Pentest / Red Team: mercado

Vaga

uma vaga aberta que passou pelo filtro de qualidade e lista pelo menos duas tecnologias

Candidato observado

um candidato cujo stack contém esta tecnologia; um agregado — nenhum registro individual sai do perímetro

Candidato compatível

ainda não contado

Janela

vagas abertas no momento em que o snapshot foi gerado

Júnior — entrada típica: 1) Autodidata + HackTheBox / TryHackMe + certificação OSCP + achados de bug bounty → consultoria Júnior, 2) formado em Ciência da Computação / Cibersegurança + estágio em consultoria de segurança, 3) SOC Analyst / AppSec / DevSecOps Pleno + pivô para especialização ofensiva. Salto Júnior → Pleno — depois dos primeiros 10-20 engajamentos reais de pentest + certificação OSCP + primeiro achado de alta severidade em bug bounty. Pleno → Sênior — expertise multidomínio (web + rede + AD + mobile + nuvem), liderança de engajamento complexo multivetorial, defesa de relatório com contato com o cliente, desenvolvimento de metodologia. Sênior → Lead / Principal — liderança de time + desenvolvimento de ferramental interno + gestão do relacionamento com o cliente. Fluxo de carreira: Autodidata + bug bounty (1-2 anos) ou Formado + OSCP (1 ano) → Pentester Júnior (1-2 anos) → Pleno (2-3 anos) → Sênior → ou Lead Pentester (gestão de time), Red Team Operator (trilha premium de consultoria — domínio de Cobalt Strike + emulação de APT), especialidade profunda (Mobile / Cloud / Hardware / Web — premium), Bug Bounty Hunter em tempo integral (estilo de vida independente), ou pivô para AppSec Sênior (lado preventivo).

Pentester (esta página) — foco em exploração ativa com escopo definido (web / rede / mobile / nuvem). Engajamento típico: 5-15 dias, escopo definido (URLs / IPs / aplicativos mobile específicos), objetivo — encontrar vulnerabilidades + demonstrar a exploração + relatório. Muitas vezes em consultorias. Red Team Operator — foco em simulação adversarial: emulação de APT (Advanced Persistent Threat), furtividade em primeiro lugar, engajamentos de várias semanas / meses, objetivo — testar as defesas de ponta a ponta (acesso inicial → movimento lateral → escalonamento de privilégios → exfiltração de dados → C2). Stack específico: domínio de Cobalt Strike / Sliver + perfis de C2 personalizados + evasão de EDR + consciência de OPSEC. Especialidade de nível premium. Bug Bounty Hunter — independente ou contratado. Foco em encontrar vulnerabilidades únicas em programas de bug bounty públicos / privados (HackerOne / Bugcrowd / Standoff). Estilo de vida independente (os melhores — em tempo integral, sem empregador). Muitas vezes foco em web / mobile / API. AppSec Engineer — foco em segurança preventiva do código do produto: triagem de achados de SAST + modelagem de ameaças + revisão de código com foco em segurança. Perspectiva defensiva. Veja Application Security (AppSec). Realidade 2026 (mapa de sobreposição): Pentester ↔ Red Team: 60% de sobreposição (Red Team = especialização de Pentest). Pentester ↔ Bug Bounty: 70% de sobreposição (mentalidade ofensiva parecida, modelo de engajamento diferente). Pentester ↔ AppSec: 40% de sobreposição (ambos pensam de forma ofensiva, mas AppSec é preventivo vs Pentest é exploração ativa). Transições de carreira: Pentester Sênior → Red Team Operator — 6-12 meses (é preciso somar domínio de Cobalt Strike + evasão de EDR + TTPs de APT). Pentester Sênior → AppSec Sênior — 3-6 meses (traduzir a intuição ofensiva em revisão defensiva de código). Bug Bounty Hunter → Pentester contratado — fácil (currículo = reputação em bug bounty). Escolha de carreira: Pentester (contratado) se você quer trabalho estruturado + renda estável + variedade de engajamentos + habilidades de contato com clientes, Red Team (consultoria) se quer o nível premium de elite + emulação de APT a fundo + domínio de Cobalt Strike + não se importa em viajar, Bug Bounty Hunter se quer caçar a fundo sozinho + flexibilidade de estilo de vida + lida bem com renda variável + tolera risco, AppSec se o que interessa é prevenção + colaboração com a engenharia de produto.

Metodologia de pentest de referência 2026 (PTES — Penetration Testing Execution Standard + OWASP Testing Guide + híbrido NIST SP 800–115): 1) Pré-engajamento — definição de escopo (IPs / domínios / apps mobile / contas cloud no escopo + fora de escopo), Rules of Engagement (ROE — o que é permitido / proibido, horário de trabalho, contatos do cliente), acordos legais (SOW + NDA + indenização), configuração do ambiente de teste (contas de teste + acesso VPN). Regra: nunca comece sem autorização por escrito. 2) Reconhecimento (passivo) — OSINT (open-source intelligence): enumeração de subdomínios (amass + subfinder + crt.sh certificate transparency logs), consultas Shodan / Censys por serviços expostos, theHarvester para e-mails de funcionários, mineração de redes sociais (LinkedIn / Twitter — para pretextos de phishing), Wayback Machine / Common Crawl para artefatos históricos. 3) Reconhecimento (ativo) — varredura com Nmap (TCP + UDP + detecção de versão + scripts NSE), Masscan para faixas grandes, web crawling (Burp Spider + manual), descoberta de API (Swagger / OpenAPI / introspecção GraphQL), reconhecimento wireless (Kismet + Aircrack-ng) se houver escopo físico. 4) Identificação de vulnerabilidades — varredura com templates do Nuclei, testes manuais com Burp Suite Pro, análise estática mobile (MobSF + jadx + Hopper), análise de configuração cloud (ScoutSuite + Prowler), password spraying de credenciais (NetExec / Hydra), teste de credenciais padrão. 5) Modelagem de ameaças por achado — para cada vulnerabilidade identificada: avaliação de severidade (CVSS 3.1 base + temporal + ambiental), análise de explorabilidade, estimativa de impacto no negócio. 6) Exploração — desenvolvimento de prova de conceito (PoC) demonstrando impacto real (vs teórico). Web: cadeias de SQLi + XSS + IDOR + SSRF + RCE. Rede: ataques a AD (Kerberoasting + ASREPRoasting + AS-REP + DCSync + Golden Ticket / Silver Ticket + AD CS ESC1-11). Mobile: bypass de SSL pinning + extração de dados sensíveis + abuso de IPC. Cloud: escalonamento de privilégios IAM + ataques entre contas. 7) Pós-exploração (se estiver no escopo) — movimentação lateral (Impacket + caminhos BloodHound + pass-the-hash + pass-the-ticket), escalonamento de privilégios, persistência (se escopo de Red Team), descoberta de dados (sistema de arquivos + bancos de dados + armazenamento cloud). 8) C2 (específico de Red Team) — estabelecimento de beacon Cobalt Strike / Sliver + bypass de AMSI + evasão de EDR + pivô via DNS / HTTPS / SMB. 9) Coleta de evidências — capturas de tela + logs de comandos + arquivos HAR + arquivos de projeto Burp + gravação em vídeo para cadeias complexas. Manter chain-of-custody (conformidade legal). 10) Relatório — relatório abrangente com sumário executivo + metodologia + achados (ranqueados por severidade) + reproduções de PoC + análise de impacto no negócio + recomendações de remediação + plano de reteste. Ferramentas: Pwndoc + Dradis + SysReptor. 11) Apresentação ao cliente — reunião de debrief com audiências técnica + de gestão. Habilidades de relacionamento com o cliente são críticas. 12) Reteste (tipicamente 30-90 dias após o relatório) — verificar se as remediações foram efetivas + atualizar o relatório. Transversais: OPSEC (Operations Security) — específico de Red Team (sem rastros, sem falsos positivos, sem ações que impactem produção sem autorização). Comunicação — check-ins regulares com o cliente (daily standup para engajamentos de várias semanas). Frameworks de metodologia: PTES (mais antigo), OWASP WSTG (Web Security Testing Guide — o mais detalhado para web), MITRE ATT&CK (categorização de TTPs), NIST SP 800–115 (padrão do governo dos EUA). Um Pentester Sênior deve conhecer todos os frameworks + adaptar a metodologia ao escopo de cada engajamento.

Sim, 38% das vagas de Pentester são totalmente remotas ou híbridas, mas com ressalvas: 1) A maior parte do trabalho de pentest é baseada em nuvem (alvo de teste acessível via VPN), mas 2) O pentest de rede interna muitas vezes exige presença no local ou envio físico de hardware (pentest de Wi-Fi + ataques via USB + avaliação de segurança física — defesa / empresas estatais / bancos). 3) Engajamentos de Red Team Operator são mais frequentemente remotos (manutenção de C2 de longo prazo de casa é aceitável), mas os debriefs com o cliente são híbridos. 4) Bug Bounty Hunters podem ser totalmente independentes (lifestyle totalmente remoto com pagamentos de bug bounty) — hunters de ponta viajam muito (DEF CON / Black Hat / pwn2own / conferências locais). 5) Security clearances para empresas de defesa / estatais na Rússia + EUA (se remoto internacional) — presença no local obrigatória. Consultorias russas de segurança — híbrido ou remoto após verificação de antecedentes de segurança (extensa — pode levar 2-6 meses). Bancos russos — times de pentest interno híbrido/presencial. Consultorias premium internacionais — totalmente remoto padrão. Big 4 de cybersecurity (KPMG / Deloitte / PwC / EY) — híbrido com visitas ao cliente. Times ofensivos da Big Tech — híbrido padrão, contratação extremamente rara. Hubs de relocação para pentest: EUA (Bay Area + cluster de defesa de DC + Las Vegas DEF CON-friendly) / Reino Unido (Londres — HQ do NCC Group) / Alemanha (cluster de IA de Berlim + consultorias de segurança) / Canadá / Sérvia / Geórgia. Inglês para remoto internacional de Pentest — obrigatório (DEF CON / Black Hat / Hack in Paris / OffSec OSCP / docs de vendors Burp Suite / Cobalt Strike — em inglês).

Pentester (geral) — engajamento com escopo definido: o cliente diz "faça pentest destas 10 aplicações web + destas 5 faixas de IP", objetivo — encontrar o máximo possível de vulnerabilidades de alta severidade em 5-15 dias, relatório abrangente. Stack: Burp Suite + Nmap + Metasploit + Nuclei + Kali Linux. Red Team Operator — simulação adversarial: o cliente diz "assuma acesso inicial, veja até onde você chega sem ser detectado pelo time do SOC", objetivo — testar as defesas de ponta a ponta, furtividade em primeiro lugar, engajamento de várias semanas / meses. Cadeias de ataque em várias etapas: 1) acesso inicial (phishing / cadeia de suprimentos / serviços expostos / exploração de 0-day), 2) estabelecer beacon de C2, 3) reconhecimento (BloodHound + ADExplorer + enumeração própria), 4) escalonamento de privilégios (Windows: manipulação de tokens + bypass de UAC + abuso de serviços + AD CS ESC1-11; Linux: SUID + capabilities + fuga de Docker + exploits de kernel), 5) movimento lateral (Pass-the-Hash + Pass-the-Ticket + WMI + PSRemoting + RDP), 6) persistência (tarefas agendadas + assinatura WMI + DLL sideloading + ADCS ESC8 — persistência com escalonamento a DA), 7) descoberta + exfiltração de dados (armazenamento em nuvem + bancos de dados + compartilhamentos de arquivos — exfiltração via DNS / HTTPS / webhooks do Slack). Domínio de evasão de EDR: bypass de AMSI, bypass de ETW, invocação direta de syscalls (Hell's Gate / Halo's Gate / SysWhispers), ofuscação de payloads (Donut + Inceptor + Scarecrow), criptografia de shellcode + descriptografia em runtime. Disciplina de OPSEC: nenhum comando com assinatura conhecida, nenhuma ação que impacte a produção, nenhum rastro nos logs (desativação de ETW + comunicação por named pipes + apenas em memória). Certificações: OSEP (Offensive Security Experienced Pentester — a melhor para Red Team) + CRTO (Certified Red Team Operator — Zero-Point Security — em alta 2024+) + CRTL (Lead). Remuneração: Red Team Operator — prêmio sobre o Pentester geral de +20-40%. Trajetória de carreira: Pentester Sênior + domínio de Cobalt Strike + estudo de TTPs de APT + primeiro engajamento de Red Team → Red Team Operator — 6-12 meses.

Roadmap: 1) Fundação — domínio de Linux + Windows internals + networking a fundo (TCP / UDP / DNS / HTTP / TLS / routing) + Python a fundo + bash + PowerShell. Sem essa base não faz sentido entrar em pentest. 2) Fundamentos de cibersegurança — OWASP Top 10 a fundo, Tríade CIA, criptografia aplicada, padrões de ataque comuns. Livro: "The Web Application Hacker's Handbook" Stuttard / Pinto (leitura obrigatória apesar da idade 2011). 3) HackTheBox + TryHackMe na prática (obrigatório — melhor treinamento prático de pentest 2026). Comece com boxes fáceis → médias → difíceis. Mire 50+ boxes resolvidas antes de se candidatar a vagas de pentest. 4) PortSwigger Web Security Academy (gratuito — melhor treinamento de pentest web 2026, faça todos os labs). Obtenha o PortSwigger BSCP (Burp Suite Certified Practitioner) — certificação premium de pentest web. 5) Pentest de Active Directory — path de AD do TryHackMe + HackTheBox Pro Labs Dante / Offshore / RastaLabs. Aprenda domínio de BloodHound + Impacket + NetExec. "Hacking: The Art of Exploitation" Jon Erickson (clássico). 6) OSCP (Offensive Security Certified Professional) — obrigatório para credibilidade em pentest. Exame prático hands-on de 24 horas + relatório de 24 horas. Custo ~$1.500-2.000 para curso + exame. Preparação: materiais do curso PWK + HackTheBox + TryHackMe. Preparação média: 3-6 meses de estudo focado. 7) Bug bounty na prática — registre HackerOne / Bugcrowd / Intigriti / Standoff russo. Comece com programas públicos — foque em low-hanging fruits (CSRF + XSS refletido + IDOR + SSRF). Até achados pequenos constroem reputação + currículo. 8) Pentest mobile (especialidade): MobSF + Frida + apktool + jadx. OWASP Mobile Top 10. "OWASP MASTG" (Mobile Application Security Testing Guide — gratuito). 9) Pentest cloud (em alta 2024+): Pacu + ROADtools + ScoutSuite. Livro "Hands-On AWS Penetration Testing with Kali Linux". 10) Noções de reverse engineering: domínio do Ghidra (gratuito) + prática de Crackmes (crackmes.one) + reverse de malware simples de Windows. 11) Progressão em Red Team: CRTO (Certified Red Team Operator — Zero-Point Security — em alta 2024+, mais acessível que o OSEP), OSEP (Offensive Security Experienced Pentester — avançado oficial). Aprendizado de Cobalt Strike (se fornecido pelo empregador). 12) Certificações avançadas (caminho premium): OSWE (Web Expert), OSED (Exploit Developer — exploração de binários a fundo), OSCE3 (guarda-chuva OSEP + OSWE + OSED — nível premium). GIAC: GPEN, GWAPT, GXPN — track alternativo. 13) Pesquisa de CVE / 0-day (caminho premium) — encontre vulnerabilidades em software open-source, faça disclosure responsável, publique advisories. Um único CVE publicado — um enorme impulso no currículo. 14) Portfólio de pet projects: a) perfil no HackTheBox com 50+ máquinas + conclusão de Pro Labs; b) reputação em bug bounty no HackerOne / Bugcrowd / Standoff (alvo ≥100 de reputação); c) Extensão Burp customizada publicada na BAppStore; d) write-ups de blog para achados publicados de HackTheBox / TryHackMe / bug bounty. Internacional (EN) — Offensive Security: PWK / OSCP (obrigatório — padrão da indústria), OSEP + OSWE + OSED (avançados), cursos SANS (SEC560 / SEC542 / SEC660 — premium, caros), Zero-Point Security CRTO (Red Team — em alta 2024+), Pentester Academy, INE (sucessor da eLearnSecurity — track eJPT / eCPPT / eWPT / eWAPT — mais acessível que a OffSec). Livros de leitura obrigatória: "The Web Application Hacker's Handbook" Stuttard / Pinto, "Hacking: The Art of Exploitation" Jon Erickson, "Penetration Testing" Georgia Weidman (introdução), "The Hacker Playbook" Peter Kim (série 1-3), "Red Team Field Manual (RTFM)" + "Blue Team Field Manual (BTFM)" (referências de bolso). Conferências: DEF CON (Las Vegas — maior conferência de hackers), Black Hat (Las Vegas + EU + Ásia), OffensiveCon (Berlim), PHDays (Positive Hack Days — Moscou — a maior da Rússia), ZeroNights (Rússia), Standoff (ciberbatalha ao vivo da PT), RuCTF / RuCTFE (CTF russo), pwn2own (Trend Micro — competição de vulnerabilidades com grandes prêmios em dinheiro). Autodidata + 1-2 anos de bug bounty + OSCP → Pentester Junior.

213 active open Pentester positions with explicit pentest scope in our sample. The real market is wider due to: 1) Most Russian security consultancies often hire via internal referrals + public job postings are scattered, 2) Bug bounty hunters — independent, not counted in the job market, 3) Red Team Operator positions at Western consultancies — premium-tier rare hiring, 4) Big Tech offensive teams — extremely rare hiring (1-2 positions globally per year). True active pentest jobs in CIS + Europe — estimate 100–500 positions at any given moment in 2026. Geography: the US, Poland, the UK. The real market is broader thanks to the international remote segment. Time to close a Senior Pentester — 8-16 weeks (longer than general Security due to rare-skill + extensive background checks + multi-round technical interviews with hands-on exploitation challenges).

A Senior Pentester owns the full offensive security cycle + technical leadership + customer-facing skills. Programming: Python deep (custom exploits + automation + Burp extensions + recon tools), bash + PowerShell mastery (Windows AD pentest), C / C++ for binary exploitation, JavaScript for web exploitation (XSS payloads + prototype pollution + DOM-based vulnerabilities), assembly basics for reverse engineering (x86 + x86_64 + ARM). Web App pentest mastery: Burp Suite Professional advanced (Burp Extensions authoring + Burp Collaborator integration + Burp Intruder + Burp Macros for authenticated multi-step flows), OWASP Top 10 + OWASP API Top 10 deep, modern web vulnerabilities (prototype pollution + JWT pitfalls + SSRF + GraphQL injection + WebSocket attacks + cache deception + HTTP request smuggling — advanced). Network pentest mastery: Nmap NSE scripting in Lua, Active Directory deep (Kerberoasting + ASREPRoasting + DCSync + Golden / Silver / Diamond / Sapphire Ticket + AD CS ESC1-11 + Constrained / Unconstrained Delegation abuse), Impacket mastery (smbexec + wmiexec + psexec + secretsdump + ntlmrelayx + GetUserSPNs + GetNPUsers), NetExec advanced (former CrackMapExec), BloodHound mastery (Cypher query authoring for custom attack paths), Responder advanced. Cloud pentest mastery: Pacu deep (AWS exploitation), ROADtools (Azure AD recon), AWS / Azure / GCP attack TTPs (IAM privilege escalation paths + cross-account attacks + lambda exploitation + container escape + cloud storage abuse). Mobile pentest mastery: MobSF + Frida advanced (custom JavaScript scripts for runtime modification + SSL pinning bypass for diverse anti-pinning implementations), apktool / jadx (Android RE deep), Hopper / Ghidra / IDA Pro (iOS RE). Reverse engineering: Ghidra advanced (custom scripts + Function ID database creation), IDA Pro + Hex-Rays Decompiler, x64dbg / WinDbg for dynamic analysis, malware analysis basics. Exploitation: Metasploit advanced (custom module authoring in Ruby), Cobalt Strike mastery (if Red Team track — malleable C2 profiles authoring + Aggressor scripts in Sleep language + custom payload generation), Sliver / Mythic / Havoc alternative C2. EDR evasion mastery (Red Team-specific): AMSI bypass + ETW bypass + direct syscalls (SysWhispers + Hell's Gate + Halo's Gate), payload obfuscation (Donut + Inceptor + Scarecrow + Freeze), shellcode encryption + runtime decryption, sleep obfuscation, parent PID spoofing. OPSEC discipline: command sanitisation (no whoami / ipconfig — fingerprinted), named pipe communication, in-memory only operations, log-clean methodology. Methodology mastery: PTES + OWASP WSTG + OWASP MASTG + NIST SP 800–115 + MITRE ATT&CK Navigator usage for engagement scoping. Reporting mastery: clear technical writing for executives + reproducible PoC documentation + remediation recommendations + retest verification. Customer-facing presentation skills. Tooling development: build internal pentest tools (Python / Go), Burp extension authoring + publication on BAppStore. Soft: customer relationship management (multi-stakeholder communication), scope negotiation, ethical decision-making (when to stop / pivot / escalate), legal awareness (computer fraud / abuse laws + chain-of-custody), mentoring Junior pentesters. English for Senior+ MUST — pentest community / OffSec / DEF CON / Black Hat / vendor docs (Burp Suite / Cobalt Strike) are entirely English-speaking. Optional bonus: published CVEs / 0-days (massive resume boost — publication on exploit-db.com / NVD / vendor advisories), top-tier bug bounty reputation (HackerOne top-100 / top-50), conference talks (DEF CON / Black Hat / OffensiveCon / PHDays / pwn2own wins), open-source contributions to pentest tools (Metasploit modules / Burp Extensions / Nuclei templates / Nmap NSE scripts) — sharply increase market value for frontier pentest companies hiring.