Cloud & Infraestrutura
O que recebes quando pedes um teste de intrusão
· 4 min de leitura
Correr um scanner é fácil e barato. O que distingue um teste a sério é o que vem depois: separar o que é ruído do que é explorável no teu contexto, e provar a diferença.
Severidade não é prioridade
Uma vulnerabilidade classificada como crítica numa base de dados sem dados sensíveis e sem exposição à internet pode esperar. Uma média num formulário que qualquer pessoa alcança pode ser o caminho mais curto para dentro. A ordem de correção sai do risco real, não da etiqueta.
O que um relatório deve trazer
- Resumo executivo que uma pessoa não técnica perceba, com o impacto no negócio.
- Cada achado com passos exatos para reproduzir — sem isso, a equipa não consegue confirmar a correção.
- Prova de impacto: não «é possível injetar», mas o que se conseguiu obter.
- Correção proposta, e não apenas a identificação do problema.
- Um segundo teste depois das correções. Sem ele, ninguém sabe se ficou resolvido.
Um relatório que a tua equipa não consegue usar para corrigir nada é um documento, não um serviço.