Segurança, dos primeiros conceitos às ferramentas de verdade. Todo exercício roda num laboratório seu, e toda afirmação leva à fonte.
O que a segurança protege, as palavras que a área usa e como ataque e defesa se encaixam.
4 artigos
IP, DNS, HTTP e TLS: como uma requisição viaja e onde ela pode ser lida ou alterada.
4 artigos
Da cifra de César a hashes, chaves e assinaturas, com código que você pode rodar.
6 artigos
Terminal, Git, GitHub, Docker e Python: as ferramentas com que todo laboratório começa.
5 artigos
Encontrar o que é público sobre um alvo que você tem permissão de olhar, e conferir.
3 artigos
Ambientes de treino legais que você monta e quebra na sua própria máquina.
4 artigos
Injeção, controle de acesso, autenticação e o resto da lista da OWASP, testados à mão.
4 artigos
Como instalar e usar as ferramentas open source da área, a partir das fontes oficiais.
2 artigos
Ler binários que você mesmo compilou, do hexadecimal ao Ghidra.
2 artigos
Como analistas estudam código malicioso e o que um sistema guarda depois de um incidente.
2 artigos
Logs, alertas, regras Sigma e a investigação que transforma um evento num achado.
3 artigos
CVE, CVSS, EPSS e KEV: ler um alerta e decidir o que corrigir primeiro.
3 artigos
Agentes que rodam ferramentas de segurança, como configurar e como conferir o trabalho deles.
2 artigos
Chamar um modelo pelo código: chaves, requisições, streaming, ferramentas e custo.
2 artigos
Como modelos recusam, o que a abliteration muda e as regras para usá-los.
2 artigos
Escopo, relatórios, certificações e os hábitos de quem vive disso.
2 artigos
Fundamentos de segurança
A tríade CIA explicada: confidencialidade, integridade e disponibilidade, com exemplos, verificações de hash e assinatura e dez incidentes.
Fundamentos de segurança
Separe vulnerabilidade, ameaça, risco e exploit, veja como CWE e CVE nomeiam falhas e entenda por que falhas inalcançáveis ainda importam.
Fundamentos de segurança
Aprenda diagramas de fluxo de dados, fronteiras de confiança e as seis categorias STRIDE, e modele um Juice Shop local no Threat Dragon.
Redes e web
Porta é uma entrada numerada na sua máquina. Entenda como TCP e UDP usam portas e teste um servidor local em 127.0.0.1.
Redes e web
Leia uma troca HTTP real linha por linha: métodos, URLs, cabeçalhos, classes de status e cookies, testados com curl em um servidor local.
Redes e web
TLS 1.3 dá ao HTTPS confidencialidade, integridade e autenticação do servidor. Veja o handshake, as cadeias de certificados e o que o cadeado não prova.
Criptografia
Separe codificação, criptografia e hash com laboratórios de Base64, SHA-256 e OpenSSL. Entenda por que Base64 não protege e o hash é de mão única.
Criptografia
Por que hashes rápidos falham em senhas, o que fazem o salt e o fator de trabalho, e como gerar e verificar hashes com Argon2id em Python.
Criptografia
Chaves pública e privada do zero: o que uma assinatura prova, por que a chave privada fica em segredo e um lab Ed25519 em que um arquivo alterado falha.
Linux e ferramentas de desenvolvimento
Aprenda pipes, redirecionamento, variáveis, laços, códigos de saída e set -euo pipefail, e use isso para contar logins falhos e gerar hashes.
Linux e ferramentas de desenvolvimento
Donos, grupos, bits rwx, chmod, umask e setuid no Linux, com laboratório que testa o acesso de outro usuário e procura modos arriscados.
Linux e ferramentas de desenvolvimento
Como funcionam as chaves SSH de host e de usuário, por que Ed25519 com senha de proteção é o padrão e como proteger o login em uma VM de laboratório.
OSINT e reconhecimento
Aprenda finalidade, proporcionalidade, consentimento e minimização de dados em OSINT, com noções de LGPD e GDPR e um modelo de plano de pesquisa.
OSINT e reconhecimento
Entenda como os logs de Certificate Transparency registram certificados TLS públicos e revise o crt.sh de um domínio seu, sem tocar nos hosts.
Laboratórios de hacking
Crie uma rede Docker sem acesso à internet, rode o OWASP Juice Shop nela e publique uma cópia para o navegador só em 127.0.0.1.
Laboratórios de hacking
Estruture um relatório de pentest e escreva um achado que outra pessoa consiga reproduzir, com evidência, impacto, vetor CVSS v4.0 e correção.
Segurança web e de APIs
O que é o OWASP Top 10, o que cada categoria de 2025 significa, como se defender e como mapear desafios do Juice Shop.
Segurança web e de APIs
Como a SQL Injection muda o sentido de uma consulta, por que consultas parametrizadas resolvem o problema e um laboratório com Juice Shop e sqlite3.
Segurança web e de APIs
Entenda XSS refletido, armazenado e baseado em DOM, por que a codificação depende do contexto e como a CSP reduz o risco, em laboratório local.
Segurança web e de APIs
CSRF usa os cookies do seu próprio navegador contra você. Veja as defesas da mais forte para a mais fraca e teste o SameSite com um laboratório Flask.
Ferramentas de segurança
O Nmap lista as portas abertas do seu próprio computador. Veja scans connect e SYN, detecção de serviço e como ligar cada porta ao processo que a abriu.
Ferramentas de segurança
Rode a varredura passiva do ZAP contra o Juice Shop na sua máquina, leia o relatório e confirme um alerta à mão antes de confiar nele.
Engenharia reversa
Entenda o que a compilação descarta, a diferença entre desassembladores e descompiladores e os limites legais antes de analisar um binário.
Engenharia reversa
Compile uma verificação de licença de brinquedo em C de duas formas e use o Ghidra para achar a string, seguir referências e comparar com seu código.
Malware e forense
Como hashes identificam arquivos, por que o SHA-256 substituiu o MD5, como o NSRL filtra softwares conhecidos e o risco de enviar arquivos ao VirusTotal.
Malware e forense
Escreva uma primeira regra YARA que case com um arquivo inofensivo e não com outro, e aprenda por que toda regra precisa de testes positivos e negativos.
Detecção e blue team
Um SIEM coleta logs, normaliza os campos, roda regras de correlação e gera alertas para triagem. Aprenda o caminho com um exemplo que você executa.
Detecção e blue team
Leia o log Security do Windows: política de auditoria, eventos 4624, 4625, 4634, 4672, 4688 e 1102, o que o Sysmon acrescenta e um logon com falha seu.
Detecção e blue team
Escreva uma regra Sigma para falhas de logon no Windows, valide, converta para Splunk e teste com eventos bons e ruins.
Inteligência de vulnerabilidades
Um registro CVE nomeia a falha e aponta para o fornecedor, que é quem define a versão corrigida.
Inteligência de vulnerabilidades
O que significa uma nota CVSS como 9.8, como as vector strings da v4.0 e da v3.1 são montadas e como decodificar e recalcular uma na mão.
Inteligência de vulnerabilidades
Ordene CVEs com o catálogo KEV da CISA e as pontuações EPSS da FIRST, junto ao CVSS, e monte uma tabela de prioridade.
Agentes de IA para segurança
Como funciona o uso de ferramentas: o modelo devolve uma chamada estruturada, o programa executa a ferramenta e regras de aprovação decidem o que roda.
Agentes de IA para segurança
MCP é o protocolo aberto que liga apps de IA a ferramentas e dados. Veja papéis, primitivas, transportes e segurança com um laboratório isolado.
Modelos de LLM e APIs
Como modelos de linguagem grandes transformam texto em tokens, preveem o próximo e por que soam confiantes quando erram.
Modelos de LLM e APIs
Como é uma requisição de API de chat: modelo, mensagens, tokens, streaming, chaves de API, limites e erros HTTP, com exemplos anotados.
Segurança e governança de IA
Injeção de prompt faz um texto da entrada de um LLM agir como instrução. Veja ataques diretos e indiretos e as defesas em camadas.
Segurança e governança de IA
Os quatro riscos principais de assistentes de IA na segurança, um método para controlá-los e um laboratório que confere um resumo de CVE com NVD e KEV.
Carreira e metodologia
Compare oito funções comuns em cibersegurança pelo trabalho do dia a dia, habilidades centrais e um primeiro passo prático gratuito.
Carreira e metodologia
Leia a política de um programa de bug bounty sobre escopo, safe harbour e divulgação, e escreva uma checklist antes de qualquer teste autorizado.
Fundamentos de segurança
O que a cibersegurança cobre, a tríade CIA, formas comuns de falha e um primeiro exercício seguro com hashes na sua própria máquina.
Criptografia
Criptografia do zero: cifragem, chaves, hashes, assinaturas e por que a cifra de César ensina ideias, mas não protege nada.
Criptografia
A cifra de César desloca cada letra um número fixo de posições. Cifre HELLO como KHOOR à mão, decifre de volta e veja por que ela falha.
Criptografia
Crie uma cifra de César em Python, teste com unittest e veja por que essa cifra não oferece confidencialidade real.
Linux e ferramentas de desenvolvimento
GitHub para iniciantes: a diferença entre Git e GitHub, os termos básicos, um exercício local com Git e como checar um projeto antes de rodá-lo.
Linux e ferramentas de desenvolvimento
Crie uma conta e um primeiro repositório no GitHub pelo navegador, adicione um README e um segundo commit, e mantenha segredos fora dele.
Redes e web
Como o DNS transforma nomes em endereços: resolvedores, servidores autoritativos, cache por TTL, registros A, AAAA, CNAME, MX e TXT, com teste seguro.
OSINT e reconhecimento
O que é OSINT, como verificar informações públicas, onde ficam os limites éticos e como escrever um relatório curto com evidências.
Laboratórios de hacking
Monte um laboratório que você pode atacar: arquivo de escopo, portas do Docker no loopback, rede isolada, caderno de notas e desmontagem limpa.
Laboratórios de hacking
Rode o OWASP Juice Shop em um contêiner Docker restrito à sua máquina, confirme que ele responde e pare-o sem deixar nada rodando.
Crie a conta, adicione créditos a partir de US$ 10 e faça a primeira pergunta no chat ou no terminal.
Individual ou empresa. Dá para virar empresa depois sem perder saldo nem chaves.
No cartão, a partir de US$ 10. Você paga por token, sem assinatura.
No chat, ou instale o CLI e rode notholy login no terminal.
