CompTIA PenTest+ — Questões de prática e simulado

O CompTIA PenTest+ (PT0-003) valida as habilidades necessárias para planejar, definir escopo e executar testes de intrusão, analisar achados e comunicar resultados às partes interessadas. Ele cobre todo o ciclo de vida do pentest, incluindo reconhecimento, enumeração, descoberta de vulnerabilidades, exploração, pós-exploração e movimentação lateral em ambientes tradicionais, de nuvem, híbridos, de aplicações web, de API e de IoT.

A versão PT0-003 entrou em vigor em 17 de dezembro de 2024 e acrescentou cobertura de ataques baseados em IA, exploração ampliada de nuvem e APIs, técnicas modernas de pós-exploração e ferramentas atualizadas.

A CompTIA recomenda de três a quatro anos atuando como pentester, com Network+ e Security+ ou conhecimento equivalente.

Attacks and Exploits domina o blueprint com 35% (mais de um terço da prova) e cobre priorização de alvos e exploração prática que passa por redes, aplicações web, ambientes cloud, equipamentos wireless e alvos de engenharia social. Reconnaissance and Enumeration vem em seguida, com 21%, e depois Vulnerability Discovery and Analysis, com 17%. Post-exploitation and Lateral Movement (14%) e Engagement Management (13%) são os menores domínios, mas é o Engagement Management que estabelece a base legal e de escopo que todos os domínios seguintes assumem como pronta.

O peso favorece quem consegue executar uma cadeia de ataque do início ao fim, e não apenas reconhecer cada etapa isolada: reconhecimento, exploração e pós-exploração somam 70% da prova, e as questões esperam que uma fase alimente a próxima. A fatia pequena do Engagement Management engana. Erre o escopo e a fundamentação legal, e respostas técnicas lá na frente acabam penalizadas por uma violação das rules of engagement definida dois domínios antes.

A prova traz até 90 questões numa janela de 165 minutos, mais longa que a da maioria dos exames CompTIA para acomodar as questões baseadas em desempenho, que envolvem execução de comandos ao vivo, análise de saída de ferramentas e configuração de exploits dentro de ambientes simulados. As questões de múltipla escolha aparecem tanto com resposta única quanto com múltiplas respostas, e boa parte delas gira em torno de um diagrama de rede, um trecho de log ou a saída de uma ferramenta que você precisa interpretar, em vez de um fato que você simplesmente lembra. Os itens de arrastar e soltar testam se você consegue ordenar uma cadeia de ataque ou associar uma técnica à fase a que ela pertence. A nota de corte é 750, numa escala de 100 a 900.

O banco de COMPTIA-PENTEST cobre todos os domínios do exame e continua crescendo com novas questões. Um simulado apresenta 90 questões seguidas, no mesmo cronômetro de 165 minutos do dia do exame.

Quanto tempo você precisa depende da experiência prática que já tem. O resto é definido pelo fornecedor: como a prova é aplicada, quando você pode refazê-la e por quanto tempo a certificação continua válida.

O CompTIA PenTest+ PT0-003 é aplicado nos centros de teste Pearson VUE do mundo todo ou online, com supervisão remota. A prova está disponível em inglês, francês, japonês e português. A certificação vale três anos e é renovada com 60 CEUs mais a taxa anual de CE, ou com a conquista de uma certificação CompTIA de nível superior.

O engagement management costuma ser subestimado por quem foca na exploração e trata escopo, rules of engagement e questões legais como burocracia, não como conteúdo cobrado: Engagement Management é um domínio inteiro, não um preâmbulo. Saber o nome de uma ferramenta também não é a mesma coisa que entender o que a saída dela significa. A prova espera que você leia resultados de Nmap, Burp Suite ou Metasploit e decida o próximo passo, não apenas que reconheça a ferramenta. Partir direto para a exploração sem reconhecimento e enumeração adequados é um erro de metodologia que a prova penaliza diretamente, e as falhas no relatório agravam o quadro: um trabalho tecnicamente correto com um executive summary fraco ou sem orientações de remediação continua perdendo pontos. O PT0-003 ainda ampliou a cobertura de cloud, API e sistemas especializados, então quem se preparou só para pentest tradicional de rede perde terreno em Attacks and Exploits, o maior domínio, com 35%.