Como começar na Cibersegurança do Zero em 2026: Guia de Carreira, Certificações e Primeiro Laboratório

Você abre uma vaga de "Analista de Segurança Júnior" só para ver o que pedem. Na descrição aparecem SIEM, EDR, MITRE ATT&CK, "noções de Linux e redes", "desejável Security+". Você fecha a aba e abre um vídeo que promete "a trilha definitiva". O vídeo cita mais quinze ferramentas. No fim da noite, você tem mais siglas anotadas do que tinha de manhã e a mesma dúvida: por onde eu começo?

A boa notícia é que ninguém começa sabendo tudo isso. Quem trabalha na área aprendeu uma camada de cada vez, e as primeiras camadas são as mesmas para quase todos os caminhos: entender como um computador funciona, como as máquinas conversam numa rede e como ler o que um sistema registra sobre si mesmo.

A má notícia é que essas camadas não se aprendem só assistindo. Elas se aprendem fazendo. Por isso este artigo termina com a mão na massa: até o fim, você vai ter montado seu primeiro laboratório, executado seus primeiros comandos de investigação e registrado tudo num documento que pode virar o começo do seu portfólio.

Este é o primeiro artigo da série Por Dentro da Cibersegurança, da CS Academy.

O que é cibersegurança, sem complicar #

Cibersegurança é o conjunto de práticas, pessoas e tecnologias que protegem sistemas, redes, aplicações e dados contra uso indevido. "Uso indevido" é amplo de propósito: inclui um criminoso que rouba senhas, um funcionário que apaga um arquivo por engano e um servidor que sai do ar porque ninguém aplicou uma atualização.

Empresas investem nisso porque quase tudo o que elas fazem passa por um sistema: vender, pagar fornecedores, guardar dados de clientes, emitir nota fiscal. Se esses sistemas param ou vazam, o prejuízo é financeiro, jurídico (no Brasil, a LGPD exige proteção de dados pessoais) e de reputação.

Os três pilares: confidencialidade, integridade e disponibilidade #

Quase todo problema de segurança afeta pelo menos um destes três pilares, conhecidos como tríade CIA (do inglês Confidentiality, Integrity, Availability):

Guarde essa tabela. Quando você analisar um alerta, uma vulnerabilidade ou um incidente, a primeira pergunta útil costuma ser: qual desses pilares está em risco?

TI tradicional e segurança da informação: qual a diferença? #

A TI tradicional faz as coisas funcionarem: instala servidores, cria usuários, mantém a rede no ar. A segurança pergunta o que acontece quando algo funciona de um jeito que não deveria.

Um exemplo do dia a dia: o time de infraestrutura cria uma regra no firewall para liberar o acesso remoto de um fornecedor. A tarefa está cumprida. Quem é de segurança vai perguntar se esse acesso tem prazo para acabar, se exige autenticação forte, se fica registrado em log e quem vai perceber se ele for usado às três da manhã.

Por isso tanta gente boa de segurança veio da TI: quem já configurou um servidor entende melhor como ele pode ser explorado. E por isso a base técnica vem antes de qualquer ferramenta de segurança.

Como os incidentes costumam acontecer #

Os casos que mais aparecem nas notícias e nos relatórios do setor seguem alguns padrões conhecidos:

• Phishing: um e-mail ou mensagem convence alguém a clicar num link, baixar um anexo ou digitar a senha numa página falsa.
• Credenciais vazadas ou fracas: uma senha reutilizada em outro serviço que vazou abre a porta de um sistema da empresa.
• Vulnerabilidade sem correção: um servidor exposto na internet roda uma versão com falha conhecida e alguém a explora antes da atualização.
• Ransomware: depois de entrar, o atacante se espalha pela rede e criptografa arquivos para pedir resgate.
• Erro de configuração: um banco de dados ou um armazenamento em nuvem fica aberto para a internet sem ninguém perceber.

Repare que nenhum desses cenários exige um "hacker de filme". Quase todos começam com algo básico mal feito. É exatamente por isso que os fundamentos valem tanto.

As principais carreiras em cibersegurança #

Cibersegurança não é uma profissão, é uma família delas. Algumas são portas de entrada comuns; outras quase sempre exigem experiência anterior. Conhecer o mapa ajuda a não mirar no lugar errado logo no começo.

1. SOC (Security Operations Center) #

O SOC é o time que monitora o ambiente e reage a alertas. O analista de nível 1 recebe os alertas gerados pelas ferramentas, separa o que é ruído do que é suspeito e escala os casos sérios.

• Rotina: fila de alertas, investigação de eventos, abertura e documentação de chamados, trabalho em turnos em muitas empresas.
• Conhecimentos: redes, Windows e Linux, leitura de logs, noções de ataques comuns.
• Ferramentas: SIEM (Wazuh, Splunk, Microsoft Sentinel, Elastic), EDR, ferramentas de ticket.
• Atividade prática: investigar um alerta de muitas falhas de login seguidas numa mesma conta e decidir se é um ataque ou um usuário que esqueceu a senha.
• Para iniciantes? Sim. É uma das portas de entrada mais comuns, desde que você tenha a base técnica.

2. Cyber Threat Intelligence (CTI) #

CTI estuda os adversários: quem ataca o seu setor, com quais técnicas e quais sinais deixam. O objetivo é transformar informação sobre ameaças em decisões e detecções.

• Rotina: acompanhar relatórios e fontes abertas, mapear técnicas no MITRE ATT&CK, produzir relatórios para o SOC e para a gestão.
• Conhecimentos: técnicas de ataque, análise de indicadores, boa escrita, pensamento analítico.
• Ferramentas: MISP, OpenCTI, MITRE ATT&CK, fontes de OSINT.
• Atividade prática: ler um relatório público sobre um grupo de ransomware e listar quais técnicas dele o seu SIEM já consegue detectar.
• Para iniciantes? Raramente. Costuma exigir experiência prévia em SOC ou resposta a incidentes.

3. Resposta a Incidentes (IR) #

Quando o alerta vira incidente confirmado, entra a resposta: conter o problema, eliminar a causa e recuperar o ambiente.

• Rotina: coordenação durante crises, análise de sistemas comprometidos, elaboração de relatórios e planos de melhoria.
• Conhecimentos: sistemas operacionais a fundo, redes, análise de logs, comunicação sob pressão.
• Ferramentas: EDR, SIEM, ferramentas de coleta forense, playbooks.
• Atividade prática: isolar uma máquina infectada da rede sem perder as evidências que ela guarda.
• Para iniciantes? Normalmente não. É comum chegar aqui depois de alguns anos de SOC ou infraestrutura.

4. Forense Digital (DFIR) #

A forense reconstrói o que aconteceu a partir de evidências: discos, memória, logs, artefatos do sistema. Muitas vezes anda junto com a resposta a incidentes, daí a sigla DFIR (Digital Forensics and Incident Response).

• Rotina: coleta e preservação de evidências, análise de linha do tempo, laudos técnicos.
• Conhecimentos: sistemas de arquivos, artefatos do Windows e do Linux, cadeia de custódia.
• Ferramentas: Autopsy, Volatility, KAPE, ferramentas de linha do tempo.
• Atividade prática: descobrir em que horário um arquivo malicioso foi executado pela primeira vez numa máquina.
• Para iniciantes? Não como primeiro emprego, na maioria dos casos. Exige base sólida de sistemas.

5. Gestão de Vulnerabilidades #

Esse time descobre falhas no ambiente antes dos atacantes e acompanha a correção.

• Rotina: varreduras autorizadas, priorização das falhas por risco, conversa com os times que precisam aplicar as correções.
• Conhecimentos: sistemas, redes, CVE e CVSS, noção de risco para o negócio.
• Ferramentas: scanners de vulnerabilidade (Nessus, OpenVAS/Greenbone, Qualys), planilhas e painéis de acompanhamento.
• Atividade prática: pegar o resultado de uma varredura com centenas de achados e decidir quais dez precisam ser corrigidos esta semana.
• Para iniciantes? Sim, para quem já tem uma base de TI. Saber priorizar e se comunicar pesa tanto quanto a parte técnica.

6. Segurança Ofensiva e Pentest #

O pentester é contratado para atacar um ambiente, com autorização por escrito, e mostrar o que um criminoso conseguiria fazer.

• Rotina: testes em aplicações, redes ou nuvem dentro de um escopo combinado, e relatórios detalhados.
• Conhecimentos: redes, sistemas, aplicações web, programação ou scripts, e muita prática.
• Ferramentas: Nmap, Burp Suite, Metasploit, Kali Linux.
• Atividade prática: encontrar e explorar uma falha numa aplicação vulnerável de propósito, como o DVWA, dentro do seu próprio laboratório.
• Para iniciantes? É possível, mas exige uma base técnica mais larga do que parece. Quem começa direto pelas ferramentas de ataque costuma travar quando o teste sai do roteiro.

7. Segurança em Cloud #

Empresas usam cada vez mais AWS, Azure e Google Cloud, e cada uma tem o seu modelo de identidades, redes e permissões.

• Rotina: revisar configurações, desenhar controles de acesso, monitorar eventos da nuvem, apoiar times de desenvolvimento.
• Conhecimentos: redes, identidade e acesso, o provedor de nuvem que a empresa usa, automação.
• Ferramentas: consoles e CLIs dos provedores, ferramentas de postura de segurança (CSPM), infraestrutura como código.
• Atividade prática: encontrar um armazenamento configurado como público e corrigir a política de acesso.
• Para iniciantes? Geralmente exige experiência anterior em infraestrutura ou em nuvem.

8. Governança, Riscos e Compliance (GRC) #

GRC cuida das regras: políticas internas, avaliação de riscos, auditorias e aderência a normas e leis, como ISO 27001 e LGPD.

• Rotina: escrever e revisar políticas, conduzir avaliações de risco, preparar a empresa para auditorias, avaliar fornecedores.
• Conhecimentos: normas e frameworks (ISO 27001, NIST CSF), LGPD, gestão de riscos, boa comunicação escrita.
• Ferramentas: plataformas de GRC, planilhas de risco, questionários de fornecedores.
• Atividade prática: avaliar se um fornecedor que vai receber dados de clientes tem os controles mínimos exigidos.
• Para iniciantes? Pode ser, principalmente para quem vem de áreas como direito, auditoria, administração ou processos. Saber o básico de tecnologia continua fazendo diferença.

9. Serviços Gerenciados de Segurança (MSS/MSSP) #

Um MSSP (Managed Security Service Provider) é uma empresa que presta serviços de segurança para outras, como SOC terceirizado, gestão de firewall e de vulnerabilidades. Não é uma especialidade técnica separada: é um modelo de trabalho.

• Rotina: atender vários clientes ao mesmo tempo, cada um com o seu ambiente e as suas regras, com prazos definidos em contrato.
• Conhecimentos: os mesmos do SOC, mais organização e comunicação com clientes.
• Ferramentas: SIEM multi-cliente, sistemas de ticket, as ferramentas de cada cliente.
• Atividade prática: investigar o mesmo tipo de alerta em dois clientes com ambientes completamente diferentes.
• Para iniciantes? Muitas vezes, sim. MSSPs costumam contratar analistas de nível 1 e expõem quem chega a uma variedade grande de ambientes.

Comparativo rápido #

Essa tabela é uma tendência do mercado, não uma regra. Há analistas que entram direto em CTI e pentesters que nunca passaram por SOC. Mas, se você está começando do zero, vale olhar primeiro para as áreas da parte de cima.

O que estudar primeiro: uma trilha em seis etapas #

A ordem importa porque cada etapa usa a anterior. Tentar entender um alerta de SIEM sem saber o que é uma porta TCP é como ler um laudo médico sem saber o que é pressão arterial.

Etapa 1: Fundamentos de TI #

Hardware, sistemas operacionais, arquivos, processos e virtualização.

• Pratique: abra o Gerenciador de Tarefas (Windows) ou o Monitor de Atividade (macOS) e descubra qual processo mais consome memória. Depois, pesquise o que esse processo faz.
• Recurso gratuito: os cursos introdutórios da Cisco Networking Academy e as trilhas de fundamentos do Microsoft Learn.

Etapa 2: Redes de computadores #

TCP/IP, DNS, HTTP e HTTPS, portas, protocolos, roteamento e firewall. É a etapa que mais separa quem entende um alerta de quem só repete o que a ferramenta diz.

• Pratique: instale o Wireshark no seu computador, acesse um site e encontre a consulta DNS que o seu navegador fez antes de carregar a página. Capture só o tráfego da sua própria máquina.
• Recurso gratuito: as capturas de exemplo do Wireshark para treinar análise sem gerar tráfego.

Etapa 3: Linux e Windows #

No Linux: terminal, permissões, serviços, processos e logs. No Windows: PowerShell e o Visualizador de Eventos.

• Pratique: o laboratório deste artigo cobre o Linux. No Windows, abra o Visualizador de Eventos, vá em Logs do Windows > Segurança e procure os eventos de logon da sua própria máquina.
• Recurso gratuito: o jogo OverTheWire: Bandit, que ensina terminal Linux em desafios curtos, num servidor feito para isso.

Etapa 4: Fundamentos de segurança #

Tríade CIA, vulnerabilidade, ameaça e risco, autenticação, controles de segurança e gestão de riscos.

• Pratique: escolha um serviço que você usa (seu e-mail, por exemplo) e liste três ameaças, as vulnerabilidades que elas exploram e um controle para cada uma. Ativar a autenticação em dois fatores já conta como controle.
• Recurso gratuito: o NIST Cybersecurity Framework, para entender como as empresas organizam a segurança.

Etapa 5: Ferramentas de segurança #

Wireshark, Nmap, Wazuh, Sysmon e MITRE ATT&CK.

• Wireshark: analisa o tráfego de rede pacote por pacote.
• Nmap: descobre máquinas e portas abertas. O próprio projeto mantém o scanme.nmap.org para testes autorizados; fora dele, use só no seu laboratório.
• Wazuh: um SIEM gratuito e de código aberto, que centraliza logs e gera alertas.
• Sysmon: ferramenta gratuita da Microsoft que registra em detalhe o que acontece num Windows (processos, conexões, alterações).
• MITRE ATT&CK: um catálogo público das técnicas usadas por atacantes reais, usado no mundo todo como vocabulário comum.

Etapa 6: Escolha uma especialização #

Só depois das cinco primeiras etapas faz sentido escolher um caminho. Três perguntas ajudam:

1. O que você gostou de fazer até aqui? Se investigar logs foi o melhor momento, olhe para SOC. Se foi entender como a falha funciona, olhe para pentest ou vulnerabilidades.
2. O que você já sabe? Quem vem de infraestrutura tem vantagem em cloud e vulnerabilidades; quem vem de auditoria, em GRC.
3. Onde você consegue praticar? Algumas áreas dão para treinar sozinho num laboratório. Outras dependem de contato com ambientes reais.

Hora de colocar a mão na massa: construindo seu primeiro Cyber Lab #

Agora é com você. Neste laboratório você vai criar uma máquina virtual Linux, aprender os primeiros comandos de investigação e produzir evidências técnicas do que encontrou.

As ferramentas e para que servem #

Requisitos: o computador real e a máquina virtual #

São duas contas diferentes: o que o seu computador precisa ter e quanto dele você vai emprestar para a VM.

Computador físico (host)

Máquina virtual Ubuntu

O Ubuntu 26.04 Desktop subiu o mínimo de memória para 6 GB, segundo as notas de lançamento oficiais. Num computador com 8 GB, isso deixaria pouca memória para o seu próprio sistema. Por isso, para máquinas mais modestas, o Ubuntu Server é a escolha mais confortável. Todos os comandos deste laboratório funcionam igual nas duas versões.

Diferenças entre sistemas

• Windows: baixe o instalador para Windows hosts. Se o VirtualBox ficar lento ou reclamar de virtualização, veja a seção de erros comuns: recursos do Windows como o Hyper-V podem disputar a virtualização com ele.
• macOS com chip Intel: use o pacote macOS / Intel hosts e a imagem padrão do Ubuntu (amd64).
• macOS com chip Apple (M1 em diante): use o pacote macOS / Apple Silicon hosts e a imagem do Ubuntu para ARM64. A imagem comum (amd64) não roda nesses Macs. O suporte do VirtualBox a máquinas ARM é mais recente que o suporte a x86; se tiver problemas, o UTM é uma alternativa gratuita para Mac.
• Linux: o VirtualBox tem pacotes para as principais distribuições na página de downloads.

A topologia do laboratório #

Como o isolamento funciona: a VM enxerga um hardware virtual. Ela não acessa os seus arquivos, a não ser que você crie uma pasta compartilhada de propósito (não crie neste lab).

Qual modo de rede usar: deixe a placa de rede da VM em NAT, o padrão do VirtualBox. Nesse modo, a VM acessa a internet passando pelo seu computador, mas fica invisível para as outras máquinas da sua rede. Segundo a documentação do VirtualBox, no modo NAT a VM costuma receber o endereço 10.0.2.15, com o gateway em 10.0.2.2.

Passo a passo #

1. 01

   Baixe e instale o VirtualBox #

   Acesse a página de downloads do VirtualBox e baixe o pacote do seu sistema. Em outubro de 2026, a versão disponível é a 7.2 (a página mostra o número exato). Instale com as opções padrão. No Windows, o instalador avisa que a rede vai cair por alguns segundos durante a instalação: é normal.

   Resultado esperado

   O VirtualBox abre e mostra a tela inicial, ainda sem nenhuma máquina virtual.

   Problemas comuns

   No Windows, VirtualBox lento ou reclamando de virtualização costuma ser o Hyper-V disputando o recurso. Veja Erros comuns e como resolver.

2. 02

   Baixe a imagem oficial do Ubuntu #

   Acesse ubuntu.com/download e escolha o Ubuntu Desktop 26.04 LTS ou o Ubuntu Server 26.04 LTS, conforme a tabela de requisitos. Se o seu Mac tiver chip Apple, escolha a versão ARM64.

   O arquivo baixado é uma ISO, a imagem de um disco de instalação. Baixe sempre do site oficial. A página de download também oferece as somas de verificação (SHA256), que confirmam que o arquivo não foi corrompido nem adulterado, um hábito útil para quem trabalha com segurança.

   Resultado esperado

   Você tem o arquivo .iso do Ubuntu certo para o seu computador (ARM64 nos Macs com chip Apple).

3. 03

   Crie a máquina virtual #

   No VirtualBox, clique em Novo e preencha:

   • Nome: cyberlab-ubuntu
   • Imagem ISO: selecione o arquivo do Ubuntu que você baixou.
   • O VirtualBox pode oferecer a instalação desassistida, que instala o sistema sozinho. Para aprender, marque a opção de pular essa etapa e faça a instalação manualmente.

   Resultado esperado

   A VM cyberlab-ubuntu aparece na lista do VirtualBox.

4. 04

   Configure CPU, memória, disco e rede #

   • Memória: 6144 MB para o Desktop ou 2048 MB para o Server.
   • Processadores: 2. Não passe da metade dos núcleos do seu computador.
   • Disco: 25 GB ou mais, com alocação dinâmica (o arquivo cresce conforme o uso, sem ocupar tudo de uma vez).
   • Rede: em Configurações > Rede, confirme o Adaptador 1 em NAT.

   Resultado esperado

   A VM tem a memória, os processadores e o disco da tabela de requisitos, e o Adaptador 1 está em NAT.

5. 05

   Instale e inicialize o sistema #

   Clique em Iniciar. O instalador do Ubuntu vai pedir idioma, teclado (escolha o layout que corresponde ao seu teclado, como Português Brasil ABNT2), tipo de instalação e o seu usuário.

   Quando ele perguntar sobre o disco, a opção de apagar o disco e instalar se refere ao disco virtual da VM, não ao seu computador. Crie um usuário e uma senha que você vai lembrar. Ao terminar, reinicie a VM quando o instalador pedir.

   No Ubuntu Server, o instalador é em modo texto: navegue com as setas e o Enter. Quando ele oferecer a instalação do servidor OpenSSH, pode deixar desmarcado por enquanto.

   Resultado esperado

   Depois de reiniciar, a VM mostra a tela de login e você entra com o usuário que criou.

   Problemas comuns

   VM que não inicia por virtualização desativada, instalador travando por falta de memória e tela que não se ajusta estão na tabela de erros comuns.

6. 06

   Abra o terminal #

   • Ubuntu Desktop: pressione Ctrl + Alt + T ou procure por "Terminal" no menu de aplicativos.
   • Ubuntu Server: o terminal é a própria tela, depois do login.

   Antes de tudo, atualize o sistema:

   bash

   sudo apt update && sudo apt upgrade -y

   O sudo executa o comando com privilégios de administrador e vai pedir a sua senha. Enquanto você digita a senha, nada aparece na tela: é proposital.

   Se algum comando deste laboratório não for encontrado (o que pode acontecer em instalações mínimas do Server), instale o pacote correspondente. Por exemplo, sudo apt install iputils-ping para o ping.

   Resultado esperado

   O apt upgrade termina sem erros e o terminal volta para o prompt.

7. 07

   Execute os primeiros comandos #

   A partir daqui, cada comando vem com quatro respostas: para que serve, o que observar, como se liga a uma atividade de segurança e qual evidência registrar. As saídas mostradas são ilustrativas: os nomes, endereços e números na sua VM serão diferentes.

   whoami: quem sou eu?

   bash

   whoami

   • Para que serve: mostra com qual usuário você está logado.
   • O que observar: o nome do usuário que você criou na instalação.
   • Na segurança: a primeira pergunta numa máquina suspeita é sob qual usuário algo está rodando. Um processo rodando como root (o administrador do Linux) tem poder total.
   • Evidência: o nome do usuário.

   hostname: qual é o nome desta máquina?

   bash

   hostname

   • Para que serve: mostra o nome da máquina na rede.
   • Na segurança: alertas de SIEM identificam as máquinas pelo hostname. É o "endereço" que você vai ver em toda investigação.
   • Evidência: o hostname.

   pwd: onde estou?

   bash

   pwd

   • Para que serve: mostra a pasta em que você está.
   • O que observar: em geral, /home/seu-usuario, a sua pasta pessoal.
   • Na segurança: atacantes costumam usar pastas como /tmp porque qualquer usuário pode gravar nelas. Saber onde você está é o começo para saber onde procurar.
   • Evidência: o caminho exibido.

   ls -lah: o que tem aqui, incluindo o que está escondido?

   bash

   ls -lah

   • Para que serve: lista os arquivos da pasta com detalhes (-l), incluindo os ocultos (-a), com tamanhos legíveis (-h).
   • O que observar: a primeira coluna mostra as permissões. Arquivos que começam com ponto, como .bashrc, são ocultos.

   Saída ilustrativa (uma linha):

   texto

   -rw-r--r-- 1 aluno aluno 3,7K out 21 10:02 .bashrc

   Leia as permissões em três blocos: o dono (rw-, ler e gravar), o grupo (r--, só ler) e os outros (r--, só ler).

   • Na segurança: arquivos que qualquer pessoa pode alterar, ou arquivos ocultos estranhos, são sinais clássicos numa investigação.
   • Evidência: a listagem e uma frase explicando as permissões de um arquivo.

   ip a: quais são as minhas interfaces e endereços?

   bash

   ip a

   • Para que serve: lista as placas de rede e os endereços IP.
   • O que observar: a interface lo (loopback, 127.0.0.1, a máquina falando com ela mesma) e a interface de rede da VM, com um nome como enp0s3. No modo NAT, procure um endereço como 10.0.2.15/24.
   • Na segurança: saber o IP de cada máquina é o que permite ligar um alerta a um computador.
   • Evidência: o nome da interface e o endereço IPv4.

   ip route: por onde o tráfego sai?

   bash

   ip route

   Saída ilustrativa:

   texto

   default via 10.0.2.2 dev enp0s3 proto dhcp metric 100
   10.0.2.0/24 dev enp0s3 proto kernel scope link src 10.0.2.15

   • Para que serve: mostra a tabela de rotas.
   • O que observar: a linha default via, que mostra o gateway padrão, a "porta de saída" para a internet. No modo NAT, é o próprio VirtualBox.
   • Na segurança: uma rota padrão alterada pode desviar o tráfego de uma máquina para um atacante.
   • Evidência: o endereço do gateway padrão.

   ping -c 4 1.1.1.1: eu alcanço a internet?

   bash

   ping -c 4 1.1.1.1

   • Para que serve: envia 4 pacotes ICMP (-c 4) para o servidor DNS público da Cloudflare e mede se eles voltam e em quanto tempo.
   • O que observar: a linha final, com o percentual de perda (packet loss) e o tempo médio de resposta.
   • Na segurança: é o teste mais básico de conectividade. Muitas empresas bloqueiam ICMP, então um ping sem resposta nem sempre significa que a máquina está fora do ar.
   • Para ir além: rode ping -c 4 ubuntu.com. Se o IP responde e o nome não, o problema está no DNS, não na rede.
   • Evidência: o percentual de perda e o tempo médio.

   ss -tuln: quem está escutando portas?

   bash

   ss -tuln

   • Para que serve: lista as portas abertas aguardando conexão. As opções significam TCP (-t), UDP (-u), só as que estão escutando (-l) e números em vez de nomes (-n).
   • O que observar: a coluna Local Address:Port. Um endereço 127.0.0.1 ou 127.0.0.53 só aceita conexões da própria máquina. Um 0.0.0.0 aceita de qualquer lugar que alcance a VM.

   Saída ilustrativa (uma linha):

   texto

   tcp   LISTEN 0   4096   127.0.0.53%lo:53   0.0.0.0:*

   Essa linha, comum no Ubuntu, é o serviço local de resolução de DNS. Ele só atende a própria máquina.

   • Na segurança: uma porta inesperada escutando para a rede pode indicar um serviço esquecido ou um backdoor. Para cada porta aberta, você deve saber responder qual serviço é e por que ele está ali.
   • Evidência: a lista de portas e, para cada uma, o serviço que você acredita ser o responsável. Para confirmar, use sudo ss -tulnp, que mostra também o processo.

   ps aux: o que está rodando agora?

   bash

   ps aux

   • Para que serve: lista todos os processos em execução, com o usuário, o uso de CPU e memória e o comando que os iniciou.
   • O que observar: a lista é longa. Use ps aux | head -n 15 para ver o começo e ps aux --sort=-%mem | head -n 6 para os que mais consomem memória.
   • Na segurança: a análise de processos é uma das primeiras etapas de qualquer investigação de máquina suspeita. Processos com nomes estranhos, rodando de pastas como /tmp ou como root sem motivo, merecem atenção.
   • Evidência: os cinco processos que mais consomem memória e o usuário de cada um.

   Resultado esperado

   Você tem anotada a evidência de cada comando: usuário, hostname, pasta, permissões, IP, gateway, conectividade, portas e processos.

   Problemas comuns

   ping 1.1.1.1 falhando, ping ubuntu.com falhando só pelo nome ou command not found: veja erros comuns.

8. 08

   Consulte os logs do sistema #

   Logs são o registro do que o sistema fez. No trabalho de um SOC, eles são a matéria-prima de tudo.

   No Ubuntu atual, o principal registro é o journal do systemd, consultado com o journalctl. Os arquivos clássicos em /var/log (como syslog e auth.log) podem existir ou não, dependendo da versão e dos pacotes instalados. Por isso, comece pelo journalctl, que funciona em qualquer caso.

   Veja o que existe na sua VM:

   bash

   ls -lh /var/log

   Eventos desta inicialização, do mais recente para o mais antigo:

   bash

   journalctl -b -r | head -n 30

   Só os avisos e erros desta inicialização:

   bash

   journalctl -b -p warning

   Agora, gere um evento de segurança e encontre-o. Rode um comando com sudo:

   bash

   sudo ls /root

   Em seguida, procure o registro que o sudo deixou:

   bash

   journalctl _COMM=sudo -n 10

   Você vai ver uma linha com o seu usuário, o comando executado e o horário. Agora faça o contrário: rode sudo -k (que faz o sistema esquecer a senha digitada há pouco), depois sudo ls /root de novo, e digite a senha errada de propósito. Consulte o journal mais uma vez e encontre o registro da falha de autenticação.

   Acabou de acontecer, em miniatura, o que um analista de SOC faz todos os dias: um evento aconteceu, o sistema registrou, e você encontrou o registro, com quem, o quê e quando. Num ambiente real, esses registros vão para um SIEM, e dezenas de senhas erradas seguidas viram um alerta.

   Se aparecer uma mensagem dizendo que o seu usuário não tem permissão para ver todo o journal, use sudo journalctl .... Em geral, o usuário criado na instalação já pertence ao grupo adm, que pode ler os logs.

   Resultado esperado

   Você encontrou no journal o registro do sudo e o da senha errada, com usuário, comando e horário.

O desafio do aluno #

Checklist de validação #

Modelo de relatório de laboratório #

# Relatório de laboratório 01: primeira VM Linux

**Data:** 21/10/2026
**Autor:** Seu nome
**Ambiente:** VirtualBox 7.2 · Ubuntu 26.04 LTS (Desktop ou Server) · rede em NAT

## Objetivo
Instalar uma VM Linux, levantar informações de sistema e rede e consultar os logs.

## Resultados
| Item | Comando | Resultado |
|---|---|---|
| Usuário atual | `whoami` | aluno (no grupo sudo) |
| Hostname | `hostname` | cyberlab-ubuntu |
| IP / gateway | `ip a` · `ip route` | 10.0.2.15/24 · 10.0.2.2 |
| Conectividade | `ping -c 4 1.1.1.1` | 0% de perda, média de X ms |
| Portas escutando | `ss -tuln` | 127.0.0.53:53 (DNS local, só a própria máquina) |

## Evento analisado
Às 10h15, executei `sudo ls /root` e depois errei a senha de propósito.
O journal registrou o comando aceito e a falha de autenticação, com usuário e horário.

## Problemas encontrados
A VM ficou lenta com 2 GB de RAM no Desktop. Troquei para 6 GB.

## Lições aprendidas
- Um serviço em 127.0.0.1 só atende a própria máquina.
- O sistema registra o uso de privilégios administrativos, inclusive as falhas.

Os valores do modelo são exemplos. Substitua pelos da sua VM.

Erros comuns e como resolver #

O que você tem ao final #

Antes de mexer em qualquer configuração grande, crie um snapshot pelo menu Máquina do VirtualBox (em inglês, Take Snapshot). É uma "foto" da VM para a qual você pode voltar se algo der errado. Quem trabalha com laboratório usa isso o tempo todo.

Certificações para quem está começando #

Certificações ajudam a organizar o estudo e a passar por filtros de currículo. Elas não substituem a prática: numa entrevista técnica, quem já montou e quebrou o próprio laboratório costuma conseguir explicar com mais clareza o que sabe.

As informações abaixo foram conferidas nas páginas oficiais em outubro de 2026. Preços variam por país e mudam com frequência, por isso não estão aqui: confira sempre no site de cada certificadora.

ISC2 Certified in Cybersecurity (CC) #

• O que cobre: cinco domínios: princípios de segurança, governança de segurança, conceitos de gestão de identidade e acesso, conceitos de segurança de redes e nuvem, e operações de segurança e resposta a incidentes.
• Perfil: iniciantes absolutos, inclusive de outras áreas.
• Dificuldade: baixa, pensada para quem está começando.
• Pré-requisitos: a ISC2 informa que não é preciso experiência profissional.
• Quando buscar: logo depois das etapas 1 a 4 da trilha.
• Atenção: o programa One Million Certified in Cybersecurity, que oferecia o curso e o exame gratuitos, encerrou as novas inscrições em 20 de maio de 2026. Quem já tinha um código de exame válido precisa usá-lo até 31 de dezembro de 2026. Para os demais, o exame é pago.

CompTIA Security+ #

• O que cobre: conceitos gerais de segurança, ameaças e vulnerabilidades, arquitetura de segurança, operações de segurança e gestão de programas de segurança.
• Perfil: quem quer uma certificação de base reconhecida internacionalmente, muito citada em vagas.
• Dificuldade: intermediária para quem está começando.
• Pré-requisitos: não há pré-requisito formal. A CompTIA recomenda experiência prévia em TI e segurança; confira a recomendação atual na página oficial.
• Quando buscar: depois da trilha completa e de alguns meses de laboratório.
• Atenção: a versão atual é a V7 (exame SY0-701). A CompTIA informa que a V8 deve ser lançada por volta de 17 de novembro de 2026. Antes de comprar material de estudo ou voucher, confira qual versão você vai fazer.

CCNA Cybersecurity (Cisco) #

• O que cobre: fundamentos de operações de segurança: monitoramento, análise de eventos, análise de tráfego e de intrusões, procedimentos de resposta.
• Perfil: quem mira SOC e gosta de redes.
• Dificuldade: intermediária.
• Pré-requisitos: a Cisco informa que não há pré-requisitos formais, mas pressupõe base de redes e TI.
• Quando buscar: depois das etapas de redes e ferramentas.
• Atenção ao nome: essa é a antiga Cisco CyberOps Associate, que passou a se chamar Cisco Certified Cybersecurity Associate e, depois, CCNA Cybersecurity, ao longo de 2026. O exame atual é o 200-201 CCNACBR v1.2. Se você comprou material com o nome antigo, confira se ele cobre a versão atual.

Microsoft SC-900 (Security, Compliance, and Identity Fundamentals) #

• O que cobre: conceitos de segurança, conformidade e identidade, e as soluções da Microsoft para isso (Microsoft Entra, soluções de segurança e de conformidade).
• Perfil: quem trabalha ou quer trabalhar com ambientes Microsoft (Azure e Microsoft 365).
• Dificuldade: baixa. A prova tem 45 minutos e é de nível iniciante.
• Pré-requisitos: nenhum formal.
• Quando buscar: em qualquer momento depois da etapa 4, especialmente se o seu alvo forem empresas que usam Microsoft.
• Atenção: a Microsoft informa uma atualização da versão em inglês em 21 de outubro de 2026. Consulte o guia de estudo oficial antes de se preparar.

Certificações Linux #

Fazem sentido para quem quer aprofundar a base de sistemas, o que ajuda em praticamente todas as áreas de segurança.

• LPI Linux Essentials (010-160): introdutória, boa para validar a etapa 3 da trilha.
• LPIC-1: o nível seguinte, mais voltado à administração de sistemas.
• CompTIA Linux+: alternativa da CompTIA para administração Linux.

Antes de agendar, confira na página oficial do LPI e da CompTIA a versão vigente de cada exame.

Em que ordem? #

Não existe uma ordem obrigatória. Um caminho que faz sentido para muita gente começa com a trilha de estudos e o laboratório. Depois vem uma certificação de entrada (CC ou SC-900) e, com mais base, uma certificação de referência (Security+ ou CCNA Cybersecurity). Mais importante do que a sigla é conseguir mostrar o que você sabe fazer, e é para isso que serve o próximo passo.

Como transformar o laboratório em portfólio #

Um repositório no GitHub com laboratórios bem documentados mostra três coisas que um currículo sozinho não mostra: que você pratica, que você sabe explicar e que você sabe registrar o que fez. Essas são, inclusive, tarefas do dia a dia de um analista.

Crie uma conta no GitHub, crie um repositório público chamado, por exemplo, cyber-lab e organize assim:

cyber-lab/
├── README.md
├── lab-01-primeira-vm-linux/
│   ├── README.md
│   ├── relatorio.md
│   ├── diagrama.png
│   └── evidencias/
│       ├── 01-whoami-hostname.png
│       ├── 02-ip-route.png
│       ├── 03-ss-tuln.png
│       └── 04-journal-sudo.png
└── lab-02-.../

O README.md principal funciona como uma vitrine: apresente-se em duas linhas e liste os laboratórios com um resumo de cada um. O README.md de cada laboratório deve ter:

• o objetivo do laboratório;
• o diagrama da arquitetura;
• as tecnologias utilizadas, com as versões;
• os comandos executados e o que cada um mostrou;
• prints e evidências;
• os problemas encontrados e como você os resolveu;
• as lições aprendidas.

A seção de problemas costuma ser a mais valiosa. Um "a VM não iniciava porque a virtualização estava desligada na BIOS, e resolvi assim" mostra raciocínio de troubleshooting melhor do que qualquer print bonito.

Como continuar evoluindo #

O laboratório de hoje é o primeiro degrau. A ideia é crescer aos poucos, sempre entendendo cada peça antes de acrescentar a próxima:

Cada um desses níveis vai virar um artigo prático desta série, com o mesmo formato: o conceito, o passo a passo e as evidências para o portfólio.

Se quiser enxergar onde essa escada termina, o artigo Arquitetura de um home lab de cibersegurança mostra um laboratório completo, com firewall, Active Directory, SIEM e uma sandbox isolada. Antes de crescer o seu, use a calculadora de hardware para descobrir até onde o seu computador aguenta.

Quando o primeiro lab ficar pequeno #

Construir laboratórios é uma das formas mais diretas de transformar teoria em habilidade. Em algum momento, uma VM vai ficar pequena, e a pergunta passa a ser como montar um ambiente que se pareça com o de uma empresa.

É isso que o Cyber Security Home Lab Pro, da CS Academy, ensina a construir, aula a aula:

• um hipervisor Proxmox;
• uma rede segmentada com firewall pfSense;
• um Active Directory com servidores;
• monitoramento com o SIEM Wazuh;
• uma sandbox isolada para análise;
• estações de ataque com alvos vulneráveis, para praticar com segurança.

Todo o software usado é gratuito, e a primeira aula é aberta, para você conhecer antes de decidir.

Se ainda não for o momento, o Blueprint do Home Lab é um PDF gratuito com o desenho desse laboratório completo: as zonas, um plano de redes de exemplo e o checklist de hardware.

Perguntas frequentes #

Preciso saber programar para começar na cibersegurança? #

Não para começar. Saber ler e escrever scripts simples (em Bash, PowerShell ou Python) ajuda muito com o tempo, principalmente para automatizar tarefas repetitivas. Mas a base de sistemas e redes vem antes.

Preciso de faculdade? #

Há profissionais com e sem diploma na área. Algumas empresas exigem formação superior em processos seletivos, outras valorizam mais certificações e experiência prática. O que nenhuma dispensa é a base técnica.

Qual é a melhor área para começar? #

Para a maioria das pessoas que começa do zero, SOC e MSSP são as portas de entrada mais comuns, seguidas por gestão de vulnerabilidades e GRC. A melhor área, porém, é aquela que você consegue praticar com constância.

Consigo montar um laboratório com um computador simples? #

Sim. Com 8 GB de RAM, o Ubuntu Server já permite fazer todo o laboratório deste artigo. Sem condições de rodar máquinas virtuais, ambientes no navegador como o Killercoda servem para praticar os comandos.

É crime estudar técnicas de ataque? #

Estudar não é crime. Invadir ou testar sistemas de terceiros sem autorização pode ser (no Brasil, a Lei 12.737/2012 trata de crimes informáticos). A regra é simples: pratique no seu laboratório ou em plataformas e alvos que autorizam expressamente os testes.

Certificação garante emprego? #

Não. Ela ajuda a passar por filtros e organiza o estudo, mas os processos seletivos técnicos costumam avaliar se você entende e sabe aplicar o que estudou. Por isso o laboratório e o portfólio pesam tanto.

Para fechar #

Ninguém precisa aprender todas as áreas da cibersegurança de uma vez. O que separa quem avança de quem fica parado nas siglas costuma ser simples: uma base técnica bem feita, prática regular e o hábito de documentar o que aprendeu.

Se você chegou até aqui e executou o laboratório, já fez algo que muita gente adia por meses: investigou um sistema, encontrou um evento nos logs e escreveu um relatório sobre isso. Esse é o trabalho, em escala pequena.

Próximo artigo da série Por Dentro da Cibersegurança: Blue Team, Red Team e Purple Team: entenda as diferenças e descubra qual carreira seguir.

• #carreira
• #soc
• #certificações
• #linux
• #laboratório
• #iniciantes
• #virtualbox
• #ubuntu