Testes de penetração: abordagem Black Box
✅ CERTO. A afirmação está correta: na abordagem Black Box (caixa-preta), o grupo de teste não possui nenhuma informação prévia sobre o alvo, simulando um atacante externo, e a primeira fase do trabalho é justamente a coleta de informações (reconhecimento). Essa é a definição clássica de pentest Black Box, amplamente aceita na literatura de segurança da informação.
O teste de penetração (pentest) é uma atividade de segurança ofensiva que simula ataques reais contra sistemas, redes ou aplicações, com autorização formal do proprietário e documentação dos achados. O objetivo não é causar dano, mas descobrir vulnerabilidades exploráveis na prática, avaliando o impacto real que um atacante conseguiria alcançar. A classificação quanto ao nível de conhecimento do testador divide o pentest em três abordagens principais: Black Box, White Box e Gray Box.
Na abordagem Black Box, o analista não recebe nenhuma informação sobre o alvo — nem endereços de rede, nem credenciais, nem código-fonte. Ele parte do zero, exatamente como um atacante externo faria. Por isso, a primeira etapa obrigatória é a coleta de informações (também chamada de reconhecimento ou footprinting), que pode envolver técnicas de OSINT (Open Source Intelligence), varredura de portas, enumeração de serviços e mapeamento da rede. Sem essa fase inicial, seria impossível saber por onde começar o ataque simulado.
O material de apoio confirma essa definição ao apresentar a tabela comparativa:
Tipo | Descrição |
|---|
Blackbox | O analista não tem informações sobre a rede e deve começar do zero, como um atacante externo. Teste no escuro (black) |
Whitebox | O analista recebe todas as informações sobre a rede para testar sua segurança e robustez. Teste as claras (white) |
Graybox | Um meio-termo entre os dois anteriores, onde algumas informações são fornecidas. Informações parciais. |
A pegadinha que a banca explora neste tema é a confusão entre as três abordagens. O candidato pode trocar Black Box por White Box (que recebe todas as informações) ou por Gray Box (que recebe informações parciais). A palavra-chave que decide a questão é "nenhuma informação real sobre o alvo" — isso é a marca registrada do Black Box. E o complemento "deve-se começar com a coleta de informações" é a consequência lógica: sem conhecimento prévio, o reconhecimento é o ponto de partida obrigatório.
Guarde a fronteira entre as três abordagens: é exatamente nela que as questões sobre pentest se dividem. Black Box = zero informação + reconhecimento inicial; White Box = informação completa + teste profundo; Gray Box = informação parcial + equilíbrio entre realismo e eficiência.
Gabarito: ✅ CERTO.