Competências avaliadas

• Pentest vs. outros testes de segurança — o que é, o que não é e por que a distinção importa
• Superfície de ataque — o que um atacante enxerga antes de qualquer ferramenta
• Fases de um pentest — do reconhecimento ao relatório, na sequência certa
• Reconhecimento passivo — o que é possível descobrir sem tocar o alvo
• OSINT como ponto de partida — fontes abertas, pegada digital e o que elas revelam
• Engenharia social como vetor — phishing, pretexting e como a manipulação humana abre portas
• Vulnerabilidade, exploit e payload — vocabulário fundamental sem medo de errar
• Tipos de vulnerabilidade mais comuns — injeção, autenticação quebrada, exposição de dados
• CVSS — como ler e interpretar a severidade de uma vulnerabilidade
• Superfície web — o que uma aplicação expõe e por que vira alvo
• Pentest de rede vs. pentest de aplicação — onde começa um e termina o outro
• Caixa-preta, caixa-cinza e caixa-branca — modelos de teste e o que cada um mede
• Autorização formal — por que testar sem documento é crime e o que o documento precisa ter
• Marco legal brasileiro — Lei 12.737, responsabilidade civil e o que protege o testador
• Regras de engajamento — o que delimita o teste e o que acontece quando o limite é ultrapassado
• Relatório técnico — o que contém, para quem serve e por que é o único entregável que importa
• Severidade no relatório — como priorizar achados e o que o cliente faz com essa informação
• Defesa a partir do olhar do atacante — controles que interrompem cada fase do pentest
• IA como ferramenta de reconhecimento — o que ela acelera e onde ela mente
• Alucinação técnica — quando o LLM inventa um CVE e como verificar antes de confiar
• Dados que não entram em IA pública — o que o NDA proíbe e por que o testador paga a conta
• IA ofensiva como ameaça — phishing gerado por IA, engenharia social em escala e deepfake de voz
• Ferramentas de IA em pentest — o que existe, o que promete e o que ainda depende do testador
• Responsabilidade pelo output da IA — por que "a ferramenta sugeriu" não é defesa jurídica
• O que vem depois do Essencial — o que o Fundamentos pressupõe e como se preparar