Red team ou pentest: qual a sua empresa precisa

Muita empresa pede "um pentest" quando quer um red team, ou contrata um red team caro quando um pentest resolveria. Os dois usam gente que ataca para defender, e param em pontos distintos. Escolher errado gera um relatório que não responde à pergunta que motivou a contratação. Este texto separa os dois e ajuda você a decidir.

Dois serviços parecidos com objetivos diferentes

O ponto de partida é entender o que cada trabalho entrega. Um mede a segurança de um alvo específico. O outro testa a sua capacidade de perceber e reagir a um ataque real. São perguntas diferentes, e o formato certo depende de qual delas você precisa responder agora.

O que é um pentest

Um teste de intrusão tem escopo definido e prazo curto. Você aponta um alvo (uma aplicação web, uma faixa de rede, uma API) e o profissional busca o máximo de vulnerabilidades ali dentro, numa janela combinada. O objetivo é cobertura: achar o maior número de falhas exploráveis naquele alvo e entregar um relatório com severidade e correção.

Serve para:

• Atender um requisito de compliance ou de cliente.
• Validar uma aplicação antes de subir para produção.
• Ter um retrato de segurança de um sistema específico.

O que é um red team

Um exercício de red team simula um adversário real com um objetivo, por exemplo "chegar ao banco de dados de clientes" ou "obter acesso de administrador de domínio". O escopo é amplo, o prazo é longo e a discrição faz parte: a equipe tenta passar sem ser detectada. O objetivo é provar um caminho de ataque ponta a ponta e medir se a sua defesa percebe e reage a tempo. A cobertura completa de falhas fica em segundo plano.

Serve para:

• Testar a capacidade de detecção e resposta do seu SOC.
• Medir o impacto real de um ataque direcionado.
• Exercitar o time de defesa (o blue team) contra um adversário competente.

Purple team: quando os dois lados trabalham juntos

Entre o pentest e o red team existe o purple team. Aqui o time ofensivo e o defensivo trabalham lado a lado: o ataque acontece com o blue team observando, ajustando detecção em tempo real e fechando lacunas na hora. É o formato que mais gera aprendizado quando a empresa já tem alguma capacidade de detecção e quer melhorá-la.

Certificações que importam

No lado ofensivo, algumas certificações têm peso porque exigem prova prática:

• OSCP e as trilhas seguintes (OSEP, OSWE) da Offensive Security, com exame hands-on de exploração.
• CRTO para operações de red team, com foco em evasão e movimentação lateral.
• GPEN e GXPN da linha SANS/GIAC.
• CRTP e CRTE para ataque a Active Directory, alvo comum em red team no mundo corporativo.

Uma certificação prática vale mais que uma teórica aqui, porque o trabalho é operação. E nenhuma substitui um portfólio de relatórios e, quando existe, contribuição pública (CVE, ferramenta, pesquisa).

O que pedir no escopo e no relatório

O valor de um trabalho ofensivo está no relatório. Exija antes de contratar:

• Regras de engajamento claras. Escopo, janela, contatos de emergência, o que fica fora do limite.
• Relatório com contexto de negócio. Cada achado com severidade, prova de conceito, impacto e passo de correção. Um relatório que é só a saída de um scanner tem valor baixo.
• Reteste. Depois que você corrige, o profissional valida se a falha fechou.

Red flags

• Entrega o resultado bruto de uma ferramenta automatizada como se fosse trabalho manual.
• Pula as regras de engajamento e a autorização por escrito.
• Promete "hackear tudo" sem perguntar o seu objetivo.
• Explica bem o lado técnico e trava quando você pergunta o impacto para o negócio.

Qual contratar pela sua maturidade

A escolha segue a pergunta que você precisa responder:

• Contrate pentest quando quer encontrar e corrigir falhas num alvo específico, atender compliance ou validar um sistema antes do go-live. É o ponto de partida para quem está estruturando segurança.
• Contrate red team quando já tem defesa montada (SOC, detecção, resposta) e quer saber se ela funciona contra um ataque real e direcionado. Faz pouco sentido antes de existir o que testar.
• Escolha purple team quando quer que o exercício vire melhoria imediata da sua detecção.

Uma empresa em estágio inicial ganha mais com pentests recorrentes. Uma empresa madura usa red team periódico para pressionar a defesa que construiu.

Modelos e por onde começar

Segurança ofensiva costuma ser contratada por projeto, e há valor em manter um especialista alocado quando o volume justifica: testar cada release, revisar cada nova aplicação, sustentar um programa contínuo. Nesse caso, alocar um profissional sênior via staff augmentation ou dentro de um squad dedicado dá previsibilidade.

Se você precisa de um profissional ofensivo com prova prática, a Cyberwalk aloca especialistas validados por par técnico da mesma disciplina. Contratar um especialista em segurança ofensiva e pentest começa por entender o seu objetivo.