Questão de Segurança da Informação — Testes de Segurança (Pentest, Varreduras, etc.) — CESPE / CEBRASPE 2025

Testes de invasão (pentest) e seus objetivos

❌ ERRADO. O item está incorreto porque o objetivo principal dos testes de invasão (pentest) é simular ataques reais e controlados para identificar e explorar vulnerabilidades de segurança, avaliando o impacto que um atacante poderia alcançar — e não simular falhas de desempenho de servidores sob estresse. Testes de carga e estresse para fins de escalabilidade pertencem a outra categoria de testes, os testes de desempenho, não aos testes de invasão.

O teste de invasão, também chamado de penetration test ou pentest, é uma atividade de segurança ofensiva que consiste na simulação controlada de ataques reais contra sistemas, redes, aplicações ou infraestruturas, com autorização formal do proprietário do ambiente e documentação completa dos achados. Diferentemente de um ataque malicioso, o pentest ocorre dentro de um escopo previamente definido (alvos, técnicas permitidas, período e limites). O objetivo não é causar dano, mas descobrir vulnerabilidades exploráveis na prática, avaliando o impacto real que um atacante conseguiria alcançar caso explorasse essas falhas.

Enquanto varreduras automáticas indicam possíveis falhas, o pentest vai além: ele explora efetivamente a vulnerabilidade para comprovar o risco, demonstrando se é possível, por exemplo, obter acesso não autorizado, escalar privilégios ou comprometer dados sensíveis. O teste de invasão difere do teste de vulnerabilidade: este apenas verifica a presença de ativos corporativos conhecidos e inseguros e para por aí; aquele vai além para explorar essas fraquezas, verificando até onde um atacante pode chegar e quais processos de negócios ou dados podem ser afetados.

Os testes de invasão são caros, complexos e potencialmente apresentam seus próprios riscos. Pessoas experientes de fornecedores confiáveis devem conduzi-los. Alguns riscos incluem desligamento inesperado de sistemas que podem ser instáveis, explorações que podem excluir ou corromper dados ou configurações, e a saída de um relatório de teste que precisa ser protegido, porque fornece instruções passo a passo sobre como invadir a empresa para direcionar ativos ou dados críticos.

A banca explora aqui uma confusão clássica entre dois tipos de teste completamente distintos: o teste de invasão (foco em segurança, exploração de vulnerabilidades) e o teste de desempenho/carga (foco em performance, escalabilidade, estresse de servidores). O candidato que não domina essa distinção cai na armadilha. Guarde a fronteira: pentest = segurança ofensiva; teste de carga = desempenho. É exatamente nessa fronteira que o item se divide.

Item — ❌ Incorreto

O item afirma que "o objetivo principal dos testes de invasão é simular falhas de desempenho de servidores, avaliando a carga sob estresse para fins de escalabilidade". Isso está errado por dois motivos:

1. Objetivo trocado: o objetivo do pentest é descobrir e explorar vulnerabilidades de segurança, não avaliar desempenho. A simulação de ataques visa comprovar o impacto de uma exploração bem-sucedida, como obter acesso não autorizado, escalar privilégios ou comprometer dados sensíveis.

2. Conceito confundido: "simular falhas de desempenho" e "avaliar a carga sob estresse" são objetivos de testes de desempenho (teste de carga, teste de estresse, teste de escalabilidade), que medem como o sistema se comporta sob condições extremas de uso — não têm relação com segurança ofensiva.

Gabarito: letra E (ERRADO).