Cybersecurity for developers, where to start.

Antes de começar: o mapaBefore you start: the map

Cibersegurança parece um território único, mas é um conjunto de ofícios com perguntas diferentes: como eu quebro isto? (red team), como eu percebo que quebraram? (blue team) e como eu construo de um jeito que seja difícil de quebrar? (segurança de aplicações). Quem já programa começa com uma vantagem real: entende como o software é montado, onde as suposições escondem falhas e como um deploy funciona. Esta nota é o ponto de entrada da série de segurança do site: o mapa, os conceitos, uma trilha de estudo, projetos para o portfólio e onde aprender.Cybersecurity looks like one territory, but it is a set of crafts that ask different questions: how do I break this? (red team), how do I notice someone broke it? (blue team) and how do I build it so it is hard to break? (application security). Anyone who already programs starts with a real advantage: you understand how software is assembled, where assumptions hide flaws and how a deploy works. This note is the entry point to the site's security series: the map, the concepts, a study path, portfolio projects and where to learn.

O que você já sabe e vira segurançaWhat you already know that turns into security

Os conceitos que sustentam tudoThe concepts that hold everything up

Antes de ferramenta, vocabulário. Estes onze conceitos aparecem em toda prova de certificação, toda entrevista e todo relatório de incidente. Se você dominar só isto, já lê o resto da área com sentido.Vocabulary comes before tools. These eleven concepts show up in every certification exam, every interview and every incident report. Master only these and you can already read the rest of the field with understanding.

STRIDE: seis perguntas para modelar ameaçasSTRIDE: six questions for threat modelling

Cinco siglas que organizam o vocabulárioFive acronyms that organise the vocabulary

Os caminhos: red, blue, purple e AppSecThe paths: red, blue, purple and AppSec

Como um dev deve escolherHow a developer should choose

Comece por AppSec: é onde o que você já sabe rende mais rápido, a nota de aplicações web seguras já cobre a base e o mercado sempre precisa de quem fale as duas línguas, a do código e a da segurança. Em paralelo, faça a trilha ofensiva em laboratório para entender o atacante, e a defensiva para entender o que ele deixa nos logs. Depois de uns seis meses você saberá se prefere quebrar (red), investigar (blue) ou construir (AppSec/cloud). Ninguém acerta de primeira, e as bases são as mesmas.Start with AppSec: it is where what you already know pays off fastest, the secure web apps note already covers the base and the market always needs people who speak both languages, code and security. In parallel, do the offensive path in a lab to understand the attacker, and the defensive one to understand what the attacker leaves in the logs. After about six months you will know whether you prefer to break (red), investigate (blue) or build (AppSec/cloud). Nobody gets it right the first time, and the foundations are the same.

O lado blue em uma páginaThe blue side on one page

As notas existentes são fortes no lado ofensivo e no de quem constrói; o lado de quem detecta cabe aqui, em resumo. O ciclo de resposta a incidentes do NIST (SP 800-61) tem quatro fases, e cada uma tem uma ferramenta típica.The existing notes are strong on the offensive side and on the builder's side; the side of those who detect fits here, in summary. The NIST incident response lifecycle (SP 800-61) has four phases, and each has a typical tool.

A trilha em cinco etapasThe path in five stages

Projetos práticos para o portfólioPractical projects for your portfolio

Certificado diz que você estudou; projeto público mostra que você faz. Cada projeto abaixo gera um artefato que cabe num repositório ou num post: um relatório, uma regra, um pipeline. Todos rodam na sua máquina ou em contêineres.A certificate says you studied; a public project shows you can do it. Each project below produces an artefact that fits in a repository or a post: a report, a rule, a pipeline. All of them run on your machine or in containers.

Projeto 1: auditar e endurecer o seu próprio appProject 1: audit and harden your own app

Pegue um projeto seu (qualquer um) e rode três varreduras: segredos, dependências e padrões de código inseguro. Priorize o que achar por gravidade, corrija o que for crítico e registre cada correção num commit com a explicação do risco. Em seguida revise cabeçalhos e cookies com o checklist da nota de aplicações web seguras.Take one of your projects (any of them) and run three scans: secrets, dependencies and insecure code patterns. Prioritise what you find by severity, fix what is critical and record each fix in a commit that explains the risk. Then review headers and cookies with the checklist in the secure web apps note.

# dentro da pasta do seu projeto: três varreduras, nenhuma sai da sua máquina
docker run --rm -v "$PWD:/repo" zricethezav/gitleaks:latest detect --source /repo --redact
# ^ segredos no código e no histórico do Git
docker run --rm -v "$PWD:/src" aquasec/trivy:latest fs /src
# ^ dependências com CVE, Dockerfile e IaC mal configurados
docker run --rm -v "$PWD:/src" semgrep/semgrep semgrep scan --config auto --metrics=off /src
# ^ padrões de código inseguro (injeção, criptografia fraca, XSS)

Resultado esperado: uma lista de achados, quase sempre com falsos positivos. Aprender a separá-los é metade do ofício: para cada item, escreva "real" ou "falso positivo, porque…". Se o gitleaks achar um segredo real, revogue-o primeiro e só depois limpe o histórico: um segredo que já foi para o Git deve ser tratado como vazado.Expected result: a list of findings, almost always with false positives. Learning to tell them apart is half the craft: for each item write "real" or "false positive, because…". If gitleaks finds a real secret, revoke it first and only then clean the history: a secret that reached Git must be treated as leaked.

Projeto 2: o mesmo, a cada pushProject 2: the same, on every push

Transforme as varreduras do projeto 1 num workflow do GitHub Actions. O objetivo é que um segredo ou uma dependência com CVE crítico quebre o build antes de chegar à produção. Ative também o Dependabot e o secret scanning do repositório (Settings → Code security).Turn the scans from project 1 into a GitHub Actions workflow. The goal is that a secret or a dependency with a critical CVE breaks the build before it reaches production. Also turn on Dependabot and the repository's secret scanning (Settings → Code security).

# .github/workflows/security.yml (esqueleto; fixe versões e SHAs dos actions que você usar)
name: security
on: [push, pull_request]
jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with: { fetch-depth: 0 }   # gitleaks lê o histórico inteiro
      - name: segredos
        run: docker run --rm -v "$PWD:/repo" zricethezav/gitleaks:latest detect --source /repo --redact
      - name: dependências e arquivos de configuração
        run: docker run --rm -v "$PWD:/src" aquasec/trivy:latest fs --exit-code 1 --severity HIGH,CRITICAL /src

Resultado esperado: um push com um arquivo .env falso (use um valor inventado) deixa o job vermelho. Teste isso de propósito, em um branch, para ter certeza de que o pipeline realmente barra. Veja também a nota de OIDC: o pipeline não deve ter chaves de nuvem fixas.Expected result: a push with a fake .env file (use an invented value) turns the job red. Test it on purpose, on a branch, to be sure the pipeline really blocks. See also the OIDC note: the pipeline must not hold static cloud keys.

Projeto 3: um mini SOC domésticoProject 3: a home mini-SOC

Aqui o lado blue se encontra com o laboratório da nota de red team. Primeiro, o jeito mais simples: gere tráfego de ataque (um scan com o nmap e uma SQL injection no DVWA), capture com o tcpdump e peça ao Suricata, um IDS de código aberto, que leia a captura.Here the blue side meets the lab from the red team note. First, the simplest way: generate attack traffic (an nmap scan and a SQL injection on DVWA), capture it with tcpdump and ask Suricata, an open-source IDS, to read the capture.

# 1. capture tráfego do laboratório (o mesmo da nota de segurança e redes)
sudo tcpdump -i any -n -w lab.pcap port 80 or port 8081 -c 2000
# 2. rode um ataque conhecido contra o DVWA: um scan com nmap e uma SQL injection
# 3. leia a captura com o Suricata e as regras Emerging Threats (gratuitas)
mkdir -p suricata-out && sudo suricata-update          # baixa o conjunto de regras
suricata -r lab.pcap -l suricata-out
cat suricata-out/fast.log                              # os alertas, uma linha cada

Resultado esperado: o fast.log lista alertas como o do scan de portas e de tentativas de injeção. Anote quais ataques foram vistos e quais passaram em silêncio: os que passaram são o seu trabalho de detecção. Depois suba o Wazuh (SIEM e agente de host) seguindo o guia oficial de implantação com Docker e instale o agente na máquina que hospeda o laboratório; compare o que cada ferramenta enxerga.Expected result: fast.log lists alerts such as the port scan and the injection attempts. Note which attacks were seen and which slipped past silently: the ones that slipped past are your detection work. Then bring up Wazuh (SIEM and host agent) following the official Docker deployment guide and install the agent on the machine hosting the lab; compare what each tool sees.

Projeto 5: uma regra de detecção em SigmaProject 5: a detection rule in Sigma

Sigma é um formato aberto e neutro de regras de detecção: você escreve uma vez e converte para o SIEM que usar. A regra abaixo traduz em código a defesa da nota de red team: um processo de servidor web não deveria gerar um shell filho. Teste rodando o exercício do shell reverso do laboratório e conferindo se a regra, convertida, dispara no seu Wazuh ou Elastic.Sigma is an open, vendor-neutral format for detection rules: you write it once and convert it for whichever SIEM you use. The rule below turns the defence from the red team note into code: a web server process should not spawn a child shell. Test it by running the reverse shell exercise from the lab and checking that the converted rule fires in your Wazuh or Elastic.

# web-shell.yml: um servidor web não deveria abrir um shell (o padrão da nota de red team)
title: Web server spawning a shell
id: 1dca4040-3843-4463-a982-c8a755bbeddc
status: experimental
description: A web server process starting a shell, a common sign of a reverse shell
logsource:
  category: process_creation
  product: linux
detection:
  selection:
    ParentImage|endswith: ['/nginx', '/apache2', '/httpd', '/php-fpm']
    Image|endswith: ['/bash', '/sh', '/dash']
  condition: selection
falsepositives:
  - Deploy scripts started by the web server
level: high

Resultado esperado: um arquivo YAML versionado, um teste que o dispara e uma nota sobre falsos positivos. O repositório SigmaHQ/sigma tem milhares de regras para você ler e o atomic-red-team (Red Canary) tem testes de técnicas do ATT&CK para provar cada regra: é o purple team em casa.Expected result: a versioned YAML file, a test that triggers it and a note on false positives. The SigmaHQ/sigma repository has thousands of rules to read and atomic-red-team (Red Canary) has ATT&CK technique tests to prove each rule: purple team at home.

Projetos 4, 6, 7 e 8, em poucas linhasProjects 4, 6, 7 and 8, in a few lines

• Modelo de ameaças: desenhe o diagrama de fluxo de dados do sistema (usuário, front, API, banco, filas, terceiros), marque as fronteiras de confiança e percorra cada fluxo com o STRIDE. O OWASP Threat Dragon é uma ferramenta gratuita para isso. Entregue o diagrama e uma tabela "ameaça, mitigação, status".Threat model: draw the system's data flow diagram (user, front end, API, database, queues, third parties), mark the trust boundaries and walk each flow with STRIDE. OWASP Threat Dragon is a free tool for it. Deliver the diagram and a "threat, mitigation, status" table.
• Write-ups: resolva desafios do Juice Shop e da Web Security Academy da PortSwigger e explique, para cada um, a falha, como você a encontrou e a correção. Escrever é o que transforma exercício em portfólio (e em memória).Write-ups: solve Juice Shop and PortSwigger Web Security Academy challenges and explain, for each, the flaw, how you found it and the fix. Writing is what turns an exercise into a portfolio (and into memory).
• Honeypot: o Cowrie simula um servidor SSH e registra o que os bots tentam. Rode-o isolado (contêiner, VPS descartável, sem credenciais reais e sem rota para a sua rede) e analise os logs. Só publique algo assim com o isolamento bem pensado.Honeypot: Cowrie simulates an SSH server and records what bots try. Run it isolated (container, disposable VPS, no real credentials and no route to your network) and analyse the logs. Only expose something like this with the isolation well thought through.
• CTF e divulgação: jogue um CTF por mês (picoCTF é o melhor começo). Quando se sentir pronto, procure programas de divulgação de vulnerabilidades (VDP) e bug bounty, sempre dentro do escopo publicado.CTF and disclosure: play one CTF a month (picoCTF is the best start). When you feel ready, look for vulnerability disclosure programmes (VDP) and bug bounty, always within the published scope.

Onde aprenderWhere to learn

Plataformas práticasHands-on platforms

Aprende-se segurança fazendo. Todas as plataformas abaixo têm trilhas guiadas; as marcadas como "gratuito" não exigem pagamento para o conteúdo principal, e as com "planos pagos" têm uma parte gratuita e outra paga (os preços mudam, confira no site).Security is learned by doing. All the platforms below have guided paths; those marked "free" need no payment for the core content, and those with "paid plans" have a free part and a paid part (prices change, check the site).

Referências que valem os favoritosReferences worth bookmarking

• roadmap.sh/cyber-security: um mapa visual e aberto de tópicos, bom para checar se algo ficou de fora.roadmap.sh/cyber-security: an open, visual map of topics, good for checking whether something was left out.
• OWASP Cheat Sheet Series e o Web Security Testing Guide: como defender e como testar cada risco, em páginas curtas.OWASP Cheat Sheet Series and the Web Security Testing Guide: how to defend and how to test each risk, in short pages.
• OWASP ASVS: a lista de requisitos de segurança de um app, ótima como checklist de projeto e de revisão.OWASP ASVS: the list of an app's security requirements, great as a design and review checklist.
• MITRE ATT&CK: o vocabulário comum de red e blue; leia as técnicas que aparecem nos seus laboratórios.MITRE ATT&CK: the shared vocabulary of red and blue; read the techniques that show up in your labs.
• NIST Cybersecurity Framework e CIS Controls: como as organizações estruturam a segurança; úteis para entrevistas e para GRC.NIST Cybersecurity Framework and CIS Controls: how organisations structure security; useful for interviews and for GRC.
• Cartilha de Segurança para Internet (CERT.br): em português, para o básico e para explicar segurança a quem não é da área.Cartilha de Segurança para Internet (CERT.br): in Portuguese, for the basics and for explaining security to non-specialists.

LivrosBooks

• The Web Application Hacker's Handbook (Stuttard e Pinto): o clássico de segurança web, ainda útil nos fundamentos.The Web Application Hacker's Handbook (Stuttard and Pinto): the web security classic, still useful for the fundamentals.
• Threat Modeling: Designing for Security (Adam Shostack): o livro de referência para o projeto 4.Threat Modeling: Designing for Security (Adam Shostack): the reference book for project 4.
• Security Engineering (Ross Anderson): por que sistemas reais falham; a obra inteira está disponível online, de graça.Security Engineering (Ross Anderson): why real systems fail; the whole book is available online, free.
• Linux Basics for Hackers (OccupyTheWeb) e Practical Packet Analysis (Chris Sanders): a base de sistema e rede para a etapa 0.Linux Basics for Hackers (OccupyTheWeb) and Practical Packet Analysis (Chris Sanders): the system and network base for stage 0.

Certificações, na ordem em que fazem sentidoCertifications, in the order they make sense

Certificação não é habilidade: é um filtro de currículo e um roteiro de estudo. Faça uma quando ela te empurrar a estudar o que você evitaria, não como primeiro passo.A certification is not a skill: it is a résumé filter and a study outline. Take one when it pushes you to study what you would otherwise avoid, not as a first step.

Ética e lei: o que separa estudo de crimeEthics and law: what separates study from crime

A diferença entre um pentester e um criminoso não é a técnica, é a autorização. Antes de testar qualquer coisa, responda por escrito às três perguntas abaixo. Se alguma resposta for "não sei", não teste.The difference between a pentester and a criminal is not the technique, it is authorisation. Before testing anything, answer the three questions below in writing. If any answer is "I don't know", don't test.

• É meu? Máquina, rede, conta de nuvem e aplicação que você administra e pode quebrar sem prejudicar ninguém.Is it mine? A machine, network, cloud account and application you run and can break without harming anyone.
• Tenho autorização por escrito? Contrato de pentest, regras de um CTF, política de um programa de bug bounty ou a licença da plataforma de treino.Do I have written authorisation? A pentest contract, the rules of a CTF, a bug bounty programme's policy or the training platform's terms.
• Qual é o escopo? Quais alvos, quais técnicas e quais horários estão permitidos. Fora do escopo é fora da autorização, mesmo no mesmo domínio.What is the scope? Which targets, techniques and hours are allowed. Outside the scope is outside the authorisation, even on the same domain.

No Brasil, a Lei 12.737/2012 criou o crime de invasão de dispositivo informático (art. 154-A do Código Penal), e a LGPD (Lei 13.709/2018) regula o tratamento de dados pessoais, o que importa se um teste expõe dados reais. Se achar uma falha em um sistema que não é seu, pare, não explore além do mínimo para confirmar, não baixe dados e reporte pelo canal oficial de divulgação (muitas empresas têm um security.txt ou um VDP). Isto é uma orientação geral, não consultoria jurídica.In Brazil, Law 12,737/2012 created the crime of invading a computing device (art. 154-A of the Penal Code), and the LGPD (Law 13,709/2018) regulates the processing of personal data, which matters if a test exposes real data. If you find a flaw in a system that is not yours, stop, do not exploit beyond the minimum needed to confirm, do not download data and report through the official disclosure channel (many companies have a security.txt or a VDP). This is general guidance, not legal advice.

Um plano de 90 diasA 90-day plan

Cerca de seis horas por semana, três blocos de duas horas. O plano assume que você já programa e usa o terminal; ajuste o ritmo, mas não pule os marcos.About six hours a week, three two-hour blocks. The plan assumes you already program and use the terminal; adjust the pace, but do not skip the milestones.

Cola e revisãoCheat sheet and review

Cola: por onde começar, em uma tabelaCheat sheet: where to start, in one table

Perguntas de revisãoReview questions