Fundamentos de Cibersegurança – Hipsters Ponto Tech #362

[Música] Hipster Spont-tech! [Música] O podcast de tecnologia e outras rodinhas! [Música] Olá, caríssimo ouvinte! Seja muito bem-vinda mais um episódio do seu podcast favorito. Eu sou Paulo Silveira, esse é o Hipster Spont-tech. E hoje temos mais um episódio de fundamentos. Vamos falar de cybersegurança. Olha só, em um assunto que todo mundo gosta. Pouca gente entende. Então vamos lá, podcast, ver com quem que a gente vai conversar. E também entender um pouco mais do que a gente precisa conhecer desse assunto, que é o objetivo dessa nova série do Hipster Spont-tech. [Música] Parece a conversa de hoje, eu estou aqui com Eduardo Cardoso, que é a Red de "Treat Intelligence". Olha o nome bacana, na clave e segurança. Tudo bom com você, Eduardo? - Opa, tudo bom, sem. - Com você, Paulo. Tudo bem também. Eu estou bem um pouco medo, né? Eu sempre converso com essa coisa de segurança, coisas que envolvem hackers. Eu sempre tenho medo de um medo de pessoa invadir meu hangout, aqui, meu Google Meet, eu tenho um pouco ansioso aqui. E junto com ele, estou com a letícia Maria, que ela é coordenadora de "Treat Intelligence" também na clave e segurança. E é uma das alurestárias. Olha só, é uma das alunas e alunas que passaram, que passam pela lura e que fazem um trabalho na comunidade incrível. Então, a gente está muito honrado dela participar também de ajudar a gente na lura. Tudo bem com você, letícia? Tudo bem, tudo ótimo. É um prazer pra aqui, né? Eu estou compartilhando também, fazer com que a mensagem da área de segurança e conseguir também desmistificar um pouco essa área pra muita gente. A gente tem que ir uma. Maria muito tepulosa e que é de muita curiosidade e que pode acabar gerando muita desinformação se for passado por as pessoas erradas, né? Então, é muito legal estar aqui pra poder compartilhar o crescimento. Muito bem colocado, letícia. E além dessa dupla, eu estou aqui com o cario Teixeira, que é "Deve ré ou da lura". Pode queester também e estar me acompanhando nessa pra fazer boas perguntas. É isso, caiu. Olha, você já me colocou uma pressão o que eu gosto muito obrigado a pressão de fazer boas perguntas. Mas sim, acho que vai ser um papo super legal. Eu sou muito curioso por essa área. Ainda mais que eu nasci, cresci nos anos 90, mentira nasci nos anos 80. Mas eu cresci nos anos 90 e fui do outro inado por filmes como "Hackers", como "Matrix", que eu quero saber qual é a diferença entre o que a gente vê de hacker e cyber segurança nesses filmes, o que acontece na vida real. Gente, do seu chuteu, Paul da Barracan, Gilina Jolie, invadindo nossos computadores, né? Poucos tiverem esse privilégio de assistir esse filme em "Fita VHS" em "Eu sou uma dessas pessoas". Para a gente começar essa conversa, eu queria entender esse termo, não é? O Cyber Security, Cyber Segurança. Porque eu acho que hoje em dia é muito amplo e quem está começando na carreira de tecnologia seja uma pessoa desenvolvedora, Front-End, Beck-End, seja uma pessoa mais próxima do cloud, do Linux, da infraestrutura. A gente fica nessa dúvida, né? O quanto eu tenho que saber de cyber segurança, o quanto eu sou responsável por segurança, ou até o que é segurança, não é? Isso é um. um paradigma, é algo que, assim como DevOps, todo mundo tem que ser responsável, ou tem um time próprio, ou tem uma consultoria. Então eu queria que vocês pudessem dar pelo menos uma abordagem geral. Do que que é? O que a gente considera, Cyber Security, porque é muito fácil a gente chegar até aquela brincadeira do "Rek" em social, que pelo menos nesse filme "Hackers" aparece umas coisas interessantes, né? É de você ligar para a pessoa, né? Você liga para uma pessoa e fala, "Olha, eu sou o Eduardo, o seu chefe". Pode me dar sem, é claro, Eduardo, tá aqui, é sem, né? Tendeis daquela proteção de essa parte da educação em relação à informação, até aquela coisa super hacker mesmo, da pessoa quebrar e roubar a memória rã e depois desse fralco, que estava na posição da memória, aquelas coisas super técnicas. E aí, onde eu classifico hoje em dia, Cyber Security, só até o que que vocês dois trabalham? Bem, a uma pergunta bem interessante, a gente, quando começa assim, segurança a gente sempre começa no porquê, né? E o Cyber Security, ele está dentro do escopo, todo o de segurança da informação, né? É um espaço dentro desse globo ali, de segurança da informação. Só que segurança da informação é a branje entre, né? Relacionada diversas outras áreas, como, por exemplo, segurança física, segurança cybernética, né? E em volta todos os fases cybernético, que onde estamos aqui agora, né? Conversando por esse meio. Então, é um pouco mais focado, né, nos corpo de relacionado a computação, a sistema, mas arredes. E a gente vê essa diferença assim, mas geralmente você acaba lidando com os dois, né? Com segurança informação, em geral. E quando a gente fala de segurança informação, a gente está falando da triad, né? O que todo mundo, quando começa a ver sobre segurança, acaba esbarrando que é você conseguir manter os pilares ali das seguras da informação, a conferência da realidade da informação, a disponibilidade da informação, e a integridade da informação. Isso tudo vai estar, né? Dentro desse. Tudo que você faz ali em segurança, né? Em segurança cybernética e informação, você vai estar relacionado a esses três fatores, né? Então, evitar ali que o site cai, para que as pessoas possam acessar, ou você vai estar lidando com, diretamente, pode disponibilidade. Isso. E um outro ponto é que é o conceito de manter a informação segura, é quando a gente fala de segurança da informação, é, de fato, manter a informação segura, onde é aquela esteja, né? Então, se você tem uma proteção física, por exemplo, de servidores, né? Você tem que adicionar barreiras de segurança física. É a monitoramento, pode ser por câmera, cadeados. Enfim, você tem também esse conceito, né? Também tem existem outros conceitos que até é chamado de conceito de mesa limpa, que isso aconteceu muito em presencial. E acho que o Homem Office também pode acontecer, é, principalmente, nessa de compartilha tela, e você vai compartilhar uma tela para uma reunião, e aí, você espõe alguma informação sensível de alguma área, de algum cliente, de algum setor. Então, é, de fato, você tem mente que você vai estar protegendo uma informação e a informação é alarmativo. Então, você tem que tratar informação, e ver também com o conceito de classificação da informação, então, você adiciona barreiras de proteção de acordo com a sensibilidade de cada informação, e toda a informação que é mais sensível, ela merece uma proteção maior, tem outras que são maiores, não tem tanta sensibilidade, então, talvez, não precisa meditantos esforços, mas o importante também é, tem mente, que, às vezes, aquilo que não importa para a gente pode importar muito para outra pessoa. Então, vai, também, do conceito de conscientização, então, as pessoas terem ideias do que é que é a cade de vulgão de informações. Então, talvez, para a gente postar uma selfie, numa janela de casa, com uma vista, pode não significar nada, mas talvez, para uma pessoa, dependendo do. ser uma pessoa pública, ser alguma, alguém com. é alguma atuação político, coisas assim, você pode estar uma foto dessa, você diz a localização da pessoa. Então, também tem que tomar cuidado para me ver a paranoia. É, você, literalmente, saber qual é a informação que você quer proteger, né? Classificar essa informação e adicionar barreiras para que pessoas que não tenham acesso a essa informação podem ter pessoas mal intencionadas, ou até mesmo pessoas que acabam sabendo de coisa sem querer, para algum vacil, e coisa assim. E você adicionar barreiras para proteger isso. Retomando esse discurso que vocês passaram, Eduardo e Letícia, uma coisa que. a primeira pergunta que me vem já é. o trabalho de vocês hoje, ele está muito mais focado na parte de criar esses bloqueios de segurança, virtualmente mesmo, ou na conscientização dos funcionários colaboradores, porque tem muita essa coisa, como o Paulo já levantou antes da engenharia social, como vacilos, as vezes que a gente não sente, são vacilos, podem trazer muito mais riscos às empresas, do que necessariamente um hacker tentando entrar no sistema, né? Deixa eu complementar essa pergunta do Caio, porque o Eduardo Zon termos, ele usou termo segurança da informação e segurança cybernética. Então, até para a gente começar a quebrar e quem está entrando nessas áreas, pode saber, né? Porque eu acho que hoje está tão amplo. E a Letícia deu bons exemplos aqui, que eu acredito seja da informação. Essa é a principal diferença, tem a parte, que é mais segurança da informação, que envolve coisas mais mundanas e a parte mais do código, que envolve mais coisas que a gente considera, hacker do filme, ou não, ainda tem mais outras quatro divisões, e etc. Bom, é resumidamente a diferença crucial, digamos assim, é que a segurança da informação, vamos tentar ver como um círculo, né? A segurança da informação é um círculo. Dentro desse círculo, a gente pode inserir a segurança cybernética. Porque a segurança cybernética, ela tem o foco principal, resumidamente falando, é protegido nesse benético. É o que está relacionado a mais área de tecnologia, em si, é você proteger servidores, proteger computadores, proteger el trafego da rede, proteger esses dados. Então, é resumidamente a gente pode dizer que a segurança da informação ela engloba tudo, desde segurança física, segurança de documento físico, locais, que você, de certa forma, tem uma troca de informações, você arrumar as informações, então a segurança da informação, ela aborta, você protegei a informação como um todo, e a segurança cybernética é mais relacionado a área cybernética mesmo, né, a ter esse mundo virtual. Então, esses hackers, digamos assim, que a gente vê por aí, que a gente vê invadindo o computador, para o entro da. aí em empresa pela internet, apesar de ser. É mais segurança sebernética. Agora, por exemplo, tássos onde a gente vê que já aconteceu de pessoas roubarem crachais para você fazer cópia do crachai e conseguir acesso à empresa. E por conta desse acesso, teve acesso a documentos. Isso aí já é a segurança da informação. Não sei se conseguir ficar claro a diferença. E, no caso, esse circo, o idento desse circo tem segurança sebernética. Então, você pode estar falando sobre segurança na informação, mas não necessariamente está falando sobre segurança sebernética. Você pode estar falando sobre segurança sebernética e vai estar falando de qualquer forma de segurança na informação, basicamente isso. E aí eu acho que eu retalava minha pergunta. Então, de hoje, o que fica mais dentro do escopo de vocês? A ideia de essa coisa da engenhania social, onde a gente tem problema de fichem e meio, enfim, pessoas que se passam por outras pessoas, o praivai ou, de fato, ataques sebernéticos aos servidores e por aí vai. A gente trabalha com inteligência de ameaças ou três entelhas. A nossa foco é especificamente a ameaça e sebernética. Então, a gente fica bem antenado sobre o que os atacantes estão fazendo. O que que o outro lado está fazendo para que a defesa, e até a parte que simula o ataque, que possa estar atualizado, que possa estar antenado também, de acordo com esse conhecimento, que possa estar atualizado. Então, vai poder executar algo de acordo com um atacante faz. De acordo com as novas técnicas, estáticas, novos procedimentos que os atacantes estão fazendo. Então, a nossa visão é trazer o que o outro lado faz pensa e deseja, para o lado da defesa, para que todos os possam estar andando certinho. Então, envolve um conhecimento de n parte de nerda seguroso da informação. A gente tem que conhecer a parte do ataque, conhecer a parte da defesa. A gente tem que saber quando quer requerido mais a parte de comensitização, dessas partes tudo. A gente vê que vê tudo assim. Então, por exemplo, como o ficiplado de Fiche, para tentar exemplificar um pouco, como a gente atuaria nisso. A gente iria pegar um alguém foi, mandou o Fiche em um funcionário. A gente pegaria esse Fiche em olharia, mas não a nível de "a, essa que é um Fiche" em beleza. Não, a gente já vem para a gente como o Fiche. O nosso objetivo é ver o que esse atacante utilizou. Qual foi o método que ele usou? Ele usou uma tática específica para uma empresa, para um negócio. Ele usou táticas mais genéricas. Isso daqui foi um Fiche direcionado àquela pessoa, àquela empresa, ou é uma campanha de Fiche, onde um atacante vai lá, manda a Fiche para uma lista gigante de email, quem caiu. Então, a gente busca analisar com esse foco, para produzir uma inteligência em cima disso. A recebi um Fiche. "Poxa, será que isso aqui está fazendo uma campanha contra a gente?" "O. é muitas vezes, não, não é nenhuma campanha direcionada, é realmente uma campanha de Fiche em geral, que é viada para todo mundo. Como também, não, pode ser assim, uma campanha direcionada, vamos ver aqui. O que a gente pode fazer?" E a gente acaba servir dando uma orientação para outras áreas e estarem tomando ações. Então, olha, muda a senha do email, coloca do flofator. A gente acaba também dando um pouco desse direcionamento. "Letícia foi trazendo uns termos assim, mas informações que eu lembrei que quando eu estava começando assim, na área de segurança, estava começando a minha aventura, eu fui vendo cada um desses termos e cada um levava mais informação. Cada partizinha assim que você pega fichem, vai deslobrando assim várias partes, né? A galera que foca em fiche, enfoca geralmente em gereo social. É uma galera que, quando vai especializar, mesmo, já começa a pensar em psicologia, né? Para poder pensar em como fazer a pessoa ficar num link, ou te dar informação que você quer, a linguagem corporal, é por aí, ó, então cada segurança é um universo, dentro de segurança, tem outros universos que você, quando está começando, você fica até perdido, né? Porque é muita coisa, é muita coisa." E um outro ponto também interessante, que muita gente também acaba atelando um mistíssimo do hacker, né? Então, assim, caramba, mandar o email com certeza, é um carinha com capuz verbele com um terminal de letrinha verde, rakiando. Não, gente, eu, tipo, muitas vezes o cara não sabe nem, não sabe nem o que é um MFA, mas ele tem aquele conceito de gereo social, que ele na lábia pode conversando com uma outra pessoa, ele pode ter a informação que ele precisa. Então, para alguém rakiar, digamos assim, não precisa necessariamente ter um conhecimento de computação, né? Basta a pessoa ter lábia, ou ela saber investigar, também que ela consegue. Claro que, muitas vezes a pessoa acaba sabendo um pouco dos dois, mas, né, um fator não excluiu outro, né? Então, é possível sim, pessoas aplicarem, é o caso da gente ver diversos golpes, né? Golpes, estão envolvidos com fraude, que também é um programa de segurança. Então, muitos desses golpes, que às vezes a gente vê, é reportagem saindo de "Ah, pressa federal, prendeu, quadrilha, etc, etc". Às vezes, esses caras nem têm conhecimento de computação. Às vezes, eles só são bons mesmo na parte de gereo social, que é você rakiar o fator humano, né? Vamos acertar. Então, também tem isso. Bem, aí chegou aquela hora para quem está querendo os fundamentos. Quero trabalhar junto com Eduardo, qual é o títico que eles fazem, né? Então, então, mais próximo do "Saber Security", como vocês falaram. Então, quero trabalhar com essa área. O que são os conceitos básicos? O que é que eu preciso estudar de mais básico possível? É o "Oasp", "Effas e Esquelen, Jackson". Vocês entende que eu quero dizer, eu quero saber qual é o primeiro passo para a gente ensinar aqui? Qual é a primeira técnica que a gente vai falar que as pessoas costumam ver, costumam se encantar, e independente, se isso vai acontecer ou não, no mundo real, tá bem? Eu provavelmente não vai, mas qual é aquela primeira coisa que eu falo "Nossa", então é assim que a gente se protege de um raki, que é esse tipo de raki que costuma acontecer mais em sites, sistemas, apps, então é isso que eu preciso estudar e me preparar? Eu vejo que independente, assim, dentro da área de segurança tem diversas suviárias, né? Mas eu acho que, independente da área que a pessoa quer seguir, ela precisa entender bem os fundamentos, mesmo da parte computação, isso é algo que a gente vai até falando de muito tempo, né? Eduardo, a pessoa precisa entender o fundamento, não tem como você proteger, é aquilo que passa no sado, né? Então, é entender de redis, né? Entender um pouco de programação, entender como é que funciona, sistemas, transferas operacionais, o basicão. Uma vez que você entende isso, você consegue passar, aí vem essa parte tipo de ask challenge, é? Isso daí já tá mais relacionado a. é. é dentro desse branete, mas tá mais relacionado ao web, porque, além desses conceitos, a gente ainda tem a segurança relacionada à aplicações do web, né? As servidores do web, e também tem aquela parte de. Segurança tradicional, que seria. é um active director, que seria a segurança de servidor, físico, que seria. você conseguir entrar na infraestrutura de uma empresa, aí não é necessariamente na aplicação web da empresa, é necessário você ter esse fundamento depois, claro, uma vez que você sabe você consegue, é que eu era o mexer pra ver com essa parte de ask challenge, por exemplo. Aí sim, você pode focar uma visão mais web, né? Não necessariamente entender de atimauro, entender de firewall, entender de. do active director mesmo como eu tinha falado. Espera, quando a pessoa tá pra começar assim, geralmente, e você acaba vendo isso em talvez toda a palestra sobre como começar em segurança, sei que eu comecei assim, realmente cai dentro quando eu vi uma palestra dessa, na. na faculdade de um de. eu eletisse a gente estudava, e foi realmente trazer nessa visão de certificações. Então, sempre quando a gente fala da pessoa começar a segurança, a gente acaba falando de. de certificações. E aí você tem duas no mercado, que até hoje, né, são umas mais recomendadas, pra quem tá começando, que é aprender, que é a ISFES, que é um curso em cima da ISO 27.1, que traz ali conceitos e toda uma questão de conformidade em relação a fundamentos de segurança, na informação, pra empresas, mas ISFES ele tá essa visão desses conceitos, o que a empresa deveria ter de compruras básicas de segurança, o que toda a empresa deveria ter, pra estar conformidade com essa ISO. Porém, geralmente a gente fala é mais básica, né? Pra pessoa ali que tem zero conhecimento, zero conceito, e quer começar a lhe entender, por que que faz a "deus"? A outra que é mais recomendada, porém, ela. de cara ela pede assim, já uma experiência de dois anos de segurança, mas não é algo assim de outro mundo, porque a gente fica realmente todos os conceitos, nem todo o material de estudo, é assim que eu tipo. plantas, né, da competir. Essa traz a anima visão completa, assim, de segurança, não necessariamente você precisa de uma certificação pra começar, sendo bem claro isso, mas ajuda bastante principalmente a estudar, que ela nem precisa ir atrás pra tirar a certificação, embora a gente lhe ajuda muito depois na carreira, mas entender os conceitos, né, que ele vai começar a falar sobre a minha aça, né, quais são as principais ameaças, que vai começar a falar sobre. que a parte de responincidente, que vai falar sobre forens, que vai falar sobre. toda a parte de GRC, de ris, queijo compliance, da parte legal, Tudo não se aprofundando muito, mas o suficiente para que a pessoa entenda do que está sendo tratado. Eu, como estava começando, estava muito na vibe de Penteche. E eu acho que geralmente quando a pessoa está iniciando, está querendo ir mais para essa área de segurança, ela pensa muito nessa parte. - O que é Penteche mesmo, Eduardo? - Penteche é a parte de eu chamado o Penetreixan Tester, ou o cara que faz Testeix de Vazão, né? O cara que vai ter o conhecimento do Hake. - É, então. - Vamos ao Hake. - Acho que esse é o Né-Kai. - Essa é nossa visão, né, Kai? - Esse é o que eu gosto, esse é o que eu conheço. - Esse aí. Não sei como faz, mas esse é o que quem é, né? - Esse daí, quando a gente vê a pessoa iniciando, até quando a gente vê te estagiário assim, você pergunta, "Aquê que você gostaria de fazer?" "Ah, cara, você tem texta, eu quero ir vagir, site, eu quero fazer isso, e isso." Eu era assim também lá no início, mas eu comecei a ver com grande as coisas zero, enquanto que teria assim de espaço para poder aprender e fazer bastante coisa. Eu hoje vejo, né, que o profissional assim excelente dessa parte mais ofensiva, que é o que a gente chama, né, que faz a parte de Penetreix, que se mula o ataque, ele é muito bom quando ele entende da parte defensiva também, porque ele vai saber quais os controles que ele deveria por lá, e quais os controles que deveriam ser colocados, caso ele consiga com o prometer, o Arion Biante, e, vizé, ó, você precisa desse controle aqui, porque eu consegui fazer isso, você precisa de cita aqui, porque tem essa tabrecha aqui. E o cara do outro lado, né, o cara que foca completamente nas segurança defensiva, que é o chamado de Bluntchen, né, no conceito de Redgar, Sus Blue, né, ou o Tim e azul, versus o Tim e de Hermelho. "Explica o que é o azul e o vermelho do Ardo, porque isso também são conceitos, né?" É, é um conceito muito conhecido também de segurança que é muito falado. "Pra quem tá no começo, nunca é do Ardo, manda vala?" "Não, você tem, né, que quando você vai procurar, seja Red versus Blue, tem muitas pessoas que trais ali o purple, trais o bronco, tem todas as coisas que eu já nem sei mais, mas o tradicional é o vermelho versus o vermelho azul, o azul é o cara da defesa, e o vermelho é o cara do ataque." Então tem empresa que tem os dois tímis, porque ela fica se atacando para ver o que acontece, é isso? "O ideal, né, é dito que, sim, né, a hora de a gente trabalhar, a gente tem ali a equipe de Red, tem a equipe de Blue, que faz essa tipo de simulação dos clientes, e também, né, na empresas grandes assim, você pode ter um tímis específico, só de Red, e um tímis específico, só de Blue. Isso é bem recomendado, inclusive, de ter esses període com os invasões. Isso é falado em diversas normas, né, geralmente, é norma mais específica para saúde, para ser topo financeiro, e isso, no mais, fala, tem pelo menos um test invasão a cada seis meses, cada um ou um ano, alguns casas até mais de trás." E a parte de ofensiva, no caso seria o Red, ele não lida também só com testes de invasão, né? Ele também, essa parte, por exemplo, de simulação de fichim, para saber como é que tal, grau de concentração, é uma atividade não exclusiva, mas também relacionada a equipe de ofensiva, outras atividades também, já existem empresas que fazem esse tipo, existem profissionais também, que é você, por exemplo, tentar invadir fisicamente uma empresa, é você tentar ir, usar as técnicas de tipo, tu segurando uma caixa pesada, vamos ver se a pessoa vai abrir para mim." Metal Gear Solid, que nem não metal Gear, nesse jor? Eu trabalhei numa empresa que fazia isso, era super divertido, e eles faziam como a satafrequência, então existiam, inclusive, um bonus, que era um tipo um presentinho almoço que a empresa pagava, para quem descobrisse, quem é que tem, quem está tentando invadir, então, eles locatedvam durante uma semana, um período, alguém vai tentar invadir fisicamente o nosso critório, quem pegar vai ganhar um almoço, e eles fazem como uma satafrequidade, então, eu não sabia que fazia parte do time cyber security, por exemplo. É, é um pessoal de ofensiva, também, isso também é uma parte que aborda você ter essa questão de ingeria social, porque, de certa forma, você está ofensível o ataque, então você precisa de um pouco de atentão, atacar uma empresa, nem que seja invadindo ela fisicamente para tentar acessar uma área crítica, acho que 90% das pessoas que falam comigo já viram Mr. Robbins, acham que é a realidade ali, então, assim, existem partes, quem viu a primeira temporada, existem partes onde a pessoa era precisava, estar fisicamente num lugar, para poder concluir uma parte do ataque, então, como é que ela conseguir ir a invadir uma empresa? Então, no caso, uma equipe de ofensiva também acaba lidando com isso, não é como falei numa regra, mas também é importante surizar aqui, reditir não é só taxidinvasão. Quer dizer, isso não deixa de ser taxidinvasão, mas o fantastico que muita gente se refere, é você tentar acessar o servidor do terminal da sua casa e vou abrir um calilino, que se agora eu sou um hacker, não é assim, não é só isso, né? E a parte de defesa é outro, é você, justamente, pensar em como que eu posso parar, detectar e prevenir que alguém entre e tem acesso aos meus ativos, então, vai também desde pensar na segurança física, tanto na segurança cybernética, então, aí, quando você trata de blutinha, é o leque aumento, tá mais aninda, né? Eu acho que, se fora até, entre dentro desses dois pontos, aí, se for para incluir o que eu ia doato, fazemos hoje, a gente tá mais pro blutindo que pro reditinho, né? Pesado que a gente tá ali meio que nos dois assim, mas a gente tá mais para a defesa porque a gente pensa muito do tipo, vou entender o que o pessoal de ofensiva tá fazendo para usar na minha defesa. Então, aí, vai de, enfim, é um universo gigante, né? Quer você, vai desde você conseguir proteger o perímetro de uma empresa com faro ou com controle de acesso, seja o controle de acesso físico, quando controle de acesso de credencial, aí, você também pode partir para a nível de uma empresa de segurança. É, você tem uma equipe que trata só de ficar monitorando essa parte de do faro ou tentar olhar, por exemplo, se você tem regras, né, que são, a gente tem alertas, mas para você ter uma alerta, você tem que ter um software, que é o que a gente chama de ciência em segurança, que você tendo um C&M, você consegue colocar os logs e ali, dentro desse C&M, e aí, esses logs são os registros que você tende, tudo que foi realizado no sistema, aí tem registro de faro, registro de ambiente na nuvem, tem registro de, enfim, virar qualquer coisa que não exerimode. Então, assim, quando a gente fala de bluutinha, é gigante, é uma gama muito grande, mas o fundamento conceita esse, né? No, no fim do dia, é a defesa e a parte. Bem, mas aí, eu e o Caio gostaríamos de ser testers, é isso aí. A letícia já citou aí, você instala uma distribuição específica do Linux, que tem um monte de botão ali, tem o ataque forte, a soco baixo, o chute alto, na porta tal e etc. Esse costuma ser os principais fundamentos, a gente pegar uma distribuição de Linux que escaneia portas, ou é você desvendar o site para ver cada página, o que ela está chamando de serviços por trás, para saber se tem algum serviço que não tem a atenticação, ou para saber se tem um cookie que está expondo alguma coisa, isso é. O que que eu estudo? Eu estudo mais a Gata Tp, eu estudo mais Linux e portas de servidores. É. eu entendo que eu deixo vocês numa situação complicada, né? Porque fala, "Pau, o Paulo tá me perguntando, mas é. Paulo, é tudo isso que você falou, e mais essas 300 coisas aqui, eu entendo. Mas qual que costuma ser a porta de entrada para essas pessoas?" Tá bem? Pode ser uma opinião, fique tranquilo, tá bem? Não tô pedindo uma resposta que vai ficar escrito em pedra, e vai ser o guia essencial. [risos] Eu diria que depende, porque quando você entra ali nessa parte, ele vai voltar para o ataque. Você também abre um leque assim, né? Eu gostaria de ver mais a parte web. Ah, eu vou realmente focar na parte web, referente a Gata Tp, referente a ataques como um USB, né? Escarim de action, a parte de XS, né? Para o site script, tem. Em termos que você teria que aprender a entender, mas com a raiz mesmo, né? Você entender como que um website funciona. Principalmente hoje que você tem, em ele forma de subir um website, de subir um servidor, é. Como que ocorre, né? Uma comunicação ali entre clientes servidor. Como que internet funciona, né? Porque o cor ali, né, do cara ser ali o familiar do hacker, é ter um conhecimento muito alto sobre aquilo, né? E poder fazer aquilo ali funcionar de uma maneira que não deveria, né? Você ter ali uma vulnerabilidade, né? O site não é o esperado do que o cara que construiu a website, queria, né? Porém, aconteceu, né? Por algum, alguma falha, seja uma falha numa dependência, seja na falta de desenvolvimento seguro, ou seja, na parte de sanitização, tá lá a vulnerabilidade. E o cara conhece o conhecimento, ele vai ter um entendimento de como testar aquilo que ele existe. E aí, você pode entrar no jogo de gata errado, né? O dia o desenvolvedor colocou xextrições ali, de pra entrada de dados e o atacante, pensem como burlar essas restrições pra poder fazer funcionar, né? O exploite, né? Com explorar, né? O código de exploração ali do website. E aí, você vai entrando, assim, né? A gente fica só fazendo isso. E aí, você vai podendo. Ah, eu gostaria de ir mais na parte, assim, de "Ah, eu quero conseguir". Depois que eu invadir um site, eu consiga comprover todo um ambiente o mundo. Legal? Aí, você tem que começar a aprender. muito sobre o indo, entender como o indo funciona, como que tem a comunicação de redes no ambiente ou menos, mas eu quero ir além do indo, aí você pega aí também para ver a parte de lindos, então vai do escopo da pessoa, né, se você está ali na área ofensiva e você quer se especializar em algo, você vai se especializar no decorro do que talvez o que mais chama atenção, o que está mais na mão, enfim, vai de acordo com a pessoa, não, gostaria especificamente de saber como quebrar, né, como em gladir qualquer aplicativo, aí tem a parte de penta e chemo bairro, ah tudo relacionado a redes, né, então você vai entender ele de internet, entender de penta e cheio do wifi, por aí, por aí, então eu digo que depende porque vai depender disso, mas ai, eu que 6, 0, não sei pra onde ir, eu só quero começar, geralmente o caminho né, que as pessoas vão realmente é brincar um pouquinho ali com calilínux, que é uma distribuição línuxa específica pra isso, exige, né, ele tem lá alguma coisa que já são de bate pronto, mas você precisa entender o que fazer com o que, o que aquilo ali vai fazer, né, o que qual, se você executar com mão do tal, vai te retornar uma informação e você precisa saber o que fazer com essa informação, o que isso significa, né, então precisa ter algumas ferramentas que as pessoas especializam especificamente nas ferramentas, porque elas permitem fazer algumas coisas bem, bem mais avançadas, né, e aí vai diferenciando também o tipo de atacante, né, o cara que queria começar a atacar os lugares ali de forma criminosa e ele só pegou ali numa distribuição, tem várias além dos do cádio, tá, e começou a atacar algumas empresas, até o chamado do script que ele, né, o cara que é lúbia, né, mas ele pôda ferramentas e nem sabe o que fazer com a sua façada. A tradução português é o subrinho, sabe? A tradução é a caiu tessirem em 1998 mandando trojando cabriguinhos falando que ele é uma foto e depois que abrincando de abril o porta-cd, a mal fazer isso, virar, virar, virar, ráqueo, não é ráqueo, em 1998, era ráqueo, era impressionante? É, então o ponto chave é fundamento, né, então você precisa não adianta você querer aprender o segurança web, por exemplo, se você não sabe como é que funciona uma comunicação cliente servidor. Na diante da sequer aprender é a ráquear aplicativo, se você não sabe como é que funciona um sistema Android, se você não sabe como é que funciona um aplicativo, então assim você tem que entender primeiro o fundamento, né, e isso é até um ponto que muita gente que já veio falar comigo e que até se frustra, porque a área de segurança ela tem uma visão muito gourmetizada, as pessoas elas olham a segurança, elas se todo misturou, a gente já ligam diretamente aquilo ali, e aí quando ela vai de fato mexer, fazer um teste de invasão, que ela tem que seguir protocolo, que ela tem que fazer um relatório, que muitas vezes ela pode fazer o teste executar n coisas e não vai ter resultado, não vai conseguir invadir uma empresa, e não é necessariamente porque ela não sabe, mas realmente é a aplicação está protegida para aquele tipo de ataque, porque às vezes você pensa "ah não, vou pegar essa aplicação aqui, vou sair invadido, vou botar, reza, vou espalhar, vou cripar agora a faim presa inteira", e não é assim, sabe, então é muito importante a pessoa entender primeiro como é que funciona alguma coisa e depois ela ir para a parte de segurança, ela pode até ir direto pegar um curso de penteeste da vida, que tem aí pela internet aos montes com a saí com o Prado N, livros de invasão, e executar aquilo ali, mas ela vai cair nesse ponto, tipo a pessoa vai executar, mas no fim ela não vai saber o que ela está fazendo, então ela não vai ser só uma pessoa que tá executando o terramenta, então a questão do Calilínio que os dois exemplos são a precisa de um Calilínio e a sua conversão é segurança, o Calil é bom porque ele já vem com o Enferramentas instaladas, você com um linte da vida você consegue, é só você, o único que pensa que você vai precisar baixar a fermenta, né, isso é bem, é só que ele ir para o Windows, né, é, se consegue o Windows, gente, é claro, não é relacionado à distribuição, ou até mesmo as ferramentas, é como você usa as ferramentas, né, então você começar a usar de um índio, um trace route para poder entender ali a comunicação entre sua casa e o alvo ali, já vai começar, né, já começam a fazer um ataque, né, que bombe ali a ilumeração, de coberta de informações, né, e até para em cima desse tópico de começar, né, a gente se apontou muito bem ali, que o cara vai trabalhar fazendo um relatório do escopo de invasão, né, você não vai pegar ali, começar a trabalhar no meio preso e começar a invadir a empresa dos outros, não, é em volta toda uma parte procrática da empresa contratar, ou então você está numa empresa que faz peixe esperiódicos, né, continuamente, tem todo um lance em cima disso, e você vai ter escopos, né, você não vai pegar ali, ah, vou torcar aqui, carta a branca para fazer o que você, não, às vezes isso tem um escopos que é sisco, você tem que ter essa página web aqui, você tem essa semana para trazer a vulnerabilidade dessa página web, o cara fica na mesma página ali, então não achar alguma coisa, aí pode ser até furo estranho, né, caramba, não conseguia achar nada, né, e por aí vai, na parte do do começão, da tela, lembrei aqui mais uma informação bem renovante, é a questão de jogo de guerra, né, o War of War Games, que está a forma de CTF, isso é muito recomendado para quem está começando, porque você permite que a pessoa pratique, né, o Eduardo, para quem não está nesse mundo do Reckin e nem nunca jogou Unreal e outros jogos de tiro, o que que é o CTF? É, o CTF é basicamente que é que é privilifla, o captura é bandeira, então você tem plataformas para isso, acho que é mais conhecido a mundo da Reck de Bot, que vai requementar bem conhecida, tem essa também, a Reck é até mais educativo, né, o Reck de Bot, você toma uma máquina a se vira aí, nessa plataforma de você consegue ter faz conhecimento, né, então lá, fiz um curso ali, né, a gente quer ter curso disso aqui na, na, na empresa que a gente trabalha, né, com o lábio, é, fiz um curso, quero ter está meus conhecimentos, você vai lá e e tem ali N desafios, tem pontuação, tem muita pessoa no N que inclusive, que poste nas pontuações, né, de onde está, e aí você tem níveis, né, começa lá na nível Lube, e você tem o nível lá, nível lá, e Lite Hacker, e aí, você tem o Nado, né, que é o termo ali para conseguir comprometer aquela máquina, ou rotado, que é o termo de conseguir comprometer com os nevejais mais altos, ali de privilégio, e quanto mais máquinas você conseguir, menos tempo você conseguir, você vai subindo de nível, né, e algo bem legal, até mesmo em eventos de segurança, né, que tem aí pelo Brasil, por exemplo, GoldSack tem esses campeonatos de CTF, né, que aí já é porque as pessoas com um pouco mais experiência, né, é competindo entre si, né, as pessoas que querem ganhar o primit, as pessoas que querem ir para a CTFs maiores, né, é, é bem legal essa parte aí, para quem está começando, vem um pouco sobre CTFs, é bem, é bem legal. Uma pergunta importante que aí começou a falar de CTF, que daí eu manjo mais de games, tal, que é quanto tempo leva, a partir do momento que eu vou assim, quero virar hacker, quanto tempo leva para ficar divertido, para ficar tevado? A vida toda. A partir do momento que comecei já é divertido, ou não, a vida inteira? A vida inteira você vai correr na trás, porque é uma área que é assim, quanto mais você sabe, mais você corre atrás para saber, e mais você vê que você não sabe, então. É literalmente contino. Então eu não. não sei dizer por todas as áreas de T.I, mas acho que área de segurança, se você dormir no ponto por uma semana, você já ficou para trás entreisando. Então, segurança é literalmente uma profissão por amor, porque você fica ali. Tem que gostar, gente, porque é tipo assim, ou ser muito resiliente, porque você vai conhecer uma coisa nova, você vai se deparar e vai falar se meu Deus do céu, eu não sei nada. E é normal, você vai ficar assim a vida inteira, tipo, então você tem que saber lidar com isso, até a questão da Sandra Me Dimpostor, que é a persegui muita gente na área de tecnologia. Então, você tem que literalmente entender que no meio desse mundo você é só uma formeguinha, enquanto é gente aprendizado. É uma área que você não pode entrar no conceito de "tobens, já sei tudo, e é isso, não, porque você pode até ir para uma especialidade". Mas no fundo, no fundo, você vai ter que ser levemente generalista. Então, beleza, pode ter a minha especialidade, que pode ser web, mas se eu não entender como é que funciona de fato um servidor e como as coisas funcionam por debaixo dos pôndos, pode ser que em algum momento, durante a minha atuação, eu preciso saber aquilo ali. Então, é uma área que você vai ter que ficar de constante e aprendizado. Você consegue atuar, começar a iniciar numa área de segurança no seu dia a dia, então se você já é muita gente de forma de desenvolvedor, já vem aqui falando comigo, tipo "Ah, quero migrar para a área de segurança". Como que eu entro num time de segurança? Ah, sem beleza, você entra no time de segurança, pode experiência. Infelizmente, a área de segurança não é uma área para, sem, nunca vi nada na vida. A gente já deu aqui para mostrar que precisa bem ter um conhecimento prévio, mesmo que fundamento, para conseguir atuar. Então, assim, não é o fim do mundo, a pessoa, tipo "Poxa, sou desenvolvedor, desenvolvedor há dois anos". E, "Pô, será que área para a área de segurança?" Será que eu consigo? Sim, é possível, porque você já tem um conhecimento disso, você é mexe no front, você já entende como é que funciona os imputos, você já entende. como é que funciona, é uma comunicação com o Backend, você já entende de algumas coisas, tem gente que bota peindo fronte, você já entende. Então, você é só você tentar aplicar o conceito de segurança em cima do que você está fazendo. Então, tipo, beleza, vou ver aqui se está retornando uma página vazia, estou trabalhando aqui na equipe de infra. Vou ver aqui como é que está a configuração, o pessoa devops, vou ver aqui se tem, dependendo do nível, claro. Vou ver aqui se tem, como está a política está certa, esse meu ambiente está bem configurado. Então, muito problema de segurança acontece, não é porque foi o carinha do capuz, lá dentro, e saiu, digitando um monte de bruxaria, e conseguiu entrar numa empresa. Às vezes um servidor para o web, que está sem cacelco credencial a de mim. O cara não precisa ter um mega racodão para poder entrar num servidor desses e sair vazando dado para ir. Já teve diversos vazamentos, onde o motivo disso é uma configuração errada. Então, você consegue começar aplicando segurança no seu dia a dia, mesmo não sendo da área de segurança. Com essas pequenas coisas, porque no fim do dia a área de segurança é isso. Você não vai todo dia lidar ou com um teste de vazão, você vai literalmente descobrir uma vulnerabilidade nunca vista, ou você vai todo dia ter que ficar ali e responder a decidência, até porque a resposta é cansativo. Então, não é todo dia que você vai estar ali fazendo a perseguição, tipo, "Caramba, estou evitando aqui um hacker no meu ambiente, que ele está vendo, não é confusa certa frequência". E geralmente quando isso acontece, acontece nos momentos bem no oportuno, então, não acho que é uma coisa. - O banheiro de uma segunda-feira. - É, num domingo, não feriado, né? - Um cedo da feira. - O tratamento para o rapial era de repente gente me ajuda aqui. Isso é pequinha, não tem jeito. Então, no sempre, o dia a dia é aquilo. Você fica olhando, você tem uma configura dependendo da função claro. Mas você fica olhando, você tem uma configura ser rada, é você avisar o seu próprio código para ver se tem algum bug que, dependendo, pode fazer com que alguém tente tal coisa e consiga acesso ao banco de dados, é literalmente isso. Então, as pessoas também precisam desmistificar um pouco, que é a precisa de um conhecimento específico ou de algo muito específico para ela conseguir até insegurança, segurança sobre fundamento. Então, se você conhece bem a sua área de aquação, você consegue proteger-la. Então, é igual a nossa casa. A gente sabe qual onde a gente tem que proteger, quais são os lugares que possivelmente tem algumas falhas. Então, a mesma coisa com a ambiente. Você não consegue proteger aquilo que você não sabe, que você não conhece. Vou dar um exemplo da própria letícia, que começou em segurança com um bacharel de adem. Então, a bacharel de administração já começou em segurança. A gente tinha um grupo lá de segurança na faculdade, um grupo de hack. E ela começou na área de administração e começou a se envolver sobre a curtir. Hoje é a bacharel ali em ADM, mas está indo atrás de mais conhecimento de segurança e de computação. Tem áreas específicas de segurança que você não é necessariamente precisa, né? Tem que ser de computação, de sistemas da informação ou qualquer coisa relacionada a desenvolvimento, a história, áreas específicas que você vai trabalhar mais ali. Com um entendimento de ataques, você vai acabar tendo que entender um pouco mais ali na parte sebernética, né? Mas você não necessariamente precisa já começar com esse conhecimento todo, assim, dependendo da área. O que vai começar a trabalhar na área defensiva, você acaba precisando já ter um conhecimento mais elevado na área de gluten ou na área de retinho, conhecimento mais elevado nessa área especificamente, né? Já tem principalmente na parte de CPT que a gente falou. Mas tem áreas muito específicas, tem muita área dentro de segurança que você não necessariamente seria o maior requisito que você ter esse conhecimento. Mas questão de atrás e conseguir ter aquele pensamento crítico, né? É, e conseguir também pensar fora da caixa, né? Que é você, e isso você só consegue também ter pensamentos fora da caixa. Se você conhece, tem uma diversidade de conhecimento, né? Então não adianta você ficar preso, ficar estudando aquilo ali, a seguir arriscando o curso. Às vezes você ler um livro de filosofia pode também te ajudar a atuar na área. Uma parte muito interessante, né? Que eu comecei a atuar na área de segurança, depois de três anos, três ou quatro anos na área de TI. Então, assim, eu não comecei na área de segurança, eu não saí entrando, assim, tipo, em minha primeira oportunidade de trabalho fez segurança. Não, né? A minha formação não é a sensação da computação, a sistema de função faz administração. Mas o meu conhecimento prévio de outras áreas de tecnologia permitiu com que eu aplicasse essa visão de segurança. Então, por exemplo, eu entendi negócios, eu consigo ver que, para a empresa X, esse é o nisso de atuação dela. Então, para o nisso de atuação dela, é importante a gente cuidar mais de fraude. Às vezes, essa empresa não precisa de uma proteção específica para a reza. Talvez um maior inimigo dela, seja o carinha do telefone, que não sabe o que é que é a computação da mesma forma. Se a gente tem uma empresa que é mais industrial, que é uma empresa que o de uma mais nixado, por exemplo, de petróleo e gaste, telecomunicação. Então, assim, essas empresas acabam sendo possíveis alvos para um ataque para o certo tipo de ataque. Claro, que todo mundo, no fim das contas, pode ser atacado por questões de oportunidade. Mas existe isso, né? Então, o conhecimento de fundamento seja lá qual for a área que a pessoa esteja atuando. É muito importante para a área de segurança. E isso até, tipo, faz as pessoas atentar de menin um pouca sencidad de querer, meu Deus, eu quero entrar na segurança para o ontem. Eu quero que meu primeiro emprego seja como analista de cyber security, não necessariamente, né? Exenta o caso de estagiários, ou aquele famoso pessoal que resolveu dar continuidade a as besteiras que faziam quando era adolescente, e tomou um duro da polícia e. Vida. Ouviu entrar na. E resolveu entrar no ramo? Tirando-se, em caso, a maioria das pessoas que eu já vi trabalhando em segurança, elas atuavam e outra área. Então, por exemplo, há devogado hoje, pessoas formadas em direitos. Então, um requisito adíssimos para entender, na parte mais de gestão, riscos e compliance, que é o que a gente chama de GRC, para entender de legislação, de política de segurança, pessoas da área de infraestrutura, que já atua com devops, consegue também atuar nessa parte um pouco mais ofensiva. É, se você desenvolvedor, desenvolvedor é por muito tempo. Tem de bem como é que funciona, já subiu de um verso servidores, e quer trabalhar com segurança, consegue também estudar um pouco. Aí você aplica um conceito de segurança, e começa tipo pobêlias. Agora, eu acho que, eu já entendo. Tenho conhecimento legal, vou começar a trabalhar em segurança. E aí, você começa a estudar sobre e aplica isso no seu dia a dia. Então, eu acho que muita gente às vezes pensa aqui para trabalhar com segurança. Ela precisa estar num cargo de segurança, numa empresa de segurança, numa equipe de segurança. Às vezes ela pode estar trabalhando com o desenvolvimento, pode estar trabalhando com infra, pode estar trabalhando ali com a advocacia, e ela pode aplicar a segurança para o dia a dia dela. Essa é a segurança mais por ser de mindset, né? É você conhecer o fundamento mais mindset e aplicar essa gladiada. [Música] Eu entendi bastante panorama, gostei bastante dos exemplos, que quem trabalha já com fronte pode ter um caminho ali para já conhece mais web, e a GATTP vai para esse caminho. Quem conhece mais. Até o exemplo que eu dou a do de U.I.F.I, tem aqueles hackers de U.I.F.I, de tentar te pegar, a conecta aqui no meu, que eu vou fazer um mecanismo, às vezes mais fichem, às vezes até técnico, não tem várias opções. Mas pegando de novo o ponto central dos estudos, então, legal, se você já tem um background mais específico, em tech, dá para você ir naquilo que você já conhece. Se não, eu queria bater nesse ponto do CTF, né, desses jogos, porque chamam a atenção, não é um campeonato de reque. Eu lembro que eu fui me apaixonar mesmo pela ciência da computação, eu já estudava e já tinha trabalhado, mas foi quando eu encontrei, por exemplo, as olimpiedas de informática, maratonas de programação, que era uma disputa, então era muito divertido, eu gostei. Eu imagino que tem a gente que, sim, encante pelo Reckin, pelo desafio, e aí esses mecanismos de Capture the Flag, e de "olha, tá aqui um sistema, vai lá, aaa, aqui eu descobri que tem esse problema, aí você vai entrando mais fundo na máquina, né, que você tá sendo desafiado, desafiada. Então, eu acho que é muito interessante. Mas para esse mecanismo, mais desses desafios, seja os dos sites que são mais didadicos, seja esses dos grandes eventos, que é aquele pessoal profissional de elite, que tem tímis, e tem lugares que ter até torcida, né, é bem interessante. Para esses, aí o mecanismo é mais próximo do que a letícia truce, o caminho inicial é algo mais cisa de mim, mais Linux, mais hardcore no nível de sistemas, porque a gente. A gente. eu vejo que o profissional de segurança estereotipado, a gente tem mais essa visão, tá? É a pessoa mais próxima do sistema operacional, das redes, idos, grandes software e servidores que rodam no cloud daquela empresa. Eu tô certo na minha visão, esse é um mercado grande de porta de entrada das pessoas que se interessam, é o Linux, é o server, são as portas, é o Apache, o EES, eu não sei mais qual que é o nome dos servidores Web da Microsoft, esse é o caminho, é por aí que as pessoas costumam ir mesmo, ou se interessar pelo menos? Assim, do que eu já pôde ver, a maioria que eu já via, assim, começou um pouco mais para parte de infra, né? Do que eu já ativei. experiência, não é regra, mas já começou um pouco mais que a partir de infra tanto que eu vejo assim, uma parte que eu gosto até a espelha é um pouco dessa partir de devops e eu vejo que quando perguntam para alguém que quer começar em devops, o que eu preciso aprender é bem parecido com o fundamento de segurança. Olha a ótima dica, letícia, gostei, hein? É bem parecido, tipo muita gente que falar quer estudar devops, quer entrar para os devops, vai estudar, aprende sobre sistemas, aprende sobre Linux, entende de redes, aprende uma linguagem de programação, aí bota Python, por exemplo, né? Então assim, é um caminho bem parecido. Então eu imagino que pessoas de devops, eu não posso falar com propriedade sobre isso, a minha percepção. Que pessoas de devops, quem estuda para devops talvez tenha um pouco mais de conhecimento e facilidade para migrar em segurança. Mas é só uma percepção, né? E porque a base de conhecimento inicial que eu vejo muita gente de fã, de clara, vai ser de um provedor cloud, né? Essa pode ser um AWS, não é, ju? Mas eu vejo que é bem semelhante ao que muita gente de segurança auxilia a conselha. Então pode ser uma boa área para iniciar. Agora, se a pessoa quer literalmente tipo um cara, eu quero começar com segurança todo o custo, na primeira oportunidade, prepara que você vai ser um caminho longo e não tão fácil, mas também não é impossível, mas ela vai precisar ter por tefoil. E aí esse forte foio que muita gente olha em segurança é você não mostrar tipo caramba, olha só, conseguir ou na X máquina no rec de devops. É você mostrar como você conseguiu aquilo ali. Então faz um link aí, né? O crie um mídiom e bota lá. Então como eu ou nem X máquina no rec de devops, se mostra o como você conseguiu fazer aquilo. O por tefoil, né, leticia, e seus outros pressão aí ou na, é quando você domina e você tem o acesso root ou coisa parecida. É, quando você conseguiu capturar bandeira, digamos assim, né? Porque você tem um objetivo e é quando você conseguir alcançar esse objetivo. Então, tipo, eu consegui ou então, por exemplo, para a defesa, é um pouco mais difícil, tem algum mais plataforma de né que faz, eu acho que ele tem o let's defend, que ele é uma outra plataforma para as pessoas praticarem mais o conceito de defesa. Mas que pode ajudar de defesa, por exemplo, é você subir um farum, um perfi sense PT e bousaí, da essa é até o coisa que eu dou a Olivia falando lá em 2017, pra mim, tipo vai lá, leticia, mô, sobe aí um empereio. É o Gancisco Packet 3, seria mergulha. Vai brincando aí pra prender esse rid, depois de rid, se você aprende isso, vai pra isso. E principalmente, assim, mostra que você sabe, que você tá fazendo. Cria um post, tenta ir em eventos conversar com pessoas, né? Procurei ver, em segurança é uma área que valoriza muito net o orque. Então, se você conversa com profissionais, mas assim, conversa na troca mesmo, né? De tipo, querer aprender com a pessoa, querer entender o que ela faz, é mostrar que, tipo, que você sabe o que você tá fazendo, né? E correr atrás, a certificação, ela ajuda muito, porque ela mostra que você estudou, testou, e conseguiu um certificado em cima, né? Então, a certificação, ela pode ajudar bastante pra quem quer entrar. Só que a certificação, a gente tem uma barreira de entrada de Gantesca, porque a maioria delas em dólar. Então, a certificação, de plasmas, o que eu educado o ponto ou, ela é caríssima. Então, caríssima, assim, pra realidade muita gente hoje, né? Ela custa, ela hoje tá saindo os dois mil reais pra ir. É, mas não dá pra rarquiar o site deles e. [Risos] Você tem como qual o pensa, é o pensigual. Por exemplo, ao invés de criar o link de enraquil, link de. E aí você mostra o que você capaís. Então, eu já vi, inclusive, um caso de uma pessoa que quis uma oportunidade de emprego em um estabelecimento, né? Que. pra não me ficar. Mas. não me ficar a gente não me ar, né? [Risos] E a pessoa, ela simplesmente quis assim. Olha só, eu rarquia o site de vocês, agora me dá uma vaga. Gente, essa é a pior maneira de como você quiser pra não presa. Ah, mas é assim que nos ensinam nos filmes. Ah, sério? Vocês não levam numa boas, eu rarquia o site de vocês? Nossa, se alguém simplesmente chega pra mim, eu sei. Eu entendo que a maioria das vezes a pessoa tá fazendo com a melhor das intenções, né? Porque ela tá ali querendo, tipo, nossa, vou mostrar que eu sou bom e tal. Pra isso existe programa de bugbounce. Então, se ela quer mostrar que sabe que a testa ela vai em bugbounce. Bugbounce é quando você tem ali empresas que. Vocês cadastam em uma plataforma, aí tem N, plataforma, tem N regras, que é importante frisar, tem regras de bugbounce, onde você coloca lá, tipo, botava o rarquia e presa X. Vou me cadastrar nesse site aqui de bugbounce e vou ficar tentando rarquia sem presa. Se você conseguir, aí presa vai lá e te paga uma recompensa em cima disso. Então, não é fácil, mas uma vez é um jeito da pessoa aprender, eu vou luir, e até não dinheiro, né? Consecuantemente, se ela descobrir uma vulnerabilidade, que é o que a gente chama de vulnerabilidade zero-day, que é uma vulnerabilidade nunca vista antes, e publicar um CVN no nome dela, ela também já é, tipo, caramba, a pessoa tem a chama vulnerabilidade zero-day aqui, tu está explicando bem resumidamente. Zero-day é aquela que a pessoa descobri logo no momento que ela aconteceu, né? Isso, é uma vulnerabilidade zero-day, a mais atribuída é quando você não tem uma correção para aquela vulnerabilidade ainda. E aí você pega em um produto conhecido, tipo, ófice, e aí você descobre uma vulnerabilidade e você reporta para fabricante. Isso pode garantir um ID de CVN, que aí você acaba organizando um certo estatuszinho, né? Porque você conseguiu descobrir uma vulnerabilidade ali, mas tem todo um processo de divulgação da vulnerabilidade, até ela sair desse estatus de zero-day, ter uma correção, e aí é publicado, geralmente é um período de três, quatro meses, enfim, tem todo um método para isso, né? E isso, e aí é uma forma, né? Porque a gente diz que rakear a empresa é a pior maneira de começar, porque a segurança está muito ligado a que você tem ética. Então, é igual um. você pode igual o médico, o médico ele tem, ele estuda para salvar vidas, mas se o médico quiser matar uma pessoa, ele também sabe. Então, vai o quê? Vai dar a ética do profissional. Então, a área de segurança é muito sobre ética também, porque você vai ter um conhecimento que o que vai definir, que vai mudar você em um criminoso é sua ética, é os seus princípios, seus valores. Então, você começar agindo ilegalmente, porque você não pode ir vadir uma empresa sem a devida permissão. Então, por isso que quando vai fazer teste de invasão, você tem em procedimentos, em conceitos, em coisas que você precisa para poder fazer, que você não pode sair invadindo, né? Então, é uma péssula de começar, porque você está agindo de um jeito que não é legal. Para isso, se quer ter realmente esse conhecimento, a melhor de querer começar invadindo, a melhor forma é procurar para a plataforma de bugbound. Também, também é um pouco. Algumas pessoas acabam não gostando muito, a nível de não poder falar muito sobre o que você faz, né? Por exemplo, geralmente você é com trabalho e segurança, você está debaixo de um NDA, um Node School of Agreement, você não pode falar daqui para que você viu, do que do que você fez. Então, ah, o cara descobre um monte de vulneração ali, e consegue invadir o palcite, não pode falar para os amiguinhos, não pode falar assim que os outros, porque não é uma informação público, uma informação privada que não é dê-de, né? A informação que tem, uma vulnerabilidade ali, trabalhando um projeto super legal ali, algo gigante que aconteceu, e a pessoa caraca, eu quero botar isso no meu link edinho, que era uma server do que eu trabalhei nisso. Cara, você pode falar que trabalhou no evento muito legal, e você teve a expertise para trabalhar com o tal tecnologia, e isso e isso e tal. Mas você não pode falar, né? Dependendo do seu NDA, que você trabalhou naquele projeto, assim, já vi bastante pessoas que ficou muito assim, desmotivada, ou assim, "Ah, poxa, não posso falar, que eu trabalhei nisso nisso nisso, é por causa do meu NDA, é algo que a gente fica. Principalmente, o que é pra o agarrelha que está começando, fica caraca, eu vou começar a descobrir um monte de coisa, você é famoso aqui e tal, é, geralmente isso acaba não acontecendo muito. Tem caso, onde a pessoa tem a permissão, e tem toda a permissão da empresa, tem todo o processo legal ali, pra poder permitir que a pessoa fale isso, né? A vulnerabilidade já foi corrigida bastante tempo, não tem mais de nenhum risco sobre. Aí, até permitem, né, que é a pessoa que publica no "Iry New York Paper", bote numa palestra, coisa assim, então, tem algo assim, assim, deva em conta. Eu queria agradecer a letícia Eduardo pelas lições, em especial, queria deixar o highlight, né, na letícia, falando dessa proximidade do DevOps, com uma das carreiras que tem dentro de cyber-segurança, pra me fazer sentido estar-lou na hora, é claro, como eles me deixaram aqui, bem óbvio, a vários caminhos. Então, dependendo de onde você tem sua preferência, qual é seu background, talvez o que você vai precisar, está mais pro um lado, do que pro outro. Essa parte, o mais sistema de línuxos e de redes, e de servidores, acho que tem um uso mais amplo e costuma ser o caminho de muita gente, né? É até aquela persona clássica de cyber-segurança, que você fala, "Nossa, a pessoa é bem raca, aí, você vai ver ela num programa direito, né? Ela não tem grandes conhecimentos de programação e de libres, ela faz o monte de script em Python, mas não sabe nem o que é de ângulo, né? É tipo assim. Não que precise saber, mas é curioso pra quem vem de programação. Nossa, a pessoa faz o monte de script de tudo um. um script tão meio melecado, tudo meio misturado, sem testes, tudo um linguição, mas é o próprio propósito para a Sábio de Segurança. Eu queria agradecer vocês dois por mais um episódio de fundamentos, o Caio novamente, querendo lembrar que a gente está continuando esses episódios de fundamentos trazendo o que você quer ouvir e entender e dar aos primeiros passos, porque esse cenário aí em tecnologia é muito grande. Eu queria agradecer seu download e a gente tem um compromisso na próxima terça-feira, hipsteres abraços, tchau! [Música]