PTES
O PTES, sigla de Penetration Testing Execution Standard, descreve as fases pelas quais um teste de intrusão passa: interações prévias, coleta de inteligência, modelagem de ameaças, análise de vulnerabilidades, exploração, pós-exploração e relatório. Ele existe por um motivo prático de comprador. Sem método declarado, dois testes com o mesmo nome entregam trabalhos incomparáveis, e quem paga não tem como saber qual dos dois recebeu.
O PTES é uma referência pública de execução, sem organismo certificador e sem selo. A DM11 conduz o teste com as fases declaradas em contrato, entrega relatório auditável por outro profissional e, quando você ainda está cotando, ajuda a escrever o requisito de escopo que vai para o mercado. Para a cobertura de aplicação usamos OWASP, e para descrever o caminho percorrido usamos o MITRE ATT&CK.
Quem conduz o teste
CEH, hacker ético certificado pelo EC-Council
CPTE, engenharia de teste de intrusão pela AcadiTI
SYCP e SYWP, pentest e pentest de aplicação web pela Solyd
Análise de vulnerabilidades com Qualys Certified Specialist
O QUE É
O PTES é um padrão público que organiza a execução de um teste de intrusão em sete seções, na ordem em que elas acontecem. Ele não lista ferramenta nem comando: descreve o que precisa acontecer em cada etapa e o que sai de cada uma. Ao lado do padrão existe um guia técnico separado, e a divisão é proposital, porque a estrutura de um teste muda devagar e a técnica muda todo mês.
As interações prévias definem escopo, autorização, janela e regras. A coleta de inteligência levanta o que existe e o que o mundo já sabe sobre você. A modelagem de ameaças transforma isso em hipóteses de ataque que fazem sentido para o seu negócio. A análise de vulnerabilidades identifica o que pode ser explorado. A exploração confirma na prática. A pós-exploração mede até onde daria para chegar depois da primeira porta. E o relatório fecha em duas partes, sumário executivo e relatório técnico, que é a divisão que o próprio padrão define.
Vale dizer com todas as letras, porque muda o que você deve esperar dele. O PTES nasceu por volta de 2009 e o site declara a versão atual como 1.0, prometendo uma 2.0 com níveis de intensidade por fase que nunca foi publicada. Na última vez que conferimos, a edição mais recente de qualquer página do wiki é de dezembro de 2015, o guia técnico é de 2012, e o registro de alterações com janela de 3000 dias não mostra nenhuma edição. Duas páginas do próprio menu, FAQ e In the Media, estão vazias.
A sequência de fases continua correta: um teste sério ainda começa por acordo escrito e termina por relatório em duas camadas. O que mudou muito foi o que se faz dentro de cada fase, porque nuvem, identidade federada, contêiner, API e modelo de linguagem não existiam no mesmo formato quando o texto foi escrito. É por isso que a DM11 usa o PTES para a estrutura de execução, o OWASP para a cobertura de aplicação, com o Top 10 e o ASVS, e o MITRE ATT&CK para nomear e descrever o caminho que o atacante percorreu.
Vale alinhar a expectativa cedo. O que o trabalho produz é um relatório com escopo, método, datas, achados com evidência e caminho de correção, não um certificado. Não existe organismo que certifique empresa nem relatório contra o PTES, e não existe selo para colocar no site. As certificações que existem nesse universo são das pessoas que conduzem o teste, e não do teste em si. Quando o seu cliente ou o seu auditor precisa de um documento emitido por terceiro credenciado, quem responde é a ISO 27001 ou o SOC 2, e o relatório produzido aqui entra inteiro nessas auditorias como evidência.
QUEM COSTUMA PRECISAR
Todas elas têm a mesma raiz: alguém vai pagar por um trabalho técnico que não consegue avaliar sozinho, e precisa de um jeito de verificar antes e depois.
As duas dizem pentest, as duas citam o mesmo número de alvos, e a diferença de preço não tem explicação visível. Quase sempre a diferença está no que cada uma vai fazer de fato: uma inclui pós-exploração e reteste, a outra para na varredura com revisão. Exigir as fases declaradas por escrito faz a comparação existir, e a conversa passa a ser sobre escopo em vez de desconto.
Cliente grande em due diligence, auditoria de certificação, PCI DSS com pentest anual, resoluções do Banco Central com periodicidade mínima anual e exigência de independência. Nesses casos o relatório sai da sua empresa e vai ser lido por quem não participou do teste. Um relatório sem método declarado obriga esse leitor a acreditar, e é aí que ele pede tudo de novo.
O documento tem dezenas de páginas, gravidade por cor e nenhuma frase que diga até onde alguém conseguiu chegar. Isso acontece quando o trabalho pulou modelagem de ameaças, exploração e pós-exploração, que são justamente as fases que separam uma varredura de um teste de intrusão. A empresa pagou por pentest e recebeu análise de vulnerabilidade com outro nome.
HISTÓRIAS
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Serviços financeiros
A área de tecnologia tinha duas propostas de teste de intrusão na mesa, com diferença grande de preço e uma página de escopo cada. As duas listavam a mesma quantidade de endereços e a mesma janela. Ninguém no time conseguia explicar à diretoria por que uma custava tanto mais, e a tendência natural era escolher a mais barata e torcer.
Antes de qualquer teste, escrevemos com o cliente o requisito de escopo que iria ao mercado, fase a fase: o que entra em coleta de inteligência, se a modelagem de ameaças é entregue como documento, se a pós-exploração está incluída, se há reteste depois da correção, quem executa e com qual qualificação, e o que precisa estar no relatório. Pedimos que as duas propostas fossem reapresentadas contra esse requisito.
As duas voltaram diferentes do que eram. Ficou visível que a proposta mais barata terminava na confirmação da falha, sem pós-exploração e sem reteste, e que a outra incluía as duas coisas. A escolha deixou de ser sobre preço e passou a ser sobre escopo, decidida pela diretoria com as duas colunas na mesma tela.
Indústria
A empresa contratava teste de intrusão havia três anos e arquivava os relatórios para a auditoria. Todos traziam listas longas de falhas classificadas por gravidade, e nenhum trazia uma linha sobre o que um atacante conseguiria fazer com elas. As correções eram feitas de cima para baixo na lista, sem ninguém saber se as de cima eram mesmo as que importavam.
Refizemos o trabalho com as fases declaradas em contrato. Modelamos ameaças a partir do que a empresa não pode perder, confirmamos as falhas por exploração e seguimos para a pós-exploração, que era exatamente a fase ausente nos anos anteriores. Descrevemos o caminho percorrido com a linguagem do MITRE ATT&CK, para o time de infraestrutura poder checar a detecção depois.
Três falhas classificadas como médias, isoladas e adiadas por dois anos seguidos, encadeadas davam acesso a um compartilhamento com projetos de produto. Elas subiram para o topo da fila de correção pela primeira vez, e duas falhas altas que ninguém explorava seguiram na fila, com a justificativa escrita.
Software como serviço
No teste anterior, o bloqueio de origem barrou o endereço do testador logo no começo e o trabalho seguiu assim até o fim da janela. O relatório concluiu que o ambiente era resiliente. A diretoria comemorou, e o time de segurança ficou com a sensação incômoda de que aquilo não tinha sido testado de verdade.
Colocamos nas interações prévias a decisão que ninguém tinha tomado: o que fazer quando a defesa bloqueia quem testa. Definimos duas janelas, uma com o bloqueio ativo, para medir o que a defesa realmente barra, e outra com o endereço do testador liberado de forma controlada, para medir o que existe atrás dela. Contatos de emergência, horários e critério de parada ficaram escritos antes de começar.
As duas respostas passaram a existir separadas. A defesa barrava bem o ataque genérico, e atrás dela havia um serviço interno exposto que nenhum teste anterior tinha alcançado. O cliente parou de escolher entre uma notícia boa e uma notícia útil, porque passou a receber as duas.
COMO CONDUZIMOS
Cada fase termina com alguma coisa que você pode conferir sem confiar em nós. É esse o ponto do método: um relatório que outro profissional consegue auditar vale mais do que um relatório que só quem escreveu entende.
A fase que o comprador mais ignora e a que mais protege os dois lados. Definimos o que está dentro e o que está fora, a abordagem, as janelas, o critério de parada, o tratamento de terceiros como provedor de nuvem e provedor de acesso, e se haverá qualquer teste que possa afetar disponibilidade. Autorização formal e contatos de emergência ficam registrados antes do primeiro pacote.
Escopo escrito, com o que está dentro e o que está fora
Regras de engajamento, janelas e critério de parada
Autorização formal para testar e contatos de emergência
Tratamento acordado para nuvem, provedor de acesso e demais terceiros
Marco de entregaEscopo e autorização assinados, sem nenhum ponto de escopo em aberto.
Levantamos o que existe e o que já está público sobre a sua empresa, de forma passiva e ativa, e transformamos isso em hipóteses de ataque ligadas ao que o seu negócio não pode perder. Sem essa fase o teste vira busca por falha solta, e o resultado é uma lista sem prioridade que ninguém sabe usar.
Superfície levantada, com o que é exposto e o que é interno
Informação pública sobre a empresa e sobre pessoas, quando está no escopo
Hipóteses de ataque ligadas ao que o negócio não pode perder
Alvos priorizados e acordados com você antes da exploração
Marco de entregaHipóteses de ataque validadas com o seu time, com prioridade acordada.
Identificamos o que pode ser explorado e confirmamos na prática o que dá para explorar de verdade, que é a diferença entre suspeita e fato. Em aplicação, a cobertura segue o OWASP, com o Top 10 e o ASVS, porque é ali que o PTES deixa de descer ao detalhe e a régua reconhecida pelo mercado é outra.
Falhas identificadas, com o método de identificação registrado
Confirmação por exploração, com evidência do que foi obtido
Cobertura de aplicação pelo OWASP, com o requisito verificado por item
Comunicação imediata do achado crítico, sem esperar o relatório final
Marco de entregaFalha crítica comunicada no mesmo dia, com evidência e recomendação inicial.
A pós-exploração mede até onde daria para chegar depois da primeira porta, que é a informação que muda decisão de investimento. O relatório sai nas duas camadas que o próprio padrão define, sumário executivo e relatório técnico, com o caminho percorrido descrito na linguagem do MITRE ATT&CK, para o seu time conferir a detecção e não só a correção.
Alcance real demonstrado, com o caminho encadeado e o que ficou exposto
Sumário executivo para a diretoria, sem jargão
Relatório técnico com evidência, reprodução e correção por achado
Reteste do que foi corrigido, com o resultado registrado
Marco de entregaRelatório entregue e reteste concluído, com cada achado fechado ou aceito por escrito.
QUANTO TEMPO LEVA
Não publicamos prazo padrão, porque prazo publicado vira promessa e escopo de teste de intrusão varia muito. As interações prévias costumam ser a parte curta em execução e a mais decisiva no resultado. Estes são os três fatores que mais mexem no relógio, e a primeira conversa já mostra em qual deles a sua empresa está.
Contar endereços não descreve esforço. Uma faixa grande com serviços repetidos anda rápido, e uma única aplicação com muitos perfis de usuário, regra de negócio complexa e integração com terceiros consome muito mais. É a conversa de escopo que separa os dois casos, e ela acontece antes da proposta.
Sem informação nenhuma, boa parte do tempo vai para a coleta de inteligência, e o resultado se parece mais com o que um atacante externo enfrentaria. Com informação parcial ou com acesso a documentação e código, o mesmo tempo é gasto procurando falha em vez de procurando porta. As duas escolhas são legítimas e entregam coisas diferentes, e a decisão fica registrada nas interações prévias.
Ambiente que só pode ser testado fora do horário comercial, sistema com pico sazonal, autorização pendente de provedor de nuvem e aviso prévio ao provedor de segurança gerenciada mexem no calendário mais do que a parte técnica. Essa conversa começa cedo, porque ela costuma ser a mais demorada do projeto inteiro.
PERGUNTAS FREQUENTES
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
Não existe, nem para a sua empresa nem para o relatório. O PTES é uma referência pública de execução, sem organismo certificador, sem auditoria de terceiro e sem selo. As certificações que existem nesse universo pertencem às pessoas que conduzem o teste, como CEH, CPTE e as trilhas de pentest da Solyd. O que você recebe é um relatório com método declarado, e é ele que vai para a auditoria, para o cliente e para o regulador.
Uma conversa curta já produz o requisito de escopo fase a fase que a sua empresa pode levar ao mercado. Serve para comparar fornecedores com critério, e serve para contratar o teste com a gente sabendo exatamente o que vai receber em cada etapa.
Comparativos sobre este assunto
Ver os 13 comparativos