--- id: CP-247 slug: pentest-red-team-blue-team-purple-team lang: pt title: Pentest, Red Team, Blue Team e Purple Team description: "Teste de intrusão, exercício de ataque simulado, equipas de defesa: o que estes termos designam e o que fazer perante um comportamento suspeito." canonical_url: https://startbrain.io/cyberpedia/pt/articles/pentest-red-team-blue-team-purple-team/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/pentest-red-team-blue-team-purple-team.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Pentest, Red Team, Blue Team e Purple Team», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/pentest-red-team-blue-team-purple-team/ (CC BY 4.0) wing: 3 theme: report_incidents reflex: cr-014 schema: G4 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/pentest-red-team-blue-team-purple-team/ fr: https://startbrain.io/cyberpedia/fr/articles/pentest-red-team-blue-team-purple-team/ en: https://startbrain.io/cyberpedia/en/articles/pentest-red-blue-purple-team/ de: https://startbrain.io/cyberpedia/de/articles/pentest-red-team-blue-team-purple-team/ es: https://startbrain.io/cyberpedia/es/articles/pentest-red-team-blue-team-purple-team/ it: https://startbrain.io/cyberpedia/it/articles/pentest-red-team-blue-team-purple-team/ nl: https://startbrain.io/cyberpedia/nl/articles/pentest-red-team-blue-team-purple-team/ sources: - "n": 1 title: Penetration testing publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/penetration-testing published: "2017-08-08" accessed: "2026-11-03" - "n": 2 title: Technical Guide to Information Security Testing and Assessment publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/115/final accessed: "2026-11-03" - "n": 3 title: Incident management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/incident-management published: "2019-09-19" accessed: "2026-11-03" - "n": 4 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" - "n": 5 title: Computer Security Incident Handling Guide publisher: NIST url: https://www.nist.gov/publications/computer-security-incident-handling-guide published: "2012-08-06" accessed: "2026-11-03" - "n": 6 title: "Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/61/r3/final accessed: "2026-11-03" - "n": 7 title: MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/ accessed: "2026-11-03" - "n": 8 title: MITRE D3FEND Knowledge Graph publisher: MITRE url: https://d3fend.mitre.org/ accessed: "2026-11-03" --- # Pentest, Red Team, Blue Team e Purple Team Numa empresa, ouve-se falar de pentest, Red Team, Blue Team ou Purple Team. Estes termos descrevem atividades de teste e de defesa conduzidas por especialistas. Para um colaborador, servem sobretudo para uma coisa: saber que um comportamento estranho no seu posto de trabalho ou no seu correio eletrónico pode vir de um exercício autorizado, de um ataque real ou de uma simples avaria, e que nos três casos deve ser comunicado. As fontes reunidas para esta ficha descrevem com precisão o teste de intrusão e a gestão de incidentes. Não definem os termos Red Team, Blue Team e Purple Team. A ficha limita-se, por isso, ao que estas fontes dizem e não lhes atribui nada mais. ## Em 30 segundos - Onde acontece: no seu correio eletrónico ou no seu posto de trabalho, quando algo foge ao normal, quer o teste tenha sido anunciado quer não. - O que quer o atacante: num teste de intrusão, o testador usa as mesmas ferramentas e técnicas de um adversário para verificar a solidez de um sistema [1]. - O reflexo: O reflexo: comunique rapidamente ao suporte ou ao SOC o que lhe parecer suspeito, sem falar com o presumível autor e sem desligar o computador enquanto não lhe pedirem. - Se já o fez: conte com precisão o que viu, a que hora, e o que clicou ou escreveu. ## Perguntas diretas ### O que é um pentest? O NCSC britânico define-o como um método para obter garantias sobre a segurança de um sistema informático, tentando ultrapassar parte ou a totalidade das suas proteções, com as ferramentas e técnicas que um adversário utilizaria [1]. Compara-o a uma auditoria financeira: a equipa interna acompanha as despesas dia a dia e uma auditoria externa verifica se os seus procedimentos são suficientes [1]. O NIST publica, por seu lado, um guia técnico sobre a preparação e a condução de testes de segurança, a análise dos resultados e as medidas corretivas. Entre as utilizações indicadas estão procurar falhas num sistema ou numa rede e verificar o cumprimento de uma política de segurança [2]. ### O que faz a Red Team, o que faz a Blue Team e a Purple Team? Nenhuma das fontes aqui citadas define estes três nomes. O que o NCSC descreve é um teste por cenários que visa também medir a capacidade de deteção e de resposta da organização, para conhecer a sua eficácia e a sua cobertura num determinado cenário [1]. Do lado do colaborador, a deteção é o que lhe diz respeito: a sua comunicação faz parte dela. Duas bases de conhecimento da MITRE servem de referências comuns. O ATT&CK reúne táticas e técnicas de adversários retiradas de observações reais [7]. O D3FEND é um grafo de conhecimento de contramedidas de cibersegurança [8]. ### Um teste pode perturbar o meu trabalho? O NCSC escreve que os testadores devem evitar perturbar o sistema testado, mas que é impossível garantir que não ocorrerá nenhuma reação inesperada [1]. Pode, portanto, haver um abrandamento ou um comportamento estranho durante um teste. Em caso de dúvida, comunique-o ao suporte ou ao SOC. ### Porque é que a minha comunicação conta? A comunicação é uma etapa da deteção. O NCSC apresenta a gestão de incidentes como um ciclo de cinco tempos retomado do NIST: identificar, proteger, detetar, responder, recuperar [3]. A sua coleção de orientações coloca a deteção e a notificação entre as questões de base da resposta a incidentes [3]. O NIST recorda que uma capacidade de resposta serve para detetar rapidamente os incidentes, limitar as perdas e a destruição, corrigir as fraquezas exploradas e restabelecer os serviços [5]. ## Como funciona Um teste de intrusão segue, em geral, um esquema de cinco etapas: contacto, enquadramento, testes, relatório e acompanhamento. Os problemas encontrados recebem um nível de gravidade [1]. O enquadramento fixa os limites técnicos, os tipos de teste esperados e o calendário [1]. O relatório lista as falhas, o nível de risco de cada uma e uma forma de as corrigir [1]. Os testadores podem conhecer o sistema de antemão ou não. Num teste de caixa fechada, não lhes é dada nenhuma informação interna: o teste faz-se a partir do exterior e reproduz melhor o risco vindo de atacantes desconhecidos da organização [1]. Num teste de caixa aberta, dispõem de toda a informação sobre o alvo [1]. O NCSC acrescenta que o conhecimento do teste dado aos administradores também varia de um teste para outro [1]. Um pentest tem limites. Só valida a ausência de falhas conhecidas no dia do teste, e pode passar um ano ou mais entre dois testes [1]. A deteção pelos colaboradores e pela equipa de segurança continua, por isso, a ser útil entre dois testes. Segue-se a resposta a incidentes. O NIST publicou em abril de 2025 a revisão 3 do seu guia, que volta a situar a resposta a incidentes na gestão global do risco descrita pelo Cybersecurity Framework 2.0 [4][6]. Visa preparar melhor as respostas, reduzir o número e o impacto dos incidentes e melhorar a deteção, a resposta e a recuperação [6]. ## O que faz O texto seguinte é uma orientação prática, não um facto retirado de uma fonte: o procedimento da sua empresa prevalece sempre. - Comunique assim que algo lhe parecer anormal. Recorra ao suporte ou ao SOC, conforme o que a sua empresa indicar. - Descreva os factos: hora, o que estava apresentado, o que abriu ou escreveu. Um pormenor que parece menor pode ajudar a equipa a relacionar vários sinais. - Não responda ao remetente de uma mensagem suspeita e não confronte a pessoa cuja ação suspeita. - Não desligue o computador enquanto não lho pedirem e aguarde as instruções do suporte ou do SOC. - Se souber depois que se tratava de um exercício, a comunicação não foi inútil: fez funcionar a cadeia de deteção. ## As armadilhas Pensar que um exercício é um ataque real, ou o contrário. Como os testadores podem não ter recebido nenhuma informação interna e o nível de conhecimento do teste entre os administradores varia [1], a diferença não é necessariamente visível a partir do seu posto de trabalho. Comunique nas duas situações. Não comunicar por receio de ser repreendido. O NCSC parte do princípio de que os incidentes podem acontecer e vão acontecer, e de que a preparação é o que ajuda a geri-los bem [3]. Comunicar demasiado tarde. O NIST descreve o objetivo de uma capacidade de resposta como a deteção rápida dos incidentes e a limitação das perdas [5]. Achar que a segurança assenta nos testadores. O NCSC precisa que a avaliação dos riscos e as decisões de correção continuam a ser da responsabilidade da organização, e que a redução do risco é um processo de negócio que não deve ser inteiramente confiado à equipa de teste [1]. ## Fontes 1. NCSC (Royaume-Uni), «Penetration testing», 8 de agosto de 2017. https://www.ncsc.gov.uk/guidance/penetration-testing (consultado em 3 de novembro de 2026) 2. NIST, «Technical Guide to Information Security Testing and Assessment». https://csrc.nist.gov/pubs/sp/800/115/final (consultado em 3 de novembro de 2026) 3. NCSC (Royaume-Uni), «Incident management», 19 de setembro de 2019. https://www.ncsc.gov.uk/collection/incident-management (consultado em 3 de novembro de 2026) 4. NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultado em 3 de novembro de 2026) 5. NIST, «Computer Security Incident Handling Guide», 6 de agosto de 2012. https://www.nist.gov/publications/computer-security-incident-handling-guide (consultado em 3 de novembro de 2026) 6. NIST, «Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile». https://csrc.nist.gov/pubs/sp/800/61/r3/final (consultado em 3 de novembro de 2026) 7. MITRE ATT&CK, «MITRE ATT&CK®». https://attack.mitre.org/ (consultado em 3 de novembro de 2026) 8. MITRE, «MITRE D3FEND Knowledge Graph». https://d3fend.mitre.org/ (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/pentest-red-team-blue-team-purple-team/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.