Estudos de Cibersegurança

1

🛡️ NIST: Identify ⏱️ 40 min 🧪 STRIDE Threat Canvas

Disponível

Tríade CIA, Ameaças e Modelagem STRIDE

Pilares da segurança da informação, vetores de ameaça e metodologia STRIDE

Responde a: Como identificar e categorizar vulnerabilidades arquiteturais em um sistema antes que sejam exploradas?

• Tríade CIA, Autenticidade e Não-Repúdio
• Taxonomia STRIDE (Spoofing a Elevation of Privilege)
• Simulador STRIDE Threat Canvas interativo
• Checklist de auditoria com persistência local

Acessar Estudo → Estudo Concluído

1

🛡️ NIST: Protect / Detect ⏱️ 50 min 🧪 Inspetor Visual de Cabeçalhos IP/TCP/UDP

Disponível

TCP/IP, DNS, Roteamento e Inspeção de Tráfego

Pilha de protocolos, 3-way handshake, flags TCP e vetores de ataque em rede

Responde a: O que cada campo dos cabeçalhos IP/TCP revela sobre a intenção do tráfego e possíveis anomalias?

• Pilha TCP/IP em 4 camadas e modelo OSI
• Dissecação de flags SYN/ACK/FIN/RST
• Vulnerabilidades em DNS e envenenamento ARP
• Simulador de montagem de pacotes e resposta de host

Acessar Estudo → Estudo Concluído

1

🛡️ NIST: Protect ⏱️ 45 min 🧪 Lab de Cifras (Web Crypto API)

Disponível

Criptografia Simétrica, Assimétrica, Hashes e PKI

Algoritmos modernos de cifragem, funções de resumo e infraestrutura de chaves públicas

Responde a: Qual algoritmo criptográfico utilizar para garantir confidencialidade sem comprometer o desempenho?

• Cifras AES-GCM e ChaCha20-Poly1305
• Curvas Elípticas (ECDSA/Ed25519) vs RSA
• Cadeia de confiança X.509 e revogação CRL/OCSP
• Lab nativo com Web Crypto API sem bibliotecas externas

Acessar Estudo → Estudo Concluído

1

🛡️ NIST: Protect ⏱️ 45 min 🧪 Validador e Decodificador JWT + Matriz RBAC

Disponível

Senhas, MFA, OAuth 2.0, Tokens JWT e RBAC

Controle de acesso robusto, fatores múltiplos, autorização moderna e federação de identidades

Responde a: Como garantir que apenas identidades legítimas acessem recursos corporativos críticos com privilégio mínimo?

• Hashing com Argon2, bcrypt e proteção de credenciais
• Protocolos TOTP (RFC 6238) e WebAuthn/FIDO2
• Ataques a tokens JWT (algoritmo 'none', chave fraca)
• Validador de JWT e matriz de permissões RBAC

Acessar Estudo → Estudo Concluído

1

🛡️ NIST: Protect ⏱️ 40 min 🧪 Simulador de Regras de Firewall (Pass / Drop)

Disponível

DMZ, VLANs, Regras de Firewall e Filtragem

Arquitetura de perímetros, isolamento inter-VLAN e ordem de precedência de regras de filtragem

Responde a: Como isolar servidores públicos da rede corporativa sensível garantindo regra Default Drop?

• Arquitetura de DMZ em 2 estágios
• Tabela de estados conntrack (Stateful vs Stateless)
• Trunking 802.1Q e segregação inter-VLAN
• Simulador de filtragem com ordem de precedência First-Match

Acessar Estudo → Estudo Concluído

2

🛡️ NIST: Protect ⏱️ 50 min 🧪 Auditor Interativo de Configuração de Servidor

Disponível

Bastionamento Linux e Windows (CIS Benchmarks)

Redução da superfície de ataque operacional em servidores corporativos Linux e Windows

Responde a: Quais configurações padrão de fábrica expõem servidores corporativos a ataques imediatos?

• CIS Benchmarks Nível 1 e Nível 2
• Bastionamento de SSH (/etc/ssh/sshd_config) e PAM
• Módulos de segurança do kernel (AppArmor e SELinux)
• Auditor interativo de arquivos de configuração de SO

Acessar Estudo → Estudo Concluído

2

🛡️ NIST: Protect / Detect ⏱️ 50 min 🧪 Analisador de Regras Snort/Suricata vs Tráfego

Disponível

IDS/IPS, WAF, VPNs e Proxies Reversos

Sistemas de inspeção profunda de tráfego, mitigação de ameaças web e túneis criptografados

Responde a: Como interceptar e bloquear tráfego hostil antes que ele atinja serviços internos sensíveis?

• Assinaturas Snort/Suricata e detecção heurística
• WAF Core Rule Set (CRS) contra injeções web
• Túneis seguros com WireGuard e IPsec IKEv2
• Analisador de payloads de tráfego com alertas em tempo real

Acessar Estudo → Estudo Concluído

2

🛡️ NIST: Protect ⏱️ 40 min 🧪 Motor de Decisão de Acesso Zero Trust (PDP/PEP)

Disponível

Princípios Zero Trust e Microsegmentação

Implementação prática do NIST SP 800-207, decisão de acesso contínua e perímetros definidos por software

Responde a: Por que não se deve mais confiar na rede interna mesmo após autenticação inicial bem-sucedida?

• NIST SP 800-207: Never Trust, Always Verify, Assume Breach
• Componentes centrais: PDP (Decision) e PEP (Enforcement)
• Acesso contextual baseado em postura do dispositivo e risco
• Motor de decisão de acesso em tempo real com score de risco

Acessar Estudo → Estudo Concluído

2

🛡️ NIST: Identify / Protect ⏱️ 45 min 🧪 Calculadora Interativa de Score CVSS v3.1 / v4.0

Disponível

CVE, CVSS v3.1/v4.0 e Priorização de Patches

Ciclo de vida de vulnerabilidades, cálculo de criticidade de riscos e correlação com ameaças ativas

Responde a: Como determinar qual vulnerabilidade corrigir primeiro entre centenas de falhas detectadas em varreduras?

• Métricas Base, Temporal e Ambiental do CVSS
• Novidades do CVSS v4.0 e integração com EPSS
• Catálogo CISA KEV (Known Exploited Vulnerabilities)
• Calculadora vetorial com geração da string CVSS

Acessar Estudo → Estudo Concluído

2

🛡️ NIST: Protect / Detect ⏱️ 45 min 🧪 Linha do Tempo de Telemetria e Detecção EDR

Disponível

Antivírus, EDR/XDR e Proteção de Host

Telemetria comportamental de processos, detecção de técnicas evasivas e contenção de hosts

Responde a: Como identificar a presença de um adversário no endpoint antes que ocorra dano ou exfiltração?

• Evolução de antivírus baseado em assinatura para EDR/XDR
• Sysmon e Event IDs do Windows (Event ID 1, 3, 10)
• Árvores de processos maliciosos parent-child
• Simulador de telemetria com isolamento de máquina da rede

Acessar Estudo → Estudo Concluído

3

🛡️ NIST: Identify ⏱️ 45 min 🧪 Terminal Simulado de OSINT e Enumeração

Disponível

Superfície de Ataque, DNS, WHOIS e Shodan

Mapeamento ético de pegada digital, inteligência de fontes abertas e enumeração de ativos expostos

Responde a: O que um atacante consegue descobrir sobre nossa infraestrutura sem enviar um único pacote invasivo?

• Reconhecimento passivo vs ativo e pegada digital
• Google Dorks, Certificate Transparency Logs e WHOIS
• Consultas especializadas em Shodan e Censys
• Terminal interativo com comandos de enumeração simulados

Acessar Estudo → Estudo Concluído

3

🛡️ NIST: Protect ⏱️ 55 min 🧪 Playground de Injeção e Sanitização Web

Em elaboração

Falhas Web (SQLi, XSS, CSRF, Broken Auth)

Principais riscos de segurança em aplicações web e métodos definitivos de remediação em código

Responde a: Como desenvolvedores podem eliminar falhas críticas de injeção diretamente na raiz do código?

• Categorias A01 a A10 do OWASP Top 10
• Prepared Statements para imunização contra SQL Injection
• Content Security Policy (CSP) contra ataques XSS
• Playground interativo de injeção com filtros sanitizadores

Em elaboração Estudo Concluído

3

🛡️ NIST: Protect ⏱️ 40 min 🧪 Simulador de Chamadas de API com Rate Limiter

Em elaboração

OWASP API Security, Rate Limiting e Tokens

Proteção de microsserviços, controle de autorização em nível de objeto (BOLA) e limitação de taxa

Responde a: Por que firewalls convencionais falham em detectar abusos lógicos e quebras de BOLA em APIs?

• OWASP API Security Top 10 (foco em BOLA e Broken Auth)
• Algoritmos de rate limiting: Token Bucket e Leaky Bucket
• Validação rigorosa de esquemas e proteção contra Mass Assignment
• Simulador de requisições REST com bloqueios HTTP 429 e 403

Em elaboração Estudo Concluído

3

🛡️ NIST: Identify ⏱️ 45 min 🧪 Construtor de Matriz de Achados e Relatórios de Pentest

Em elaboração

Fases do Pentest (PTES), Escopo e Relatório

Estruturação profissional de testes de intrusão, regras de engajamento e relatórios técnicos e executivos

Responde a: Como conduzir um teste de invasão ético agregando valor real ao negócio sem indisponibilizar sistemas?

• As 7 fases do padrão PTES (do pré-engajamento ao relatório)
• Modalidades White-Box, Gray-Box e Black-Box
• Regras de engajamento (RoE) e comunicação de incidentes
• Construtor interativo de matriz de achados e relatórios

Em elaboração Estudo Concluído

3

🛡️ NIST: Protect ⏱️ 40 min 🧪 Analisador de E-mails Suspeitos (Spot the Indicators)

Em elaboração

Pretexting, Spear Phishing e Defesas Humanas

Gatilhos comportamentais, autenticação de e-mail (SPF/DKIM/DMARC) e conscientização corporativa

Responde a: Como proteger a organização do elo mais explorado da cadeia de segurança: o fator humano?

• Táticas de pretexting, spear phishing e whaling
• Autenticação de e-mail com SPF, DKIM e políticas DMARC
• Tokens físicos FIDO2 contra ataques de adversary-in-the-middle
• Analisador interativo de e-mails com detecção de indicadores

Em elaboração Estudo Concluído

4

🛡️ NIST: Detect ⏱️ 50 min 🧪 Console SIEM com Busca de Logs e Alertas

Em elaboração

Rotina de SOC L1/L2, Logs e Regras Sigma

Estrutura operacional de um centro de monitoramento, ciclo de vida de alertas e regras Sigma portáveis

Responde a: Como separar ruído de alertas genuínos em fluxos corporativos de milhões de eventos por segundo?

• Estrutura de níveis SOC N1 (triagem), N2 (investigação) e N3 (hunting)
• Métricas operacionais: MTTD e MTTR
• Formato de regras de detecção Sigma e conversão para SIEM
• Console interativo estilo SIEM com pesquisa de logs e alertas

Em elaboração Estudo Concluído

4

🛡️ NIST: Identify / Detect ⏱️ 45 min 🧪 Mapeador de IoCs e TTPs na Matriz ATT&CK

Em elaboração

IoCs, TTPs, MITRE ATT&CK e STIX/TAXII

Transformação de dados brutos de ameaças em inteligência acionável e compartilhamento padronizado

Responde a: Por que focar em técnicas e táticas de adversários é infinitamente mais eficaz que caçar hashes e IPs?

• Pirâmide da Dor de David Bianco e robustez defensiva
• Navegação na Matriz MITRE ATT&CK Enterprise
• Padrões de compartilhamento STIX 2.1 e TAXII
• Mapeador interativo de IoCs com visualização de técnicas

Em elaboração Estudo Concluído

4

🛡️ NIST: Respond ⏱️ 50 min 🧪 Runbook Interativo em Árvore de Decisão

Em elaboração

Ciclo NIST SP 800-61 Rev. 2 e Rev. 3 (Contenção e Erradicação)

Gestão operacional de crises cibernéticas, ciclo clássico da Rev. 2, reorganização da Rev. 3 pelas funções do CSF 2.0 e playbooks de contenção ágil

Responde a: Quais passos imediatos tomar para conter um ataque ativo sem destruir evidências forenses vitais, seguindo o ciclo da Rev. 2 e a organização da Rev. 3?

• Ciclo em 4 fases do NIST SP 800-61 Rev. 2 e a reorganização da Rev. 3 (2025) pelas funções do CSF 2.0
• Contenção de curto prazo vs contenção de longo prazo
• Condução de lições aprendidas e retrospectiva sem culpa
• Simulador de crise em árvore de decisão com ramificações

Em elaboração Estudo Concluído

4

🛡️ NIST: Respond ⏱️ 45 min 🧪 Analisador de Timeline de Evidências e Logs Forenses

Em elaboração

Cadeia de Custódia, Coleta de RAM e Artefatos

Metodologia pericial rigorosa, ordem de volatilidade, integridade de cópias e análise de artefatos do SO

Responde a: Como reconstruir os passos exatos de um invasor e produzir provas digitais legalmente irrefutáveis?

• Norma ISO/IEC 27037 e ordem de volatilidade RFC 3227
• Bloqueadores de escrita físicos/lógicos e hashes SHA-256
• Artefatos forenses de host: Prefetch, Shimcache, $MFT e Registro
• Analisador interativo de super-timeline de eventos

Em elaboração Estudo Concluído

4

🛡️ NIST: Detect / Respond ⏱️ 45 min 🧪 Inspetor de Metadados PE/ELF e Hashes

Em elaboração

Análise Estática vs Dinâmica e Sandboxes

Inspeção inicial de artefatos maliciosos, cálculo de entropia, importações e relatórios de sandboxes

Responde a: O que o binário suspeito é capaz de fazer, e quais indicadores ele gera ao rodar em ambiente isolado?

• Diferenças entre análise estática e dinâmica em sandbox
• Estrutura do cabeçalho Portable Executable (PE) e seções
• Cálculo de entropia de Shannon para detectar packers (UPX)
• Inspetor interativo de metadados de binários e chamadas de API

Em elaboração Estudo Concluído

5

🛡️ NIST: Protect ⏱️ 45 min 🧪 Auditor de Permissões S3 e Políticas IAM Cloud

Em elaboração

Responsabilidade Compartilhada e CSPM

Arquiteturas seguras em provedores de nuvem, gestão de postura e políticas de acesso a dados

Responde a: Onde termina a obrigação do provedor de nuvem e onde começa a responsabilidade da sua organização?

• Modelo de Responsabilidade Compartilhada (IaaS, PaaS, SaaS)
• Endurecimento de políticas IAM e proteção de buckets S3
• Postura de segurança em nuvem com CSPM e CWPP
• Auditor interativo de arquivos de políticas JSON de nuvem

Em elaboração Estudo Concluído

5

🛡️ NIST: Protect ⏱️ 45 min 🧪 Simulador de Pipeline CI/CD com Security Gates

Em elaboração

Shift-Left, SAST, DAST, SCA e Containers

Automação de segurança no ciclo de entrega contínua, governança de dependências e proteção de containers

Responde a: Como detectar e bloquear vulnerabilidades em código e dependências antes do deploy em produção?

• Filosofia Shift-Left e ciclo SSDLC
• Integração de testes SAST, DAST e SCA com SBOM
• Boas práticas em Dockerfiles e imagens distroless
• Simulador de pipeline CI/CD com parametrização de thresholds de quebra

Em elaboração Estudo Concluído

5

🛡️ NIST: Protect ⏱️ 40 min 🧪 Mapeador do Modelo Purdue (TI vs TO)

Em elaboração

Redes Industriais (SCADA/Modbus) e IoT

Proteção de sistemas de controle operacional, Modelo Purdue, protocolos legados e isolamento físico

Responde a: Como proteger sistemas ciberfísicos que não suportam paradas, patches frequentes ou criptografia pesada?

• Convergência TI e TO e prioridades de disponibilidade
• Níveis 0 a 5 do Modelo Purdue para sistemas ICS/SCADA
• Limitações de segurança do protocolo Modbus TCP (porta 502)
• Mapeador arquitetural interativo de zonas industriais

Em elaboração Estudo Concluído

5

🛡️ NIST: Protect / Detect ⏱️ 45 min 🧪 Lab de Prompt Injection e Defesas

Em elaboração

Ameaças a LLMs (OWASP LLM), Deepfakes e Defesa

Segurança de modelos fundacionais, vetores de injeção de prompt, envenenamento e uso defensivo de IA

Responde a: Como impedir que usuários maliciosos manipulem instruções de sistemas baseados em inteligência artificial?

• OWASP Top 10 for LLM Applications (LLM01 Prompt Injection)
• Ataques de Data Poisoning e vazamento de dados sensíveis
• Mecanismos de guardrails de entrada e sanitização de prompts
• Laboratório interativo de bypass de chatbot e aplicação de defesas

Em elaboração Estudo Concluído

6

🛡️ NIST: Govern / Identify ⏱️ 45 min 🧪 Calculadora de Matriz 5x5 e Risco Financeiro (ALE/SLE)

Em elaboração

ISO 31000 e Avaliação Qualitativa vs Quantitativa (ALE/SLE)

Processo da ISO 31000:2018, metodologias de análise de risco, matrizes 5x5, cálculo financeiro de perdas e justificativa de ROI

Responde a: Como conduzir o processo de riscos da ISO 31000:2018 e quantificar em reais o impacto de uma ameaça para justificar orçamentos à diretoria?

• Processo da ISO 31000:2018: contexto, identificação, análise, avaliação, tratamento, monitoramento e comunicação, ao lado do NIST SP 800-30
• Fórmulas quantitativas: SLE = AV * EF e ALE = SLE * ARO
• Estratégias de tratamento de risco: Mitigar, Aceitar, Transferir, Evitar
• Calculadora interativa com matriz 5x5 e cálculo de viabilidade ROSI

Em elaboração Estudo Concluído

6

🛡️ NIST: Govern ⏱️ 50 min 🧪 Matriz de Controles e Declaração de Aplicabilidade (SoA)

Em elaboração

SGSI, Anexo A, CIS Controls e NIST 800-53

Estrutura do SGSI, os 93 controles do Anexo A, Declaração de Aplicabilidade e crosswalk com CIS Controls v8.1 e NIST SP 800-53 Rev. 5

Responde a: Como estruturar um SGSI auditável e mapear os controles do Anexo A para CIS Controls v8.1 (IG1/IG2/IG3) e NIST SP 800-53 Rev. 5?

• Estrutura HLS da ISO/IEC 27001:2022 (cláusulas 4 a 10)
• Os 93 controles consolidados em 4 temas organizacionais, com crosswalk para CIS Controls v8.1 (IG1/IG2/IG3) e NIST SP 800-53 Rev. 5
• Elaboração e manutenção da Declaração de Aplicabilidade (SoA)
• Matriz interativa de aplicabilidade com sumário percentual

Em elaboração Estudo Concluído

6

🛡️ NIST: Govern / Protect ⏱️ 45 min 🧪 Construtor de Avaliação de Impacto à Privacidade (RIPD)

Em elaboração

Bases Legais, Direitos do Titular e RIPD/DPIA

Conformidade com a Lei 13.709/2018, governança de dados pessoais e relatórios de impacto à privacidade

Responde a: Qual base legal legitima o tratamento de dados pessoais e como demonstrar conformidade perante a ANPD?

• As 10 bases legais da LGPD para dados pessoais e sensíveis
• Garantia dos direitos dos titulares e atuação do DPO/Encarregado
• Protocolo de notificação de incidentes à ANPD (art. 48)
• Construtor interativo de Relatório de Impacto à Privacidade (RIPD)

Em elaboração Estudo Concluído

6

🛡️ NIST: Recover ⏱️ 40 min 🧪 Calculadora de RTO/RPO e Validador da Estratégia 3-2-1

Em elaboração

BCP, DRP, Cálculo de RTO/RPO e Regra 3-2-1

Planejamento de continuidade de negócios, estratégias de recuperação de desastres e resiliência a desastres

Responde a: Quanto tempo a organização suporta ficar inoperante e qual volume de dados pode ser perdido em um desastre?

• Diferenciação operacional entre BCP, DRP e análise BIA
• Definição e cálculo de SLAs de RTO e RPO
• Estratégia de backup 3-2-1 e cópias imutáveis/air-gapped
• Calculadora interativa de resiliência e simulação de perdas

Em elaboração Estudo Concluído

2

🛡️ NIST: Protect / Detect ⏱️ 50 min 🧪 Gateway de Conteúdo

Em elaboração

DLP, AntiSpam e Filtro de Conteúdo

Prevenção de perda de dados, autenticação de e-mail (SPF, DKIM, DMARC) e filtragem de conteúdo e URL em proxy seguro

Responde a: Como impedir que dados sensíveis saiam da organização por e-mail ou web sem bloquear o trabalho legítimo?

• DLP de rede, de endpoint e de nuvem (CASB), com detectores por regex, checksum (Luhn) e dicionário
• Autenticação de e-mail com SPF, DKIM e DMARC (none, quarantine, reject) e antispam por reputação
• Filtro de URL por categoria em SWG, inspeção TLS e o equilíbrio entre falso positivo e falso negativo
• Simulador Gateway de Conteúdo: AntiSpam, DLP e filtro de URL com veredito Permitir, Quarentena ou Bloquear

Em elaboração Estudo Concluído

2

🛡️ NIST: Protect / Detect ⏱️ 50 min 🧪 Matriz GRANT/REVOKE

Em elaboração

Bancos de Dados Relacionais: SQL, Privilégios e Auditoria

Modelo relacional, SQL DDL/DML/DCL, menor privilégio, auditoria nativa e proteção de dados em repouso

Responde a: Quem pode ler e alterar cada tabela do banco, e como provar isso numa auditoria?

• Modelo relacional, ACID e as linguagens SQL DDL, DML e DCL
• Menor privilégio com roles, GRANT/REVOKE, views e Row-Level Security
• TDE, criptografia de coluna, mascaramento dinâmico, auditoria nativa e prepared statements contra SQLi
• Simulador Matriz GRANT/REVOKE com consultas permitidas ou negadas e trilha de auditoria

Em elaboração Estudo Concluído

6

🛡️ NIST: Govern / Protect ⏱️ 45 min 🧪 Delimitador de Escopo CDE

Em elaboração

PCI DSS v4.0.1: Escopo CDE e os 12 Requisitos

Os 6 objetivos e 12 requisitos do padrão de cartões, delimitação do CDE, segmentação para reduzir escopo e tipos de SAQ

Responde a: Quais sistemas entram no escopo do PCI DSS e como reduzir esse escopo sem abrir mão da conformidade?

• 6 objetivos e 12 requisitos do PCI DSS v4.0.1, com a diferença entre abordagem definida e customizada
• PAN versus dados sensíveis de autenticação (SAD) e tokenização versus truncamento versus criptografia
• CDE, sistemas conectados, segmentação validada por teste, SAQ A, A-EP, B, C e D, ROC, QSA e AOC
• Simulador Delimitador de Escopo CDE: sistemas dentro, conectados ou fora do escopo, com sugestão de SAQ

Em elaboração Estudo Concluído

7

🛡️ NIST: Protect ⏱️ 40 min 🧪 Leitor de Advisory

Em elaboração

Inglês Técnico para Segurança da Informação

Leitura de advisories, registros CVE/NVD e RFCs, vocabulário essencial, falsos cognatos e redação técnica em inglês

Responde a: Como ler um boletim de segurança em inglês e extrair versão afetada, impacto e mitigação sem erro de interpretação?

• Estrutura de um advisory: Summary, Affected Versions, Impact, Mitigation e Workaround
• Verbos modais normativos MUST, SHOULD e MAY conforme a RFC 2119
• Falsos cognatos da área (exploit, eventually, actually) e diferença entre registro formal e informal
• Simulador Leitor de Advisory: termos clicáveis, perguntas de compreensão e flashcards de glossário

Em elaboração Estudo Concluído

7

🛡️ NIST: Protect ⏱️ 35 min 🧪 Planejador de Certificações

Em elaboração

Formação, Certificações e Carreira

Graduações e pós em segurança, certificações CEH, CISM, CISSP, CCSP, GSEC e Security+, e papéis do NICE Framework

Responde a: Qual combinação de formação e certificações leva ao perfil de carreira desejado, e que lacunas ainda restam?

• Graduações (Ciência da Computação, Sistemas de Informação) e pós-graduações em segurança da informação
• Certificações de entrada, gestão e especialidade: órgão emissor, domínios, experiência exigida e CPE
• NICE Framework (NIST SP 800-181) para descrever papéis profissionais
• Simulador Planejador de Certificações: domínios cobertos pelo currículo, lacunas e ordem de estudo

Em elaboração Estudo Concluído