Pentest, Red Team, Blue Team e Purple Team
Teste de intrusão, exercício de ataque simulado, equipas de defesa: o que estes termos designam e o que fazer perante um comportamento suspeito.
Em 30 segundos
- Onde acontece
- No seu correio eletrónico ou no seu posto de trabalho, quando algo foge ao normal, quer o teste tenha sido anunciado quer não.
- O que quer o atacante
- Num teste de intrusão, o testador usa as mesmas ferramentas e técnicas de um adversário para verificar a solidez de um sistema1.
- O reflexo
- O reflexo: comunique rapidamente ao suporte ou ao SOC o que lhe parecer suspeito, sem falar com o presumível autor e sem desligar o computador enquanto não lhe pedirem.
- Se já o fez
- Conte com precisão o que viu, a que hora, e o que clicou ou escreveu.
Do que se trata
Numa empresa, ouve-se falar de pentest, Red Team, Blue Team ou Purple Team. Estes termos descrevem atividades de teste e de defesa conduzidas por especialistas. Para um colaborador, servem sobretudo para uma coisa: saber que um comportamento estranho no seu posto de trabalho ou no seu correio eletrónico pode vir de um exercício autorizado, de um ataque real ou de uma simples avaria, e que nos três casos deve ser comunicado.
As fontes reunidas para esta ficha descrevem com precisão o teste de intrusão e a gestão de incidentes. Não definem os termos Red Team, Blue Team e Purple Team. A ficha limita-se, por isso, ao que estas fontes dizem e não lhes atribui nada mais.
Perguntas diretas
O que é um pentest?
O NCSC britânico define-o como um método para obter garantias sobre a segurança de um sistema informático, tentando ultrapassar parte ou a totalidade das suas proteções, com as ferramentas e técnicas que um adversário utilizaria1. Compara-o a uma auditoria financeira: a equipa interna acompanha as despesas dia a dia e uma auditoria externa verifica se os seus procedimentos são suficientes1.
O NIST publica, por seu lado, um guia técnico sobre a preparação e a condução de testes de segurança, a análise dos resultados e as medidas corretivas. Entre as utilizações indicadas estão procurar falhas num sistema ou numa rede e verificar o cumprimento de uma política de segurança2.
O que faz a Red Team, o que faz a Blue Team e a Purple Team?
Nenhuma das fontes aqui citadas define estes três nomes. O que o NCSC descreve é um teste por cenários que visa também medir a capacidade de deteção e de resposta da organização, para conhecer a sua eficácia e a sua cobertura num determinado cenário1. Do lado do colaborador, a deteção é o que lhe diz respeito: a sua comunicação faz parte dela.
Duas bases de conhecimento da MITRE servem de referências comuns. O ATT&CK reúne táticas e técnicas de adversários retiradas de observações reais7. O D3FEND é um grafo de conhecimento de contramedidas de cibersegurança8.
Um teste pode perturbar o meu trabalho?
O NCSC escreve que os testadores devem evitar perturbar o sistema testado, mas que é impossível garantir que não ocorrerá nenhuma reação inesperada1. Pode, portanto, haver um abrandamento ou um comportamento estranho durante um teste. Em caso de dúvida, comunique-o ao suporte ou ao SOC.
Porque é que a minha comunicação conta?
A comunicação é uma etapa da deteção. O NCSC apresenta a gestão de incidentes como um ciclo de cinco tempos retomado do NIST: identificar, proteger, detetar, responder, recuperar3. A sua coleção de orientações coloca a deteção e a notificação entre as questões de base da resposta a incidentes3. O NIST recorda que uma capacidade de resposta serve para detetar rapidamente os incidentes, limitar as perdas e a destruição, corrigir as fraquezas exploradas e restabelecer os serviços5.
1Como funciona2 min
Um teste de intrusão segue, em geral, um esquema de cinco etapas: contacto, enquadramento, testes, relatório e acompanhamento. Os problemas encontrados recebem um nível de gravidade1. O enquadramento fixa os limites técnicos, os tipos de teste esperados e o calendário1. O relatório lista as falhas, o nível de risco de cada uma e uma forma de as corrigir1.
Os testadores podem conhecer o sistema de antemão ou não. Num teste de caixa fechada, não lhes é dada nenhuma informação interna: o teste faz-se a partir do exterior e reproduz melhor o risco vindo de atacantes desconhecidos da organização1. Num teste de caixa aberta, dispõem de toda a informação sobre o alvo1. O NCSC acrescenta que o conhecimento do teste dado aos administradores também varia de um teste para outro1.
Um pentest tem limites. Só valida a ausência de falhas conhecidas no dia do teste, e pode passar um ano ou mais entre dois testes1. A deteção pelos colaboradores e pela equipa de segurança continua, por isso, a ser útil entre dois testes.
Segue-se a resposta a incidentes. O NIST publicou em abril de 2025 a revisão 3 do seu guia, que volta a situar a resposta a incidentes na gestão global do risco descrita pelo Cybersecurity Framework 2.046. Visa preparar melhor as respostas, reduzir o número e o impacto dos incidentes e melhorar a deteção, a resposta e a recuperação6.
2O que faz1 min
O texto seguinte é uma orientação prática, não um facto retirado de uma fonte: o procedimento da sua empresa prevalece sempre.
- Comunique assim que algo lhe parecer anormal. Recorra ao suporte ou ao SOC, conforme o que a sua empresa indicar.
- Descreva os factos: hora, o que estava apresentado, o que abriu ou escreveu. Um pormenor que parece menor pode ajudar a equipa a relacionar vários sinais.
- Não responda ao remetente de uma mensagem suspeita e não confronte a pessoa cuja ação suspeita.
- Não desligue o computador enquanto não lho pedirem e aguarde as instruções do suporte ou do SOC.
- Se souber depois que se tratava de um exercício, a comunicação não foi inútil: fez funcionar a cadeia de deteção.
3As armadilhas1 min
Pensar que um exercício é um ataque real, ou o contrário. Como os testadores podem não ter recebido nenhuma informação interna e o nível de conhecimento do teste entre os administradores varia1, a diferença não é necessariamente visível a partir do seu posto de trabalho. Comunique nas duas situações.
Não comunicar por receio de ser repreendido. O NCSC parte do princípio de que os incidentes podem acontecer e vão acontecer, e de que a preparação é o que ajuda a geri-los bem3.
Comunicar demasiado tarde. O NIST descreve o objetivo de uma capacidade de resposta como a deteção rápida dos incidentes e a limitação das perdas5.
Achar que a segurança assenta nos testadores. O NCSC precisa que a avaliação dos riscos e as decisões de correção continuam a ser da responsabilidade da organização, e que a redução do risco é um processo de negócio que não deve ser inteiramente confiado à equipa de teste1.
Ficha
- Identificador
- CP-247
- Ala
- 3. Protocolos e defesa
- Competência Brain
- Comunicar incidentes (report_incidents)
- Reflexo Brain
- cr-014
- Esquema
- G4 · Cronologia do incidente (autópsia)
- Idiomas
- de, en, es, fr, it, nl, pt
- Fontes
- 8 fontes verificadas em 3 de novembro de 2026
Fontes8 fontes
- NCSC (Royaume-Uni), «Penetration testing», 8 de agosto de 2017. https://www.ncsc.gov.uk/guidance/penetration-testing (consultado em 3 de novembro de 2026)
- NIST, «Technical Guide to Information Security Testing and Assessment». https://csrc.nist.gov/pubs/sp/800/115/final (consultado em 3 de novembro de 2026)
- NCSC (Royaume-Uni), «Incident management», 19 de setembro de 2019. https://www.ncsc.gov.uk/collection/incident-management (consultado em 3 de novembro de 2026)
- NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultado em 3 de novembro de 2026)
- NIST, «Computer Security Incident Handling Guide», 6 de agosto de 2012. https://www.nist.gov/publications/computer-security-incident-handling-guide (consultado em 3 de novembro de 2026)
- NIST, «Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile». https://csrc.nist.gov/pubs/sp/800/61/r3/final (consultado em 3 de novembro de 2026)
- MITRE ATT&CK, «MITRE ATT&CK®». https://attack.mitre.org/ (consultado em 3 de novembro de 2026)
- MITRE, «MITRE D3FEND Knowledge Graph». https://d3fend.mitre.org/ (consultado em 3 de novembro de 2026)
Citar este artigo
Brain, «Pentest, Red Team, Blue Team e Purple Team», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp247_pt_2026,
author = {Brain},
title = {Pentest, Red Team, Blue Team e Purple Team},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pt/articles/pentest-red-team-blue-team-purple-team/},
note = {CC BY 4.0}
}