fixar uma cadência.
Um substitui o outro?
Não. Tratar um como substituto do outro deixa lacunas previsíveis, e é aqui que a maioria dos programas falha:
- Só gestão de vulnerabilidades — você enxerga falhas conhecidas, mas nunca sabe se elas são exploráveis no seu contexto, nem como se encadeiam. Falhas de lógica de negócio e de autorização passam batido, porque nenhum scanner as entende. O relatório tem volume, mas não tem impacto demonstrado, e a priorização vira um jogo de adivinhação.
- Só pentest — você tem profundidade uma ou duas vezes por ano, mas o ambiente muda todos os dias. Entre um teste e outro, novas CVEs surgem, novos ativos entram em produção e a superfície de ataque cresce sem monitoramento. O retrato envelhece rápido.
Os dois processos se reforçam num ciclo. A gestão de vulnerabilidades reduz o ruído: quando o pentester chega, o "básico" já foi corrigido, e o teste se concentra no que exige inteligência humana — cadeias de ataque, lógica de negócio, falhas de projeto. O pentest, por sua vez, calibra a gestão de vulnerabilidades: ao provar quais falhas realmente importam no seu ambiente, ele mostra onde a priorização automatizada estava errando e ajuda a afinar o que merece atenção urgente. Em um pipeline de DevSecOps, a varredura contínua entra no CI/CD e o pentest valida os releases mais sensíveis.
Como a Berghem executa
A Berghem trata gestão de vulnerabilidades e pentest como camadas de um mesmo programa, não como serviços concorrentes. O ponto de partida é sempre o escopo real: quais ativos existem, quais são críticos, quais obrigações regulatórias se aplicam e onde a exploração causaria mais dano.
Para a camada de profundidade, o teste de invasão segue a metodologia Ethical Hacking Test (EHT), com reconhecimento, exploração manual, encadeamento de falhas e prova de impacto alinhados a OWASP, PTES e NIST SP 800-115. Cada achado vem com prova de conceito reproduzível, priorização por risco e reteste para validar as correções. A escolha da modalidade — rede, API, cloud, mobile ou Red Team — depende do que a empresa precisa provar; para entender as opções e como combiná-las, veja o nosso guia completo dos tipos de pentest por nível de conhecimento e por alvo.
Empresas com obrigações regulatórias costumam integrar essas camadas a trilhas de conformidade como PCI DSS, ISO/IEC 27001 e adequação à LGPD. Como empresa de segurança da informação em São Paulo, ajustamos a cadência de varredura e a periodicidade dos testes ao risco de cada operação — para que o investimento reflita o que precisa ser protegido, e não uma tabela genérica.
A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.
Perguntas frequentes
Um scanner de vulnerabilidades substitui o pentest?
Não. O scanner encontra falhas conhecidas de forma automatizada e em larga escala, mas não confirma se elas são exploráveis, não encadeia fraquezas e não entende lógica de negócio. O pentest explora ativamente o alvo e prova o impacto real, com prova de conceito reproduzível.
Com que frequência devo rodar cada um?
A gestão de vulnerabilidades é contínua: varreduras recorrentes (mensais como piso) e verificação a cada mudança significativa. O pentest é periódico e orientado a eventos: ao menos anual para sistemas críticos, e sempre após mudanças relevantes ou antes de lançamentos. Normas como o PCI DSS definem mínimos obrigatórios.
Por onde começar se o orçamento é limitado?
Comece pelo inventário e por uma rotina de varredura autenticada — sem saber o que você tem, nenhum investimento se justifica. Com o básico corrigido, contrate um pentest focado nos ativos mais críticos e expostos. Assim o teste, mais caro, se concentra no que exige inteligência humana, e não no que um scanner já resolveria.