O que um scanner faz
Uma ferramenta automatizada varre o sistema procurando padrão conhecido de vulnerabilidade: versão desatualizada, configuração exposta, assinatura de falha já catalogada. É rápido, barato e repetível.
O que um scanner não faz
Ele não entende lógica de negócio. Não percebe, por exemplo, que um desconto deveria se aplicar só a um tipo de cliente, mas o sistema deixa qualquer um aplicar. Não encadeia falhas pequenas numa invasão grande. E não pensa de forma criativa, como um atacante de verdade perseguindo um objetivo específico.
Onde entra o pentest manual
É uma pessoa testando ativamente, tentando quebrar a lógica do sistema, não só rodando um checklist automático contra uma lista de assinaturas conhecidas.
Os casos reais que isso já resolveu
SSRF em plataforma enterprise, bypass de autenticação via SAML, IDOR em marketplace B2B e sequestro de rede via CMS desatualizado. Nenhum desses quatro casos foi achado por scanner, todos foram achados testando manualmente.
Quando usar cada um
Scanner automatizado funciona bem como monitoramento contínuo e primeira triagem, barato e recorrente. Pentest manual entra antes de uma decisão importante, como um lançamento, uma auditoria ou a entrada de um cliente grande, e deve se repetir periodicamente.
Quer saber o que um teste manual encontraria no seu sistema?
Solicitar orçamento