A trilha, nível por nível

Do básico ao purple team. Só avance quando cumprir o critério de conclusão de cada nível.

NÍVEL 0

Fundamentos & Autorização

iniciante

Entender o terreno (web/HTTP/DNS/TLS/JWT) e as regras do jogo (ROE, ética, semáforo).

▸ 4 módulos · 66 aulas

▸

Módulo 0 — Fundamentos: como a web funciona (o "porquê" antes do "como")

Fase 0.0 19 aulas

1 0.1 — A única mentalidade que importa — Segurança não é decorar ataques. É um jeito de pensar com duas metades que você vai treinar ao longo de todo o curso:2 0.2 — Cliente e servidor: a conversa que sustenta a web — Imagine um restaurante:3 0.3 — Anatomia de uma requisição HTTP (o coração de tudo) — Toda interação na web é um par requisição → resposta. Se você entender as partes, entende 80% do curso. Vamos dissecar.4 0.4 — DNS: como um nome vira um endereço — Computadores não se acham por nome (google.com), e sim por número (endereço IP, tipo 142.250.79.14). O DNS (Domain Name System) é a lista telefônica da internet: traduz nome → núm…5 0.5 — HTTPS e TLS: o cadeado (e o que ele NÃO faz) — Quando a conversa cliente↔servidor viaja pela internet, ela passa por muitos computadores no caminho (seu roteador, seu provedor, backbones). Sem proteção, qualquer um no caminho…6 0.6 — Cookies, sessão e estado: por que o site "lembra" de você — O HTTP é sem memória (stateless): cada requisição é independente, o servidor não lembra da anterior. Então como o site sabe que você continua logado ao clicar na próxima página?7 0.7 — Autenticação × Autorização (não confunda) — Dois conceitos que parecem iguais e não são — e confundi-los causa falhas reais:8 0.8 — API, REST e JSON: como programas conversam — { } = um objeto (conjunto de pares). [ ] = uma lista. "chave": valor.9 0.9 — Banco de dados e RLS: onde os dados moram — O banco de dados é o "arquivo/almoxarifado" do sistema — guarda tudo em tabelas (parecidas com planilhas): uma tabela leads com colunas nome, whatsapp; uma tabela content_items, e…10 0.10 — Onde o código roda: cliente vs servidor (a fronteira que define segurança) — Este conceito separa quem entende de quem não entende segurança web. Existem dois lugares onde código roda, e eles têm níveis de confiança opostos:11 0.11 — A tríade CIA e "superfície de ataque" — Segurança protege três propriedades — a tríade CIA:12 0.12 — Como uma falha vira um ataque (o padrão universal) — Quase toda vulnerabilidade segue o mesmo esqueleto:13 0.13 — Ligando ao projeto real (do conceito ao Feed de Monetização) — Para não ficar abstrato, veja como cada conceito deste módulo aparece no sistema que você vai testar:14 Mini-quiz de fixação (responda antes de seguir) — Tente responder sem olhar. Gabarito logo abaixo.15 Labs práticos deste módulo (a teoria vira mão na massa) — Observe: as linhas > são o que você manda (método, Host, User-Agent); as < são o que o servidor responde (status, headers). Ligue à seção 0.3.16 Livros, cursos e recursos deste módulo — Catálogo completo, por nível e por perfil, em BIBLIOTECA_E_RECURSOS.md.17 Aplicação direta ao seu perfil — Foque em: 0.1 (mentalidade), 0.5 (o cadeado não é garantia), 0.7 (autenticação × autorização), 0.11 (tríade CIA).18 Nota multiplataforma (para "qualquer pessoa", em qualquer SO) — O material do projeto assume Windows + Git Bash. Os conceitos acima são universais; os comandos mudam pouco:19 Glossário deste módulo (termos na ordem em que apareceram) — Cliente / Servidor — quem pede / quem responde.

▸

Módulo 1 — Redes para Cibersegurança

Fase 0.1 15 aulas

1 1. O modelo em camadas (o mapa mental) — Redes funcionam em camadas: cada uma resolve um problema e entrega para a próxima. Você não precisa decorar as 7 do modelo OSI — precisa da versão prática (TCP/IP), 4 camadas:2 2. IP e endereçamento (IPv4 / IPv6) — Todo dispositivo tem um endereço IP — o "número de telefone" na rede.3 3. Portas e sockets — Um IP leva ao computador; a porta leva ao serviço dentro dele.4 4. TCP vs UDP — Dois jeitos de transportar dados na porta:5 5. DNS — como um nome vira um endereço — O DNS traduz site.com → IP. É a "lista telefônica" da internet.6 6. HTTP / HTTPS (a camada onde você mais trabalha) — Já visto no Módulo 0 (seção 0.3) — aqui o foco é onde a rede entra:7 7. TLS e certificados (o cadeado, por dentro) — TLS cifra a conversa (HTTPS). O certificado prova que o servidor é quem diz ser.8 8. NAT — por que sua rede local "não é acessível" — NAT (Network Address Translation) deixa vários dispositivos com IP privado compartilharem um IP público (o do seu roteador).9 9. Firewall — o porteiro — Um firewall decide qual tráfego passa, por regra (IP de origem/destino, porta, protocolo).10 10. VPN e proxies — túneis e intermediários — Proxy forward: um intermediário que faz requisições por você (esconde o cliente). O Burp Suite é um proxy de interceptação — ele senta no meio e deixa você ver/editar cada requisi…11 11. Cliente-servidor — juntando tudo: a viagem de um pacote — Quando você abre https://site.com:12 12. Labs práticos (mão na massa) — Observe: o IP que retorna; se há registros TXT de proteção de e-mail. Lição: é assim que o recon descobre sua superfície.13 13. Autoavaliação — Responda de memória:14 14. Livros, cursos e recursos deste módulo — 📗 Livro: Análise de Tráfego em Redes TCP/IP (João Eriberto Mota Filho, Novatec) — aprofunda captura e protocolos.15 15. Aplicação direta ao seu perfil — 👤 Não-programador: foque nas seções 5 (DNS), 7 (TLS) e 9 (firewall) — é o suficiente para conversar sobre risco e cobrar controles. Pule captura de pacotes se quiser.

▸

Módulo 2 — Linux & Windows para Segurança

Fase 0.2 16 aulas

1 A.1 — O modelo mental: "tudo é arquivo" + o shell — No Linux, quase tudo é representado como arquivo: um documento, um dispositivo, uma conexão, até informação do sistema (em /proc). Você conversa com o sistema pelo shell (o termin…2 A.2 — O sistema de arquivos (onde as coisas moram) — Linux organiza tudo a partir da raiz /. Os diretórios que importam para segurança:3 A.3 — Usuários, grupos e o root — Cada pessoa/serviço é um usuário, com um número (UID). O root é o UID 0 — o superusuário, que pode tudo.4 A.4 — Permissões (o coração da segurança no Linux) — Todo arquivo tem dono, grupo e permissões para três públicos: dono (u), grupo (g), outros (o) — cada um com r (ler), w (escrever), x (executar).5 A.5 — Processos e memória — Um programa em execução é um processo, com um PID (número). O sistema roda dezenas.6 A.6 — Serviços (o que roda sozinho) — Serviços (daemons) são programas que rodam em segundo plano (servidor web, SSH, banco). No Linux moderno, gerenciados pelo systemd:7 A.7 — Logs (a memória do sistema) — O que aconteceu fica em /var/log e no journald:8 A.8 — Rede vista do host (liga com o Módulo 1) — ss -tulpn (ou netstat -tulpn) mostra quais portas estão abertas e qual processo as usa.9 A.9 — Pacotes e atualizações — Software vem de gerenciadores de pacote: apt (Debian/Ubuntu), dnf/yum (Fedora/RHEL).10 A.10 — SSH (a porta de entrada dos servidores) — SSH é o acesso remoto seguro ao servidor (porta 22 por padrão). Autentica por senha ou, melhor, por chave (um par: privada fica com você, pública no servidor).11 A.11 — Variáveis de ambiente & segredos no host — Muitos serviços recebem segredos (chaves de API, senha de banco) por variáveis de ambiente, não por arquivo. Você as vê com printenv ou env.12 B.1 — Como o modelo difere do Linux — Registro (Registry): um banco central de configurações (o Linux usa arquivos em /etc; o Windows usa o Registry + arquivos).13 B.2 — Usuários, grupos e administrador — Usuário Administrator ≈ root. Grupos como "Administrators", "Users".14 B.3 — Active Directory (AD) — o coração corporativo — AD é o sistema que gerencia todos os usuários, computadores e permissões de uma empresa, de forma centralizada (um domínio).15 B.4 — Políticas de Grupo (GPO) — GPO aplica configurações e regras de segurança em massa a todos os computadores do domínio (ex.: "todos exigem senha de 12 caracteres"). É a governança técnica do Windows corporat…16 B.5 — Logs e PowerShell — Event Viewer / Windows Event Logs: onde ficam os eventos de segurança (logins, criação de conta). Sysmon enriquece esses logs — base do blue team em Windows.

▸

Módulo 3 — Programação para Segurança

Fase 0.3 16 aulas

1 A.0 — Por que um profissional de segurança programa — Duas razões, só duas:2 A.1 — Bash (a cola do dia a dia) — O shell não é só para rodar comandos — é uma linguagem. Com 4 conceitos você automatiza quase tudo dos seus testes:3 A.2 — Python (o canivete suíço) — A linguagem nº 1 da segurança: legível, e a maioria das ferramentas (sqlmap, muitas do pentest) é escrita nela. O mínimo que rende:4 A.3 — JavaScript / TypeScript (a linguagem da web) — JS roda nos dois lados (lembra do Módulo 0, seção 0.10):5 A.4 — SQL (a língua dos bancos) — Os dados moram em bancos, e você fala com eles por SQL:6 A.5 — JSON (o formato dos dados) — Já visto no Módulo 0 (0.8). Aqui, a habilidade é ler criticamente uma resposta JSON:7 A.6 — REST APIs (como programas conversam) — Uma API REST expõe endpoints que você aciona com métodos HTTP (Módulo 0, 0.3/0.8):8 A.7 — Autenticação e sessões (onde nascem os bugs de acesso) — Como um login funciona, no código:9 A.8 — Git & controle de versão (a máquina do tempo do código) — Git guarda o histórico de todo o seu código; GitHub é onde esse histórico vive online. Conceitos mínimos:10 A.9 — Variáveis de ambiente & `.env` (onde segredos DEVEM morar) — Regra de ouro: segredo nunca no código. Ele mora em variável de ambiente — um valor que o sistema entrega ao programa em runtime, sem estar escrito no código-fonte.11 A.10 — Dependências & supply chain (o código que você **não** escreveu) — Seu app usa dezenas/centenas de pacotes de terceiros (via npm no Node, pip no Python). Você está confiando em código que não leu.12 A.11 — Validação de entrada & regex (o "como" de não confiar no input) — Validar não é "tirar o que é ruim" (blocklist, sempre furada) — é aceitar só o que é esperado (allowlist) e recusar o resto.13 B — Labs práticos — Faça: troque a lista de paths. Lição: você automatizou o Ex. 2 (matriz de superfície). Qualquer 200 em algo que deveria ser protegido = achado.14 C — Autoavaliação — Responda de memória:15 Livros, cursos e recursos deste módulo — 🆓 Python (do zero, prático): Automate the Boring Stuff with Python (leitura online gratuita) · freeCodeCamp (Python/JS).16 Aplicação direta ao seu perfil — 👤 Não-programador: foque em A.0 (a mentalidade), A.5 (ler JSON), A.7 (como auth funciona) e A.9 (por que segredo não vai no código). Você não vai codar — vai entender e cobrar. I…

✅ Concluído quando: ROE preenchido + quiz do Módulo 0 aprovado + ferramentas instaladas.

NÍVEL 1

Recon e leitura (black-box)

iniciante

Fazer reconhecimento só-leitura: headers, robots.txt, mapear endpoints e registrar achados.

Sem material didático no repositório ainda — o conteúdo deste nível (exercícios 1–36 e o tutorial da primeira sessão) vive fora dele.

✅ Concluído quando: Ex. 1–5 (passos verdes) feitos e registrados + Quiz Nível 1 aprovado.

fazer o quiz →

NÍVEL 2

Autenticação & superfície oculta

básico

Entender como as pessoas entram; descobrir rotas ocultas e testar isolamento.

Sem material didático no repositório ainda — o conteúdo deste nível (exercícios 1–36 e o tutorial da primeira sessão) vive fora dele.

✅ Concluído quando: Ex. 6–12 + Quiz Nível 2.

fazer o quiz →

NÍVEL 3

Dados, injeção & SaaS

intermediário

O coração da web: SQLi, XSS, CSRF, access control, RLS.

▸ 1 módulo · 9 aulas

▸

Módulo 4 — Segurança Web & API (a primeira grande especialização)

Fase 1 9 aulas

1 A.1 — Frontend × Backend (a fronteira de confiança) — Frontend (o que roda no navegador): HTML/CSS/JS. Visível e editável → território do atacante.2 A.2 — A API (o contrato e a superfície) — A API é o conjunto de endpoints que o backend expõe. Cada endpoint = método + caminho + o que aceita + o que exige (auth). O mapa de todos os endpoints é a superfície de ataque —…3 A.3 — Banco de dados & camada de dados — Os dados moram no banco; o backend fala com ele por SQL ou por um ORM/PostgREST (Supabase). Dois controles centrais:4 A.4 — Autenticação: sessões, cookies, JWT, OAuth — Como o app sabe quem é você depois do login:5 A.5 — Autorização: authN ≠ authZ — Autenticar (quem é você) não é autorizar (o que pode). Os dois padrões que você vai testar sempre:6 A.6 — WebSockets (canal persistente) — Diferente do HTTP (pedido→resposta), o WebSocket abre um canal aberto nos dois sentidos (chat, tempo real). Riscos: aceitar conexão sem token, não validar a origem, e não checar a…7 A.7 — Desenhando o "mapa de confiança" — Para qualquer funcionalidade, desenhe o fluxo e marque cada fronteira:8 Livros, cursos e recursos deste módulo — 📕 Livro de referência: The Web Application Hacker's Handbook (Stuttard & Pinto) — o clássico. Em PT: Pentest em Aplicações Web (Daniel Moreno).9 Aplicação direta ao seu perfil — 👤 Não-programador: foque na Parte A (mapa de confiança) e nas definições das 11 classes — o suficiente para revisar e cobrar. Pule a exploração hands-on pesada.

✅ Concluído quando: Ex. 13–26 + Projeto "Blinde o seu app" + Quiz Nível 3. 🥈 Caçador.

fazer o quiz →

NÍVEL 4

Atacante real (a cadeia)

intermediário

Pensar como adversário: encadear falhas num ataque completo e escrever o relatório.

▸ 1 módulo · 5 aulas

▸

Módulo 5 — Pentest (o ciclo profissional)

Fase 2 5 aulas

1 A.1 — A regra que vem antes de tudo: autorização — Pentest é atacar um sistema com permissão escrita para achar falhas antes que um criminoso ache. Sem autorização e escopo, as mesmas ações são crime (Lei 12.737/2012 + LGPD). Todo…2 A.2 — Tipos de teste (quanto você sabe do alvo) — Black-box: você não sabe nada por dentro (simula um atacante externo). É o Bloco A dos seus exercícios.3 A.3 — Pentest × scan × bug bounty × red team (não confunda) — Decore este ciclo. Todo teste, de qualquer alvo, segue esta espinha (baseada em PTES/NIST SP 800-115):4 Livros, cursos e recursos deste módulo — 📗 Livros: Introdução ao Pentest → Técnicas de Invasão → Aprendendo Kali Linux (Novatec).5 Aplicação direta ao seu perfil — 👤 Não-programador: foque no ciclo (Parte B) e no relatório (Parte D). Você pode gerir/encomendar um pentest e ler um laudo criticamente — habilidade valiosa por si só.

✅ Concluído quando: Ex. 16–36 + Relatório de pentest. 🥇 Pentester Jr.

fazer o quiz →

NÍVEL 5

Multi-stack universal

avançado

Além do projeto: VPS, bancos, GraphQL/gRPC, containers, cloud IAM.

▸ 2 módulos · 18 aulas

▸

Módulo 6 — Cloud Security (proteger a infraestrutura moderna)

Fase 3 5 aulas

1 A.1 — O modelo de responsabilidade compartilhada (o conceito nº 1) — Na nuvem, a segurança é dividida:2 A.2 — IAM: "quem pode fazer o quê?" (o coração) — Todo acesso na nuvem passa por uma cadeia. Entenda cada elo — é onde a segurança acontece:3 A.3 — Você já faz cloud security (reenquadre) — Para não parecer abstrato, seu stack é um caso de cloud security:4 Livros, cursos e recursos deste módulo — 🆓 Labs (grátis): flaws.cloud / flaws2.cloud ⭐ · CloudGoat (Rhino Security Labs) · AWS Skill Builder · Google Cloud Skills Boost.5 Aplicação direta ao seu perfil — 👤 Não-programador: foque em A.1 (responsabilidade compartilhada) e A.2 (IAM) + o Pilar 4 (buckets). É o suficiente para entender o risco e cobrar configuração segura.

▸

Módulo 7 — Docker & Kubernetes (segurança de containers)

Fase 4 13 aulas

1 A.1 — O que é um container (e por que não é uma VM) — Um container empacota um app + suas dependências numa unidade que roda igual em qualquer lugar. Leve e rápido.2 A.2 — Imagens & Dockerfile — O Dockerfile é a receita da imagem: cada instrução vira uma camada.3 A.3 — O modelo de isolamento (namespaces & cgroups) — Por baixo, o Docker usa recursos do Linux (que você viu no Módulo 2):4 A.4 — Segurança de container (os controles) — Os ajustes que transformam um container inseguro em seguro (aplicam ao seu n8n — Ex. 42, DOC §4.4):5 A.5 — Segurança de imagem (scan & supply chain) — Escanear a imagem por CVEs: Trivy (trivy image sua:tag) ou docker scout.6 B.1 — O vocabulário mínimo — Kubernetes (K8s) orquestra containers em escala. O essencial:7 B.2 — RBAC (quem pode fazer o quê no cluster) — É o IAM do Kubernetes (liga ao Módulo 6): define quais identidades podem fazer quais ações em quais recursos.8 B.3 — Secrets no Kubernetes — Os "Secrets" do K8s são codificados em base64 — que não é criptografia (qualquer um decodifica).9 B.4 — Network Policies — Por padrão, no K8s todos os pods conversam com todos (rede aberta).10 B.5 — Pod Security (o hardening do pod) — liga ao Ex. 57 — O baseline seguro para um pod (padrão "restricted"):11 B.6 — Os ataques de container/cluster — Observe: user= vazio = root; id mostra uid 0. Lição: o padrão de muitas imagens é inseguro (A.4).12 Livros, cursos e recursos deste módulo — 🆓 Docker: Play with Docker (labs no navegador) · documentação oficial do Docker (seção security).13 Aplicação direta ao seu perfil — 👤 Não-programador: foque em A.1 (o que é container) e no conceito de que "container não é VM" + a existência do RBAC. O suficiente para entender o risco.

✅ Concluído quando: Ex. 37–53.

fazer o quiz →

NÍVEL 6

Especialista por tecnologia

avançado

Vetores difíceis: SSRF, deserialization, request smuggling, container escape.

▸ 1 módulo · 13 aulas

▸

Módulo 13 — Engenharia Reversa & Malware (a especialização final)

Fase 10 13 aulas

1 A.1 — Como um programa vira binário — Você escreve código em alto nível (C, Go, Rust…); um compilador o traduz para código de máquina — instruções que a CPU executa, guardadas num executável. A engenharia reversa faz…2 A.2 — Assembly & arquitetura de CPU (a ideia, não a decoreba) — Assembly é a linguagem mais próxima da máquina — cada linha é uma instrução simples (mover um valor, somar, comparar, saltar). A CPU tem registradores (pequenas "gavetas" super-rá…3 A.3 — Memória: stack e heap — Um programa usa memória de duas formas principais:4 A.4 — Formatos de executável — Ambos têm cabeçalhos (metadados: onde começa o código, quais bibliotecas usa) e seções (código, dados, strings). A análise estática começa lendo isso.5 B.1 — Análise estática (ler sem rodar) — Examinar o binário parado:6 B.2 — Análise dinâmica (rodar e observar) — Executar o binário num ambiente controlado e observar o comportamento:7 B.3 — O laboratório seguro ( obrigatório para malware) — Antes de tocar em qualquer amostra real:8 C.1 — Para que serve — Triagem: isto é malicioso? o quê faz?9 C.2 — O processo 10 C.3 — YARA (assinatura de malware) — YARA é a linguagem padrão para descrever e detectar malware por padrões (strings, sequências de bytes). Uma regra YARA vira uma detecção reutilizável — o elo direto com o purple t…11 C.4 — Ofuscação & packing (por que malware se esconde) — Malware costuma ser empacotado (comprimido/cifrado) para dificultar a análise — o strings não revela nada até você desempacotar (dinâmica: rodar e capturar a memória já descompact…12 Livros, cursos e recursos deste módulo — 📕 Livro de referência: Practical Malware Analysis (Sikorski & Honig) — o clássico da área.13 Aplicação direta ao seu perfil — 👤 Não-programador: entenda só o conceito — o que é RE, o que é análise de malware, o que é um IoC. O resto é especialização técnica.

✅ Concluído quando: Ex. 54–60.

NÍVEL 7

Defesa & Operação (Blue Team)

intermediário

Endurecer, detectar e responder: hardening, logs, SIEM, resposta a incidentes.

▸ 3 módulos · 17 aulas

▸

Módulo 8 — DevSecOps (segurança dentro do processo)

Fase 5 5 aulas

1 A.1 — O que é DevSecOps — DevSecOps = colocar segurança em cada etapa do desenvolvimento, de forma automatizada, em vez de um "teste de segurança no final" (que sempre chega tarde e caro).2 A.2 — O pipeline com portões de segurança — O fluxo de entrega, com um "portão" em cada etapa (é o mapa deste módulo):3 A.3 — Automatizar > confiar na memória — A regra de ouro do DevSecOps: o humano esquece; o CI não. Você não vai "lembrar" de rodar o gitleaks antes de todo commit — mas o pipeline roda, sempre, em todo push. A segurança…4 Livros, cursos e recursos deste módulo — 🆓 Ferramentas: gitleaks/TruffleHog (secrets) · Semgrep/CodeQL (SAST) · Dependabot/npm audit/Trivy (SCA/container) · OWASP ZAP (DAST) · checkov/tfsec (IaC).5 Aplicação direta ao seu perfil — 👤 Não-programador: foque em A.1/A.2 (a ideia e o pipeline) — o suficiente para exigir que exista CI de segurança em qualquer projeto seu.

▸

Módulo 9 — Arquitetura de Segurança (projetar para a falha ser difícil)

Fase 6 7 aulas

1 A.1 — De "achar falha" para "projetar contra a falha" — Até aqui você aprendeu a encontrar e corrigir falhas, uma a uma. O arquiteto pensa um nível acima: como fazer com que a falha nem tenha onde acontecer?2 A.2 — Os princípios (as leis do bom desenho) — Nenhuma camada protege tudo. O modelo do seu projeto (DOC §3.1), do exterior ao núcleo:3 As 4 perguntas (o coração do método) — 1. O que estamos construindo? → desenhe o sistema (diagrama de fluxo de dados).4 STRIDE (as 6 categorias de ameaça) — Um jeito de não esquecer nenhum tipo de ameaça. Para cada elemento do diagrama, pergunte:5 O diagrama com fronteiras de confiança — Desenhe o fluxo e marque onde a confiança muda (uma linha tracejada = fronteira de confiança). Onde os dados cruzam uma fronteira é onde você precisa de um controle:6 Livros, cursos e recursos deste módulo — 📕 Livro de referência: Threat Modeling: Designing for Security (Adam Shostack) — a referência da área.7 Aplicação direta ao seu perfil — 👤 Não-programador: foque nos princípios (A.2) e nas 4 perguntas do threat modeling (C). Você pode conduzir um threat model com quem programa — é uma conversa estruturada, não cód…

▸

Módulo 10 — Blue Team (detectar e responder)

Fase 7 5 aulas

1 A.1 — O ciclo detecção-resposta — Todo incidente percorre este caminho — e o Blue Team atua em cada seta:2 A.2 — As duas métricas que importam — MTTD (Mean Time To Detect): quanto tempo até perceber o incidente. Meta: minutos.3 A.3 — A pirâmide: você não detecta o que não vê — Sem a base (logs), o topo não existe. Por isso o Pilar 1 é logs.4 Livros, cursos e recursos deste módulo — 🆓 Labs (grátis): LetsDefend, CyberDefenders, Blue Team Labs Online (BTLO).5 Aplicação direta ao seu perfil — 👤 Não-programador: foque no ciclo (A.1), no IR (D) e no tabletop (Lab 4). Você pode coordenar uma resposta a incidente — é organização e decisão, não código.

✅ Concluído quando: Labs defensivos + Projeto de detecção. 🛡️ Defensor.

fazer o quiz →

NÍVEL 8

Maestria & resiliência (Purple)

especialista

A síntese: atacar → detectar → corrigir → comprovar. O capstone purple.

▸ 2 módulos · 13 aulas

▸

Módulo 11 — Red Team (pensar como o adversário)

Fase 8 5 aulas

1 A.1 — O que é Red Team — Adversary simulation: imitar um atacante real, com um objetivo definido, de forma furtiva, para responder à pergunta: "se um adversário de verdade nos atacasse, nós perceberíamos…2 A.2 — Red Team × Pentest — Traduzindo: o pentest pergunta "quantas portas estão destrancadas?". O red team pergunta "se um ladrão entrasse por uma delas e fosse até o cofre, o alarme tocaria?".3 A.3 — Ética & autorização (ainda mais crítico aqui) — Red team usa técnicas idênticas às de um criminoso — o que separa é autorização, escopo e intenção. Regras que este curso exige:4 Livros, cursos e recursos deste módulo — 🆓 Frameworks: MITRE ATT&CK + ATT&CK Navigator · Atomic Red Team (validação de detecção) · Caldera (MITRE, emulação).5 Aplicação direta ao seu perfil — 👤 Não-programador: para você, o valor é entender os caminhos de ataque (a cadeia) para saber o que exigir da defesa. Red team operacional é aspiracional; o mapa mental, não.

▸

Módulo 12 — Purple Team (atacar para defender melhor)

Fase 9 8 aulas

1 A.1 — A ideia: colaboração, não competição — Red ataca; Blue defende. Tradicionalmente, cada um no seu canto (o red entrega um relatório no fim; o blue descobre depois).2 A.2 — O loop purple (o método) — É o mesmo loop de 4 tempos do seu sistema de estudos (ver funcionar → auditar → corrigir → comprovar), agora aplicado à detecção.3 A.3 — Purple como função × exercício — Como exercício: uma sessão pontual (red + blue) para testar um conjunto de técnicas.4 B.1 — De ataque a regra de detecção — Para cada técnica, existe uma assinatura observável → vira uma detecção:5 B.2 — O ciclo de detection engineering — Uma detecção só existe de verdade depois de testada contra a técnica que ela deveria pegar. Regra escrita e nunca testada = detecção imaginária.6 B.3 — As métricas do purple — Cobertura ATT&CK: de quantas técnicas relevantes você tem detecção? (mapa no ATT&CK Navigator).7 Livros, cursos e recursos deste módulo — 🆓 Ferramentas: Atomic Red Team (validar detecção) · MITRE ATT&CK Navigator (cobertura) · VECTR (tracking purple, gratuito) · Caldera (emulação) · regras Sigma.8 Aplicação direta ao seu perfil — 👤 Não-programador: o purple é uma conversa estruturada ("esse ataque, a gente veria?"). Você pode conduzi-la e cobrar a matriz de cobertura — sem código.

✅ Concluído quando: Ex. 61–86 + Capstone Purple aprovado. 🟣 Formatura.