Introdução de Negócio
Uma empresa que cresceu sobre a AWS chega a um ponto em que "confiamos na nossa arquitetura" deixa de ser suficiente. Clientes maiores, investidores ou parceiros comerciais passam a pedir prova concreta de que a aplicação foi testada contra ataques reais, não apenas a palavra de quem construiu.
O que queremos resolver
Sem um pentest recente, a maioria das empresas simplesmente não sabe onde estão suas vulnerabilidades reais em produção.
Como já mostramos no artigo sobre LGPD e Segurança na AWS, ter camadas técnicas de proteção é só metade do trabalho, a outra metade é comprovar que elas realmente funcionam sob ataque.
Como resolver na AWS
O pentest liderado por especialista da Lascasas Consulting atua dentro do escopo oficial de testes da AWS, que autoriza avaliações de segurança em serviços como Amazon EC2, RDS, CloudFront, API Gateway e AWS Lambda sem necessidade de aprovação prévia. Isso significa começar o teste no mesmo dia, sem burocracia de liberação com a AWS.
O processo segue um ciclo simples, o especialista testa a aplicação como um atacante testaria, entrega um relatório técnico detalhado, a equipe do cliente corrige o que foi encontrado, e o especialista faz o reteste para confirmar que a correção realmente fechou a brecha. No final, o cliente recebe uma apresentação executiva dos achados e melhorias, e uma attestation letter, o documento formal que devolve como prova para clientes, investidores e auditorias.
A camada contínua e automatizada
Em 2026, a própria AWS lançou o AWS Security Agent, um agente autônomo de pentest que opera como um testador humano, identificando vulnerabilidades, tentando explorá-las com payloads e cadeias de ataque direcionadas, e validando se o risco encontrado é real. O agente ingere código-fonte, diagramas de arquitetura e documentação da aplicação para entender o sistema antes de atacá-lo, e roda continuamente, 24 horas por dia, em vez de apenas em uma janela de teste pontual.
Essa camada automatizada não substitui o trabalho de um especialista, ela o complementa. O AWS Security Agent cobre o dia a dia entre um engajamento e outro, comprimindo ciclos de teste que levavam semanas para horas, enquanto o pentest liderado por um especialista da Lascasas entrega o que uma auditoria, um cliente ou a LGPD realmente pedem, uma validação formal assinada por um profissional e uma attestation letter, algo que um relatório automatizado sozinho ainda não substitui.
Ganhos que a arquitetura traz
Relatório técnico e executivo separados: o time técnico recebe o detalhamento das vulnerabilidades, e a diretoria recebe uma apresentação que faz sentido para quem não é da área.
Reteste incluso: encontrar a vulnerabilidade não é o fim do trabalho, o reteste confirma que a correção realmente funcionou.
Attestation letter: um documento formal para apresentar em processos comerciais, due diligence e auditorias de compliance.
Escala com a empresa: os planos cobrem de 2 a 10 ou mais aplicações, com adicionais por aplicação para quem precisa de mais cobertura.
Casos na literatura
A própria AWS documenta o impacto do Security Agent em clientes reais. A Bamboo Health relata que o agente "surfaced findings that no other tool has uncovered", achados que nenhuma outra ferramenta havia encontrado.
Já a HENNGE K.K. conseguiu reduzir em mais de 90% a duração típica de um ciclo de teste.
A LG CNS estima testes cerca de 50% mais rápidos e aproximadamente 30% mais baratos, com uma quantidade bem menor de falsos positivos, liberando o time de segurança para focar no que realmente importa.
Lições aprendidas
Testar a segurança de uma aplicação deixou de ser um evento anual isolado. Entre o que a automação da AWS cobre continuamente e o que um especialista valida e assina formalmente, a empresa ganha os dois lados do problema, cobertura constante e prova formal para quem exige evidência.
O pentest liderado por especialista continua sendo o que fecha negócio, passa em auditoria e sustenta uma conversa séria sobre segurança com um cliente grande. É esse o papel que a Lascasas Consulting cumpre.