Fases do Pentest

A metodologia de teste de intrusão segundo a OWASP (Open Worldwide Application Security Project) segue um conjunto de fases estruturadas com foco em aplicações web, embora seus princípios possam ser adaptados a diferentes escopos de segurança. A OWASP fornece diretrizes especialmente voltadas à avaliação de segurança em sistemas baseados na web, através do projeto OWASP Web Security Testing Guide (WSTG), que estabelece uma estrutura sistemática e baseada em risco para condução de testes. As sete fases, conforme alinhadas à abordagem da OWASP, podem ser organizadas da seguinte forma:

1. Preparação (Information Gathering): envolve a coleta inicial de informações públicas e disponíveis sobre o alvo com o objetivo de entender a arquitetura, identificar os ativos em teste e reunir dados sobre o domínio, subdomínios, endereços IP, tecnologia de backend, frameworks, servidores, APIs e padrões de autenticação. Ferramentas como Google Dorking, Whois, dig, nslookup, Shodan e recon-ng são comuns nesta fase, que pode incluir análise de arquivos públicos, diretórios expostos, certificados digitais, metadados de documentos e até enumeração de endpoints REST ou SOAP.
2. Mapeamento da aplicação (Application Mapping): busca detalhar o comportamento e a estrutura lógica da aplicação testada, como seus fluxos de navegação, parâmetros de entrada e saída, tokens de sessão, mecanismos de autenticação e autorização, além de identificar componentes como páginas dinâmicas, diretórios ocultos, web services e integrações com terceiros. Essa fase é fundamental para compreender o contexto funcional da aplicação, frequentemente exigindo análise de requisições HTTP/HTTPS com ferramentas como Burp Suite, OWASP ZAP, Postman, Fiddler ou browser com plugins de interceptação.
3. Análise de vulnerabilidades (Vulnerability Analysis): executa a avaliação de potenciais pontos fracos com base nas informações coletadas, utilizando ferramentas automáticas e testes manuais para detectar falhas como XSS, SQL Injection, Directory Traversal, CSRF, IDOR, falhas de autenticação e autorização, má configuração de cabeçalhos de segurança, exposição de dados sensíveis e problemas de criptografia. Os testes seguem padrões como OWASP Top 10, CWE/SANS Top 25, e abordagens baseadas em threat modeling e análise contextual.
4. Exploração de vulnerabilidades (Exploitation): tenta confirmar a existência de vulnerabilidades explorando-as diretamente com payloads adequados, análise de respostas do servidor e verificação do impacto prático das falhas identificadas. O objetivo é demonstrar a gravidade real das vulnerabilidades e fornecer evidências concretas da exploração bem-sucedida, sem comprometer a integridade do sistema (salvo se autorizado), usando ferramentas como SQLmap, XSS Hunter, JWT Cracker, Metasploit, e técnicas de fuzzing e bypass.
5. Pós-exploração (Post-Exploitation): analisa as consequências de um comprometimento bem-sucedido, incluindo o acesso obtido, a escalabilidade do ataque, movimentações laterais possíveis, persistência, exfiltração de dados, abuso de funcionalidades administrativas ou APIs privilegiadas. Embora a OWASP não enfatize a persistência como em pentests tradicionais de infraestrutura, essa fase permite avaliar a profundidade da exposição e impacto das falhas exploradas.
6. Relato técnico e executivo (Reporting): prepara uma documentação clara, objetiva e baseada em evidências das vulnerabilidades descobertas, com detalhes técnicos para correção, categorização por nível de risco (como CVSS), reprodutibilidade dos testes realizados, provas de conceito (PoC), recomendações específicas, correlações com padrões OWASP Top 10, NIST, PCI-DSS ou ISO/IEC 27001, além de uma seção executiva voltada à gestão de riscos e prioridades de remediação.
7. Reteste e verificação (Remediation Testing & Retesting): verifica se as correções implementadas mitigaram eficazmente as vulnerabilidades anteriormente encontradas, repetindo os testes relevantes e avaliando se novas vulnerabilidades foram introduzidas no processo. A OWASP recomenda que esse processo seja documentado e integrado ao ciclo de desenvolvimento seguro (SDLC), promovendo uma abordagem contínua de segurança.

A abordagem da OWASP se diferencia por seu foco no contexto de aplicação web, ênfase em segurança de software, clareza metodológica e integração com princípios de desenvolvimento seguro. O OWASP WSTG fornece mais de 60 controles de segurança categorizados em áreas como autenticação, autorização, gerenciamento de sessão, validação de entrada, criptografia, lógica de negócios e gerenciamento de configuração, permitindo que os testes sigam uma abordagem abrangente e padronizada, adequada tanto para auditorias manuais quanto para processos automatizados de validação em pipelines de CI/CD.