Cibersegurança e segurança da informação
Guias profissionais sobre carreiras, funções e certificações em cibersegurança.
Curso de Cibersegurança para Iniciantes: O que é importante verificar antes de se inscrever
Um bom curso de cibersegurança para iniciantes começa com os fundamentos de redes, sistemas operativos e Linux, inclui prática em laboratório, prepara para certificações internacionais reconhecidas e oferece acompanhamento de carreira real, sem prometer emprego ou aprovação em exames.
Como entrar na área da cibersegurança sem experiência prévia
É possível entrar na cibersegurança mesmo sem experiência prévia: aprenda os fundamentos de computadores e redes, domine Windows e Linux, entenda os princípios de segurança da informação, pratique em laboratórios e com ferramentas como SIEM, e construa um portfólio de projetos e um perfil no LinkedIn antes de procurar um cargo de nível de entrada.
O que faz um Analista SOC num dia de trabalho real?
Um Analista SOC monitoriza alertas de um sistema SIEM, realiza triagem inicial, investiga utilizadores e estações de trabalho, identifica Falsos Positivos, documenta cada incidente, escala conforme necessário para equipas avançadas e opera de acordo com Playbooks definidos. A função requer compreensão de redes, sistemas operativos e processos de resposta a incidentes.
O que é Cibersegurança? Um Guia Completo para Iniciantes
Cibersegurança (Cybersecurity) é a disciplina profissional que se dedica à proteção de sistemas informáticos, redes, dados e utilizadores contra exploração, interrupção ou acesso não autorizado. Na sua essência, encontra-se a gestão de riscos baseada em ativos, ameaças, vulnerabilidades e controlos, e no seu centro estão os três princípios da CIA: Confidencialidade, Integridade e Disponibilidade.
Será que a IA vai substituir os profissionais de cibersegurança? Este é o futuro da profissão nos próximos anos.
Não é expectável que a IA substitua os profissionais de cibersegurança, mas já está a mudar a natureza do seu trabalho. Acelera tarefas como a sumarização de logs, triagem inicial, consultas e documentação — mas as tarefas que exigem contexto, responsabilidade e discernimento continuam a ser realizadas por humanos. Os profissionais de cibersegurança que aprenderem a trabalhar com a IA de forma segura estarão em vantagem.
Que profissões existem em cibersegurança? Funções, áreas de especialização e percursos de carreira
O mundo da cibersegurança inclui famílias de funções claras: SOC/Cyber Defense, Security Engineering, DFIR, Penetration Testing, Cloud Security, AppSec, GRC e Threat Intelligence. A entrada mais comum é via SOC, e a partir daí é possível desenvolver-se em diferentes direções, de acordo com as características pessoais e a experiência profissional.
Quanto custa um curso de cibersegurança em Israel? Preços, percursos e o que realmente se obtém
O preço de um curso de cibersegurança em Israel varia entre faculdades, instituições de formação e programas privados, e depende de fatores como o número de horas, aula ao vivo versus gravada, laboratórios, apoio de carreira e o que está incluído nas certificações. Em vez de comparar apenas um número, deve-se comparar o valor: o que exatamente se obtém, o que não está incluído e qual o custo de conclusão até à entrada no mercado.
Quanto tempo leva para aprender cibersegurança e conseguir um primeiro emprego?
Para um iniciante sem experiência tecnológica, um planeamento realista indica cerca de 6 a 12 meses desde o início dos estudos até estar bem preparado para um primeiro emprego, e por vezes mais, dependendo do ritmo de aprendizagem e da duração da procura de emprego. Aqueles com experiência em TI, redes ou suporte técnico podem progredir mais rapidamente. É importante distinguir entre o tempo de estudo, o tempo necessário para a prática e o tempo que leva para ser contratado – estas são três etapas diferentes, e não há um caminho que garanta um emprego numa data específica.
Curso de Cibersegurança Online vs. Presencial: Vantagens, Desvantagens e Para Quem É Cada Modalidade
Não existe um formato único que sirva para todos. Um curso de cibersegurança online ao vivo pode ser uma excelente escolha para quem consegue estudar de forma independente, tem um ambiente de trabalho silencioso e quer evitar deslocações. Um curso presencial é mais adequado para quem precisa de uma estrutura física, contacto direto com a turma e menos distrações em casa. A qualidade do programa, do instrutor, dos laboratórios, do feedback e da persistência são mais importantes do que a escolha entre um ecrã e uma sala de aula.
Plano de entrada em Cibersegurança em 5 meses: o que aprender em cada fase
É possível construir uma base profissional significativa em cibersegurança em cinco meses, mas apenas se o estudo estruturado for combinado com a prática semanal. No primeiro mês, constroem-se as bases em redes e sistemas operativos; no segundo e terceiro meses, estudam-se segurança, logs e SOC; no quarto mês, trabalham-se cenários e ferramentas; e no quinto mês, constrói-se um projeto, o currículo e prepara-se para as entrevistas.
Quer trabalhar em cibersegurança? 5 erros que podem atrasar a sua entrada na área
Os cinco erros mais comuns são saltar as redes e os sistemas operativos, procurar certificações sem praticar, focar-se apenas em ferramentas de ataque, esperar até se sentir totalmente pronto antes de se candidatar, e esperar que o curso por si só garanta um emprego. A abordagem correta é construir uma base, praticar, documentar projetos e começar a atuar no mercado cedo.
O que se aprende num curso de cibersegurança? Tópicos, ferramentas, laboratórios e certificações
Um curso abrangente de cibersegurança para iniciantes deve ensinar redes, Windows, Linux, fundamentos de segurança, Cloud, Firewall, monitorização e SOC, análise de logs, resposta a incidentes, Python básico e prática em ambientes autorizados. Um bom curso não se limita a apresentações: inclui laboratórios, projetos, feedback e preparação para cargos de nível de entrada e certificações relevantes.
É preciso saber programação para aprender e trabalhar em cibersegurança?
Não é preciso saber programação para começar a aprender cibersegurança ou para entrar em algumas das posições iniciais, especialmente SOC, suporte, NOC, gestão de permissões e segurança de infraestruturas. No entanto, o conhecimento de Python, Bash ou PowerShell melhora a capacidade de automatizar, compreender ferramentas, analisar dados e progredir para cargos mais técnicos.
Perguntas Frequentes em Entrevistas de Emprego para Analista SOC – Incluindo Exemplos de Respostas
Numa entrevista SOC para iniciantes, geralmente são verificados os fundamentos de redes e sistemas, a capacidade de ler logs, a compreensão de Phishing e Malware, o processo de investigação de um alerta e a capacidade de explicar decisões. Uma boa resposta não é apenas uma definição: ela apresenta uma ordem de verificação, dados que seriam recolhidos, ações cautelosas e quando seria escalado.
Como construir um laboratório doméstico de cibersegurança para iniciantes? Guia passo a passo
Para construir um laboratório doméstico de cibersegurança, precisa de um computador com memória e armazenamento adequados, software de virtualização, uma máquina Linux e uma máquina Windows ou um sistema vulnerável dedicado. Deve configurar uma rede interna isolada, criar Snapshots e trabalhar apenas em máquinas de sua propriedade ou plataformas que concederam permissão explícita.
Salário de Analista SOC em Israel: Quanto ganham iniciantes e experientes em 2026?
Em 2026, as faixas salariais comuns em Israel para cargos de SOC/SIEM são aproximadamente 11-13 mil NIS brutos por mês para funcionários com até um ano de experiência, 14-16 mil NIS após um a dois anos, e 17-21 mil NIS para aqueles com três a cinco anos de experiência. Na prática, o salário varia de acordo com os turnos, experiência prévia em IT, ferramentas SIEM e EDR, nível de inglês, classificação de segurança, localização e tipo de organização.
SOC Analyst vs. Penetration Tester: Qual é a diferença e qual papel é o certo para si?
Um SOC Analyst protege a organização em tempo real através de monitorização, investigação de logs, priorização de alertas e resposta a incidentes. Um Penetration Tester examina sistemas de forma planeada e autorizada para encontrar vulnerabilidades antes que um atacante as possa explorar. O SOC é adequado para quem gosta de investigação contínua, operações e trabalho em equipa; o Pentest é adequado para quem gosta de pesquisa técnica, experimentação, escrita de relatórios e aprofundar vulnerabilidades.
É possível ser contratado como Penetration Tester após um curso de cibersegurança?
É possível ser contratado como Penetration Tester após um curso, mas o curso por si só geralmente não é suficiente. Um candidato "Junior" precisa demonstrar uma base sólida em redes, Linux, Windows e Web, prática em ambientes autorizados, capacidade de redigir relatórios e um portfólio que demonstre o seu processo de pensamento. Por vezes, o caminho mais rápido passa por SOC, TI, suporte ou outra função técnica de segurança.
As Melhores Certificações de Cibersegurança para Iniciantes: Guia de Comparação
Para iniciantes, não existe uma certificação única que sirva para todos. Linux Essentials é adequada para as bases de Linux, Network+ para as bases de redes, CCST Cybersecurity para uma introdução amigável aos princípios de defesa, Security+ para uma base mais ampla e reconhecida, e eJPT para quem quer praticar ataques. A escolha deve corresponder à lacuna de conhecimento e ao papel desejado.
Certificação eJPT: guia completo para o exame, material de estudo e preparação
eJPT é uma certificação prática e de nível inicial em Penetration Testing da INE Security. É adequada para quem já compreende redes, Linux, serviços e Web e deseja praticar uma metodologia de teste num ambiente legal. A preparação deve incluir laboratórios, documentação, trabalho organizado e gestão de tempo — não apenas assistir a aulas.
Security+ vs. eJPT: qual certificação é a certa para você?
Security+ é uma certificação mais ampla e teórica, adequada para fundamentos de segurança, SOC e funções defensivas gerais. eJPT é uma certificação mais prática e focada em testes de penetração. Para aqueles que ainda estão a construir uma base ou visam o SOC, o Security+ é geralmente mais adequado; para aqueles que já entendem de redes, Linux e Web e visam o Pentest, o eJPT pode ser mais adequado.
CCST Cybersecurity vs. Security+: Qual é a diferença e por onde começar?
A CCST Cybersecurity é uma certificação de entrada mais acessível, projetada para construir fundamentos. A Security+ é mais abrangente e aprofundada, exigindo uma melhor compreensão de redes, sistemas, arquitetura e resposta a incidentes. Para um iniciante absoluto, por vezes, é aconselhável começar com a CCST, praticar e, em seguida, avançar para a Security+.
O Network+ é necessário para uma carreira em cibersegurança?
A certificação Network+ não é um requisito formal para a maioria das vagas em cibersegurança, mas o conhecimento que ela abrange é quase essencial. Um analista SOC, especialista em segurança de nuvem ou Penetration Tester precisa entender endereços IP, TCP e UDP, DNS, DHCP, roteamento, Switching, VPN, Firewall e resolução de problemas. É possível adquirir esse conhecimento mesmo sem a certificação.
Linux Essentials para Profissionais de Cibersegurança: O que se aprende e a certificação vale a pena?
Linux Essentials é uma certificação básica da LPI que abrange o sistema Linux, linha de comando, arquivos, utilizadores, permissões, processos, software e rede básica. É indicada para iniciantes que procuram uma base estruturada. A certificação não é obrigatória, mas o conhecimento é muito importante para SOC, cloud, DevSecOps e Penetration Testing.
Como investigar um alerta de segurança SOC de ponta a ponta
A investigação de um alerta de segurança SOC é um processo ordenado em que se verifica a origem do alerta, se identificam o utilizador e o ativo envolvidos, se recolhe contexto de fontes adicionais, se constrói uma linha do tempo, se procuram explicações legítimas e se decide se é um incidente real. Uma boa investigação termina com uma decisão fundamentada, uma ação de resposta apropriada e documentação que permite a outra pessoa replicar a conclusão.
Triage em SOC: Como priorizar alertas sem perder um incidente real
Triage em SOC é a triagem e avaliação inicial de um alerta para determinar o que é urgente, o que requer investigação profunda e o que pode ser fechado. A decisão não se baseia apenas na Severidade que o sistema apresentou, mas numa combinação da criticidade do ativo, sensibilidade do utilizador, confiabilidade do sinal, técnica identificada, extensão da atividade e impacto potencial.
Falsos Positivos em SOC: Como identificar, documentar e mitigar
Um Falso Positivo em SOC ocorre quando um alerta é gerado devido a lógica incorreta ou dados imprecisos, mesmo que o comportamento perigoso que a regra pretendia detetar não tenha ocorrido. Para fechar corretamente, é necessário comprovar a causa, distingui-la de atividade suspeita, mas autorizada, documentar a Causa Raiz e fornecer feedback que reduza alertas semelhantes sem criar um Ponto Cego.
Playbook SOC: Como construir um processo de resposta consistente a alertas
Um Playbook SOC é um processo documentado que define como lidar com um tipo específico de alerta: qual é a entrada, quais verificações são realizadas, quais evidências são recolhidas, quais são os pontos de decisão, quando escalonar e quais ações são permitidas. Um bom Playbook cria consistência sem anular o pensamento analítico e é testado e atualizado de acordo com resultados reais e mudanças no ambiente.
Como Construir uma Linha de Tempo para Investigação de Incidentes Cibernéticos
Uma linha de tempo para investigação de incidentes é uma tabela cronológica que unifica eventos de diferentes fontes num tempo padronizado, ligando-os através de utilizadores, estações de trabalho, endereços IP, processos e sessões. Uma construção correta inclui a preservação do tempo original, conversão para UTC, indicação da fonte e fiabilidade, identificação de lacunas e distinção entre factos, interpretação e suposições.
Quando um analista SOC deve escalar um incidente para o Tier 2 ou IR
Um analista SOC deve escalar um incidente quando o nível de risco, incerteza ou o âmbito das ações necessárias excedem a autoridade e capacidade do Tier 1. Uma boa escalada não é "passar um problema", mas sim entregar um pacote de investigação organizado que inclui factos, evidências, cronograma, impacto estimado, ações já tomadas e uma pergunta clara para a próxima equipa. Em caso de violação ativa, ativo crítico ou suspeita de fuga de informação, envolve-se a Resposta a Incidentes (IR) rapidamente de acordo com os procedimentos.
Como Escrever um Ticket de Investigação Profissional em SOC
Um ticket de investigação profissional em SOC deve permitir que outro analista compreenda o que aconteceu, que dados foram verificados, o que foi encontrado, o que ainda é desconhecido e qual é a próxima ação — sem uma chamada de acompanhamento. Uma boa estrutura inclui um resumo, âmbito, cronologia, evidências, análise, decisão, ações de resposta e recomendações. É preciso separar claramente factos, interpretações e suposições, e citar apenas os campos de registo relevantes.
Severity vs. Priority: Como Classificar Incidentes de Segurança
Severity descreve o impacto potencial e a gravidade do incidente; Priority determina a ordem e a velocidade do tratamento real. Um incidente pode ser grave, mas não urgente, se estiver isolado e contido, ou de gravidade média, mas com alta prioridade, se estiver ativo num ativo crítico. Uma classificação profissional combina confiança, âmbito, criticidade do ativo, identidade, exposição comercial, estado de contenção e tempo.
Alert, Event, Incident e Offense: as diferenças que todo analista deve conhecer
Um Event é um registo ou atividade observada; um Alert é uma notificação gerada quando um mecanismo de deteção encontra uma correspondência ou anomalia; um Incident é um conjunto de descobertas que foram determinadas como exigindo investigação e resposta; um Offense é o objeto de investigação do IBM QRadar, criado a partir da correlação de Events e Flows de acordo com as Rules. Os termos não são idênticos entre produtos, portanto, um analista precisa de entender o significado geral e o modelo de dados da ferramenta com a qual está a trabalhar.
Métricas SOC: Os Indicadores que Realmente Melhoram a Deteção e Resposta
Boas métricas SOC ligam velocidade, qualidade, cobertura e impacto. Para além das médias de MTTD e MTTR, deve-se medir o tempo de Triagem e Fecho por percentil, a taxa de Falsos/Benignos Positivos, o tempo sem Proprietário, a qualidade das escaladas, a disponibilidade das fontes de log, a cobertura de Casos de Uso, incidentes recorrentes e a carga de trabalho por Analista. Cada KPI deve levar a uma decisão; uma métrica que pode ser "melhorada" sem melhorar a proteção é uma métrica perigosa.
O que é SIEM e como funciona, desde a recolha de logs até ao Incidente
SIEM — Security Information and Event Management — é um sistema que centraliza dados de segurança de várias fontes, transforma vários registos em informações pesquisáveis e comparáveis, executa lógica de deteção e organiza as descobertas como alertas ou incidentes para investigação. O valor não está apenas em armazenar os logs, mas na capacidade de conectar tempo, utilizador, ativo, endereço IP e comportamento para formar uma narrativa que o analista pode verificar e agir.
KQL para Iniciantes: Primeiras Consultas para Investigação de Incidentes
KQL — Kusto Query Language — é uma linguagem de consulta para ler e analisar dados em produtos como Azure Monitor e Microsoft Sentinel. Uma consulta geralmente começa com uma tabela e continua com um pipeline de comandos: filtros de tempo e eventos, seleção ou criação de campos, sumário por utilizador ou ativo e apresentação dos resultados relevantes para a investigação. A chave para aprender é começar com uma pergunta e construir a consulta passo a passo.
Microsoft Sentinel: Guia de Investigação de Incidentes para Analistas Iniciantes
A investigação de incidentes no Microsoft Sentinel começa com a compreensão da história do caso: que alertas foram agrupados, quem são as entidades, qual a severidade e qual a origem da deteção. Em seguida, o analista verifica utilizadores e ativos, examina evidências e a linha do tempo, executa KQL complementar, documenta decisões e escala ou responde. Um incidente é um caso de trabalho — não uma prova de que o ataque foi bem-sucedido — e, portanto, a classificação deve basear-se em evidências e contexto.
Como escrever uma Regra de Análise no Microsoft Sentinel
Uma boa Regra de Análise no Microsoft Sentinel começa com o comportamento que se deseja detetar e as fontes que podem prová-lo. Em seguida, escreva KQL que retorna uma unidade de investigação clara, defina a frequência e o Lookback, mapeie Entidades, determine a Gravidade e o MITRE, escolha o Agrupamento e realize Testes e Ajustes. O objetivo da regra não é gerar muitos Alertas, mas sim criar Incidentes que possam ser compreendidos, verificados e sobre os quais se possa agir.
SPL para Iniciantes: Pesquisa e Investigação no Splunk
SPL — Search Processing Language — é a linguagem de pesquisa do Splunk. A pesquisa começa com a seleção de dados por tempo, index, sourcetype e termos, e continua com comandos Pipe que filtram, criam campos, agregam e exibem resultados. Para um analista SOC, é importante aprender primeiro pesquisa precisa, stats e eval, e só depois Queries complexas. Cada resultado é um ponto de investigação que deve ser verificado em relação aos eventos brutos.
Splunk Enterprise Security: Do processo de Deteção à Investigação
A investigação de incidentes no Splunk Enterprise Security começa com a compreensão da Deteção e da entidade que ela aponta, continua com a validação dos eventos contribuintes, enriquecimento de Ativos e Identidades, construção de uma Timeline e procura de atividade relacionada, e termina com a Disposição, documentação e feedback para a Deteção. Nas versões do Splunk ES 8, os termos Finding e Analyst Queue são mais comuns; em versões anteriores, pode ver Notable e Incident Review.
QRadar Offense: Como ler e investigar um Offense
Um Offense no QRadar é um caso priorizado criado quando o Custom Rules Engine correlaciona Eventos ou Flows de acordo com uma regra. Uma investigação profissional não começa e termina com a Magnitude: é preciso entender a regra que disparou, abrir os Eventos e Flows contribuintes, verificar Source, Destination, ativos, tempo e contexto de negócio, e então documentar a decisão e o Closing Reason.
Regras e Blocos de Construção do QRadar: Um Guia Prático
No QRadar, uma Regra é uma coleção de Testes que aciona uma Resposta quando as condições são atendidas. Um Bloco de Construção usa os mesmos Testes para descrever um grupo ou lógica reutilizável, mas não aciona uma Resposta por si só. Um bom planeamento começa com o Use Case e os dados, ordena os Testes do mais barato e restritivo para o mais caro, usa State e Reference sets com cuidado, e é testado antes da produção.
Elastic Security: Criar uma Regra de Deteção e Guia de Investigação
Uma boa Regra de Deteção no Elastic Security começa com o comportamento a ser identificado e os dados disponíveis, não com a seleção de uma linguagem aleatória. Escolha um tipo de Regra apropriado, valide o ECS e os campos, escreva uma Query, defina o Schedule e o Lookback, o Risk e a Severity, a Suppression e as Exceptions, e anexe um Guia de Investigação que oriente o analista através da Triage, Análise e Resposta.
EQL vs ES|QL: Quando usar cada linguagem em investigações de segurança
O EQL é adequado quando a ordem dos eventos e a sua relação são o cerne da questão: um Process foi iniciado, depois foi criada uma comunicação, ou um evento esperado não apareceu. O ES|QL é adequado quando é necessário um Pipeline de filtragem, cálculo, modificação de campos, Agregação e Estatísticas. Se uma correspondência a um único campo for suficiente, uma Custom query pode ser mais simples do que ambas.
Como conectar uma fonte de logs a um SIEM e garantir que a informação é fiável
A ligação de uma fonte de logs a um SIEM é um processo onde se definem casos de uso, se verifica a fonte de dados, se testa o Parsing e a normalização, se executam testes de qualidade e se garante que a saída permite investigação e não apenas a apresentação de alertas.
SIEM Tuning: Como Reduzir a Fadiga de Alerta Sem Comprometer a Cobertura
SIEM Tuning é um processo no qual se define um Caso de Uso, se valida a fonte de dados, se testa o Parsing e a normalização, se executam testes de qualidade e se garante que a saída permite investigação e não apenas a apresentação de um Alerta.
Registos de Eventos do Windows para um Analista SOC: Por onde começar
Registos de Eventos do Windows para um Analista SOC exigem a leitura do evento completo e não apenas do ID do Evento: tempo, computador, utilizador, ID de Início de Sessão, Processo, origem da rede e contexto organizacional. A conclusão é criada a partir da correlação entre várias fontes.
Event ID 4624 e 4625: Investigar Inícios de Sessão Bem-Sucedidos e Falhados
O Event ID 4624 e 4625 exige a leitura do evento completo e não apenas do Event ID: tempo, computador, utilizador, Logon ID, processo, origem da rede e contexto organizacional. A conclusão é gerada a partir da correlação entre várias fontes.
ID de Evento 4688: Análise de Criação de Processos no Windows
O ID de Evento 4688 requer a leitura do evento completo e não apenas do ID do evento: hora, computador, utilizador, ID de sessão, processo, origem da rede e contexto organizacional. A conclusão é formada pela correlação de várias fontes.
PowerShell Logging: Como identificar atividade suspeita
O PowerShell Logging exige a leitura do evento completo e não apenas do Event ID: tempo, computador, utilizador, Logon ID, processo, origem da rede e contexto organizacional. A conclusão é formada pela correlação de várias fontes.
Sysmon para Iniciantes: Instalação, Eventos e Integração SIEM
Sysmon para iniciantes exige a leitura do evento completo e não apenas do Event ID: tempo, computador, utilizador, Logon ID, Processo, origem da rede e contexto organizacional. A conclusão é criada pela correlação entre várias fontes.
Sysmon Event ID 1: Criação de uma Árvore de Processos para Investigação
O Sysmon Event ID 1 exige a leitura do evento completo e não apenas do Event ID: tempo, computador, utilizador, Logon ID, processo, origem da rede e contexto organizacional. A conclusão é formada pela correlação de várias fontes.
Sysmon Event ID 3 e 22: Conexões de Rede e Consultas DNS
O Sysmon Event ID 3 e 22 requer a leitura do evento completo e não apenas do Event ID: tempo, computador, utilizador, Logon ID, Processo, fonte de rede e contexto organizacional. A conclusão é gerada pela correlação entre várias fontes.
Registos do Active Directory: as fontes de informação importantes para investigação
Os Registos do Active Directory exigem a leitura do evento completo e não apenas do Event ID: tempo, computador, utilizador, Logon ID, Processo, fonte de rede e contexto organizacional. A conclusão é criada a partir da correlação entre várias fontes.
Investigação de Password Spray no Active Directory e no Entra ID
A investigação de Password Spray requer a leitura do evento completo e não apenas do Event ID: tempo, computador, utilizador, Logon ID, Processo, origem da rede e contexto organizacional. A conclusão é criada pela correlação entre várias fontes.
Investigação de Força Bruta: Como distinguir uma falha de um ataque
A investigação de Força Bruta exige a leitura completa do evento e não apenas do Event ID: tempo, computador, utilizador, Logon ID, Processo, origem da rede e contexto organizacional. A conclusão é formada pela correlação de várias fontes.
Investigação de Escalada de Privilégios no Windows Usando Registos
A investigação de Escalada de Privilégios no Windows requer a leitura do evento completo e não apenas do Event ID: tempo, computador, utilizador, Logon ID, processo, origem da rede e contexto organizacional. A conclusão é formada pela correlação entre várias fontes.
Investigação de Movimento Lateral num Ambiente de Domínio Windows
A investigação de Movimento Lateral requer a leitura do evento completo e não apenas do Event ID: tempo, computador, utilizador, Logon ID, Processo, origem da rede e contexto organizacional. A conclusão é criada pela correlação de várias fontes.
Wireshark para Iniciantes: Um Processo Sistemático para Análise de Ficheiros PCAP
A análise PCAP no Wireshark é realizada mapeando o Flow, tempos, protocolos, DNS/TLS/HTTP e a relação com o ativo. Um único Packet ou conexão são evidências parciais, por isso é construída uma sequência e validada contra fontes adicionais.
Filtros de Visualização no Wireshark: Filtros Úteis para Investigação de Incidentes
Os Filtros de Visualização do Wireshark são realizados através do mapeamento de Flow, tempos, protocolos, DNS/TLS/HTTP e a relação com o ativo. Um único pacote ou conexão é uma evidência parcial, por isso é construída uma sequência e validada contra fontes adicionais.
Follow TCP Stream: Como reconstruir uma conversa suspeita
Follow TCP Stream é realizado mapeando o Flow, tempos, protocolos, DNS/TLS/HTTP e a sua relação com o ativo. Um único Packet ou conexão é uma evidência parcial, por isso é construída uma sequência e validada com fontes adicionais.
Análise de DNS Malicioso: Tunneling, DGA e Anomalias de Domínio
A análise de DNS malicioso é realizada mapeando o Flow, tempos, protocolos, DNS/TLS/HTTP e o contexto do ativo. Um único Packet ou conexão é uma evidência parcial, portanto, constrói-se uma sequência e verifica-se com fontes adicionais.
Análise de Tráfego HTTP Suspeito no Wireshark
A análise HTTP no Wireshark é realizada através do mapeamento de Flow, tempos, protocolos, DNS/TLS/HTTP e o contexto do ativo. Um único Packet ou conexão é uma evidência parcial, por isso é construída uma sequência e validada com fontes adicionais.
Zeek Logs: Como Investigar conn.log, dns.log e http.log
A análise de Zeek Logs é feita mapeando Flow, horários, protocolos, DNS/TLS/HTTP e o contexto do ativo. Um único pacote ou conexão é uma evidência parcial, por isso é construída uma sequência e validada com fontes adicionais.
Suricata EVE JSON: Da conexão de alerta ao PCAP e ao fluxo de rede
O Suricata EVE JSON é feito mapeando o fluxo, horários, protocolos, DNS/TLS/HTTP e o contexto do ativo. Um único pacote ou conexão é evidência parcial, então uma sequência é construída e validada contra fontes adicionais.
IDS vs IPS vs NDR: Qual é a diferença e que informações o SOC recebe?
IDS vs IPS vs NDR é realizado através do mapeamento de Flow, tempos, protocolos, DNS/TLS/HTTP e contexto para o ativo. Um único Packet ou conexão é uma evidência parcial, por isso é construída uma sequência e validada com fontes adicionais.
Como identificar Command and Control no tráfego de rede
A identificação de Command and Control é feita mapeando o fluxo, tempos, protocolos, DNS/TLS/HTTP e a sua relação com o ativo. Um único pacote ou conexão é uma evidência parcial, por isso é construída uma sequência e validada com fontes adicionais.
Criação de Network Timeline a partir de ligações TCP, DNS, HTTP e TLS
A Network Timeline é construída mapeando o Flow, tempos, protocolos, DNS/TLS/HTTP e o contexto do ativo. Um único pacote ou ligação é uma evidência parcial, por isso é construída uma sequência e validada contra fontes adicionais.
Resposta a Incidentes de acordo com NIST SP 800-61r3: Guia Prático
A Resposta a Incidentes de acordo com NIST é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documente a fonte, tempo e ferramentas, mantenha o Hash, construa uma Linha do Tempo e separe factos, interpretações e decisões.
Plano de Resposta a Incidentes vs. Playbook: Qual a Diferença
O Plano de Resposta a Incidentes vs. Playbook é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documente a fonte, tempo e ferramentas, mantenha o Hash, construa uma Linha do Tempo e separe factos, interpretações e decisões.
Recolha de Provas Digitais sem Comprometer a sua Integridade
A recolha de provas digitais é um processo controlado que equilibra a contenção de danos com a preservação de provas. Documente a fonte, hora e ferramenta, guarde o Hash, construa uma Linha de Tempo e separe factos, interpretações e decisões.
Ordem de Volatilidade na Investigação Digital: O Que Recolher Primeiro e Porquê
A ordem de volatilidade é um processo controlado que equilibra a contenção de danos com a preservação de provas. Documente a origem, o tempo e a ferramenta, guarde o Hash, construa uma Linha do Tempo e separe facto, interpretação e decisão.
Memory Forensics para Iniciantes: O que pode ser aprendido da memória do computador
Memory Forensics para iniciantes é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documente a fonte, hora e ferramentas, preserve o Hash, construa uma Linha do Tempo e separe fato, interpretação e decisão.
Disk Forensics para Iniciantes: Ficheiros, Metadados e Timeline
Disk Forensics para Iniciantes é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documente a origem, tempo e ferramentas, mantenha o Hash, construa uma Timeline e separe os factos, interpretação e decisão.
Malware Triage: Análise preliminar segura de um ficheiro suspeito
Malware Triage é um processo controlado que equilibra a contenção de danos com a preservação de provas. Documenta-se a origem, tempo e ferramentas, guarda-se o Hash, constrói-se uma Timeline e separa-se o facto da interpretação e decisão.
Static vs. Dynamic Malware Analysis: O Que Testar em Cada Método
A análise estática vs. dinâmica de malware é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documente a fonte, tempo e ferramentas, salve o Hash, construa uma Linha do Tempo e separe fato, interpretação e decisão.
Escrita de uma primeira regra YARA para identificar um ficheiro suspeito
A escrita de regras YARA é um processo controlado que equilibra a contenção de danos com a preservação de provas. Documente a fonte, o tempo e as ferramentas, guarde o Hash, construa uma Linha do Tempo e separe factos, interpretações e decisões.
Investigação de Phishing de Ponta a Ponta
A investigação de Phishing é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documente a origem, o tempo e a ferramenta, guarde o Hash, construa uma Linha do Tempo e separe facto, interpretação e decisão.
Análise de cabeçalhos de e-mail: SPF, DKIM, DMARC e Received
A análise de cabeçalhos de e-mail é um processo controlado que equilibra a mitigação de danos com a preservação de evidências. Documentamos a origem, hora e ferramentas, guardamos o hash, construímos uma linha do tempo e separamos factos, interpretações e decisões.
Investigação de Business Email Compromise e Regras de Caixa de Entrada
A investigação de BEC é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documentamos a fonte, a hora e a ferramenta, mantemos o Hash, construímos uma linha do tempo e separamos fatos, interpretações e decisões.
Investigação de Ransomware: Os Primeiros 60 Minutos
A investigação de Ransomware é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documente a origem, tempo e ferramentas, preserve o Hash, construa uma Linha do Tempo e separe facto, interpretação e decisão.
Como construir uma Revisão Pós-Incidente e Lições Aprendidas
A Revisão Pós-Incidente é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documentam-se a fonte, o tempo e as ferramentas, guarda-se o Hash, constrói-se uma Timeline e separam-se os factos, a interpretação e a decisão.
Cadeia de Custódia: Documentação de Evidências na Investigação Cibernética
A Cadeia de Custódia em cibersegurança é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documentamos a fonte, o tempo e as ferramentas, salvamos o Hash, construímos uma linha do tempo e separamos fatos, interpretações e decisões.
Threat Hunting para Iniciantes: Da Hipótese aos Resultados
Threat Hunting para iniciantes começa com uma pergunta ou comportamento que se deseja identificar, prossegue para a definição de Telemetry e lógica, e termina com testes, Tuning, documentação e implantação controlada. A qualidade é medida pela cobertura e capacidade de investigação.
IOC vs IOA: Qual é a diferença e como usá-los
IOC vs IOA começa com a questão ou comportamento que se quer detetar, prossegue para a definição de Telemetria e lógica, e termina com testes, Tuning, documentação e implantação controlada. A qualidade é medida pela cobertura e capacidade de investigação.
MITRE ATT&CK para Analistas SOC: Mapeamento de Alerta para Técnica
O MITRE ATT&CK para Analistas SOC começa com uma pergunta ou comportamento a ser identificado, continua com a definição de Telemetria e lógica, e termina com testes, tuning, documentação e implantação controlada. A qualidade é medida pela cobertura e capacidade de investigação.
Detection Engineering: Como transformar comportamento malicioso numa regra de deteção
Detection Engineering começa com uma questão ou comportamento a detetar, continua com a definição de telemetria e lógica, e termina com testes, afinação, documentação e implementação controlada. A qualidade é medida pela cobertura e capacidade de investigação.
Regras Sigma: Escrever, Testar e Converter para SIEM
Escrever Regras Sigma começa com uma pergunta ou comportamento a detetar, continua com a definição de Telemetria e lógica, e termina com testes, afinação, documentação e implantação controlada. A qualidade é medida pela cobertura e capacidade de investigação.
Detection as Code: Gestão de Regras de Deteção no Git
Detection as Code começa com uma pergunta ou comportamento a ser detetado, continua com a definição de telemetria e lógica, e termina com testes, Tuning, documentação e implementação controlada. A qualidade é medida pela cobertura e capacidade de investigação.
Ciclo de Vida da Threat Intelligence: Da Recolha à Ação
O Ciclo de Vida da Threat Intelligence começa com uma pergunta ou comportamento a ser identificado, continua com a definição de Telemetria e lógica, e termina com testes, Tuning, documentação e implementação controlada. A qualidade é medida pela cobertura e capacidade de investigação.
STIX e TAXII: Como partilhar informações sobre ameaças
STIX e TAXII começam com uma questão ou comportamento que se pretende identificar, prosseguem com a definição de telemetria e lógica, e terminam com testes, ajuste, documentação e implementação controlada. A qualidade é medida pela cobertura e pela capacidade de investigação.
Threat Hunting no Windows com Sysmon
O Threat Hunting com Sysmon começa com uma pergunta ou comportamento a detetar, prossegue com a definição de telemetria e lógica, e termina com testes, tuning, documentação e implementação controlada. A qualidade é medida pela cobertura e capacidade de investigação.
Purple Team: Como ligar PT para melhorar as capacidades SOC
A equipa Purple Team começa com uma pergunta ou comportamento que se pretende identificar, continua com a definição de Telemetria e lógica, e termina com testes, afinação, documentação e implementação controlada. A qualidade é medida pela cobertura e capacidade de investigação.
Metodologia de Teste de Penetração: Do Scope ao Retest
A metodologia de Teste de Penetração deve ser realizada apenas dentro de um Scope e Rules of Engagement aprovados. O processo inclui recolha de informações, validação controlada, Evidência, avaliação de risco, remediação e Retest.
Regras de Engajamento e Âmbito na Testagem de Penetração
As Regras de Engajamento na testagem de penetração devem ser realizadas apenas dentro de um Âmbito e Regras de Engajamento aprovados. O processo inclui recolha de informações, verificação controlada, Evidência, avaliação de risco, remediação e Reteste.
Reconnaissance Passivo vs. Ativo em Testes de Intrusão Autorizados
O Reconnaissance Passivo vs. Ativo deve ser realizado apenas dentro do Scope e das Rules of Engagement aprovados. O processo inclui recolha de informações, validação controlada, evidências, avaliação de risco, correção e Retest.
Enumeração: Como mapear serviços e utilizadores num ambiente de laboratório
A Enumeração no teste de penetração deve ser realizada apenas no âmbito de um Scope e Rules of Engagement aprovados. O processo inclui recolha de informações, verificação controlada, Evidência, avaliação de risco, remediação e Retest.
Avaliação de Vulnerabilidades vs. Teste de Penetração: Qual a diferença?
A Avaliação de Vulnerabilidades vs. Teste de Penetração deve ser realizada apenas dentro de um Scope e de umas Rules of Engagement aprovados. O processo inclui recolha de informações, validação controlada, Evidência, avaliação de risco, remediação e Retest.
Network Penetration Testing: Um processo de teste completo em laboratório
Network Penetration Testing deve ser realizado apenas dentro de um Scope e de Regras de Engajamento aprovados. O processo inclui recolha de informações, validação controlada, Evidências, avaliação de risco, remediação e Reteste.
Active Directory Penetration Testing: Guia de Teste e Proteção
O Active Directory Penetration Testing deve ser realizado apenas dentro de um Scope e Rules of Engagement aprovados. O processo inclui recolha de informações, validação controlada, Evidência, avaliação de risco, remediação e Retest.
Windows Privilege Escalation num laboratório autorizado: Metodologia de Teste
O Windows Privilege Escalation só deve ser realizado dentro de um âmbito e regras de engagement aprovados. O processo inclui recolha de informações, validação controlada, evidências, avaliação de risco, remediação e reteste.
Escalada de Privilégios no Linux em Laboratório Autorizado: Metodologia de Teste
A Escalada de Privilégios no Linux deve ser realizada apenas dentro de um Âmbito e Regras de Engajamento aprovados. O processo inclui recolha de informações, verificação controlada, Evidências, avaliação de risco, remediação e Reteste.
Escrita de Relatório de Teste de Penetração que Leva à Correção
A escrita de um relatório de Teste de Penetração deve ser realizada apenas no âmbito de um Scope e Rules of Engagement aprovados. O processo inclui recolha de informações, validação controlada, Evidências, avaliação de risco, correção e Retest.
Metodologia de Teste de Penetração de Aplicações Web de acordo com OWASP WSTG
O Teste de Penetração de Aplicações Web é realizado apenas em laboratório ou num sistema autorizado. São verificados o Request/Response, o comportamento do servidor, os Roles, o State e o impacto, utilizando testes mínimos que não danificam os dados.
OWASP Top 10:2025 — Um Guia para Testadores de Penetração
OWASP Top 10 2025 é testado apenas em laboratório ou sistema autorizado. Analisa-se o Request/Response, comportamento do servidor, Roles, State e impacto, usando testes mínimos que não danificam os dados.
Burp Suite para Principiantes: Proxy, Repeater e Intruder em Laboratório
O Burp Suite para principiantes é testado apenas em laboratório ou num sistema autorizado. Os Request/Response, o comportamento do servidor, as Roles, o State e o impacto são verificados, utilizando testes mínimos que não danificam os dados.
Broken Access Control: Como testar permissões numa aplicação
O teste de Broken Access Control é realizado apenas em laboratório ou num sistema autorizado. São verificados o Request/Response, o comportamento do servidor, Roles, State e o impacto, utilizando testes mínimos que não danificam os dados.
IDOR e BOLA: Teste de Permissões ao Nível do Objeto
IDOR BOLA só é testado em laboratório ou num sistema autorizado. São verificados o Request/Response, o comportamento do servidor, os Roles, o State e o impacto, utilizando testes mínimos que não danifiquem os dados.
Authentication Failures: Teste de Mecanismos de Login
O teste de Authentication Failures é realizado apenas em laboratório ou num sistema autorizado. São verificados o Request/Response, o comportamento do servidor, os Roles, o State e o impacto, utilizando testes mínimos que não danifiquem os dados.
Segurança de Sessão: Cookies, Tokens e Fixação de Sessão
O teste de Segurança de Sessão é realizado apenas em laboratório ou num sistema autorizado. São verificados o Request/Response, o comportamento do servidor, os Roles, o State e o Impacto, utilizando testes mínimos que não danificam os dados.
Injeção SQL: Identificação e Validação Segura em Laboratório
O teste de Injeção SQL só deve ser realizado em laboratório ou num sistema autorizado. Verifique o Request/Response, o comportamento do servidor, as Roles, o State e o Impacto, utilizando testes mínimos que não danifiquem os dados.
Cross-Site Scripting: Stored, Reflected e DOM
O teste de XSS só é realizado em laboratório ou em um sistema autorizado. Verifica-se o Request/Response, o comportamento do servidor, os Roles, o State e o impacto, utilizando testes mínimos que não danificam os dados.
SSRF: Como identificar e validar com segurança
O teste SSRF é realizado apenas em laboratório ou em um sistema autorizado. Os testadores verificam a Requisição/Resposta, o comportamento do servidor, as Funções, o Estado e o impacto, utilizando testes mínimos que não danificam os dados.
Vulnerabilidades de Upload de Ficheiros: Testes e Riscos
O teste de Upload de Ficheiros só deve ser realizado em laboratório ou em sistemas autorizados. Verifique o Request/Response, o comportamento do servidor, os Roles, o State e o impacto, utilizando testes mínimos que não comprometam os dados.
Path Traversal e Local File Inclusion: Como testar com segurança
O teste de Path Traversal é feito apenas em laboratório ou em um sistema autorizado. Verifica-se o Request/Response, o comportamento do servidor, os Roles, o State e o impacto, usando testes mínimos que não danificam os dados.
Injeção de Comando: Deteção, Verificação e Prevenção
O teste de Injeção de Comando só deve ser realizado em laboratório ou em sistemas autorizados. Verifique o Request/Response, o comportamento do servidor, os Roles, o State e o impacto, utilizando testes mínimos que não danifiquem os dados.
Testes de Penetração de API: Processo de Trabalho Completo
O Teste de Penetração de API é realizado apenas em laboratório ou em um sistema autorizado. Verifica-se o Request/Response, o comportamento do servidor, Roles, State e impacto, utilizando testes mínimos que não danifiquem os dados.
OWASP API Security Top 10:2023 para PenTesters
O OWASP API Security Top 10 2023 é testado apenas em laboratório ou num sistema autorizado. São verificados o Request/Response, o comportamento do servidor, Roles, State e impacto, utilizando testes mínimos que não danificam os dados.
Investigação de Conta Suspeita do Microsoft 365: Entra, Mailbox e Defender
A investigação de uma conta do Microsoft 365 requer a conexão de Identidade, Registos de Auditoria, ações de API, recursos, Regiões e Sessões. Começa-se com a preservação das evidências e a construção de uma linha do tempo, e só depois se procede ao confinamento documentado.
Investigação de Credenciais AWS Suspeitas com CloudTrail e GuardDuty
A investigação de Credenciais AWS exige a conexão entre Identity, Audit Logs, ações da API, recursos, Regions e Sessions. Comece por preservar as evidências e construir uma Timeline, e só depois execute o Containment documentado.
Investigação de incidentes de segurança no Azure: Sentinel, Entra e Defender
A investigação de incidentes de segurança no Azure exige a conexão de Identity, Audit Logs, API actions, recursos, regiões e sessões. Comece por preservar as evidências e construir uma linha do tempo, e só depois implemente uma contenção documentada.
Investigação de incidentes na Google Cloud com Audit Logs e Security Command Center
A investigação de incidentes na Google Cloud exige a conexão de identidade, Audit Logs, ações de API, recursos, regiões e sessões. Comece por preservar as provas e construir uma cronologia, e só depois implemente a contenção documentada.
IA para Analista SOC: Uso Seguro para Resumo de Logs, KQL e Documentação
A IA para Analista SOC pode melhorar a velocidade e a organização, mas não substitui a experiência ou a visão. É necessário minimizar informações, remover segredos, validar a saída contra a fonte, documentar o Prompt e deixar a decisão final para um profissional.
IA para Penetration Tester: Planeamento, Análise e Relatório sem Expor Dados Sensíveis
A IA para Penetration Tester pode melhorar a velocidade e a organização, mas não substitui a experiência ou a visão. É preciso minimizar a informação, remover segredos, validar a saída em relação à fonte, documentar o Prompt e deixar a decisão final para um profissional.