Arquitetura de um Home Lab de cibersegurança profissional

Todo mundo que estuda cibersegurança chega no mesmo ponto: você já sabe o que é um scan de portas, já rodou o Metasploit num alvo de CTF, já leu sobre SIEM e Active Directory. Mas quando tenta praticar de verdade — encadear um ataque, ver o log aparecer no painel, entender por que a regra de firewall bloqueou aquilo — falta o lugar para isso acontecer.

Esse lugar é o home lab. E a maior parte dos tutoriais para na parte errada: mostram como instalar o Kali e param por aí. O Kali é o item mais fácil. O difícil é a infraestrutura embaixo dele — a rede, a segmentação, os serviços, o monitoramento. É isso que separa um "monte de VMs soltas" de um ambiente que ensina alguma coisa.

O que um laboratório de verdade precisa ter #

Um bom lab tem seis blocos. Cada um existe por um motivo.

1. A base: um hipervisor #

Você não vai ter dez computadores. Vai ter um, rodando dezenas de máquinas virtuais. O hipervisor é o software que faz isso. O Proxmox VE é a melhor base de custo zero para estudo: gratuito, roda em hardware comum, tem snapshots (você quebra tudo e volta em 30 segundos), containers leves e uma interface web decente.

2. O firewall no centro #

Aqui mora o erro mais comum: colocar tudo na mesma rede. Se o seu Kali enxerga o seu Active Directory sem passar por lugar nenhum, você não está simulando nada — está só numa LAN. O certo é ter um firewall (pfSense) no meio, com redes separadas: uma para o ambiente corporativo, uma para as ferramentas de ataque, uma isolada para análise de malware. Toda comunicação passa por regras que você escreve.

3. O datacenter corporativo #

O alvo realista não é uma VM vulnerável de propósito — é uma rede de empresa comum, mal configurada como qualquer outra. Isso significa: um domínio Active Directory com um controlador, algumas workstations Windows, um servidor web, um servidor de arquivos (SMB) e um banco de dados. Com isso você pratica enumeração de domínio, movimentação lateral e abuso de permissões — as técnicas que aparecem em 90% dos relatórios de pentest.

4. O monitoramento (SIEM) #

Atacar sem ver o outro lado é meio caminho. Um SIEM com Wazuh coleta os logs de todas as máquinas — Windows e Linux — e mostra o ataque acontecendo: o login que falhou 200 vezes, o processo estranho, a conexão para fora. Montar isso te ensina os dois lados da mesa.

5. A sandbox isolada #

Quando você quiser abrir um binário suspeito, uma amostra de malware, um APK duvidoso — isso não pode estar na mesma rede que o resto. Uma sandbox é um par de máquinas descartáveis (Windows, Linux, Android) numa rede que não fala com nada, mais uma estação de análise como o REMnux. Snapshot antes, detona, analisa, restaura.

6. O arsenal ofensivo e os alvos #

Aí sim entram as estações de ataque — Kali e Parrot — e os alvos feitos para apanhar: Metasploitable, OWASP Juice Shop, DVWA. Eles servem para treinar a técnica em si sem depender do datacenter, que você quer manter "limpo" para os exercícios mais realistas.

O hardware que isso exige (menos do que você acha) #

O mito de que "precisa de servidor de rack" trava muita gente. Não precisa.

CPU com virtualização (Intel VT-x ou AMD-V) — praticamente qualquer processador dos últimos 8 anos. 6 núcleos ou mais deixa a vida melhor.
RAM: 32 GB é o confortável. Dá para começar com 16 GB ligando as VMs aos poucos.
Disco: um SSD/NVMe para as VMs (a diferença de performance é brutal) e, se possível, um HD grande só para backup.

E o software é todo gratuito: Proxmox, pfSense, Wazuh, Kali, Parrot, os alvos vulneráveis.

O caminho certo: da BIOS ao SOC #

A ordem importa. Montar fora de sequência é a receita para "não sei por que não funciona". O roteiro é mais ou menos este:

Hardware e BIOS — ligar a virtualização, organizar os discos, instalar o Proxmox.
Proxmox — primeira VM Windows, primeira VM Linux, containers e templates.
Rede — entender bridge, NAT e VLAN, e criar as interfaces que vão isolar as zonas.
Firewall — subir o pfSense, configurar DHCP/DNS e escrever as primeiras regras.
Backup e snapshot — antes de construir o ambiente grande, saber como voltar atrás.
O datacenter — Active Directory, servidores, workstations.
O monitoramento — Wazuh, agentes nas máquinas, primeiros alertas.
Sandbox e arsenal ofensivo — as zonas isoladas e as estações de ataque.

Cada etapa depende da anterior. Pular a parte de rede e firewall e ir direto para "instalar o AD" é exatamente onde a maioria empaca.

Os erros que fazem a maioria desistir #

Rede única. Tudo se enxergando. Sem segmentação, sem aprendizado de verdade.
Sem snapshot. Você quebra o domínio num teste e perde um fim de semana remontando.
Datacenter cedo demais. Sobe o AD antes de ter rede e firewall, e nada conversa.
Sandbox na rede principal. Um dia isso vira um problema de verdade.
Sem monitoramento. Você ataca, mas nunca vê o outro lado — perde metade do valor do lab.

Próximos passos #

Nos próximos artigos vou detalhar cada bloco: a instalação do Proxmox, a segmentação com pfSense, o SIEM com Wazuh e a construção de um Active Directory vulnerável para praticar. Assine o RSS para acompanhar.