Compare oito funções comuns em cibersegurança pelo trabalho do dia a dia, habilidades centrais e um primeiro passo prático gratuito.
Segurança da informação não é um trabalho só. Algumas pessoas passam o dia lendo alertas em um console de monitoramento. Outras testam aplicações web com autorização, escrevem o código que impede essas falhas ou reconstroem um notebook comprometido a partir de evidências. Se você está começando ou mudando de carreira, a forma mais rápida de escolher é comparar como cada trabalho é no dia a dia e testar uma ou duas funções com prática gratuita antes de pagar por um curso.
Este artigo cobre oito funções comuns: analista de SOC, respondedor de incidentes, engenheiro de segurança de aplicações (AppSec), pentester, analista de forense digital e resposta a incidentes (DFIR), analista de gestão de vulnerabilidades, analista de governança, risco e conformidade (GRC) e engenheiro de segurança. Para cada uma você encontra o trabalho do dia a dia, as habilidades centrais, um primeiro passo prático sem custo e os artigos do Manual de Campo que treinam essas habilidades. A última seção é uma planilha de autoavaliação. Escolha duas funções, liste três habilidades para cada uma e defina por qual artigo começar.
Os nomes dos cargos variam de empresa para empresa. Trate estas descrições como um retrato de trabalho, não como garantia do que um cargo específico inclui.
O NIST descreve o NICE Framework como "uma linguagem comum que descreve o trabalho em cibersegurança". O framework está documentado na publicação especial SP 800-181, Revisão 1, finalizada em novembro de 2020. Ele agrupa funções de trabalho em categorias e áreas de especialidade, e cada função é descrita pelas tarefas, conhecimentos e habilidades que exige. Empresas, escolas e programas de treinamento usam esse vocabulário. Por isso, uma vaga que cita uma função muitas vezes usa a linguagem do NICE, mesmo quando acrescenta palavras próprias.
A Cyber Career Pathways Tool, da CISA, publicada pelo National Initiative for Cybersecurity Careers and Studies (NICCS), permite selecionar uma função de trabalho, ler suas declarações e comparar duas funções lado a lado. A ferramenta informa que usa a versão 2.2.0 dos componentes do NICE Framework. Cada função abaixo indica a função de trabalho mais próxima, como a ferramenta a lista. Os títulos do framework são amplos (Defensive Cybersecurity, Digital Forensics) e diferem dos nomes de cargo, e os componentes foram revisados desde a publicação de 2020. Por isso, confira cada um na ferramenta antes de citá-lo no currículo.
Quem está começando costuma montar uma lista de ferramentas: Nmap, Burp Suite, Wireshark, Splunk. Ferramenta é instrumento. É a função que define qual pergunta você está tentando responder. Um analista de SOC pergunta se um alerta descreve um evento real e o que mais aquele host fez. Um pentester pergunta o que um atacante conseguiria alcançar dentro de um escopo acordado. Um analista de GRC pergunta se os controles correspondem ao risco descrito por escrito. Escolha a pergunta primeiro. As ferramentas vêm depois.
Função NICE mais próxima: Defensive Cybersecurity.
Trabalho do dia a dia. O analista de SOC (Security Operations Center) trabalha uma fila de alertas. Cada alerta passa por triagem: é um verdadeiro positivo, um falso positivo ou algo que precisa de análise mais detalhada? Boa parte do dia vai para ler eventos de log, seguir um evento até os eventos relacionados, verificar se um usuário ou host se comportou como esperado e escrever notas curtas que outro analista consiga entender. Quando algo parece um incidente real, o caso sobe para os respondedores.
Habilidades centrais. Ler logs, reconhecer eventos comuns do Windows e do Linux, noções de rede (DNS, HTTP, portas), escrever consultas de busca, documentar com clareza e saber quando escalar.
Primeiro passo prático gratuito. No seu próprio PC com Windows, abra o PowerShell como administrador e leia os 20 últimos eventos de falha de logon no log de Segurança. O ID de evento 4625 é o de logon com falha. Não executei este comando para este artigo, então você verá o que a sua máquina registrar:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 20 | Select-Object TimeCreated, MessageAnote o que cada evento significa e se você reconhece a conta. Se a lista vier vazia, isso também é um resultado. Não leia logs de máquinas que você não possui.
Leia antes: O que é um SIEM? Logs, consultas e alertas, Como o HTTP funciona, Arquivos e permissões no Linux.
Função NICE mais próxima: Incident Response.
Trabalho do dia a dia. O respondedor assume quando um alerta vira incidente. Ele coordena a contenção (isolar um host, desativar uma conta, bloquear um endereço), a erradicação (remover o caminho de acesso usado pelo atacante) e a recuperação. Mantém uma linha do tempo, atualiza TI, jurídico e gestão e decide quando o incidente está encerrado. Boa parte do trabalho é comunicação clara sob pressão de tempo.
Habilidades centrais. Triagem, avaliação de trade-offs de contenção, montagem de linha do tempo, escrita de atualizações de status, entender como phishing e credenciais roubadas costumam se mover pela rede e manuseio básico de evidências para que a análise posterior ainda seja possível.
Primeiro passo prático gratuito. Escreva uma linha do tempo de um incidente inventado, em um arquivo de texto simples. Por exemplo: "10:02 usuário abre um anexo; 10:04 surge uma nova tarefa agendada; 10:10 conexão de saída para um endereço desconhecido". Ao lado de cada linha, anote qual log ou artefato confirmaria aquele fato. Não precisa de ferramenta. A habilidade está em ordenar fatos e separar o que você sabe do que suspeita.
Leia antes: Como escrever seu primeiro relatório de segurança, Modelagem de ameaças com STRIDE, O que é um SIEM?.
Função NICE mais próxima: Software Security Assessment, muitas vezes junto com Secure Software Development.
Trabalho do dia a dia. O engenheiro de AppSec ajuda equipes de desenvolvimento a evitar vulnerabilidades antes do lançamento. Revisa projetos e código, fornece padrões seguros e bibliotecas compartilhadas, configura verificações automáticas nos pipelines de build e discute os achados com os desenvolvedores donos do código. Um bom dia costuma terminar com um bug corrigido, não com um relatório longo.
Habilidades centrais. Fundamentos de web (HTTP, cookies, sessões, regras de mesma origem), pelo menos uma linguagem de programação, as categorias do OWASP Top 10, validação de entrada, codificação de saída e leitura de código que você não escreveu.
Primeiro passo prático gratuito. Execute o OWASP Juice Shop, uma aplicação web propositalmente vulnerável, na sua própria máquina. Associe o serviço ao localhost para que só o seu computador consiga acessá-lo. É preciso ter o Docker instalado. Não executei este comando para este artigo, então a saída depende do seu ambiente:
docker run --rm -p 127.0.0.1:3000:3000 bkimminich/juice-shopAbra http://localhost:3000 no navegador, escolha um desafio para iniciantes e anote a causa raiz e a correção que um desenvolvedor aplicaria. Pare o contêiner quando terminar.
Leia antes: OWASP Top 10 para desenvolvedores, Injeção de SQL explicada com o Juice Shop, O que é CSRF e como os cookies SameSite ajudam.
Função NICE mais próxima: nenhuma com esse título. A ferramenta não tem uma função de pentester; leia Vulnerability Analysis e Threat Analysis para ver as tarefas mais próximas.
Trabalho do dia a dia. O pentester avalia sistemas que o dono aceitou testar, dentro de um escopo e de regras de engajamento escritos. Mapeia o alvo, procura fraquezas, confirma o impacto sem causar danos e escreve achados que um desenvolvedor ou administrador consegue usar. Boa parte do valor profissional está no relatório e no julgamento sobre o que importa. A saída de um scanner, sozinha, não é um achado.
Habilidades centrais. Redes, noções de web e de diretórios, scripts, disciplina de escopo, avaliação de risco com CVSS, escrita de relatórios e um entendimento firme de autorização.
Primeiro passo prático gratuito. Escreva um documento de escopo para o seu próprio laboratório antes de tocar em qualquer coisa. Use o contêiner do Juice Shop do passo de AppSec ou uma máquina virtual que você possua. Liste o que está dentro do escopo (este contêiner, na porta 3000 do localhost), o que está fora (todo o resto, incluindo seu roteador, as redes dos vizinhos e qualquer site que você não possua), quem autorizou o trabalho e os horários de início e fim. O documento é parte da prática. Os testes só começam depois que ele existe.
Leia antes: O que é uma vulnerabilidade?, O que é CVSS?, Ética e privacidade em OSINT, Como criar uma rede Docker isolada para laboratórios.
Função NICE mais próxima: Digital Forensics.
Trabalho do dia a dia. O analista de DFIR examina evidências de sistemas que podem estar comprometidos: imagens de disco, capturas de memória, logs de eventos, artefatos de navegador e de arquivos. O objetivo é reconstruir o que aconteceu, registrar como cada conclusão foi alcançada e manter as evidências sem alteração. O respondedor decide o próximo passo; o analista de DFIR explica o que aconteceu, com prova.
Habilidades centrais. Sistemas de arquivos, hashes, artefatos do Windows e do Linux, ferramentas de análise de disco e memória, cadeia de custódia, anotações cuidadosas e conhecimento suficiente de malware para descrever o comportamento sem executar amostras em uma máquina comum.
Primeiro passo prático gratuito. Calcule o hash SHA-256 de um arquivo que você baixou de uma fonte confiável. Hashes são a ferramenta básica para mostrar que uma evidência não mudou. No Git Bash, em um arquivo que você escolher:
sha256sum ~/Downloads/exemplo.pdfAnote a saída ao lado do nome do arquivo e da data. Se o fabricante publicar um hash para o download, compare os dois valores. A verificação de hash lê o arquivo e nunca o executa. Não abra nem execute arquivos desconhecidos para ver o que fazem.
Leia antes: Hashes de arquivos e VirusTotal: ética, Arquivos e permissões no Linux, O que é Bash? Noções de shell para estudantes de segurança.
Função NICE mais próxima: Vulnerability Analysis.
Trabalho do dia a dia. O gestor de vulnerabilidades mantém um inventário de ativos e de suas fraquezas conhecidas, decide quais correções vêm primeiro, acompanha responsáveis e prazos e reporta o andamento. A parte difícil é a priorização. Um scanner pode gerar milhares de achados, e o trabalho é decidir quais importam para esta organização nesta semana, considerando o que está exposto na internet e do que o negócio depende.
Habilidades centrais. Inventário de ativos, leitura de registros CVE e CVSS, entendimento de ciclos de correção, priorização baseada em risco, trabalho com os donos dos sistemas e fluxos baseados em tickets.
Primeiro passo prático gratuito. Abra uma CVE recente no site público do NVD (nvd.nist.gov). Leia a descrição e o vetor CVSS. Depois escreva três frases: qual é a falha, quais condições um atacante precisaria e o que um dono responsável faria em um sistema que ele administra. Consultas públicas como essa não causam problema. Não consulte nem teste sistemas que você não possui.
Leia antes: O que é uma vulnerabilidade?, O que é CVSS?.
Função NICE mais próxima: Security Control Assessment, com sobreposição com Cybersecurity Policy and Planning.
Trabalho do dia a dia. O analista de GRC (governança, risco e conformidade) transforma requisitos de segurança em políticas, controles e evidências. Mantém registros de risco, reúne evidências para auditorias, verifica se fornecedores cumprem o que está no contrato e ajuda a liderança a decidir quais riscos aceitar, reduzir ou transferir. Pouco desse trabalho passa pelo terminal. Muito dele é leitura cuidadosa e checagem de afirmações escritas contra o que os sistemas realmente fazem.
Habilidades centrais. Escrita de políticas, avaliação de riscos, frameworks comuns como o NIST Cybersecurity Framework e a ISO/IEC 27001, coleta de evidências, entrevistas com partes interessadas e escrita clara.
Primeiro passo prático gratuito. Escreva um registro de risco de uma página para o seu próprio notebook. Use cinco linhas: perda do equipamento, senha fraca, sistema operacional desatualizado, phishing e falha de backup. Para cada linha, escreva a probabilidade e o impacto em palavras simples, o controle que você usa hoje e um próximo passo. Guarde em um arquivo de texto. Se você consegue explicar em uma frase por que um controle importa, você está fazendo o trabalho.
Leia antes: Modelagem de ameaças com STRIDE, O que é HTTPS e TLS?, Criptografia, codificação e hash.
Função NICE mais próxima: Cybersecurity Architecture e Secure Systems Development.
Trabalho do dia a dia. O engenheiro de segurança projeta e constrói sistemas de proteção: configuração de identidade e acesso, login único e autenticação em múltiplos fatores, segmentação de rede, gestão de segredos, linhas de base de configuração segura e pipelines de detecção. Ele trabalha entre desenvolvimento e operações e mede se um controle funciona depois de implantado, não apenas se foi instalado.
Habilidades centrais. Administração de sistemas operacionais (Linux ou Windows), criptografia no nível de uso (chaves, hash, TLS), identidade e privilégio mínimo, infraestrutura como código, scripts e controle de mudanças com cuidado.
Primeiro passo prático gratuito. Crie um par de chaves SSH na sua máquina e aprenda qual arquivo é o público. Não executei este comando para este artigo, então a saída depende da sua configuração. Escolha uma senha de proteção quando for solicitado:
ssh-keygen -t ed25519 -f ~/.ssh/lab_ed25519 -C "chave de laboratório"Depois liste ~/.ssh. O arquivo que termina em .pub é o que você pode compartilhar. O arquivo sem extensão é a chave privada, e ela nunca vai para um chat, um commit ou uma captura de tela.
Leia antes: Chaves públicas e privadas explicadas, O que é SSH e como funcionam as chaves SSH?, Como funciona o hash de senhas com Argon2id.
Este artigo não tem um laboratório que precise de servidor. O exercício é uma autoavaliação e leva cerca de 30 minutos.
Copie este modelo para um arquivo de texto:
Função 1:
Habilidades que eu tenho:
1.
2.
3.
Habilidades que eu preciso desenvolver:
1.
2.
3.
Artigo para começar:
Primeiro passo prático feito em (data):
O que me surpreendeu:
Função 2:
(mesmas linhas acima)A planilha está pronta quando você consegue dizer, em duas frases, qual função tentaria primeiro e por quê.
Escolher só pelo título. Os títulos significam coisas diferentes em empresas diferentes. Leia o trabalho do dia a dia e a lista de habilidades antes de decidir.
Começar pelas ferramentas ofensivas. Saber rodar um scanner não ensina o que a saída dele significa. Aprenda primeiro como funcionam redes, requisições web e permissões no Linux.
Pular o escopo. Qualquer prática contra um sistema que você não possui é um problema legal e ético, mesmo quando o alvo parece inofensivo. Seu próprio contêiner, sua própria máquina e um escopo escrito e explícito são os únicos pontos de partida deste artigo.
Tratar a conclusão de um curso como prova. Um certificado mostra que você estudou. Uma linha do tempo, um registro de risco, um documento de escopo ou um bug corrigido mostram o que você consegue produzir. Guarde os artefatos de cada passo prático.
Executar arquivos desconhecidos para ver o que fazem. Use hashes, abra o arquivo em um visualizador de texto ou leia a documentação. Execução pertence a um laboratório controlado, não ao computador do dia a dia.
Depois de ter duas funções na planilha, leia as declarações de função do NICE para cada uma na ferramenta da CISA. Algumas funções também trazem links para os desafios de microdesafios do TryCyber, que oferecem exercícios práticos curtos para tarefas centrais. Em seguida, percorra os artigos do Manual de Campo na ordem indicada para a sua primeira função. Revise a planilha daqui a um mês e atualize com o que você realmente fez.
Se você pedir a um assistente de IA que explique uma linha de log ou um trecho de código, confira a resposta com a documentação oficial do evento ou da linguagem. A explicação é um ponto de partida para a sua leitura, não uma fonte.
A NotHoly publica este Manual de Campo. Nenhum dos passos acima precisa de uma conta na NotHoly ou de qualquer assistente de IA.
Carreira e metodologia
Leia a política de um programa de bug bounty sobre escopo, safe harbour e divulgação, e escreva uma checklist antes de qualquer teste autorizado.