Entenda a diferença entre pentest e varredura de vulnerabilidades, quando usar cada um e por que as empresas mais maduras combinam os dois.
A varredura de vulnerabilidades é automática e responde "quais falhas conhecidas existem?". O pentest é manual e responde "o que um atacante consegue fazer com elas?". Um não substitui o outro: a varredura dá cobertura contínua, o pentest dá profundidade.
A varredura de vulnerabilidades, também chamada de vulnerability assessment ou scan, usa ferramentas que comparam os seus sistemas com bancos de falhas conhecidas (CVEs). Ela verifica versões de software, portas abertas, configurações fracas e certificados vencidos, e gera uma lista de achados com severidade.
É rápida, cobre muitos ativos de uma vez e pode rodar toda semana ou todo mês. O limite é que ela não confirma se a falha pode ser explorada de verdade, gera falsos positivos e não entende a lógica do seu negócio.
O pentest, ou teste de intrusão, é feito por especialistas que simulam um ataque real. Eles usam ferramentas, mas o trabalho principal é humano: confirmar se uma falha é explorável, encadear falhas pequenas em um ataque grande, testar se um usuário consegue ver dados de outro e medir o impacto para o negócio.
O resultado é uma evidência concreta de risco, com prova de conceito e plano de correção, e não só uma lista de alertas. Veja como funciona na página de pentest para empresas.
| Critério | Varredura de vulnerabilidades | Pentest |
|---|---|---|
| Pergunta que responde | Quais falhas conhecidas existem? | O que um atacante consegue fazer? |
| Como é feito | Automático, por ferramenta | Manual, por especialista, com apoio de ferramentas |
| Profundidade | Ampla e superficial | Focada e profunda |
| Falhas de lógica de negócio | Não encontra | Encontra |
| Falsos positivos | Comuns | Raros, porque cada achado é confirmado |
| Frequência típica | Semanal ou mensal | Anual e após mudanças significativas |
| Custo | Menor, recorrente | Maior, por projeto |
| Entrega | Lista de CVEs e patches | Relatório com evidência, impacto, plano de correção e reteste |
Uma varredura aponta que o servidor usa uma versão de software com uma falha "média". Isolada, ela vai para o fim da fila. No pentest, o especialista percebe que essa falha, junto com uma senha padrão em um painel interno, permite chegar ao banco de dados de clientes. A severidade real passa a ser crítica. É esse tipo de encadeamento que só a análise humana mostra.
Use a varredura quando você quer acompanhar continuamente o ambiente, pegar patches atrasados e configurações que mudaram entre um pentest e outro.
Use o pentest quando vai lançar um sistema, mudou algo importante, precisa de evidência para auditoria ou cliente, ou quer saber o risco real de um ataque.
O PCI DSS separa as duas coisas: pede varreduras de vulnerabilidade trimestrais e pentest pelo menos uma vez a cada 12 meses e após mudanças significativas. A ISO 27001 pede gestão de vulnerabilidades técnicas e não fixa a forma, mas auditores costumam aceitar o pentest como evidência de que os controles funcionam.
No sistema financeiro, a Resolução CMN 4.893 já pedia testes e varreduras periódicos para detectar vulnerabilidades. Com a alteração feita pela Resolução CMN 5.274/2025 e pela Resolução BCB 538/2025, as instituições reguladas pelo Banco Central passaram a ter de fazer também testes de intrusão com periodicidade mínima anual, por empresa especializada independente. Na prática, quem precisa de conformidade costuma fazer os dois.
Para definir o ritmo, leia com que frequência fazer pentest. Para estimar o investimento, veja quanto custa um pentest em 2026. E para saber o que esperar da entrega, veja o que vem no relatório de pentest da LC Sec.
Não. A varredura é automática e lista falhas conhecidas. O pentest é manual e mostra o que pode ser explorado.
Sim, se você precisa saber o risco real ou comprovar segurança para cliente e auditoria. A varredura não encontra falhas de lógica nem confirma exploração.
Usa como apoio na fase de análise. A diferença está na exploração manual e na leitura de impacto.
A varredura, por ser automática. O pentest custa mais porque envolve horas de especialista.
Fale com a LC Sec e receba uma proposta de pentest com 1 reteste completo gratuito em até 90 dias.