Gestão contínua de vulnerabilidades e superfície de ataque

Não. A varredura é automatizada, ampla e recorrente: aponta falhas potenciais em muitos ativos. O pentest é uma avaliação aprofundada e manual que tenta explorar essas falhas para provar impacto real. A varredura indica onde olhar; o pentest demonstra o que um atacante conseguiria fazer.

Sim, e normalmente é o achado mais relevante. A descoberta parte dos domínios conhecidos e expande para subdomínios, faixas de IP, serviços publicados e ambientes de teste esquecidos. É comum identificar sistemas que ninguém no time reconhecia como expostos à internet.

Por explorabilidade e impacto no negócio, não apenas pela nota do CVSS. Uma falha média em um ativo crítico exposto à internet costuma ser mais urgente que uma falha alta em um sistema interno segmentado. As críticas passam por validação manual antes de entrar no plano de correção.

O reteste faz parte do ciclo de acompanhamento, com a frequência e o escopo definidos em contrato conforme a modalidade contratada. O objetivo é fechar o ciclo com evidência: registrar que a correção foi aplicada e que a exposição deixou de existir.

Sim. A periodicidade é ajustada ao ritmo de mudança do ambiente — ambientes que publicam com frequência se beneficiam de ciclos mais curtos, enquanto infraestruturas estáveis podem operar em cadência mensal. A cadência contratada define as janelas de varredura e de relatório.