Tipos de Pentest: black box, white box, gray box e por escopo

Os tipos de pentest se organizam em dois eixos: o nível de conhecimento entregue à equipe (black box, gray box e white box) e o alvo testado (aplicação web, API, rede, cloud, mobile, wireless e o fator humano). A escolha certa depende do objetivo, do risco e do que a empresa precisa provar.

Não existe um pentest "genérico". Cada engajamento é definido por duas decisões: quanta informação a equipe recebe antes de começar e qual superfície será atacada. Entender essas duas dimensões é o que separa um escopo que gera valor de um teste que consome orçamento sem responder à pergunta que importa — "até onde um atacante chegaria aqui?". Este guia percorre os principais tipos de teste de invasão e explica quando cada um faz sentido.

O que é um pentest (teste de invasão)?

Um pentest, ou teste de invasão, é a simulação autorizada de um ataque real contra aplicações, APIs, redes ou nuvem. Um especialista busca e explora falhas dentro de regras acordadas para provar, com evidência, o que um adversário conseguiria alcançar e qual o impacto no negócio — não apenas listar vulnerabilidades, mas demonstrar o caminho de ataque completo. Para uma introdução completa ao tema — como funciona, fases e quando fazer — veja o que é pentest.

Qual a diferença entre pentest e análise de vulnerabilidade?

Pentest e análise de vulnerabilidade são frequentemente confundidos, mas respondem a perguntas diferentes. A análise de vulnerabilidade (vulnerability assessment) mapeia falhas conhecidas com ferramentas automatizadas; o pentest confirma quais delas são realmente exploráveis e qual o impacto. Um não substitui o outro: a varredura dá amplitude, o pentest dá profundidade e prova.

A análise de vulnerabilidade é um ótimo controle contínuo e de baixo custo para acompanhar a higiene do ambiente. O pentest entra quando a pergunta deixa de ser "o que pode estar vulnerável?" e passa a ser "até onde um atacante chega e o que consegue acessar?".

Quais são os tipos de pentest por nível de conhecimento?

O primeiro eixo define quanta informação a equipe de teste recebe antes de iniciar. Ele determina o realismo do exercício, o tempo gasto em reconhecimento e a profundidade da cobertura. São três abordagens.

1. Black box — a equipe começa sem nenhuma informação interna, apenas com o alvo declarado (um domínio, uma faixa de IP, um aplicativo). Reproduz fielmente a perspectiva de um atacante externo que não conhece o ambiente. É o cenário mais realista, mas boa parte do tempo é gasta em reconhecimento e enumeração, o que pode deixar áreas menos expostas fora da cobertura.
2. Gray box — a equipe recebe informações parciais: credenciais de um usuário comum, documentação de arquitetura ou um diagrama de rede. É o equilíbrio mais utilizado no mercado, porque concentra o esforço onde o risco realmente está, em vez de gastá-lo redescobrindo o que o cliente já poderia ter informado. Simula bem um atacante que já obteve um ponto de apoio inicial ou um insider com acesso limitado.
3. White box — a equipe recebe acesso amplo: código-fonte, configurações, credenciais privilegiadas e documentação completa. Maximiza a cobertura e permite encontrar falhas que dificilmente apareceriam de fora, como problemas de lógica de negócio profundos. É indicado para sistemas críticos, onde o objetivo é a exaustividade, não a simulação de um adversário externo.

A tabela abaixo resume as diferenças práticas entre as três abordagens:

Nenhuma abordagem é superior às outras em termos absolutos — cada uma responde a uma pergunta diferente. Programas maduros costumam alternar entre elas conforme o alvo e o momento.

Quais são os tipos de pentest por alvo (por escopo)?

O segundo eixo define qual superfície será testada. Cada alvo tem classes de falha próprias e exige metodologia específica. Os tipos mais comuns:

• Pentest de aplicação web — testa falhas de lógica de negócio, autenticação, autorização e as categorias do OWASP Testing Guide. É o alvo mais frequente, porque a aplicação web costuma ser a face pública e o principal ponto de entrada de dados.
• Pentest de API — foca em autenticação, controle de acesso por objeto (BOLA/IDOR) e abuso de lógica em endpoints REST e GraphQL. APIs muitas vezes expõem mais do que a interface web que as consome, e falhas de autorização são a regra, não a exceção.
• Pentest de rede — avalia perímetro externo e ambiente interno, buscando serviços expostos, configurações fracas, movimentação lateral e escalação de privilégios. É o teste que responde "o que acontece depois que o atacante entra?".
• Pentest de cloud — analisa configurações de IAM, isolamento de recursos, buckets e superfícies expostas em ambientes AWS, Azure e GCP. A maior parte dos incidentes em nuvem vem de configuração incorreta, não de falha do provedor.
• Pentest mobile — cobre aplicativos Android e iOS seguindo a metodologia OWASP MASVS/MASTG: armazenamento inseguro de dados, comunicação, controles do lado do cliente e comunicação entre processos.
• Pentest wireless — avalia redes Wi-Fi corporativas, segregação de redes de convidados e ataques a mecanismos de autenticação sem fio.
• Engenharia social e phishing — testa o fator humano por meio de campanhas controladas de phishing, pretexting e, em alguns casos, acesso físico. Mede a eficácia do treinamento e dos controles de detecção diante da tática mais usada em ataques reais.

Quando o objetivo deixa de ser testar um alvo específico e passa a avaliar a capacidade de detecção e resposta da organização como um todo — com objetivos adversariais amplos e cenários de ponta a ponta —, o exercício se aproxima de um exercício de Red Team, que combina vários desses alvos em uma única campanha coordenada.

Para organizações que adotam sistemas de IA, há uma superfície nova: modelos, agentes e pipelines de RAG têm classes de falha próprias, como prompt injection e abuso de ferramentas conectadas. Testá-los exige metodologia específica, assunto que tratamos em segurança de agentes de IA e na governança segundo a ISO 42001.

Qual a diferença entre pentest externo e interno?

Além do conhecimento e do alvo, um pentest de rede costuma ser classificado pela posição de onde parte o ataque. Essa distinção define qual ameaça está sendo simulada.

• Pentest externo — parte da internet, sem acesso prévio à rede interna. Simula um atacante anônimo tentando romper o perímetro: serviços expostos, VPNs, portais de acesso e aplicações públicas. Responde à pergunta "o que um estranho consegue alcançar de fora?".
• Pentest interno — parte de dentro da rede, assumindo que o atacante já obteve um ponto de apoio (por phishing, um dispositivo comprometido ou um insider). Foca em movimentação lateral, escalação de privilégios e alcance a sistemas críticos. Responde à pergunta "e depois que ele entra, até onde vai?".

Os dois são complementares. Um perímetro sólido não impede o comprometimento se, uma vez dentro, o atacante encontra uma rede plana e credenciais reutilizadas. Programas de segurança maduros testam as duas posições, porque a maioria dos incidentes reais combina as duas fases: entrada pelo perímetro e expansão pela rede interna.

Como escolher o tipo de pentest certo?

A escolha parte de dois gatilhos que costumam se sobrepor: obrigação regulatória e gestão de risco.

Do lado regulatório, o tipo de teste muitas vezes é definido pela norma aplicável. A conformidade com PCI DSS exige testes periódicos sobre o ambiente que processa dados de cartão. A adequação à ISO 27001 trata o teste técnico como parte da avaliação de controles. A adequação à LGPD demanda medidas técnicas para proteger dados pessoais, e o pentest é uma forma direta de evidenciá-las. Para instituições financeiras, as resoluções do BACEN e do CMN sobre segurança cibernética, incluindo a 4.893, reforçam a necessidade de testes sobre ambientes críticos — o que se estende a integrações de Open Finance e a ambientes de pagamento. Soluções de pagamento em COTS têm ainda o escopo específico do PCI MPoC, e empresas sob a mira da diretiva europeia precisam considerar a conformidade com a NIS2.

Do lado da gestão de risco, o tipo de pentest segue o que mudou:

• Um novo aplicativo mobile em produção pede um pentest mobile.
• Uma migração para nuvem pede um pentest de cloud com foco em IAM e configuração.
• Uma nova integração via API pede um pentest de API.
• Uma preocupação com o fator humano após um incidente de phishing pede uma campanha de engenharia social.

Se a dúvida é qual escopo priorizar primeiro, a regra prática é começar pela superfície mais exposta e mais sensível: aquilo que está na internet e que, se comprometido, causa o maior impacto ao negócio. Uma avaliação inicial de superfície de ataque ajuda a ordenar essa fila, e uma estrutura de governança contínua — apoiada, por exemplo, por um DPO terceirizado quando o driver é proteção de dados — mantém o programa vivo entre um teste e o próximo.

Como a Berghem executa cada tipo de pentest

Na Berghem, o teste de invasão começa pelo objetivo adversarial, não pela URL. Estruturamos cada engajamento como o serviço de Ethical Hacking Test (EHT) nos níveis Silver, Gold e Diamond: definimos o que um atacante buscaria naquele contexto — dados de cliente, credenciais privilegiadas, um processo crítico — e trabalhamos para trás, encadeando as falhas necessárias para chegar lá. Silver cobre o OWASP Top 10 com testes automatizados e manuais; Gold adiciona OWASP ASVS Nível 2, modelagem de ameaças STRIDE e análise de lógica de negócio; Diamond alcança o ASVS Nível 3 com revisão assistida por código-fonte e retestes estendidos. O tipo de pentest é a consequência dessa definição, não o ponto de partida.

Conduzimos os principais escopos com metodologia dedicada a cada superfície:

• Pentest de cloud — avaliação de IAM, isolamento e configuração em AWS, Azure e GCP.
• Pentest de rede — perímetro externo e ambiente interno, com foco em movimentação lateral e escalação de privilégios.
• Pentest mobile — aplicativos Android e iOS sob a metodologia OWASP MASVS/MASTG.
• Pentest de API — autenticação, controle de acesso por objeto e abuso de lógica em endpoints REST e GraphQL.

Independentemente do tipo, a execução se apoia em três princípios: foco em impacto provado em vez de volume de achados; análise humana sobre a automação, com ferramentas acelerando a cobertura e especialistas conduzindo a exploração; e metodologia reconhecida — OWASP, NIST SP 800-115 e MITRE ATT&CK — sustentando cada etapa. Somos uma empresa de segurança da informação em São Paulo e cada relatório entrega evidência, passos de reprodução, severidade CVSS e correção priorizada, além do reteste para confirmar que a falha foi eliminada.

A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.

Perguntas frequentes

Quais são os tipos de pentest?

Os tipos de pentest se dividem em dois eixos. Por nível de conhecimento: black box (sem informação prévia), gray box (informação parcial) e white box (acesso completo a código e configurações). Por escopo ou alvo: aplicação web, API, rede, cloud, mobile, wireless e engenharia social. O tipo certo depende do objetivo, do risco e da superfície que precisa ser validada.

Qual a diferença entre black box, white box e gray box?

A diferença está em quanta informação a equipe recebe antes de testar. No black box ela começa sem nenhum dado interno, simulando um atacante externo. No white box recebe código, configurações e credenciais, maximizando a cobertura. O gray box fica no meio, com informação parcial (como credenciais de usuário comum), equilibrando realismo e profundidade — é a abordagem mais comum no mercado.

Qual a diferença entre pentest e análise de vulnerabilidade?

A análise de vulnerabilidade usa scanners automatizados para listar falhas conhecidas, sem confirmar exploração. O pentest vai além: um especialista explora as falhas manualmente, encadeia vetores e prova o impacto real no negócio. A varredura responde "o que pode estar vulnerável?"; o pentest responde "até onde um atacante chega e o que consegue acessar?".