Guia para iniciantes em Cyber Security

Este guia é para quem está perdido, mas quer começar em Cyber Security com foco em pentest, segurança ofensiva e red team.

Antes de sair comprando curso, instalando Kali Linux ou decorando ferramenta, pare um pouco e responda:

Eu gosto de entender como sistemas quebram?
Tenho paciência para pesquisar, testar, errar, documentar e tentar de novo?
Quero aprender sistemas operacionais, redes, web e programação o suficiente para explorar falhas com responsabilidade?
Consigo estudar de forma constante, mesmo sem resultado imediato?

Se a resposta for “sim”, este guia pode te dar um caminho inicial. Se você quer outra área de Cyber Security, como blue team, GRC, forense, cloud security, AppSec defensivo ou privacidade, este não é o melhor roteiro principal para você.

Para uma visão mais ampla de várias áreas, veja também o RoadMap do Arthur.

Importante: pentest e red team devem ser praticados somente em ambientes próprios, laboratórios, CTFs ou com autorização formal. O objetivo aqui é formar base técnica e ética.

Por onde começar

Se você está começando do zero, siga esta ordem:

Aprenda o básico de computador, arquivos, navegador e internet.
Entenda como sistemas operacionais funcionam.
Use Windows e Linux com mais consciência.
Aprenda redes, web e terminal.
Pratique em laboratórios guiados.
Monte anotações, relatórios e pequenos projetos.
Só depois aprofunde em ferramentas, exploração e Active Directory.

O erro mais comum é pular direto para ferramentas. Ferramenta sem fundamento vira tentativa e erro sem direção.

Escolha sua direção primeiro

Cyber Security tem muitas trilhas. Algumas pessoas entram achando que querem “hackear”, mas descobrem que gostam mais de defesa, governança, investigação ou cloud.

Use este filtro rápido:

Quero encontrar e explorar falhas: siga neste guia, focado em pentest/red team.
Quero monitorar ataques e responder incidentes: procure trilhas de blue team, SOC e incident response.
Quero trabalhar com políticas, risco e conformidade: procure trilhas de GRC.
Quero investigar evidências e ataques depois que aconteceram: procure trilhas de forense digital.
Quero proteger aplicações durante o desenvolvimento: procure trilhas de AppSec e DevSecOps.
Quero proteger ambientes AWS, Azure ou Google Cloud: procure trilhas de cloud security.

Se você ainda não sabe, estude os fundamentos abaixo por algumas semanas. Eles servem para quase toda área de Cyber.

Trilha de estudo recomendada

Fase 0: Nunca tive muito contato com computador

Para quem só sabe navegar na internet, usar redes sociais ou mexer no celular, este é o começo certo. Não pule esta fase por vergonha. Ela evita muita frustração depois.

Aprenda:

O que é hardware e software.
Como arquivos, pastas, extensões e downloads funcionam.
Como instalar e remover programas.
Como usar navegador, e-mail, busca e armazenamento em nuvem.
Noções de segurança no uso diário: senha, autenticação em dois fatores, golpes e privacidade.
Pacote Office ou ferramentas equivalentes.

Cursos e conteúdos gratuitos:

Quantidade mínima recomendada: faça 2 a 3 conteúdos gratuitos desta fase antes de avançar. Se você já usa computador bem, pode fazer apenas o curso de sistemas operacionais da Cisco ou o de Fundamentos de TI da Fundação Bradesco como revisão.

Meta da fase: conseguir usar um computador sem medo, organizar arquivos, instalar programas, entender o que é um sistema operacional e explicar a diferença entre hardware e software.

Fase 1: Sistemas operacionais primeiro

Para pentest/red team, sistemas operacionais vêm antes de ferramentas. Você precisa entender o ambiente onde tudo acontece: processos, arquivos, usuários, permissões, serviços, logs e comandos.

No Windows, aprenda:

Usuários, grupos e permissões.
Painel de controle, configurações, serviços e eventos.
Compartilhamentos de rede.
PowerShell básico.
Conceitos iniciais de domínio e Active Directory.

No Linux, aprenda:

Terminal e comandos essenciais.
Estrutura de diretórios.
Permissões, donos e grupos.
Processos, serviços e logs.
Gerenciamento de pacotes.
Bash básico.

Cursos gratuitos:

Operating Systems Basics - Cisco NetAcad
Fundamentos de TI: Hardware e Software - Fundação Bradesco
OverTheWire Bandit para treinar terminal Linux do absoluto básico.

Cursos opcionais:

Pratique:

Instale Linux em uma máquina virtual ou use WSL.
Crie, mova, copie e apague arquivos pelo terminal.
Crie usuários locais no Windows e no Linux.
Veja logs do sistema.
Use cd, ls, pwd, cat, grep, find, ip, ss, ps, chmod e sudo.

Meta da fase: conseguir se movimentar em Windows e Linux entendendo o que está fazendo.

Fase 2: Redes de computadores

Depois de entender sistemas operacionais, redes começam a fazer mais sentido. Pentest sem redes vira chute.

Aprenda:

TCP/IP, portas, protocolos e serviços.
DNS, HTTP, HTTPS, SSH, FTP, SMB e SMTP.
IP, máscara, gateway, NAT, firewall e VPN.
Modelo OSI e encapsulamento.
Como usar ping, traceroute, nslookup, dig, netstat, ss, tcpdump e Wireshark.

Cursos gratuitos:

Networking Basics - Cisco NetAcad
Networking Devices and Initial Configuration - Cisco NetAcad
Pre Security - TryHackMe, principalmente os módulos de Network Fundamentals.

Pratique:

Descubra o IP da sua máquina.
Entenda sua rede local.
Use ping e traceroute.
Observe tráfego com Wireshark.
Faça pequenos mapas da sua rede doméstica.

Meta da fase: conseguir explicar o que acontece, em rede, quando você acessa um site.

Fase 3: Web e programação básica

Grande parte das vagas e laboratórios de pentest passam por aplicações web. Você não precisa virar desenvolvedor agora, mas precisa entender como aplicações funcionam.

Aprenda web:

Como uma requisição HTTP funciona.
Métodos HTTP, headers, cookies, sessões e códigos de resposta.
HTML, CSS e JavaScript no nível necessário para ler uma página.
APIs, JSON e autenticação.
Banco de dados e SQL básico.

Aprenda programação:

Python básico.
Bash básico.
PowerShell básico.
Git e GitHub.
Leitura de código em JavaScript, PHP ou outra linguagem comum em aplicações web.

Cursos gratuitos:

Web Fundamentos
Crie um site simples usando HTML, CSS e JavaScript - Fundação Bradesco
Web Security Academy - PortSwigger, para quando já souber o básico de HTTP.

Pratique:

Crie uma página HTML simples.
Use o DevTools do navegador.
Faça requisições e observe headers, cookies e respostas.
Escreva scripts simples em Python para ler arquivos e fazer requisições HTTP.

Meta da fase: entender como uma aplicação web conversa com navegador, servidor e banco de dados.

Fase 4: Introdução à Cyber e ao pentest

Aqui você começa a conectar fundamentos com segurança ofensiva. Ainda é começo, então o objetivo não é “invadir tudo”, é aprender metodologia.

Aprenda:

O que é segurança ofensiva.
Ética, autorização e escopo.
Metodologia de pentest.
Reconhecimento e enumeração.
Varredura de portas.
Vulnerabilidades web comuns.
Exploração em ambiente controlado.
Escrita de relatório.

Cursos gratuitos:

Pratique:

Faça salas iniciantes no TryHackMe.
Resolva máquinas fáceis com writeups depois da tentativa.
Documente o passo a passo como se fosse entregar para alguém.

Meta da fase: fazer uma máquina iniciante entendendo o motivo de cada comando.

Fase 5: Pentest web, Linux, Windows e Active Directory

Agora você aprofunda nos temas que aparecem com frequência em pentest real e em laboratórios.

Aprenda:

OWASP Top 10.
Enumeração Linux.
Enumeração Windows.
Privesc básica.
Serviços comuns: SMB, FTP, SSH, HTTP, bancos de dados.
Noções de Active Directory.
Uso de proxy web, fuzzing e exploração controlada.

Cursos e laboratórios gratuitos:

Cursos pagos opcionais:

Também vale pesquisar escolas como FIAP, Crowsec, Pato Academy e outras opções do mercado.

Pratique:

Labs de web vulnerável.
Máquinas fáceis e intermediárias.
Análise de writeups de pessoas experientes.
Relatórios curtos com evidência, impacto e recomendação.

Meta da fase: deixar de apenas “seguir receita” e começar a criar hipóteses durante a enumeração.

Fase 6: Portfólio e carreira

Esta fase é contínua. Não espere “terminar tudo” para começar a mostrar evolução.

Faça:

Publique anotações e writeups permitidos.
Monte um GitHub com scripts simples e estudos.
Atualize seu LinkedIn.
Faça networking com pessoas da área.
Treine explicação técnica, não só execução de comando.
Estude como se sair bem em entrevistas.

Conteúdos úteis:

Meta da fase: mostrar evolução, raciocínio e consistência.

Resumo de conteúdos gratuitos recomendados

Se você quer uma sequência objetiva e não exaustiva, faça nesta ordem:

Quantidade sugerida: estes 11 conteúdos gratuitos cobrem o início de computador, sistemas operacionais, redes, web, cyber e prática. Não precisa fazer tudo ao mesmo tempo. Faça por fase.

Laboratórios e prática

Prática é onde o estudo começa a fazer sentido.

Lista de máquinas gratuitas no TryHackMe
TryHackMe para salas guiadas e trilhas iniciantes.
Hack The Box Academy para fundamentos mais estruturados.
PortSwigger Web Security Academy para segurança web.
OverTheWire para Linux e lógica de terminal.
DVWA, Juice Shop e Metasploitable para laboratório local.

Como praticar melhor:

Tente antes de ver writeup.
Anote tudo: hipótese, comando, resultado e próximo passo.
Depois de resolver, refaça sem consultar.
Escreva um resumo do que aprendeu.
Separe comandos úteis por tema, mas entenda o que cada um faz.

Ferramentas que você vai encontrar

Não tente dominar todas de uma vez. Aprenda conforme a necessidade.

nmap: varredura e enumeração inicial.
Burp Suite: análise e teste de aplicações web.
Wireshark: análise de tráfego.
Gobuster ou ffuf: descoberta de diretórios e arquivos.
Netcat: conexões, testes e shells em laboratório.
Metasploit: exploração e estudo de módulos conhecidos.
BloodHound: análise de caminhos em Active Directory.
Impacket: interação e exploração em ambientes Windows/AD.

O foco não é decorar ferramenta. O foco é entender o problema que ela ajuda a investigar.

Em dúvidas sobre a escolha da PÓS em cyber?

A escolha da especialização ideal depende inteiramente do seu momento e objetivo profissional. Abaixo, resumo as melhores opções do mercado direto ao ponto e sem enrolação:

Objetivo: Certificação e Segurança Ofensiva

Recomendação: ACADI

Por que escolher: Ideal para quem busca um pacote completo no universo Red Team. Você ganha visibilidade de mercado, aplicação prática, uma visão geral de cyber e ainda foca na preparação para certificações reconhecidas (como a CEH).

Objetivo: Networking e Versatilidade (Ofensivo ou Defensivo)

Recomendação: FIAP

Por que escolher: Uma excelente vitrine profissional. É a escolha certa se você quer equilibrar prática com forte reconhecimento de marca, permitindo direcionar os estudos tanto para a proteção (Blue Team) quanto para o ataque (Red Team).

Objetivo: 100% Mão na Massa (Foco em Pentest)

Recomendação: DESEC, SOLYD ou GoHacking

Por que escolher: Para quem não tem tempo a perder com enrolação teórica. O ensino é estritamente técnico e direto ao ponto, perfeito para quem quer sentar e aprender na prática como executar testes de invasão reais.

Objetivo: Pontuar no Currículo (Custo-Benefício)

Recomendação: Instituições EAD de baixo custo

Por que escolher: Sendo pragmático, se a sua meta é apenas cumprir um requisito de RH, pontuar em concursos/editais ou ter o título de pós-graduação gastando o mínimo possível, qualquer EAD reconhecida pelo MEC vai resolver o seu problema.

Dica: Avalie seu momento de carreira. Se você já atua na área e quer hard skills, vá para a prática (Desec/Solyd/GoHacking). Se precisa de portas abertas em corporações, mire no networking (FIAP/ACADI).

Conteúdos complementares

Canais do YouTube

Vídeos úteis

Curso opcional

Wazuh no YouTube

Wazuh é mais ligado a monitoramento e defesa, então trate como conteúdo complementar se você quiser entender o outro lado da segurança.

LinkedIn, comunidade e empregabilidade

Invista tempo no LinkedIn desde o começo:

Crie um perfil claro e profissional.
Conecte-se com pessoas da área, recrutadores, empresas, líderes técnicos e comunidades.
Curta e comente posts com intenção real, não só para aparecer.
Publique o que está estudando, suas anotações e aprendizados.
Mostre evolução com pequenos projetos, labs e resumos.
Estude como se sair bem em entrevistas.

Para vagas iniciais, saber se comunicar pesa muito. Aprenda a explicar:

O que você testou.
Como encontrou o problema.
Qual é o impacto.
Como corrigir.
Quais foram suas limitações durante o teste.

Checklist do primeiro mês

Use este checklist para sair da inércia:

Caminho recomendado em uma frase

Aprenda computador e sistemas operacionais primeiro, depois redes e web, pratique em laboratório, documente o raciocínio e avance para pentest/red team com ética, paciência e consistência.