Referência técnica

Glossário de segurança cibernética

Definições dos principais termos de pentest, segurança ofensiva e hacking ético em português, organizados em ordem alfabética.

ATT&CK (MITRE) Base de conhecimento global que documenta as táticas, técnicas e procedimentos (TTPs) usados por atacantes reais. Usada em Red Team e Purple Team para simular adversários específicos.

Black Box Modalidade de pentest onde o testador não tem nenhuma informação prévia sobre o alvo, simulando um atacante externo sem acesso privilegiado.

CVE Common Vulnerabilities and Exposures. Identificador único para vulnerabilidades de segurança conhecidas. Ex: CVE-2021-44228 é a Log4Shell. Mantido pela MITRE com apoio do NVD.

CVSS Common Vulnerability Scoring System. Escala de 0 a 10 que classifica a severidade de vulnerabilidades: Crítico (9-10), Alto (7-8.9), Médio (4-6.9), Baixo (0.1-3.9).

CWE Common Weakness Enumeration. Classificação de tipos de fraquezas de software, como CWE-89 (SQL Injection) e CWE-79 (XSS). Diferente do CVE, que identifica vulnerabilidades específicas.

DAST Dynamic Application Security Testing. Testes de segurança executados na aplicação em execução, analisando comportamento ao receber entradas maliciosas. Complementa o SAST.

Engenharia reversa Análise de um software compilado para entender seu funcionamento interno sem acesso ao código-fonte. Usada em análise de malware e testes de aplicativos mobile.

Escalada de privilégios Técnica de elevar permissões de acesso além do nível autorizado inicialmente. Vertical: usuário comum vira admin. Horizontal: usuário A acessa dados do usuário B.

Exploit Código ou técnica que aproveita uma vulnerabilidade para causar comportamento não intencional em um sistema. Pode ser público (known exploit) ou inédito (zero-day).

False positive Vulnerabilidade reportada por uma ferramenta que não existe na prática. Alto índice de falsos positivos é uma limitação de ferramentas de varredura automatizada.

Grey Box Modalidade de pentest com informações parciais: credenciais de usuário comum, documentação de APIs, diagramas de arquitetura. Simula ameaça interna com acesso limitado.

IDOR Insecure Direct Object Reference. Vulnerabilidade onde um usuário acessa recursos de outros usuários manipulando identificadores. Ex: trocar id=123 por id=124 para ver dados de outro usuário.

Kerberoasting Técnica de ataque contra o protocolo Kerberos do Active Directory para extrair hashes de senhas de contas de serviço e tentar quebrá-las offline.

Lateral movement Técnica de movimentação dentro de uma rede comprometida para acessar outros sistemas. Exemplos: Pass-the-Hash, exploração de serviços internos, abuso de confiança entre servidores.

OWASP Open Worldwide Application Security Project. Fundação sem fins lucrativos que publica o Top 10 de vulnerabilidades web, MASVS (mobile) e API Security Top 10, usados como base de metodologia em pentest.

Payload Parte de um exploit ou script malicioso que executa a ação desejada pelo atacante após a exploração da vulnerabilidade: acesso ao sistema, exfiltração de dados, execução de código.

Pentest Teste de intrusão. Simulação controlada de ataque cibernético por especialista autorizado, com objetivo de identificar vulnerabilidades exploráveis antes que atacantes reais o façam.

PTES Penetration Testing Execution Standard. Metodologia de referência para execução de pentests, cobrindo inteligência, modelagem de ameaças, exploração, pós-exploração e relatório.

Pivoting Técnica de usar um sistema comprometido como ponto de partida para acessar sistemas adicionais na rede interna que não seriam acessíveis diretamente.

Post-exploitation Fase após a exploração bem-sucedida de uma vulnerabilidade: manutenção de acesso, escalada de privilégios, movimentação lateral e exfiltração de dados.

Purple Team Exercício colaborativo onde Red Team (ataque) e Blue Team (defesa) trabalham juntos para melhorar controles de detecção e resposta. Diferente do Red Team tradicional.

RBAC Role-Based Access Control. Controle de acesso baseado em papéis. Vulnerabilidades de RBAC permitem que usuários com papel menos privilegiado executem ações reservadas a papéis superiores.

Red Team Exercício avançado de simulação de adversário com objetivos de negócio específicos, sem escopo técnico restrito e com duração mais longa que um pentest tradicional.

Reteste Verificação realizada após a remediação de vulnerabilidades para confirmar que as correções eliminaram de fato os problemas identificados no pentest original.

SAST Static Application Security Testing. Análise de código-fonte em busca de vulnerabilidades sem execução do programa. Integrado ao CI/CD como parte do DevSecOps.

Scope Escopo do pentest: sistemas, endereços IP, aplicações, domínios e funcionalidades que podem ser testados. Definido em contrato e autorização formal antes do início.

SQL Injection Vulnerabilidade onde entrada de usuário não sanitizada é interpretada como código SQL. Permite extrair, modificar ou apagar dados do banco. Listada como A03 no OWASP Top 10.

Threat modeling Processo de identificação e priorização de ameaças relevantes para um sistema específico, considerando ativos, atacantes prováveis e vetores de ataque. Base para definição de escopo.

White Box Modalidade de pentest com acesso completo: código-fonte, diagramas de arquitetura, credenciais e documentação. Permite cobertura mais profunda em menos tempo.

XSS Cross-Site Scripting. Injeção de scripts maliciosos em páginas web visualizadas por outros usuários. Tipos: Reflected, Stored e DOM-based. Listado como A03 no OWASP Top 10.

Zero-day Vulnerabilidade desconhecida pelo desenvolvedor do software e sem correção disponível. Exploits de zero-day são raros e de alto valor no mercado de segurança ofensiva.

Precisa de um pentest?

Nossa equipe aplica esses conceitos na prática para proteger sua organização.

Solicitar orçamento