Pentest vs Red Team: qual usar e quando

É a pergunta que mais escutamos de CISOs e líderes de tecnologia: "Eu preciso de Pentest ou de Red Team?". A resposta curta é "depende do que você quer descobrir". A resposta longa está abaixo.

A diferença em uma frase

Pentest responde "quais vulnerabilidades existem neste sistema?". Red Team responde "se um adversário real nos atacar agora, ele consegue chegar até as nossas joias da coroa? E nossa equipe perceberia?".

Pentest: profundidade técnica em escopo definido

Um pentest é uma avaliação técnica de um ativo específico — uma aplicação, uma API, um range de IPs, um ambiente Active Directory. O objetivo é cobertura: encontrar o máximo de vulnerabilidades exploráveis no escopo. O blue team normalmente sabe que está acontecendo e até ajuda com acessos.

Características típicas:

• Escopo restrito e bem documentado
• Duração: dias a poucas semanas
• Objetivo: catálogo completo de vulnerabilidades
• Relatório técnico detalhado com cada finding
• Cobertura ampla, profundidade média em cada vulnerabilidade

Red Team: simulação adversarial completa

Red Team simula um adversário motivado. Há objetivos concretos — chamados flags ou crown jewels — como "comprometer o ambiente de produção", "exfiltrar a base de clientes" ou "obter acesso administrativo ao ERP". O time vai usar qualquer caminho realista: phishing, OSINT, intrusão física, abuso de fornecedores, exploração de vulnerabilidades técnicas, engenharia social.

Características típicas:

• Escopo amplo, com poucas restrições além das legais
• Duração: 4 a 12 semanas, às vezes mais
• Objetivo: testar pessoas, processos e tecnologia e a capacidade do blue team de detectar e responder
• Geralmente sem aviso ao time defensivo (operação stealth)
• Foco em caminhos de ataque, não em listar todas as vulnerabilidades

Quando escolher Pentest

• Você lançou uma nova aplicação ou release relevante
• Compliance pede teste periódico em ativos específicos (ex.: PCI-DSS exige pentest anual em ambiente de cardholder data)
• Você quer mapear todas as vulnerabilidades de um sistema antes de uma due diligence
• Seu programa de segurança ainda está em fase inicial — Pentest primeiro, Red Team depois

Quando escolher Red Team

• Você já faz pentest regularmente e quer testar a maturidade do programa de segurança como um todo
• Você tem um SOC ou EDR/XDR implantado e quer validar a capacidade de detecção
• Quer entender o impacto real de um ataque APT contra o seu negócio
• Sua liderança ou board exige uma simulação realista para justificar investimento em segurança

O melhor cenário: combinar os dois

Empresas maduras seguem este padrão:

• Pentest contínuo: em cada ativo crítico, com frequência mínima anual e a cada release relevante.
• Red Team anual: para validar detecção/resposta e ajustar o programa.
• Purple Team trimestral: exercícios colaborativos entre ofensivo e defensivo, com TTPs específicos (MITRE ATT&CK) para fechar gaps.

Custo, prazo e entregáveis

Não existe número universal, mas a relação típica é:

• Pentest: dias úteis · relatório técnico/executivo · retest incluso
• Red Team: semanas a meses · relatório com cadeia de ataque (kill chain) · debrief com blue team · roadmap de melhorias
• Red Team costuma custar significativamente mais que um pentest pontual, mas a entrega responde a uma pergunta diferente.

Conclusão

Não escolha entre pentest e red team — eles respondem perguntas diferentes. Pentest mostra o que está quebrado; Red Team mostra o quanto a sua organização aguenta um ataque real. Empresas que tratam segurança como prioridade têm os dois no roadmap.