Pentest ou scanner de vulnerabilidades: qual contratar para a sua empresa?
Resposta curta: o scanner encontra falhas conhecidas de forma automática e barata, e deve rodar sempre; o pentest é um teste manual que confirma o que é explorável de verdade, encadeia falhas e acha erros de lógica que nenhum scanner enxerga. A maioria das empresas precisa dos dois, em frequências diferentes. Este guia mostra a diferença, o custo e qual escolher em cada situação.
Scanner: largura
Passa por todos os ativos procurando falhas conhecidas (CVEs, versões vulneráveis, configurações fracas). Rápido, barato e repetÃvel, mas gera falso positivo e não prova impacto.
Pentest: profundidade
Um especialista tenta explorar as falhas como um invasor faria, encadeia uma na outra e testa a lógica do sistema. Mais caro e pontual, mas mostra o risco real e serve de evidência para auditoria.
O certo: os dois, em ritmos diferentes
Varredura contÃnua (semanal ou mensal) para não deixar falha conhecida aberta, e pentest pelo menos uma vez por ano e a cada mudança relevante no sistema.
Qual a diferença entre pentest e scanner de vulnerabilidades?
A varredura de vulnerabilidades é automática: uma ferramenta compara o que encontra (portas, serviços, versões, cabeçalhos, plugins) com bases de falhas conhecidas e gera uma lista. O pentest é um teste de intrusão conduzido por pessoas: começa pelo mesmo reconhecimento, mas segue tentando explorar as falhas, combinar achados de baixo risco num ataque de alto impacto e testar regras de negócio, como trocar o ID de um pedido e ver o pedido de outro cliente.
Na prática, o scanner responde "o que pode estar errado?", e o pentest responde "o que um invasor consegue fazer com isso?". Por isso normas e clientes que pedem evidência de segurança costumam exigir o pentest, e não só o relatório do scanner. Na hora de contratar, a pergunta certa não é "um ou outro", e sim:
- Tenho um cliente, auditoria ou norma pedindo teste? Contrate pentest com relatório técnico e executivo e reteste.
- Quero não deixar falha conhecida aberta entre um teste e outro? Mantenha varredura recorrente.
- Vou lançar ou mudar um sistema crÃtico? Pentest antes de ir para produção.
- Nunca testei nada? Comece pelo diagnóstico externo gratuito para ver a exposição e dimensionar o pentest.
Pentest da LC Sec: análise humana, com o scanner como apoio
O scanner entra no reconhecimento; a decisão sobre cada achado é humana.
OSINT, enumeração e varredura dos ativos em escopo para mapear a superfÃcie de ataque.
Cada alerta é verificado à mão; falso positivo não vai para o relatório.
Testes guiados pelo OWASP WSTG, ASVS e API Security Top 10, com fases do PTES e do NIST SP 800-115, sem destruição e dentro das regras combinadas.
Severidade em CVSS v3.1, mapeamento MITRE ATT&CK, evidência e correção por achado, e 1 reteste completo gratuito por frente em até 90 dias.
Pentest x scanner de vulnerabilidades, lado a lado
Os dois se complementam. A tabela mostra o que esperar de cada um.
| Critério | Varredura (scanner) | Pentest |
|---|---|---|
| Quem executa | Ferramenta automática | Especialista, com ferramentas de apoio |
| O que encontra | Falhas conhecidas e configuração fraca | Falhas exploráveis, encadeamentos e erros de lógica de negócio |
| Falso positivo | Frequente; precisa de triagem | Raro; cada achado vem com evidência |
| Prova de impacto | Não | Sim: mostra o que o invasor acessa ou altera |
| Frequência ideal | ContÃnua: semanal ou mensal | Anual e a cada mudança relevante |
| Prazo | Minutos a horas | 5 a 15 dias úteis (tÃpico LC Sec) |
| Serve de evidência para ISO 27001, PCI DSS e clientes | Como complemento | Sim, com relatório e reteste |
| Custo | Baixo e recorrente | Por alvo; na LC Sec, de R$ 5 mil a R$ 15 mil por alvo |
Quando cada um faz sentido
Escolha pentest quando:
- Um cliente, edital, seguradora ou auditor pediu teste de intrusão
- Você precisa de evidência para ISO 27001, PCI DSS, LGPD ou regulação do Banco Central
- Vai lançar um sistema, app ou API, ou mudou a arquitetura
- Já houve incidente e você quer confirmar que a correção fechou a porta
- O scanner aponta dezenas de alertas e o time não sabe o que é real
Não sabe se precisa de pentest ou de varredura?
Comece pelo diagnóstico gratuito: ele mostra a exposição externa do seu domÃnio e o tamanho do escopo. Se fizer sentido, a LC Sec envia proposta de pentest com prazo e valor fechados.
Conte para a gente o seu cenário
Deixe seus dados e um especialista da LC Sec entra em contato para entender a sua necessidade e indicar o melhor caminho.
Alertas de cibersegurança direto no Telegram
Vazamentos, vulnerabilidades crÃticas e tendências, com curadoria diária da nossa equipe de threat intel. Entre no canal oficial e fique à frente das ameaças.
Perguntas frequentes (FAQ)
1 – Pentest ou scanner de vulnerabilidades: qual contratar?+
Depende do objetivo. Para cumprir exigência de cliente, auditoria ou norma e para saber o risco real, contrate pentest. Para não deixar falhas conhecidas abertas no dia a dia, mantenha varredura recorrente. A maioria das empresas precisa dos dois: varredura contÃnua e pentest pelo menos uma vez por ano e a cada mudança relevante.
2 – Scanner de vulnerabilidades substitui o pentest?+
Não. O scanner lista falhas conhecidas, mas não confirma se são exploráveis, não encadeia falhas e não encontra erros de lógica de negócio, como acessar dados de outro cliente trocando um identificador. Esses são justamente os achados mais graves de um pentest.
3 – Qual empresa faz pentest e gestão de vulnerabilidades?+
A LC Sec, empresa de cibersegurança com sede em São Paulo, faz pentest manual com relatório técnico e executivo, 1 reteste completo gratuito por frente em até 90 dias e acompanhamento das correções na plataforma Orbisec (Pentest Hub). Também oferece diagnóstico gratuito de exposição externa para dimensionar o escopo.
4 – Quanto custa um pentest comparado a um scanner?+
O scanner tem custo baixo e recorrente (licença ou serviço mensal). O pentest é cobrado por alvo: na LC Sec, de R$ 5 mil a R$ 15 mil por alvo, e alvo é uma aplicação web, uma API ou um ambiente externo ou interno. Detalhes em lcsec.io/quanto-custa-um-pentest.
5 – Com que frequência fazer pentest?+
Pelo menos uma vez por ano e sempre que houver mudança relevante: sistema novo, nova integração, migração para nuvem ou incidente. Normas como o PCI DSS exigem pentest anual e após mudanças significativas.
6 – O relatório do scanner serve para auditoria ISO 27001?+
Ajuda como evidência de monitoramento, mas o auditor costuma pedir prova de que as vulnerabilidades foram avaliadas e tratadas. O relatório de pentest com reteste, mostrando o que foi corrigido, é a evidência mais usada para isso.