Pentest x Varredura de Vulnerabilidades: Qual a Diferença?

O que é varredura de vulnerabilidades

A varredura de vulnerabilidades, também chamada de vulnerability assessment ou scan, usa ferramentas que comparam os seus sistemas com bancos de falhas conhecidas (CVEs). Ela verifica versões de software, portas abertas, configurações fracas e certificados vencidos, e gera uma lista de achados com severidade.

É rápida, cobre muitos ativos de uma vez e pode rodar toda semana ou todo mês. O limite é que ela não confirma se a falha pode ser explorada de verdade, gera falsos positivos e não entende a lógica do seu negócio.

O que é pentest

O pentest, ou teste de intrusão, é feito por especialistas que simulam um ataque real. Eles usam ferramentas, mas o trabalho principal é humano: confirmar se uma falha é explorável, encadear falhas pequenas em um ataque grande, testar se um usuário consegue ver dados de outro e medir o impacto para o negócio.

O resultado é uma evidência concreta de risco, com prova de conceito e plano de correção, e não só uma lista de alertas. Veja como funciona na página de pentest para empresas.

Comparativo lado a lado

Exemplo prático

Uma varredura aponta que o servidor usa uma versão de software com uma falha "média". Isolada, ela vai para o fim da fila. No pentest, o especialista percebe que essa falha, junto com uma senha padrão em um painel interno, permite chegar ao banco de dados de clientes. A severidade real passa a ser crítica. É esse tipo de encadeamento que só a análise humana mostra.

Quando usar cada um

Use a varredura quando você quer acompanhar continuamente o ambiente, pegar patches atrasados e configurações que mudaram entre um pentest e outro.

Use o pentest quando vai lançar um sistema, mudou algo importante, precisa de evidência para auditoria ou cliente, ou quer saber o risco real de um ataque.

O que as normas pedem

O PCI DSS separa as duas coisas: pede varreduras de vulnerabilidade trimestrais e pentest pelo menos uma vez a cada 12 meses e após mudanças significativas. A ISO 27001 pede gestão de vulnerabilidades técnicas e não fixa a forma, mas auditores costumam aceitar o pentest como evidência de que os controles funcionam.

No sistema financeiro, a Resolução CMN 4.893 já pedia testes e varreduras periódicos para detectar vulnerabilidades. Com a alteração feita pela Resolução CMN 5.274/2025 e pela Resolução BCB 538/2025, as instituições reguladas pelo Banco Central passaram a ter de fazer também testes de intrusão com periodicidade mínima anual, por empresa especializada independente. Na prática, quem precisa de conformidade costuma fazer os dois.

A combinação ideal

• Varredura recorrente para cobertura contínua.
• Pentest periódico para validar o que realmente importa.
• Reteste depois das correções, para fechar o ciclo.

Para definir o ritmo, leia com que frequência fazer pentest. Para estimar o investimento, veja quanto custa um pentest em 2026. E para saber o que esperar da entrega, veja o que vem no relatório de pentest da LC Sec.

Perguntas frequentes

Varredura de vulnerabilidades é a mesma coisa que pentest?

Não. A varredura é automática e lista falhas conhecidas. O pentest é manual e mostra o que pode ser explorado.

Se eu já faço varredura, preciso de pentest?

Sim, se você precisa saber o risco real ou comprovar segurança para cliente e auditoria. A varredura não encontra falhas de lógica nem confirma exploração.

O pentest usa ferramentas de varredura?

Usa como apoio na fase de análise. A diferença está na exploração manual e na leitura de impacto.

Qual é mais barato?

A varredura, por ser automática. O pentest custa mais porque envolve horas de especialista.