Dicas de por onde começar

para iniciantes
Introdução:
Olá, escrevo este roadmap com o intuito de ajudar iniciantes que desejam entrar na
área do hacking, mas não sabem por onde começar, o que estudar ou onde estudar.
Então, tentei ao máximo procurar boas fontes de estudo e dicas para vocês
conseguirem se guiar. Adicionei algumas coisas que podem ser, além de dicas de onde
iniciar, por pura empolgação de estar fazendo isso aqui. 

Adicionei o máximo de dicas, sites para leitura de alguns ataques, protocolos,

linguagens de programação etc.

OBS: Os links dos sites estão indexados em alguns subtítulos, nomes de sites, de
ferramentas e no último parágrafo de uma explicação; eles estarão em azul quando
estiverem com algum hyperlink. Qualquer problema, me chame pelo Instagram:
@uprisinghk ou pelo grupo no telegram de psycho.debian.

Sugestão de por onde começar:

Conhecimento Básico:
Comece com os fundamentos da segurança cibernética, como redes, sistemas
operacionais e protocolos.
Entenda os conceitos de criptografia, autenticação e autorização.
Programação e Scripting:
Aprenda a programar em linguagens como Python, C++, Java ou Ruby.
Familiarize-se com scripts para automação e testes.
Redes e Protocolos:
Estude TCP/IP, DNS, HTTP, HTTPS e outros protocolos.
Compreenda como os pacotes de dados são transmitidos pela rede.
Sistemas Operacionais:
Explore sistemas operacionais como Linux e Windows.
Saiba como funcionam os serviços, processos e permissões.
Ferramentas e Técnicas:
Conheça ferramentas como Nmap, Wireshark, Metasploit e Burp Suite.
Aprenda sobre varreduras de portas, análise de tráfego e exploração de
vulnerabilidades.
Tipos de Ataques:
Estude diferentes tipos de ataques, como:
Ataques de Força Bruta: Tentativas repetidas de adivinhar senhas.
Injeção de SQL: Explorar vulnerabilidades em bancos de dados.
Cross-Site Scripting (XSS): Inserir código malicioso em páginas da web.
Ataques DoS/DDoS: Sobrecarregar servidores ou redes.
Engenharia Social: Manipular pessoas para obter informações confidenciais.
Sites e Recursos para Estudar:
Fortinet - O que é hacking?
Blog da NordVPN - Tipos de hackers e ataques
Blog da Trybe - Ataques cibernéticos
 Conheça as Áreas Fundamentais:

 Lógica de Programação: Entenda os conceitos básicos.

Site: XPEDUCAÇÃO

 Programação: Aprenda a programar em linguagens como Python, C++ ou Java.

 Desenvolvimento Web: Explore HTML, CSS, JavaScript e frameworks.
 Redes de Computadores: Compreenda protocolos, roteamento e segurança.
 Banco de Dados: Saiba sobre SQL e bancos de dados relacionais.
 Sistemas Operacionais: Estude Windows, Linux e macOS.
 Segurança da Informação: Aprofunde-se em criptografia, autenticação e políticas de
segurança.

Fundamentos:

 Redes de Computadores:
Compreenda os protocolos básicos de rede, o modelo OSI, sub-redes e VPN.

 SITES:
Curso de Rede de Computadores do Básico ao Avançado na Udemy:
Este curso abrange desde os conceitos básicos de redes até tópicos avançados. Alguns
dos tópicos incluem topologias de rede, protocolos de comunicação, endereçamento
IP, modelos de referência (como o modelo OSI e TCP/IP), configuração de dispositivos
de rede (roteadores, switches e firewalls) e segurança de rede. É uma ótima opção para
estudantes de TI e profissionais que desejam aprimorar suas habilidades em redes de
computadores.

10 Melhores Cursos Online de Redes de Computadores (2024) no Guru99:

Esta lista inclui cursos online que ajudam a aprender sobre redes de computadores e
fornecem certificações. Alguns são gratuitos, enquanto outros são pagos. É uma
excelente maneira de reunir conhecimento nessa área .

Cursos Gratuitos de Redes na Learncafe:

O Learncafe oferece mais de 16 cursos online gratuitos na área de redes. Esses cursos
abrangem diversos tópicos relacionados a redes de computadores e vêm com
certificados de conclusão. Uma ótima opção para quem deseja aprender sem gastar
dinheiro .

Curso Grátis de Rede de Computadores no Curso em Vídeo:

O professor Gustavo Guanabara disponibiliza gratuitamente um curso de rede de
computadores no Curso em Vídeo. São 20 horas de aulas online voltadas para
iniciantes. Uma oportunidade para aprender os fundamentos dessa área .
 Habilidades em Computação:
Familiarize-se com operações básicas de computador, sistemas de arquivos e estruturas.

SITES:

Curso de Sistemas Operacionais - Básico na Udemy:

Este curso abrange desde os conceitos fundamentais dos sistemas operacionais até
tópicos avançados. Você aprenderá sobre sistemas operacionais como DOS, Windows,
MacOS e Linux, bem como a evolução desses sistemas. Além disso, o curso aborda o
gerenciamento de arquivos e diretórios usando o prompt de comandos. É uma ótima
opção para quem deseja entender como os sistemas operacionais funcionam .

Curso “Sistemas Operacionais e Você: Tornando-se um Usuário Avançado” no

Coursera:
Este curso explora os sistemas de arquivos nos sistemas operacionais Windows e
Linux. Você aprenderá sobre tipos de sistemas de arquivos e como eles diferem em
sistemas operacionais específicos .

Artigo sobre Sistemas de Arquivos, Tamanhos de Arquivos e Caminhos:

O artigo do Franco Garcia aborda os conceitos essenciais sobre sistemas de arquivos,
tamanhos de arquivos (bits, bytes, bibytes) e como o computador armazena dados em
discos. Ele também explica os caminhos absolutos e relativos para acessar arquivos e
diretórios .
 Sistemas Operacionais:
Adquira conhecimento em Windows, Linux e macOS. Foque mais em Linux: comandos,
sistema de arquivos, permissões e scripting.

Coursera: O curso “Sistemas Operacionais e Você: Tornando-se um Usuário Avançado”

oferece uma combinação de palestras em vídeo, demonstrações e atividades práticas.
Você aprenderá sobre os principais componentes de sistemas operacionais, como
gerenciamento de software, configuração de hardware e muito mais. O curso é
ministrado em português e faz parte da Certificação Profissional em Suporte de TI do
Google.
Toca do Tux: Este site brasileiro oferece conteúdo sobre Linux e outros sistemas
operacionais. Você encontrará tutoriais, notícias e dicas relacionadas ao mundo dos
sistemas operacionais.
Learncafe: O Learncafe oferece mais de 50 cursos online gratuitos na área de sistemas
operacionais. Você pode escolher entre diferentes tópicos e começar a estudar agora
mesmo.
Udemy: Na Udemy, você encontrará aulas online sobre sistemas operacionais,
abrangendo desde Linux e Mac OS até Microsoft e muito mais. Os cursos variam de
nível iniciante a avançado.
 Lógica e linguagem de programação:

 Python:
Descrição: Python é uma linguagem versátil, amplamente usada em hacking ético. Sua
sintaxe limpa e bibliotecas robustas facilitam a criação de ferramentas.

Aplicação no Hacking:
Scanners de Vulnerabilidade: Use Python para criar scanners que identificam
vulnerabilidades em sistemas, como varreduras de portas, detecção de serviços e análise de
vulnerabilidades.
Scripts de Automação: Automatize tarefas repetitivas, como testes de autenticação,
ataques de força bruta e exploração de falhas conhecidas.
Ferramentas de Engenharia Reversa: Crie scripts para analisar binários, descompilar
código e entender como os programas funcionam.

SITES:
CodeCademy: No CodeCademy, usuários podem se cadastrar e ter acesso gratuito a
uma grande quantidade de material de ensino, incluindo cursos de Python.
Coursera: O Coursera oferece uma variedade de cursos em diversas áreas, incluindo
Python. Além disso, você pode solicitar matrículas grátis em cursos pagos, embora nem
sempre essas solicitações sejam atendidas.
edX: O edX também oferece cursos gratuitos em linguagens de programação, incluindo
Python. Você pode participar das aulas gratuitamente criando uma conta na
plataforma.
FreeCodeCamp: No FreeCodeCamp, você pode acessar uma biblioteca de artigos e
tutoriais para aprender a programar em Python sem sair de casa. O site é totalmente
gratuito e oferece suporte em português.
Google Developers: O portal para desenvolvedores do Google oferece cursos gratuitos
online, incluindo Python. É recomendado ter conhecimento básico em programação
para aproveitar ao máximo os recursos disponíveis.
 Ruby:
Descrição: Ruby é uma linguagem dinâmica e expressiva. Embora não seja tão popular
quanto Python, ainda é usado em hacking ético.

Aplicação no Hacking:
Metasploit Framework: O Metasploit, escrito em Ruby, é uma ferramenta poderosa para
testes de penetração. Ele permite explorar vulnerabilidades conhecidas em sistemas.
Scripts de Exploits Personalizados: Ruby é usado para escrever exploits personalizados
para vulnerabilidades específicas.

SITES:
Curso de Ruby para Iniciantes: Este curso é voltado para iniciantes e abrange os
fundamentos da linguagem Ruby.
Tutorial Ruby – Acervo Lima: O Acervo Lima oferece um tutorial introdutório sobre
Ruby, abordando conceitos básicos e prática.
Ruby: para que serve essa linguagem de programação?: Este artigo explora as principais
aplicações da linguagem Ruby, incluindo seu uso no desenvolvimento web e em outras
áreas de software.
Ruby em Vinte Minutos: Este tutorial rápido oferece uma introdução à linguagem Ruby
em apenas 20 minutos.
A melhor maneira que encontrei para aprender Ruby: Um desenvolvedor compartilha
sua experiência e recomendações para aprender Ruby de forma eficiente.

 Go (Golang):
Descrição: Go é uma linguagem compilada, projetada para eficiência e desempenho. Ela
ganhou popularidade no campo de segurança cibernética.

Aplicação no Hacking:
Desenvolvimento de Ferramentas de Rede: Go é excelente para criar ferramentas de rede,
como scanners de portas, servidores proxy e sniffers.
Exploração de APIs e Serviços Web: Use Go para criar clientes HTTP personalizados e
explorar APIs e serviços web.

SITES:
Alura: A Alura oferece o curso “Go: a linguagem do Google”, que aborda desde os
conceitos básicos até a criação de projetos práticos. Você aprenderá sobre sintaxe,
convenções, pacotes e muito mais.
Cursou: No Cursou, você encontrará cursos gratuitos de Go (Golang). Esses cursos são
voltados para iniciantes e abordam tópicos como variáveis, estruturas de repetições e
funções.
Udemy: Na Udemy, você pode encontrar o curso “Go: The Complete Developer’s
Guide (Golang)”. Ele explora tanto os fundamentos quanto recursos avançados da
linguagem.
Edutin Academy: O curso “Go: Explorando a Linguagem do Google” é uma opção
gratuita e certificada. Ele abrange os conceitos essenciais do Go.
 Assembly:
Descrição: Linguagem de baixo nível usada para programação direta de hardware.

Aplicação no Hacking:
Shellcodes: Escreva shellcodes em Assembly para explorar vulnerabilidades de buffer
overflow.
Engenharia Reversa de Malware: Analise malware e exploite vulnerabilidades em binários.

SITES:
Bóson Treinamentos: Este site oferece um tutorial introdutório sobre a linguagem
Assembly. Você aprenderá sobre sua estrutura básica e instruções fundamentais.
Cursou: O Cursou disponibiliza um curso prático de Assembly, incluindo tópicos como
“Hello World”, entrada de dados e comparações.
Free Code Camp: Embora não seja exclusivamente brasileiro, o Free Code Camp oferece
habilidades em várias linguagens, incluindo Assembly. É uma ótima opção para
aprender gratuitamente.
myCompiler: Este compilador online permite que você escreva e compile código
Assembly instantaneamente, sem a necessidade de instalação.

 C/C++:
Descrição: Linguagens de baixo nível usadas para desenvolvimento de sistemas
operacionais e aplicativos de alto desempenho.

Aplicação no Hacking:
Rootkits: Crie rootkits em C/C++ para esconder atividades maliciosas em sistemas.
Exploits de Kernel: Desenvolva exploits para vulnerabilidades no kernel do sistema
operacional.

SITES:
Cursou: No Cursou, você encontrará os melhores cursos de Linguagem C e C++
online grátis. Aprenda a programar nesta linguagem estruturada, imperativa e
procedural.
Alura: A Alura oferece a Formação Linguagem C++, que abrange desde os
fundamentos até recursos avançados dessa linguagem. Você aprenderá sobre
orientação a objetos e dominará recursos essenciais.
Udemy: Na Udemy, você encontrará cursos gratuitos e pagos de C++, do básico ao
avançado. Esses cursos são ministrados por instrutores conceituados.
 SQL (Structured Query Language):
Descrição: Linguagem para interagir com bancos de dados.

Aplicação no Hacking:
SQL Injection: Aprenda a explorar falhas de segurança em consultas SQL para obter acesso
não autorizado a bancos de dados.

SITE:
SQLZoo: O SQLZoo oferece tutoriais interativos divididos em diferentes níveis de
dificuldade, desde iniciante até avançado. Você pode praticar suas habilidades em SQL
com exemplos práticos e exercícios.
Cursou: No Cursou, você encontrará cursos gratuitos de SQL com MySQL. Eles
abordam desde os conceitos básicos até tópicos mais avançados.
SQLTest.net: O SQLTest.net é uma plataforma online que permite que você pratique
suas habilidades em SQL com exemplos práticos e problemas do mundo real. Ele
oferece desafios e testes de SQL para avaliar suas habilidades e obter feedback sobre
como melhorar.
Prime Cursos: O Prime Cursos oferece um curso grátis de SQL em vídeo aulas. Você
aprenderá desde os conceitos básicos até consultas mais avançadas.
Técnicas de Segurança Básicas:

Criptografia:
Entenda criptografia e descriptografia, infraestrutura de chaves públicas, SSL e algoritmos
de hash.

SITES:
Curso online gratuito de treinamento em criptografia: A plataforma Cybrary oferece
este curso gratuito de criptografia que explica por que a criptografia é tão importante
para a segurança tecnológica. Você aprenderá sobre os diferentes métodos de
criptografia, como funcionam e como proteger e comparar dados usando hashes, entre
outros tópicos. O programa é dividido em três seções e é destinado a usuários
iniciantes. Para mais informações, acesse o site oficial do curso online de criptografia da
Cybrary.
Crypto 101: Este é um curso introdutório em criptografia, voltado para programadores
de qualquer idade. Além de um vídeo explicativo de 45 minutos, o curso inclui um
documento em PDF completo que aborda vários tópicos, com foco especial em como
quebrar chaves criptográficas. Para mais informações, acesse o curso de criptografia
Crypto 101.
Criptografia quântica: Este curso online foi desenvolvido em conjunto pela QuTech,
a Universidade de Tecnologia Delft (TU Delft) da Holanda e o Instituto de
Tecnologia da Califórnia (Caltech). Ele aborda ferramentas básicas para compreender,
projetar e analisar protocolos quânticos, distribuição de chaves quânticas e avaliação de
dispositivos quânticos não confiáveis. A duração do programa é de 10 semanas e será
ministrado em inglês. As inscrições estão abertas. Para mais informações e inscrições,
visite a página do curso sobre criptografia quântica.
Criptografia aplicada: Como parte do programa para desenvolvedores do Android,
o Google oferece, em parceria com a plataforma Udacity, um curso online de dois
meses em criptografia aplicada.
Análise Básica de Malware:
Aprenda sobre diferentes tipos de malware e seus comportamentos.

SITES:
Reversing Hub: Este canal no YouTube oferece uma variedade de tutoriais
sobre reversing. Embora não esteja focado exclusivamente na análise de malwares, ele
aborda técnicas e ferramentas para dar os primeiros passos nesse mundo. Você
encontrará vídeos sobre análise, técnicas de desofuscação, unpacking e injeção de
processos.

Cyber CDH | Ferramentas, táticas e técnicas: Se você procura exemplos de análise de

diferentes amostras de código malicioso, este canal pode ser interessante. Ele se
concentra na análise de amostras de malwares conhecidos, como WannaCry, Bad
Rabbit, Pegasus e Emotet. Além disso, oferece dicas sobre montar um laboratório de
análise de malwares.

Kindred Security: Embora tenha menos horas de vídeos, este canal apresenta materiais
interessantes. Os vídeos abordam análise de amostras usando o PowerShell, entre
outras linguagens de scripting. Destaque para o vídeo sobre desempacotador de
executáveis UPC de forma manual.

hasherezade: Este canal é útil para quem deseja aprender a usar ferramentas
como Immunity Debugger, OllyDbg, Scylla ou PE-bear. Os vídeos mostram análises
passo a passo de várias famílias de malwares.

Noções Básicas de Leis Cibernéticas:

Familiarize-se com as leis cibernéticas vigentes em sua região.

Configuração de Laboratório:
Antes de mergulhar no hacking, crie um ambiente controlado para praticar:

Virtualização:
Aprenda a usar plataformas como VMware ou VirtualBox, softwares de virtualizações para
estudar sistemas operacionais, testes de invasões em máquinas isoladas, testes de malwares
etc.

Vídeo referência:
VMWARE
Virtualbox
 Instale Sistemas Vulneráveis:
Metasploitable, DVWA (Damn Vulnerable Web Application), WebGoat, etc.

Conhecimento de Ferramentas:
 Nmap & Zenmap:
Para varredura de portas e mapeamento de rede.
 Wireshark:
Para análise de tráfego de rede.
 Metasploit:
Para descoberta de vulnerabilidades e exploração.
 John the Ripper & Hydra:
Para quebra de senhas.
 Burp Suite & OWASP ZAP:
Para avaliação de vulnerabilidades em aplicações web.

APRENDA VULNERABILIDADES:
EXEMPLO

 Quebra de Controle de Acesso (Broken Access Control):

Exemplos: Acesso não autorizado a recursos, manipulação de parâmetros de URL.
Como efetuado?
Modificação de Parâmetros na URL:
Um método comum é alterar os parâmetros em uma URL para acessar recursos não
autorizados.
Por exemplo, se você tem uma aplicação com URLs
como https://sitealvo.com/recurso?id=123, um atacante pode tentar modificar
o valor do parâmetro id para acessar outros recursos.
Forçar a Navegação:
Isso envolve navegar diretamente para URLs específicas sem passar pelos controles
de acesso.
Por exemplo, se você tem uma página de administração
em https://sitealvo.com/admin, um atacante pode tentar acessá-la diretamente
sem autenticação.
Manipulação do Estado Interno da Aplicação:
Alguns aplicativos armazenam informações de estado na URL, como tokens de sessão
ou IDs de sessão.
Um atacante pode tentar modificar esses valores para obter acesso não autorizado.
Ferramentas de Ataque:
Existem ferramentas específicas projetadas para modificar solicitações de API.
Um atacante pode usar essas ferramentas para forjar solicitações e contornar os
controles de acesso.
SITE PARA ESTUDOS SOBRE: A01:2021 – BROKEN ACCESS CONTROL, BRIGHT,
HACKERNOON, AUTHGEAR
 Exposição de Dados Sensíveis (Sensitive Data Exposure):
Podem ser encontradas por dorks
Exemplos: Dados confidenciais expostos, senhas armazenadas de forma inadequada.

DORKS:

Google Docs: Use a seguinte dork para encontrar dados sensíveis em documentos do
Google Docs:
site:docs.google.com inurl:"/d/" "example.com"

OneDrive: Para encontrar apresentações internas e fotos privadas acidentalmente

tornadas públicas no OneDrive da Microsoft:
site:onedrive.live.com "example.com"

Dropbox: Para revelar links do Dropbox contendo código-fonte, informações

proprietárias ou até mesmo dados de clientes:
site:dropbox.com/s "example.com"

Box: Descubra arquivos sensíveis, como relatórios internos e contratos de clientes,

pesquisando por arquivos hospedados no Box:
site:box.com/s "example.com"

Azure DevOps: Encontre informações críticas, como chaves de API, tokens de

autenticação e repositórios não seguros, usando a dork para o Azure DevOps:
site:dev.azure.com "example.com"

SharePoint: Explore o SharePoint da Microsoft para encontrar comunicações internas,

planos de projetos e registros de funcionários disponíveis ao público:
site:sharepoint.com "example.com"

DigitalOcean Spaces: Desenterre arquivos suculentos, como backups de bancos de

dados, arquivos de configuração e logs armazenados no DigitalOcean Spaces:
site:digitaloceanspaces.com "example.com"

Firebase: Pesquise por arquivos hospedados no Firebase para revelar segredos de

aplicativos, dados de usuários e até mesmo endpoints de API privados:
site:firebaseio.com "example"
 Configuração Incorreta de Segurança (Security Misconfiguration):
Exemplos: Configurações incorretas de servidores, bancos de dados, APIs.
Utilização de Componentes com Vulnerabilidades Conhecidas (Using Components
with Known Vulnerabilities):
Linguagens: Nenhuma específica.
Exemplos: Uso de bibliotecas desatualizadas com falhas conhecidas.

SITES:

OWASP Top 10:2021 - Configuração Incorreta de Segurança:

O OWASP (Open Web Application Security Project) é uma organização dedicada à

segurança de aplicativos da web. O tópico Configuração Incorreta de
Segurança aborda erros como cabeçalhos HTTP mal configurados, mensagens de erro
verbosas, bancos de dados abertos à internet e outras questões relacionadas à
configuração inadequada de servidores, bancos de dados e APIs. Este é um dos dez
principais riscos de segurança identificados pelo OWASP1.

GoCache - Security Misconfiguration:

O GoCache explica que a Configuração Incorreta de Segurança pode minar as

defesas de um sistema, permitindo uma variedade de ataques e impactos. Isso inclui
cabeçalhos HTTP mal configurados, cabeçalhos desnecessários, mensagens de erro
verbosas e bancos de dados expostos à internet2.

Registro.br - A9:2017-Using Components with Known Vulnerabilities:

O Registro.br discute a vulnerabilidade de Utilização de Componentes com

Vulnerabilidades Conhecidas. Essa vulnerabilidade ocorre quando aplicativos usam
componentes com falhas de segurança já conhecidas, o que pode resultar em sérias
perdas de dados ou comprometimento do servidor3.

Melhor Hospedagem de Sites - Components with Known Vulnerabilities: Como

funciona?:

Este artigo explora como a Utilização de Componentes com Vulnerabilidades

Conhecidas pode afetar organizações. Uma única vulnerabilidade pode ser explorada
por invasores para obter acesso a informações confidenciais, interromper serviços ou
executar códigos maliciosos
 Segurança de Aplicações Web:
Injeção SQL, XSS, CSRF, problemas de gerenciamento de sessão, entre outros.

 Injeção de Código (Injection):

Linguagens: SQL, NoSQL, OS Command, LDAP, etc.
Exemplos: SQL Injection, Command Injection.

 Cross-Site Scripting (XSS):

 Linguagens: JavaScript, HTML.
 Exemplos: Reflected XSS, Stored XSS, DOM-based XSS.

Como Funciona o XSS:

Imagine um site de comentários onde os usuários podem postar mensagens. Se o site

não sanitizar adequadamente os dados inseridos pelos usuários, um invasor pode
inserir um script malicioso como parte do comentário.

Quando outro usuário visualiza esse comentário, o navegador dele executa o código
malicioso sem que ele perceba. Isso ocorre porque o navegador confunde o código
injetado com o conteúdo legítimo da página.

Tipos de XSS: Existem três tipos principais de XSS:

Reflected XSS:

Nesse cenário, o código malicioso é injetado como parte de um parâmetro na URL. Por
exemplo:

https://sitealvo.com/search?query=<script>alert('XSS!')</script>

Se o site não escapar corretamente o valor do parâmetro “query”, o script será

executado no navegador do usuário.

Stored XSS:

Aqui, o código malicioso é armazenado no servidor (por exemplo, em um banco de

dados) e exibido para todos os usuários que acessam uma determinada página.

Um exemplo seria um fórum onde um invasor posta um tópico contendo um script

malicioso. Todos os visitantes desse tópico seriam afetados.

DOM-based XSS:

Nesse caso, o código malicioso manipula o Document Object Model (DOM) da página
diretamente no lado do cliente.

Por exemplo, se um site usa JavaScript para exibir mensagens de erro, um invasor pode
inserir um script que modifica essas mensagens para algo malicioso.
Exemplos de Ataques XSS:

Roubo de Cookies:

Um invasor pode injetar um script que rouba o cookie de autenticação do usuário. Esse
cookie pode ser usado para se passar pelo usuário legítimo.

Redirecionamento Malicioso:

O invasor pode redirecionar o usuário para um site falso, onde ele é solicitado a inserir
suas credenciais.

Defacement (Desfiguração):

O invasor pode alterar o conteúdo da página para exibir mensagens ofensivas ou

propaganda.

Tipos de XSS:
Reflected XSS:
O código malicioso é refletido de volta ao usuário após ser inserido na URL ou em
campos de entrada.
Exemplo: Um link malicioso que, quando clicado, executa um script no navegador da
vítima.

Stored XSS:
O código malicioso é armazenado no servidor e exibido para todos os usuários que
acessam a página.
Exemplo: Um comentário em um fórum que contém um script malicioso.

DOM-based XSS:
O ataque ocorre no lado do cliente, manipulando o Document Object Model (DOM)
da página.
Exemplo: Um script que modifica o conteúdo da página após o carregamento.

SITES PARA ESTUDAR SOBRE: SOFTWARE TESTING HELP, KASPERSKY, XLABS,

AMICATEK, HACKERSEC
 O QUE É LFI e RFI?

Inclusão de Arquivo Remoto (RFI):

A RFI é uma vulnerabilidade séria em aplicações web. Ela ocorre quando um aplicativo
permite que um invasor inclua arquivos externos maliciosos que são executados
posteriormente pelo próprio aplicativo.
Como funciona:
O invasor manipula os dados fornecidos pelo usuário para incluir arquivos remotos.
Esses arquivos podem conter código malicioso, como scripts PHP ou outros comandos.
Impactos da RFI:
Divulgação de informações confidenciais.
Cross-Site Scripting (XSS).
Execução remota de código.
Comprometimento total do sistema.
Prevenção:
Evitar a inclusão de arquivos com base na entrada do usuário.
Manter uma lista de permissões de arquivos que podem ser incluídos.
Validar corretamente os dados de entrada.

Como Funciona a RFI:

O invasor manipula os dados fornecidos pelo usuário para incluir arquivos remotos.
Esses arquivos podem conter código malicioso, como scripts PHP ou outros comandos.
Quando o aplicativo executa esses arquivos, o invasor pode obter acesso não
autorizado ou executar ações prejudiciais.
Impactos da RFI:
Divulgação de Informações Confidenciais: O invasor pode acessar dados sensíveis
armazenados no servidor.
Cross-Site Scripting (XSS): A RFI pode ser usada para injetar scripts maliciosos em
páginas da web, afetando outros usuários.
Execução Remota de Código: O invasor pode executar comandos arbitrários no
servidor.
Comprometimento Total do Sistema: Se o invasor obtiver controle total, pode
comprometer todo o sistema.
Prevenção da RFI:
Validação de Entrada: Evite a inclusão de arquivos com base na entrada do usuário.
Valide corretamente os dados fornecidos.
Lista de Permissões de Arquivos: Mantenha uma lista de arquivos permitidos para
inclusão.
Segurança do Servidor: Configure o servidor para evitar a execução de arquivos
remotos.
Controle de Acesso: Restrinja o acesso a diretórios e arquivos sensíveis.

Sites para Aprender Mais sobre RFI:

The Ultimate Guide to Construction RFIs: Este guia aborda RFIs no contexto da
construção civil, mas os princípios podem ser aplicados a outras áreas.

RFI Guide: Basics, Tips and Template: Oferece informações básicas e modelos de RFI.

A Guide to Understanding RFIs in Construction: Embora focado na construção, este guia

explica conceitos essenciais que se aplicam a outras indústrias.
 Inclusão de Arquivo Local (LFI):
A LFI ocorre quando um aplicativo web inclui arquivos locais sem validar
adequadamente os dados fornecidos pelo usuário.
Como funciona:
O aplicativo inclui arquivos com base na entrada do usuário.
O invasor manipula essa entrada para incluir arquivos locais do servidor web.
Impactos da LFI:
Exposição de informações confidenciais.
Execução de código arbitrário.
Comprometimento do sistema.

SITES:
File Inclusion/Path traversal | HackTricks:
Este guia abrangente oferece informações detalhadas sobre LFI, incluindo técnicas de
teste e exemplos práticos. Ele cobre tópicos como wrappers PHP, técnicas de null byte,
truncamento, contaminação de arquivos de log e muito mais.

Local File Inclusion (LFI) — Web Application Penetration Testing:

Este artigo explica o que é uma vulnerabilidade de LFI e como ela funciona. Ele também
fornece exemplos práticos e técnicas para detectar e explorar vulnerabilidades de LFI
em aplicações web.

TryHackMe: Inclusion(LFI) Walkthrough:

Este walkthrough detalha um desafio de LFI no TryHackMe, com exemplos práticos e
explicações passo a passo.

LFI Attack: Real Life Attacks and Attack Examples:

Este artigo explora exemplos reais de ataques de LFI, incluindo brechas famosas como
o hack do Adult Friend Finder e o ataque ao TimThumb. Ele também discute os riscos
associados a essas vulnerabilidades e como preveni-las
 Web Security Academy:
A Web Security Academy oferece treinamento online gratuito em segurança de
aplicativos da web. Ela inclui laboratórios interativos para praticar ataques e aprender
sobre vulnerabilidades em cenários reais. Alguns tópicos abordados são:
Injeção SQL: Compreenda como ataques de injeção SQL podem explorar falhas em
consultas de banco de dados.
Cross-Site Scripting (XSS): Aprenda sobre ataques que injetam scripts maliciosos em
páginas web.
Cross-Site Request Forgery (CSRF): Explore como ataques CSRF podem enganar
usuários para executar ações não intencionais em sites.
E muito mais!

 Veracode Web Application Vulnerabilities:

A Veracode oferece uma biblioteca abrangente de soluções, artigos e guias sobre
vários tipos de vulnerabilidades web. Alguns tópicos incluem:
XSS (Cross-Site Scripting): Entenda como esses ataques podem comprometer a
segurança dos usuários.
SQL Injection: Saiba como evitar vulnerabilidades em consultas SQL.
CSRF: Aprofunde-se na prevenção contra ataques de falsificação de solicitação entre
sites.

 OWASP Vulnerable Web Applications Directory:

Este diretório contém aplicações web intencionalmente vulneráveis disponíveis para
testes legais de segurança. Ele é categorizado em:
Online: Aplicações web disponíveis na Internet.
Offline: Aplicações que podem ser executadas localmente.
Mobile: Aplicações móveis vulneráveis.
VMs/ISOs: Máquinas virtuais e imagens ISO com vulnerabilidades.

LIVRO
The Web Application Hacker’s Handbook:
Livro escrito por Dafydd Stuttard, um especialista em segurança de aplicações web.
Aborda técnicas de hacking e exploração de vulnerabilidades.
 Ferramentas para Testar Vulnerabilidades Web:

Burp Suite:
Uma suíte de ferramentas líder para testes de segurança em aplicações web.
A versão gratuita, Burp Suite Community Edition, permite experimentação e aprendizado.

Web Security Dojo:

Uma máquina virtual com várias ferramentas, como Burp Suite e ratproxy, além de
máquinas-alvo (como WebGoat).
Ambiente de treinamento de código aberto baseado no sistema operacional Ubuntu.

OpenVAS:
O OpenVAS é um scanner de vulnerabilidades de código aberto que verifica servidores
e dispositivos de rede em busca de falhas de segurança. Ele gera relatórios detalhados
e pode ser usado de um servidor externo.

Metasploit:
O Metasploit é um framework de teste de penetração amplamente utilizado. Ele
permite escrever, testar e executar códigos de exploração. O Metasploit ajuda a verificar
vulnerabilidades, gerenciar avaliações de segurança e melhorar a conscientização sobre
segurança.

SQLMap:
O SQLMap é uma ferramenta automatizada para testes de injeção de SQL em
aplicações web. Ele detecta e explora vulnerabilidades de injeção de SQL em bancos de
dados.

OWASP ZAP:
O OWASP ZAP é uma ferramenta de segurança de aplicativos web. Ele ajuda a
encontrar vulnerabilidades como XSS, CSRF e injeção de SQL, além de permitir a
automação de testes.

W3af:
O W3af é um framework de teste de segurança de aplicações web. Ele identifica
vulnerabilidades como XSS, RFI, LFI e outros problemas de segurança.

BeEF:
O BeEF (Browser Exploitation Framework) é usado para explorar vulnerabilidades em
navegadores da web. Ele permite testar e explorar falhas em navegadores e seus
complementos.

Skipfish:
O Skipfish é uma ferramenta de varredura de segurança de aplicativos web. Ele verifica
páginas da web em busca de vulnerabilidades e problemas de segurança.

Vega: O Vega é uma plataforma de teste de segurança de aplicativos web. Ele verifica
vulnerabilidades como XSS, SQLi e outras falhas de segurança.
Segurança de Rede:

Fundamentos de Redes:
Comece com os conceitos básicos de redes, como protocolos, topologias,
endereçamento IP, roteamento e sub-redes. Isso ajudará você a entender como os
dados fluem pela rede.

IBM - Os Fundamentos da Rede:

Este artigo da IBM explica o que são redes de computadores, como elas funcionam e a
arquitetura usada para projetá-las. Ele aborda tipos de redes, como LAN, WAN, WLAN e
MAN, além de detalhar os protocolos de comunicação e a importância da segurança na
manutenção das redes.

Curso Online - Arquitetura e Protocolos de Rede TCP-IP:

Este curso aborda os fundamentos da arquitetura TCP/IP, projeto de endereçamento IP,
cálculo de máscaras de sub-redes, roteamento estático e dinâmico, protocolos TCP e
UDP, entre outros tópicos relevantes.

Rede de Computadores - UFPR:

Este material da Universidade Federal do Paraná (UFPR) explora conceitos como
componentes de redes empresariais, tipos de conexões (cabo, fibra óptica, microondas,
etc.) e outros aspectos dos fundamentos de redes.

Alura - Rede de Computadores:

Neste artigo da Alura, você encontrará informações sobre os fundamentos das redes de
computadores, suas implementações práticas e as áreas em que você pode atuar
profissionalmente. Ele também fornece dicas sobre o que estudar e como se tornar um
especialista na área.

Modelo OSI e TCP/IP:

Estude o Modelo OSI (Open Systems Interconnection) e a arquitetura TCP/IP. Esses
modelos descrevem as camadas de comunicação em uma rede e são essenciais para
entender como os dispositivos interagem.
SITES:
Estratégia Concursos - Modelos OSI e TCP/IP: Principais Diferenças:
Este artigo aborda as principais diferenças entre os modelos OSI e TCP/IP. Ele explica os
conceitos básicos de redes, como protocolos, camadas e comunicação entre
dispositivos. Além disso, fornece uma comparação detalhada entre os dois modelos1.

Check Point Software - Modelo OSI vs. Modelo TCP/IP:

Este artigo compara o modelo OSI e o modelo TCP/IP. Ele destaca as diferenças e
semelhanças entre os dois modelos, bem como sua aplicação na segurança de rede.

DlteC do Brasil - Diferença entre OSI e TCP/IP:

Neste artigo, você encontrará informações sobre as diferenças entre o modelo OSI e o
TCP/IP. Ele aborda o número de camadas em cada modelo e como eles se relacionam
com a implementação da Internet.

Alura - Conhecendo o Modelo OSI:

Este artigo da Alura explora o modelo OSI e suas 7 camadas. Ele também compara o
modelo OSI com o modelo TCP/IP, destacando suas diferenças e aplicações no mundo
real.

Firewalls e Segurança Perimetral:

Aprenda sobre firewalls, suas regras e como eles protegem a rede. Explore diferentes
tipos de firewalls, como firewalls de próxima geração e firewalls de aplicativos.

SITES:
Kaspersky - Firewall: significado e definição
phoenixNAP - O que é um firewall de perímetro?
SOFTWALL - Firewall, IPS, IDS e WAF: como cada um atua?
Controle de Acesso e Autenticação:
Estude métodos de autenticação, como senhas, tokens e autenticação multifator.
Compreenda como o controle de acesso limita quem pode acessar recursos na rede.

SITES:
Cloudflare - O que é controle de acesso? | Autorização X autenticação:
Este artigo explica o conceito de controle de acesso, diferenças entre autorização e
autenticação, e como esses processos protegem informações e recursos. Ele também
aborda exemplos do mundo real e métodos de autenticação, como senhas, tokens e
autenticação multifator.

Cursa - Autenticação e Controle de Acesso:

Este curso online gratuito aborda a autenticação e o controle de acesso como
componentes essenciais da segurança da informação. Ele explora como proteger dados
contra acessos não autorizados e garantir que apenas usuários autorizados tenham
acesso aos recursos necessários.

N&DC - O que é o Controle de Acesso à rede e quais as vantagens para a sua empresa?:
Este artigo discute o controle de acesso à rede (NAC) e como ele limita o acesso a
recursos e dados. Ele também destaca a importância de ter ferramentas que forneçam
visibilidade e controle de acesso para fortalecer a infraestrutura de segurança de rede.

Criptografia e VPNs:
Explore criptografia, algoritmos criptográficos e como eles protegem a
confidencialidade dos dados. Aprenda sobre redes privadas virtuais (VPNs) para
comunicações seguras.

SITES:
Surfshark - Criptografia VPN explicada em detalhes:
Este artigo explica a criptografia de VPN de forma detalhada. Ele aborda os tipos de
criptografia, o padrão de criptografia avançada e como a criptografia funciona em uma
VPN. Também menciona métodos de autenticação, como o aplicativo Microsoft
Authenticator e tokens de hardware.
NordVPN - O que é criptografia de VPN de última geração?:
A NordVPN explica como a criptografia de VPN protege seus dados online, oculta sua
identidade e garante segurança e privacidade. Uma criptografia forte é fundamental
para qualquer VPN.
Kaspersky - O que é uma VPN e como funciona?:
Este artigo da Kaspersky explica o conceito de VPN, como ela funciona e como a
criptografia protege seus dados durante a comunicação. Ele também menciona a
ocultação da identidade online.
TIEspecialistas - VPN e Criptografia:
Este artigo discute como a criptografia é usada para proteger os dados transmitidos em
uma VPN. Ele também menciona métodos de autenticação, como o aplicativo Microsoft
Authenticator e chaves de segurança
 Criptográfia:

 A criptografia é uma disciplina fundamental no mundo digital, e seu estudo é crucial

para diversos aspectos da segurança cibernética.
 Proteção de Dados:
A criptografia é usada para proteger informações confidenciais, como senhas, dados
bancários e comunicações pessoais.
Sem criptografia, esses dados estariam vulneráveis a ataques e interceptações.
 Comunicações Seguras:
A criptografia é aplicada em comunicações online, como e-mails, mensagens
instantâneas e chamadas de voz.
Ela garante que apenas o destinatário correto possa decifrar a mensagem.
 Transações Financeiras:
A criptografia é essencial para transações bancárias online, compras com cartão de
crédito e transferências de dinheiro.
Ela protege contra fraudes e roubo de informações financeiras.
 Segurança de Redes e Sistemas:
A criptografia é usada para proteger redes, servidores e sistemas operacionais.
Ela ajuda a prevenir ataques, como interceptação de dados, invasões e exploração de
vulnerabilidades.
 Criptomoedas e Blockchain:
As criptomoedas, como o Bitcoin, dependem de algoritmos criptográficos para garantir
transações seguras e descentralizadas.
A tecnologia blockchain também usa criptografia para manter registros imutáveis e
transparentes.
 Hacking Ético e Defesa Cibernética:
No campo do hacking ético, os profissionais usam conhecimentos em criptografia para
testar a segurança de sistemas e redes.
Eles identificam vulnerabilidades e ajudam a fortalecer as defesas.
 Sites para estudar sobre:
 Cursos Online Gratuitos:
Curso de Treinamento em Criptografia (Cybrary): Este curso gratuito explica por que
a criptografia é importante para a segurança tecnológica e como proteger informações
usando diferentes métodos criptográficos.
Crypto 101: Um curso introdutório em criptografia, com foco especial em quebrar
chaves criptográficas.
Criptografia Quântica: Um programa interdisciplinar que explora protocolos quânticos
e distribuição de chaves quânticas.
 Plataformas de Aprendizado:
Khan Academy: Oferece uma série de lições sobre criptografia, desde os princípios
básicos até tópicos avançados.
Udemy: Possui diversos cursos sobre criptomoedas, incluindo desde o básico até o
avançado.
 Leitura e Estudo:
IBM: O site da IBM oferece informações detalhadas sobre criptografia, incluindo
conceitos, importância e exemplos.
Clicksign: Um guia completo sobre criptografia, explicando como funciona e sua
importância na proteção de dados.
Netcentric Security: Um guia completo para iniciantes, abordando os fundamentos da
criptografia
Detecção e Prevenção de Intrusões (IDS/IPS):
Saiba como os sistemas de IDS (Intrusion Detection System) e IPS (Intrusion Prevention
System) monitoram e respondem a atividades suspeitas na rede.

SITES:
Starti Soluções em Tecnologia - IDS/IPS: O que é e como funciona?:
Este artigo explica o que são IDS (Sistemas de Detecção de Intrusão) e IPS (Sistemas
de Prevenção de Intrusão). Ambos examinam o tráfego na rede para detectar e
prevenir acessos não autorizados, protegendo-a contra exploração de
vulnerabilidades. O artigo também aborda a importância desses sistemas na
cibersegurança corporativa.

Varonis - IDS vs. IPS: qual a diferença?:

Este artigo compara IDS e IPS. O IDS analisa o tráfego em busca de assinaturas de
ataques conhecidos, enquanto o IPS não apenas detecta, mas também impede que os
pacotes sejam entregues com base nos tipos de ataques detectados. Ele ajuda a
interromper os ataques antes que causem danos.

Juniper Networks - O que é o IDS e o IPS?:

Este artigo da Juniper Networks explica como IDS e IPS monitoram constantemente a
rede, identificando possíveis incidentes e registrando informações sobre eles. Eles
também param os incidentes e comunicam-nos aos administradores de segurança
Segurança de E-mails e Gateways:
Estude como os gateways de e-mail protegem contra ameaças como phishing, malware
e spam. Aprenda sobre filtros de conteúdo e políticas de segurança.

SITES:
Filtragem de conteúdo da Web | Microsoft Learn:

Este artigo explica a filtragem de conteúdo da Web e como ela faz parte dos recursos
de proteção da Web no Microsoft Defender para Ponto de Extremidade e Microsoft
Defender para Empresas. A filtragem de conteúdo da Web permite que sua
organização acompanhe e regule o acesso a sites com base em suas categorias de
conteúdo. Ela ajuda a bloquear sites indesejados, como spam, phishing, malware e
outros tipos de conteúdo prejudicial. Você pode configurar políticas para bloquear
determinadas categorias e auditar outras. Além disso, a filtragem de conteúdo da Web
está disponível nos principais navegadores da Web, como Microsoft Edge, Chrome,
Firefox, Brave e Opera.

Implementação de políticas de segurança e filtros de conteúdo:

Este artigo aborda a implementação de políticas de segurança e filtros de

conteúdo. Esses elementos são essenciais para garantir a proteção e a integridade dos
sistemas e redes de uma organização. A implementação adequada dessas políticas e
filtros é fundamental para prevenir ataques cibernéticos, vazamento de informações
confidenciais e acesso não autorizado a recursos corporativos.

Segurança de rede: qual a diferença entre filtro de conteúdo e firewall:

Este artigo compara o filtro de conteúdo com o firewall. Enquanto o firewall bloqueia
conteúdos indesejados, o filtro de conteúdo define quais sites podem ou não ser
acessados. Ambos são importantes para garantir a segurança da rede e proteger contra
ameaças cibernéticas.

Filtro de Conteúdo: Como funciona na prática e protege o seu negócio:

Este artigo explora como o filtro de conteúdo funciona na prática e protege os

negócios. Ele destaca a importância do filtro de conteúdo para evitar ameaças como
hacking, phishing, malware e vírus. O filtro de conteúdo atua como uma segurança
adicional na rede, prevenindo a engenharia social e fraudes
 Segurança Sem Fio (Wi-Fi):

Aprofunde-se em segurança Wi-Fi, como autenticação WPA/WPA2, criptografia e

proteção contra ataques de força bruta.

SITES:
WEP (Wired Equivalent Privacy):
O WEP foi o primeiro padrão de criptografia usado para proteger redes Wi-Fi, mas é
altamente vulnerável e não é mais recomendado.
Saiba mais sobre WEP.

WPA (Wi-Fi Protected Access):

Substituiu o WEP e oferece maior segurança. Utiliza o protocolo TKIP e é uma opção
melhor, mas ainda possui algumas vulnerabilidades.
Saiba mais sobre WPA.

WPA2 (Wi-Fi Protected Access 2):

É o padrão atual e o mais seguro. Utiliza criptografia AES (Advanced Encryption
Standard) e é amplamente recomendado para proteger redes Wi-Fi.
Saiba mais sobre WPA2.

MAIS RECURSOS DE ESTUDOS:

NetSpot: Oferece informações detalhadas sobre WEP, WPA, WPA2 e WPA3.

TecMundo: Explica as diferenças entre esses protocolos e suas implicações de

segurança.

AVG Signal: Fornece insights sobre WPA2 e sua importância na proteção de redes sem
fio.

Documentação e Recursos Online:

Leia blogs, artigos, tutoriais e documentação de fornecedores de segurança de rede.

Acompanhe as últimas tendências e ameaças.

 Ataque Man-in-the-Middle (MitM):

O MitM é um ataque voltado à interceptação da comunicação entre dois hosts por um
agente malicioso. O atacante se posiciona entre os hosts e pode manipular o tráfego
interceptado de diversas formas. Geralmente, o criminoso precisa estar na mesma rede que
os hosts alvos para alterar suas tabelas de roteamento.

 Execução do ataque:
O atacante se faz passar pelo endereço de destino da vítima, como o gateway padrão, e
começa a receber todas as requisições da vítima.
Ferramentas como o Ettercap podem automatizar esse ataque, alterando a tabela ARP para
redirecionar o tráfego.
 Spoofing ARP (Envenenamento de Cache ARP):
Nesse ataque, o invasor falsifica mensagens ARP para associar seu próprio endereço MAC
ao endereço IP de outro host, como o gateway. Isso faz com que o tráfego destinado a esse
IP seja enviado ao atacante.

SITES:
PowerDMARC - ARP Spoofing: Qual é o objetivo de um ataque de ARP Spoofing?:
Este artigo explica o que é o ARP Spoofing, como funciona e qual é o objetivo desse
tipo de ataque. Ele também discute como os hackers podem interceptar dados entre
dispositivos na rede usando mensagens ARP falsas.

Fun Informatique - Envenenamento de cache ARP: como um hacker pode espionar

seu Wi-Fi:
Este artigo explora o Envenenamento de Cache ARP, que é um ataque que explora a
falha do protocolo ARP para controlar o tráfego e até mesmo interrompê-lo. Ele
detalha como os hackers podem usar essa técnica para espionar redes.
 Segurança Sem Fio:

Quebra de WEP/WPA/WPA2, pontos de acesso falsos, ataques gêmeos maliciosos.

 Análise e Engenharia Reversa de Malware:
Analisando comportamento, código e intenção de software malicioso.
 Segurança em Nuvem:
Vulnerabilidades em infraestrutura de nuvem, buckets S3 mal configurados, etc.

 Forense Digital:
Ferramentas e técnicas para recuperação de evidências.
 Resposta a Incidentes:
Como gerenciar, mitigar e se recuperar de incidentes de segurança.

Experiência Prática:

 Capture The Flag (CTF):

Sites como:
 TryHackMe: Plataforma de treinamento em segurança cibernética com lições
gamificadas.
 247CTF: Ambiente de aprendizado de segurança onde você pode testar suas
habilidades em várias categorias de CTF, incluindo web
 CTF365: Plataforma de treinamento em CTF com desafios variados.
 Hack The Box: Plataforma de CTF com máquinas virtuais para invasão.
 RingZer0 Team Online CTF: Oferece mais de 200 desafios para testar suas habilidades
em várias áreas, incluindo criptografia, análise de malware e injeção SQL

 Programas de Recompensa por Bugs:

Plataformas como HackerOne, Bugcrowd e Open Bug Bounty.

Certificações:
 CEH (Certified Ethical Hacker)
 OSCP (Offensive Security Certified Professional)
 CISSP (Certified Information Systems Security Professional)
 CompTIA Security+

Aprendizado Contínuo:
 A cibersegurança é um campo em constante evolução. Mantenha-se atualizado com:
 Blogs e Notícias:
 Websites como KrebsOnSecurity, The Hacker News e Dark Reading.
 Fóruns e Comunidades:
 Participe de plataformas como o Stack Exchange’s Information Security e o subreddit
r/netsec.
 ANONIMATO

 Compreendendo o Anonimato e a Privacidade:

Antes de mergulharmos nos detalhes técnicos, é importante entender a diferença entre
anonimato e privacidade. O anonimato envolve ocultar sua identidade, enquanto a
privacidade se refere a manter suas informações pessoais confidenciais. Ambos são
importantes, mas têm abordagens diferentes.
 Use uma VPN (Rede Privada Virtual):
Uma VPN é uma ferramenta essencial para proteger sua privacidade e anonimato
online. Ela criptografa seu tráfego e oculta seu endereço IP real, dificultando o
rastreamento de suas atividades. Escolha uma VPN premium com servidores apenas em
RAM e uma política de não registros, para garantir maior segurança1.
 Navegue com o Tor (The Onion Router):
O Tor é um navegador projetado para anonimato. Ele roteia seu tráfego através de uma
rede de servidores voluntários, tornando difícil rastrear sua localização ou
identidade. Lembre-se de que o Tor é mais lento, mas oferece maior anonimato1.
 Entenda os Conceitos de Criptografia:
A criptografia é fundamental para a privacidade e o anonimato. Aprenda sobre
criptografia de ponta a ponta, chaves públicas e privadas, e como elas são usadas para
proteger suas comunicações.
 Explore a Deep Web e a Dark Web:
A Deep Web contém conteúdo não indexado pelos motores de busca convencionais. A
Dark Web é uma parte ainda mais obscura, onde atividades ilegais podem ocorrer.
Explore com cautela e saiba que nem tudo lá é ilegal.
 Estude Protocolos de Rede Anônima:
Alguns protocolos relevantes incluem:
I2P (Invisible Internet Project): Uma rede anônima que permite serviços ocultos e
comunicação segura.
Freenet: Uma rede descentralizada para compartilhamento de informações e
publicação anônima.
Mix Networks: Usadas para embaralhar e anonimizar o tráfego.
Distributed Ledgers (como Blockchain): Podem ser usados para garantir a
privacidade e o anonimato.
 Leitura Adicional:
Aqui estão alguns sites para aprofundar seus estudos:
Surfshark - 17 passos para o anonimato online
TEDE PUCRS - O anonimato na ordem jurídico-constitucional brasileira
Jusbrasil - Liberdade de Expressão e Anonimato na Internet
ESET - Anonimato na internet: análise de algumas opções disponíveis
 DEEP WEB

 Introdução
A Deep Web é pouco explorado, com muitos mitos e sensacionalismo. Enquanto
a Surface Web (a parte visível) é apenas a ponta do iceberg, a Deep Web abriga
uma vastidão de conteúdos não indexados pelos motores de busca convencionais.
 O Que é a Deep Web?
A Deep Web refere-se a qualquer conteúdo online que não está acessível por meio
de motores de busca tradicionais, como o Google. Isso inclui:

Bancos de Dados Privados: Informações confidenciais, registros médicos, dados

financeiros e outros conteúdos protegidos por senhas.
Redes Privadas e Intranets: Áreas restritas de empresas, universidades e
organizações.
Comunicações Criptografadas: E-mails, mensagens privadas e outras
comunicações protegidas por criptografia.
Conteúdo Dinâmico: Páginas geradas dinamicamente por bancos de dados, como
resultados de pesquisa em sites de comércio eletrônico.

 Anonimato na Deep Web

O anonimato é fundamental para quem deseja explorar a Deep Web. Aqui estão
algumas técnicas e ferramentas para garantir sua privacidade:
 Rede Tor (The Onion Router)

O Tor é uma rede anônima que permite navegar na internet sem revelar sua
localização ou identidade.
Funciona roteando o tráfego através de uma série de nós (ou relays) antes de
chegar ao destino final.
Cada nó só conhece o nó anterior e o próximo, garantindo anonimato.

 Tails OS (The Amnesic Incognito Live System)

O Tails é um sistema operacional portátil baseado no Linux que foca na privacidade

e anonimato.
Roteia todo o tráfego de rede através da rede Tor.
Não deixa rastros no computador host e não armazena dados localmente.

 VPN (Rede Privada Virtual)

Use uma VPN para criptografar sua conexão e ocultar seu IP.
Isso adiciona uma camada extra de anonimato ao navegar na internet.
 Ferramentas e Recursos
Livros
“Deep Web: Investigação no Submundo da Internet” por Alesandro Barreto e
Hericson dos Santos.

Este livro explora a Deep Web, apresentando conceitos, especificidades e

características diferenciadoras.
Aborda também técnicas de investigação e preservação de evidências.

“Aprenda a Ficar Anônimo na Internet” por RootSec.

Um guia prático para proteger sua identidade online e explorar a Deep Web com
segurança.

Curso sobre deeep web:

Tópico do grupo no telegram psycho.debian: Deep web: Do básico ao avançado
 Segurança em contêiners Docker
Os contêineres Docker são uma maneira eficiente de empacotar e implantar aplicativos. No
entanto, garantir a segurança desses contêineres é fundamental. Aqui estão algumas
práticas recomendadas:
1. Mantenha o Docker Atualizado:
o Regularmente atualize o mecanismo do Docker e suas dependências para corrigir
vulnerabilidades e manter a segurança.
2. Use Imagens Oficiais e de Base Mínima:
o Opte por imagens oficiais do Docker Hub, pois são verificadas e mantidas pela equipe do
Docker.
o Imagens de base mínima, como as imagens Alpine, também podem aumentar a segurança.
3. Limite os Privilégios do Contêiner:
o Evite executar contêineres com privilégios elevados. Use o mínimo necessário para
funcionar corretamente.
4. Habilite a Confiança no Conteúdo do Docker:
o Verifique a integridade das imagens antes de usá-las. Assine e verifique as imagens para
evitar adulterações.
5. Implemente a Segmentação de Rede:
o Isole os contêineres em redes separadas para limitar a exposição a ataques.
6. Monitore e Registre a Atividade do Contêiner:
o Use ferramentas de monitoramento para detectar atividades suspeitas nos contêineres.
7. Verifique Vulnerabilidades nas Imagens:
o Use scanners de vulnerabilidades para identificar problemas nas imagens antes de
implantá-las.

Cursos de segurança em nuvem e contêiners:

1. Segurança em Docker e Kubernetes (Shift - FIAP):

o Aprenda sobre segurança em containers e Kubernetes de forma prática, atacando e
defendendo containers Docker e clusters K8s em cenários reais. Indicado para
desenvolvedores, DevOps, engenheiros de segurança e analistas de segurança.
2. Curso de Containers (4Linux):
o Este curso aborda configuração de autenticação e autorização no Cluster Kubernetes,
segurança de imagens de contêiner, detecção de ameaças e muito mais.
3. Curso de Segurança em Nuvem (Udemy):
o Ministrado pelo instrutor Marcos Cavinato, este curso explora modelos de segurança em
nuvem (IaaS, PaaS, SaaS), riscos, ataques e responsabilidades na nuvem.
4. SEC540: Segurança na Nuvem e Automação DevSecOps:
o Este curso fornece metodologias para proteger ambientes modernos de Cloud e DevOps,
incluindo mais de 20 controles de segurança DevSecOps.
5. Gestão de Containers com Docker (Escola Superior de Redes):
o Aprenda a implantar e gerenciar infraestruturas de containers com o Docker, criar e
executar imagens, além de entender o funcionamento da rede no Docker
 Segurança em nuvem:

A segurança na nuvem é uma disciplina essencial para proteger sistemas de computação

em ambientes de nuvem. Ela abrange a segurança e privacidade de dados em
infraestruturas, aplicativos e plataformas online. Tanto os provedores de nuvem quanto os
clientes desempenham papéis cruciais nesse cenário.
Aqui estão algumas categorias fundamentais da segurança na nuvem:
1. Segurança de Dados: Protege os dados armazenados na nuvem contra acesso não
autorizado, vazamentos e perda.
2. Gerenciamento de Acesso e Identidade (IAM): Define regras para autenticação e
autorização de usuários e dispositivos.
3. Governança: Estabelece políticas para prevenção, detecção e mitigação de ameaças.
4. Retenção de Dados (DR) e Continuidade de Negócios (BC): Planeja a recuperação de
dados e a continuidade das operações.

A segurança na nuvem não é apenas uma extensão da segurança de TI tradicional. Ela exige
uma abordagem específica. Além de escolher provedores de serviços confiáveis, os clientes
devem configurar adequadamente os serviços e adotar práticas seguras de uso. Também é
crucial proteger redes e hardware de usuário final.
Aqui estão alguns sites onde você pode aprender mais sobre segurança na nuvem:
1. Kaspersky: Oferece informações detalhadas sobre segurança na nuvem.
2. Vantix Cibersegurança: Explora as melhores práticas e como implementá-las.
3. Fortinet: Explica os conceitos e como garantir a segurança na nuvem.
4. Hostinger: Aborda as práticas de cibersegurança e os riscos associados.
Além disso, considere os seguintes cursos para aprofundar seus conhecimentos em
segurança na nuvem:
1. Curso de Segurança em Nuvem na Udemy: Um curso básico-intermediário que aborda as
diferenças entre ambientes On-Prem e na nuvem.
2. SEC488: Fundamento de Segurança na Nuvem (SANS): Explora Amazon Web Services,
Azure, Google Cloud e outros provedores de serviços em nuvem.
3. Cursos Gratuitos de Educação em Segurança Virtual (Palo Alto Networks): Inclui o curso
“Fundamentos da Segurança na Nuvem”.
4. Treinamento de Segurança AWS: Oferece cursos digitais e presenciais para desenvolver
habilidades críticas em segurança na nuvem.