Até agora falamos de ética, leis, risco e adversários — a moldura. Nesta aula desenhamos o esqueleto que sustenta o curso inteiro: as fases de um teste de intrusão. Toda técnica que você vai aprender neste ano encaixa em uma dessas fases, e entender o ciclo de vida é o que transforma uma coleção de ferramentas soltas em uma metodologia. Um profissional não "sai atacando"; ele executa um processo ordenado, e cada fase alimenta a seguinte.

Pré-engajamento: a fase menos glamorosa

A primeira fase é o pré-engajamento e definição de escopo — a menos glamorosa e a mais importante, como já martelamos na aula A lei que separa a carreira do processo criminal. É aqui que se assina o contrato, se definem os alvos autorizados, a janela de tempo, as técnicas permitidas e os contatos de emergência. Nenhuma tecla é pressionada contra o cliente antes disso estar no papel. O iniciante quer pular direto para o "hacking"; o profissional sabe que um teste sem escopo bem definido é um teste que vai dar errado — seja legalmente, seja porque você vai gastar tempo no alvo errado.

Reconhecimento e enumeração, antes de tocar

A segunda fase é o reconhecimento (Bloco V do curso): coletar o máximo de informação sobre o alvo, de forma passiva (sem tocar diretamente nos sistemas — OSINT, buscas, registros públicos) e ativa (interagindo minimamente). Quanto melhor o recon, mais eficiente todo o resto. A terceira é a varredura e enumeração (Bloco VI): mapear o que está exposto — quais hosts estão vivos, quais portas abertas, quais serviços e versões rodando, quais usuários e compartilhamentos existem. É aqui que o mapa do território toma forma e as possíveis portas de entrada aparecem.

A exploração é a quarta fase, não a primeira

A quarta fase é a exploração — o ganho de acesso (Bloco VIII). É o momento que o cinema mostra: transformar uma vulnerabilidade identificada em acesso real ao sistema. Mas repare que ela é a quarta fase, não a primeira — sem o recon e a enumeração que a antecedem, a exploração é chute no escuro. A quinta é a pós-exploração (também Bloco VIII em diante): você entrou, e agora? Escalar privilégios (de usuário comum para administrador), coletar credenciais, e — a parte que assusta os clientes — a movimentação lateral ou pivoting: usar a máquina comprometida como trampolim para alcançar outras, mais fundo na rede. É o pivoting que transforma "uma máquina caiu" em "a rede inteira está comprometida", e é por isso que ele merece aulas próprias mais adiante.

Persistência e rastros, documentados em vez de apagados

A sexta fase é a manutenção de acesso (persistência): em um teste que simula um adversário real, você demonstra que conseguiria permanecer no sistema — instalando um mecanismo que sobrevive a uma reinicialização, por exemplo. A sétima é a limpeza e ocultação de rastros: em um black hat, apagar logs para não ser pego; em um teste ético, isso vira dado — você documenta o que conseguiria apagar, para mostrar ao cliente as lacunas de auditoria dele, mas na prática você preserva evidências e devolve o ambiente ao estado original, removendo qualquer artefato que instalou. E a oitava, que na verdade é o produto final de tudo, é o relatório (Bloco XX): sem ele, nada do que você fez protege ninguém. O relatório é o entregável; as sete fases anteriores só existem para alimentá-lo.

Quanta informação você recebe antes de começar

Definido o ciclo, precisamos falar de quanta informação você recebe antes de começar — e isso define os três tipos de teste. No black box (caixa-preta), você recebe quase nada — talvez só o nome da empresa ou um endereço — e simula um atacante externo sem conhecimento interno. É realista quanto à perspectiva de um invasor de fora, mas caro em tempo, porque você gasta boa parte do esforço só descobrindo o que existe. No white box (caixa-branca), o oposto: você recebe tudo — diagramas de rede, código-fonte, credenciais, documentação. É o mais completo e eficiente para cobertura, porque nenhum tempo se perde em descoberta e você testa em profundidade; é o modelo de quem quer encontrar o máximo de falhas possível. E no gray box (caixa-cinza), o meio-termo — você recebe alguma informação, como credenciais de um usuário comum, simulando por exemplo um atacante que já obteve um acesso inicial ou um insider. Na prática, o gray box é o mais contratado, porque equilibra realismo e eficiência.

Cada fase é uma chance de detecção

Do lado defensivo — paridade sempre —, entender esse ciclo é também entender onde a defesa pode interromper o atacante. Cada fase é uma oportunidade de detecção: um recon agressivo pode acender alertas, uma varredura ruidosa aparece nos logs, uma tentativa de exploração pode ser bloqueada, uma movimentação lateral anômala pode ser flagrada por um bom monitoramento. É essa lógica de "quebrar a cadeia em algum elo" que fundamenta a Cyber Kill Chain — e é ela que abre o Bloco II.

Fontes e leituras recomendadas

  • PTES — Penetration Testing Execution Standard (o padrão que estrutura as fases; pentest-standard.org)
  • NIST SP 800-115 — Technical Guide to Information Security Testing and Assessment
  • OSSTMM — Open Source Security Testing Methodology Manual
  • The Pentester Blueprint — Wylie & Crawley (visão de carreira e metodologia)

Exercícios

  1. Liste as fases do ciclo de vida do pentest na ordem correta, do pré-engajamento ao relatório.

    ✓ Resposta:

    Pré-engajamento/escopo, reconhecimento, varredura e enumeração, exploração (ganho de acesso), pós-exploração (incluindo escalação e movimentação lateral), manutenção de acesso, limpeza/ocultação de rastros e relatório.

  2. Por que a exploração é a quarta fase e não a primeira? O que a antecede e por quê?

    ✓ Resposta:

    Porque a exploração eficaz depende de saber o que existe e o que está vulnerável; ela é antecedida pelo reconhecimento e pela enumeração, que fornecem o mapa do alvo. Sem eles, a exploração vira tentativa às cegas.

  3. Explique o que é movimentação lateral (pivoting) e por que ela é o que transforma um incidente pequeno em um comprometimento grave.

    ✓ Resposta:

    É usar uma máquina já comprometida como ponto de apoio para alcançar outras máquinas na rede interna. Ela é grave porque converte o comprometimento de um único host no comprometimento potencial de toda a rede.

  4. Diferencie black box, white box e gray box em termos de quanta informação o testador recebe. Qual é o mais contratado e por quê?

    ✓ Resposta:

    Black box: quase nenhuma informação, simula atacante externo. White box: informação total (código, diagramas, credenciais), máxima cobertura. Gray box: informação parcial, como credenciais de usuário comum. O gray box é o mais contratado por equilibrar realismo e eficiência.

  5. Em um teste ético, o que se faz na fase de "ocultação de rastros", já que o objetivo não é escapar da punição?

    ✓ Resposta:

    Documenta-se o que seria possível apagar ou ocultar — evidenciando as lacunas de auditoria do cliente — mas na prática preservam-se as evidências e remove-se qualquer artefato instalado, devolvendo o ambiente ao estado original.