Por Gabriela Freitas, Analista de Red Team.
Sua organização realiza pentests anuais e utiliza scanners de vulnerabilidades, mas ainda permanece exposta a ataques provenientes de fraquezas não identificadas.
O problema pode não estar na ausência de controles, e sim na maneira como encaramos a segurança.
Por que pentests tradicionais não são mais efetivos?
“Pentest é uma foto do sistema como ele está naquele momento”, afirmou meu sênior, Jeferson Gonzaga, em uma das nossas sessões de treinamento. Tradicionalmente, no mercado, pentests são feitos anualmente para uma auditoria, ou pontualmente antes de lançar uma nova aplicação. No entanto, hoje, vemos que essa metodologia não é mais efetiva.
Isso se dá porque os sistemas estão muito complexos e em constante evolução. Bibliotecas de terceiros são adicionadas ou atualizadas sem ser possível prever como afetariam o resto do sistema. O acompanhamento das atualizações de cada pacote com a Gestão de Cadeia de Suprimentos está cada vez mais ingovernável.
Enquanto isso, a categoria Vulnerable and Outdated Components saiu da 6ª posição da OWASP Top 10 2021 para a 3ª posição da OWASP Top 10 2025 com o nome de Software Supply Chain Failures. De acordo com a página da OWASP, falhas na cadeia de suprimentos continuam sendo um desafio para serem identificadas¹. Contudo, essa categoria apresenta a maior taxa média de incidência². Isso mostra que, enquanto lutamos para detectá-las, os atacantes exploram essas brechas com facilidade.
Com a constante evolução e atualização das tecnologias e os pontos cegos da totalidade do código utilizado nos sistemas, podemos entender como, no momento que a foto é tirada, o cenário já muda.
O que os exercícios de Red Team revelam que os scanners de vulnerabilidades não mostram?
Ferramentas de scanner são vitais, porém limitam-se a identificar vulnerabilidades isoladas, ficando presas a tentar superar o desafio descrito anteriormente quando se trata da cadeia de suprimentos. Ataques reais, no entanto, raramente dependem de uma única falha crítica. Eles exploram cadeias de fraquezas: sequências de vulnerabilidades de baixa criticidade, permissões excessivas, credenciais comprometidas e configurações inseguras.
A exploração de vulnerabilidades compõe 40% dos incidentes observados pela X-Force in 2025. 99% dos pentests conduzidos pela X-Force Red foram bem-sucedidos devido ao excesso de privilégios e permissões. Scanners capturam apenas parte do contexto; é preciso, em conjunto, pensar e agir como um adversário para real dimensionar do risco.
O Red Team faz uso das mesmas técnicas, táticas e procedimentos (TTPs) que os adversários empregam. Entre os exercícios de Red Team, incluímos o pentest. Esse ataque simulado busca explorar as vulnerabilidades identificadas para verificar até que ponto um atacante poderia comprometer o sistema. Ou seja, avaliando não apenas a superfície de ataque, mas também o caminho do ataque. Por isso esses exercícios têm mais chances de encontrar as brechas que os atacantes usam e que passam despercebidas pelos scanners.
Da foto ao filme: Hacking as a Service.
Como alinhar os benefícios dos exercícios de Red Team à constante evolução dos sistemas, que torna obsoleta a foto capturada em um único momento? A resposta está na transição do pentest tradicional para o Hacking as a Service (HaaS), no qual os pentests deixam de ser avaliações isoladas e passam a formar uma sequência contínua de fotos, mapeando a evolução do risco ao longo do tempo. Esse é um marcador claro de maturidade em um programa de segurança.
Organizações maduras estão superando a mentalidade de testes pontuais, muitas vezes motivados apenas por auditorias ou exigências regulamentárias, para adotar ciclos frequentes de pentests. Essa cadência permite identificar vulnerabilidade recorrentes e demonstra o retorno sobre o investimento em segurança de maneira objetiva. É hora de abandonar a mentalidade de foto e adotar a mentalidade de filme que apresenta uma visão dinâmica e constante do cenário de ameaças.
Referências
https://owasp.org/Top10/2025/A03_2025-Software_Supply_Chain_Failures/
https://attack.mitre.org/techniques/T1195/
https://attack.mitre.org/mitigations/M1016/
https://nucleussec.com/blog/2026-dbir-confirms-shift-to-exposure-management/
https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-278a?link_from_packtlink=yes
WONG, Caroline. The PtaaS Book: The A-Z of Pentest as a Service. Gambrills, Maryland: AimPoint Group, LLC, 2022.