Você sabe dizer o que é cibersegurança com as suas palavras? Sabe quais são as subáreas e o que os profissionais fazem?

Cibersegurança ou Segurança da Informação?

Primeiro, vamos começar entendendo que segurança da informação e cibersegurança são termos comumente usados como sinônimos, mas são diferentes. Segurança da informação é abrangente, inclui a segurança dos dados de uma empresa, inclusive de forma física. Cibersegurança (ou segurança cibernética) é um ramo de segurança da informação, esse sim focado no contexto digital. Isso importa muito? Não tanto, pois são usados no mesmo sentido no dia a dia. Saber disso te ajuda a entender que você pode pesquisar usando os dois termos sem medo em buscas de emprego.

Tríade de Segurança da Informação

Como acontece em qualquer área de TI, segurança da informação é dividida em subáreas, e todas elas existem com o objetivo de assegurar o que chamamos de tríade CIA (CID em pt-BR, mas ninguém chama assim) de segurança da informação: confidentiality, integrity e availability (confidencialidade, integridade e disponibilidade).

• Confidencialidade: garante que a informação seja acessada apenas por pessoas autorizadas.
• Integridade: garante que a informação seja mantida de forma correta e completa, sem alterações não autorizadas.
• Disponibilidade: garante que a informação esteja disponível para acesso quando necessário.

Perguntas rápidas:

Quando estudamos essa pirâmide, logo aprendemos que sua base está pautada em outros três pilares: pessoas, processos e tecnologia. A segurança da informação não é apenas sobre tecnologia, mas também sobre como as pessoas interagem com ela e os processos que garantem sua eficácia.

Empresas são organismos complexos, principalmente considerando que dificilmente elas iniciam suas operações com a segurança da informação como prioridade. Por isso, é comum que profissionais de cibersegurança encontrem desafios relacionados à cultura organizacional, resistência a mudanças e falta de conscientização sobre a importância da segurança. São esses desafios que reforçam a necessidade desses pilares.

• Não adianta ter a melhor tecnologia se as pessoas que a utilizam não estão cientes dos riscos e das melhores práticas.
• Não adianta ter processos bem definidos se a tecnologia não é capaz de suportá-los ou se as pessoas não os seguem corretamente.
• Não adianta ter pessoas bem treinadas se não há processos claros e tecnologia adequada para apoiar suas ações.

Sem esses pilares, a tríade de segurança da informação não pode ser efetivamente protegida. Portanto, iniciar na área vai além dos desafios técnicos, do conhecimento de ferramentas ou da vontade de quebrar sistemas. É necessário compreender o contexto em que a segurança da informação se insere, incluindo aspectos humanos, organizacionais e tecnológicos.

• Aprenda mais sobre a tríade de segurança da informação

Times de Cibersegurança

Existem diferentes times de cibersegurança dentro de uma empresa ou contratados por meio de consultorias. Cada time tem um foco específico, mas todos trabalham juntos para proteger a informação e os sistemas da organização. Majoritariamente, você vai encontrar bastante menção a dois deles:

• Blue Team: também é conhecido como “segurança defensiva”. É o Blue Team que arquiteta, toma decisões, implementa ferramentas de segurança, impõe a conformidade, e, claro, defende quando ataques ocorrem (principalmente, evita que ocorram). Também faz resposta a incidentes e forense. Como não é retratado em filmes como o anti-herói encapuzado, não é uma área pela qual o iniciante sente grande empolgação.

• Red Team: também conhecido como “segurança ofensiva”, “pentest” ou “hacking ético”. É quem, sob contrato, testa a segurança de uma empresa para medir a sua maturidade. Esses testes podem ocorrer com o conhecimento de todo o time de segurança do cliente (white/gray box), ou somente com a anuência do contratante, mas não do time todo (black box). O Red Team é muito importante como um olhar fresco, tendo em vista que quem projeta costuma não pensar em todas as alternativas em que a regra de negócio pode ser quebrada, fora as falhas técnicas que costumam passar despercebidas (mesmo que minimizadas quando existe processo de DevSecOps).

É importante mencionar que tarefas de um time ou outro, como pentests, podem ser realizadas por times mais abrangentes, como AppSec.

Algum time é mais importante do que o outro? Absolutamente todos são importantes, mas atribuições geralmente vinculadas à segurança defensiva são imprescindíveis, pois a segurança de uma empresa não pode depender apenas de testes periódicos. Por outro lado, a segurança ofensiva é essencial para identificar vulnerabilidades que podem passar despercebidas, ajudando tanto a segurança defensiva, quanto os desenvolvedores a melhorar a segurança dos sistemas.

Lição de casa para essa primeira parte

Ler sobre:

• profissões em cibersegurança

Pesquisar sobre:

• Quais são as áreas dentro de Blue Team?
• Quais são as áreas dentro de Red Team?
• Quais são os outros times além de Blue Team e Red Team?
• O que é “regra de negócio” e como se diferencia de “falhas técnicas”?
• Qualquer termo que não tenha entendido nesse texto ou nos textos acessados.

Parte 2: Aprendendo a pesquisar e a perguntar

Uma das coisas que vem de brinde com a carreira de TI, e em cibersegurança não é diferente, é a habilidade de pesquisar. Qualquer profissional passa horas a fio pesquisando como implementar, consertar, ou quebrar alguma coisa (mesmo com a IA).

Cibersegurança é essencialmente uma área investigativa. Você investiga pra proteger, investiga pra atacar.

É, portanto, uma área para curiosos.

Além disso, a habilidade de pesquisar permite que a pessoa tenha mais proatividade, uma das posturas mais admiradas, seja no trabalho ou fora dele.

Por isso, é importante que você aprenda a pesquisar de forma eficiente, como, por exemplo, utilizando Google Dorks, que são técnicas de pesquisa avançada no Google (também implementadas em outros mecanismos de busca) para encontrar informações específicas.

• Aprenda mais sobre operadores de busca do Google

Entretanto, de nada adianta saber utilizar ferramentas de pesquisa se você não sabe como perguntar. Perguntar de forma clara e objetiva é uma habilidade que pode ser desenvolvida com prática.

• Aprenda a fazer perguntas de forma clara e objetiva

Ok. Agora você sabe pesquisar, fazer perguntas e persistir na sua pesquisa do seu tópico de interesse. E agora?

Agora o céu é o limite.

Você pode, por exemplo, ir no LinkedIn usar dorks na busca de lá pra encontrar vagas em cibersegurança, e checar o que é pedido pelas empresas nas mais diversas áreas de sec.

Lição de casa para a parte 2:

• Pesquisar vagas de segurança (seja no LinkedIn ou fora dele) e checar o que as vagas pedem.
• Pedir para a IA criar pesquisas com dorks para te ajudar a encontrar vagas em cibersegurança (pode especificar pra uma subárea desejada dentro de segurança). Você vai copiar o que ela encontrar e colar nas buscas
• Pesquisar pelos termos desconhecidos nas vagas encontradas
• Avaliar o que mais te interessa

Parte 3: Enfim, como começar?

Finalmente, a tão aguardada pergunta:

Mas como raios eu começo?

Aqui, vale mencionar a importância da boa compreensão do inglês. Não é necessário saber falar (apesar de ser uma vantagem), mas, ao menos, compreender. A maior parte dos cursos e termos são em inglês.

Antes de vasculhar os diversos cursos disponíveis, vale ler esse post aqui do Fernando Mercês, tem muita informação:

• Como ser um bom profissional em segurança da informação?

Talvez você já saiba, mas redes é um dos pilares de segurança da informação, como você também pode checar no excelente site roadmap.sh:

• roadmap.sh/cyber-security

Nesse site é possível “checklistar” tudo o que for aprendendo. Ele também te direciona pra alguns links interessantes onde você pode aprender sobre o tópico.

Caso não reconheça algum termo, o que é super normal, use o que aprendeu na parte 2 e pesquise bastante.

Agora, nada é tão inicialmente completo (se tratando de cursos de cybersecurity) quanto os cursos da Cisco, que são gratuitos:

• www.netacad.com/cybersecurity

No link acima, é muito recomendado que faça ao menos o Introduction to Cybersecurity e o Cybersecurity Essentials. Ao terminar, saberá o que responder sobre redes em uma entrevista direcionada a estagiários ou até mesmo Júnior I.

Sobre livros, o Mercês já indicou alguns, mas também tem o bom e velho Tanenbaum, que escreveu alguns dos mais essenciais em redes e sistemas operacionais.

Também é recomendado que aprenda virtualização e faça uma rede emulada (ou, se tiver dispositivos em casa, faça o seu laboratório caseiro!).

Depois, é interessante que aprenda alguma linguagem de programação e saiba fazer um CRUD, um site simples com algumas áreas e formulários. Pesquise e entenda como injeções (XSS, SQL) ocorrem, e como mitigar.

Os sites abaixo são excelentes para entender sobre vulnerabilidades web e outros tópicos:

• portswigger.net/web-security - PortSwigger é dona do Burp Suite. Os laboratórios são gratuitos, focados em vulns web.
• tryhackme.com - THM tem salas gratuitas, mas é majoritariamente pago. Tem desconto para estudantes (que possuam e-mail estudantil). Labs diversos, não apenas web. Salas para ambos Red Team e Blue Team.
• hackthebox.com - As trilhas do HTB são excelentes. Não apenas web. Focado em Red Team.
• letsdefend.io - Focado em Blue Team.

E existem também roadmaps diversos, além do já mencionado roadmap.sh:

• github.com/isaqueprofeta/cybersec-path
• meninadecybersec.notion.site/Iniciando-em-Cybersecurity-e-Seguran-a-da-Informa-o-cfe02d5ac2b74576b315083387894890
• wiki-cantinho-da-offsec.gitbook.io/roadmap
• github.com/arthurspk/guiadecybersecurity
• github.com/gracenolan/Notes

Ok, viu tudo isso e ainda se pergunta como começar?

Com um conhecimento básico, você pode pesquisar por vagas (como aprendido na parte 2), especialmente de SOC, mas também outras do seu interesse. SOC é a área em sec que mais tem vagas entry level, por isso costuma ser o foco de quem está tentando entrar diretamente.

Outra estratégia é entrar em uma empresa que tenha área de sec, mas em outro cargo, como suporte ou infra, e depois tentar migrar para a área desejada.

Para quem já tem anos de carreira em outra área e não pode diminuir o salário entrando como estagiário ou júnior, a situação é mais delicada. Seria interessante conseguir um QI (Quem Indica). Outra alternativa é tirar certificações requisitadas, mas tenha em mente que elas são caras e não são garantia de que você vai conseguir se realocar rapidamente.

Para todos: Também procurem sobre currículos ATS, usem muitas palavras-chave no LinkedIn e no currículo.

Sobre faculdade: Em resumo, ajuda a passar do filtro do RH. Pra estagiar, você precisa ser aluno de uma instituição reconhecida pelo MEC, caso contrário, pode se candidatar apenas às vagas normais (júnior e adiante).

Para quem está na faculdade ou está começando uma: procure estágio assim que possível. Não espere se sentir preparado, não deixe para a última hora, vá na cara e na coragem. O mercado quer saber de experiência. Se formar sem estágio é um erro gravíssimo. Ninguém quer saber se você priorizou a faculdade e tirou 10.

Para quem mora em locais isolados: Pode ser mais difícil conseguir trabalho, dado que vagas de sec se concentram em locais industriais ou tecnológicos, e as vagas remotas são muito disputadas. Analise muito bem a sua situação e faça planos sólidos.

No mais, tentem. Não esperem o sentimento de estar preparado. Ele nunca vem.

Agora é com você. A sua lição de casa é pesquisar tudo, absolutamente tudo o que te interessar nesses links. :)

Segurança da informação, por exemplo, costuma ser dividida em times, dos quais dois deles são: Blue Team, que trata da segurança defensiva, monitorando o tráfego da rede, assegurando a proteção de endpoints, configurando ferramentas de segurança e realizando respostas a incidentes, entre muitas outras atividades; e Red Team, que atua em segurança ofensiva, realizando ataques simulados para testar a maturidade de segurança da empresa que contratou o serviço, em busca de vulnerabilidades, pontos de entrada para intrusão e equívocos nos processos e nas regras de negócio, agindo como um atacante (ou hacker, termo cunhado popularmente).

Não é de surpreender que muitos iniciantes busquem um primeiro emprego em segurança ofensiva, afinal, é a subárea que serve como vitrine de segurança. Inúmeras mídias digitais já retrataram os infames hackers: séries como La Casa de Papel e La Femme Nikita (uma das minhas séries favoritas), ou filmes como Os Homens que Não Amavam as Mulheres e Who Am I apresentam esses personagens de forma sútil ou mais presente em diferentes épocas da existência digital, mas sempre ali, digitando rapidamente e quebrando qualquer sistema de proteção para invadir sorrateiramente ambientes sem que ninguém perceba, clichês catalogados em tropos como Hollywood Hacking e Rapid-Fire Typing.

É muito raro que processos defensivos sejam retratados como acontece nos primeiros episódios de Mr. Robot, e, quando aparecem, geralmente se resumem a homens de terno em escritórios acinzentados — algo bem menos atrativo, principalmente em contraste com o glamour e a adrenalina de invadir sistemas e acessar informações que deveriam estar guardadas a sete chaves. O próprio personagem Elliot Alderson trabalhava em um emprego enfadonho como engenheiro de cibersegurança durante o dia, sendo uma espécie de anti herói hacker durante a noite, como vários personagens amados da Marvel ou da DC, que tem vidas muito mais interessantes quando assumem a outra personalidade.

Entretanto, a quantidade de vagas de entrada destinadas à segurança ofensiva é inversamente proporcional à vontade dos iniciantes em entrar nesta área — são muito raras. Algumas pessoas afirmam equivocadamente que isso ocorre por ser um campo de grande responsabilidade ou de necessidade de um grande conhecimento, mas isso não se aplica a qualquer área de TI? Afinal, um desenvolvedor júnior também lida com informações confidenciais (mesmo que idealmente em menor grau) e auxilia no desenvolvimento de ambientes que vão para produção. A diferença entre um cargo de entrada e um de nível avançado está justamente na necessidade de uma pessoa inexperiente ser supervisionada e compreendida como um profissional em fase inicial de evolução — em qualquer ramo.

O verdadeiro motivo para os cargos mais baixos em Red Team serem tão escassos está na natureza dessa área: os testes mais comuns — de vulnerabilidade web, mobile e cloud, por exemplo — costumam fazer parte do ciclo de desenvolvimento, integrando a segurança de aplicações (appsec). Embora seja muito importante que o ambiente seja testado de forma mais heterogênea por times externos, sem vícios, incluindo avaliações de engenharia social e testes Wi-Fi para preencher lacunas, esses são testes pontuais, frequentemente anuais, de custo variável a depender da abrangência do teste específico — e são caros. O que não pode ser pontual ou anual é a maturidade de segurança de uma organização, que sempre pode ser aprimorada, seja por meio desses testes externos ou por métricas e processos internos junto ao time de desenvolvimento e segurança; estes, sim, devem ser contínuos, permanentes e de custo fixo (ou dentro do orçamento recorrente esperado). Como a operação defensiva precisa ser contínua, há muito mais vagas em Blue Team, pois as atividades de Red Team existem justamente dentro de um ecossistema cuja finalidade central é proteger, o que exige mecanismos defensivos que precisam estar ativamente coordenados.

Engenheiros e arquitetos de segurança são muito mais requisitados do que membros de times ofensivos, porque este último serve justamente para testar a arquitetura de segurança já implantada pelos profissionais anteriores. Não apenas essas funções são indispensáveis, como também os analistas de SOC (Security Operations Center), que monitoram alertas e investigam comportamentos anômalos (apesar desta área estar em processo de automatização), além dos profissionais focados em segurança de aplicações, nuvem ou identidade, que trabalham diretamente com desenvolvedores e times de infraestrutura para reduzir riscos antes que eles cheguem à produção. São justamente esses profissionais que impedem que incidentes tomem grandes proporções, mesmo quando times ofensivos auxiliam, pois são eles que aplicam as correções e a arquitetura. Além disso, é necessário que as empresas sigam requisitos regulatórios e auditorias, o que independe do tamanho da organização. Essas definições são planejadas e colocadas em prática por equipes de segurança defensiva.

Vamos pensar no seguinte: uma empresa inicia um serviço digital sem pensar na segurança de sua estrutura. Mais cedo do que tarde, ela sofrerá um incidente que poderá, inclusive, fechar as suas portas antes mesmo que algum lucro seja alcançado. Pensemos que não apenas seus clientes serão prejudicados com uma possível invasão de contas ou exposição de dados, como também os colaboradores, que estarão desempregados ou também terão seus dados expostos. Antes que o pior cenário possível tenha chance de acontecer, essa empresa pode:

• Contratar uma consultoria de segurança ofensiva para entender quais são as brechas e como ela deve organizar sua arquitetura. Essa consultoria, se fizer um bom trabalho, deverá indicar quais tipos de profissionais contratar, a quantidade e para quê.
• Contratar diretamente uma consultoria de segurança defensiva para auxiliar na conformidade, na segurança da rede, dos endpoints e nas demais necessidades de segurança cibernética, e só depois da casa minimamente estruturada, contratar o serviço ofensivo a fim de testar e aprimorar o sistema implantado.

De uma forma ou de outra, a finalidade segue para o mesmo eixo: integrar medidas de segurança de forma contínua através de profissionais de segurança defensiva, seja de forma terceirizada ou não.

É relevante mencionar que a segurança vai além destes dois times. O objetivo não deve ser apenas o de monitorar a rede e demais ativos, mas adotar a mentalidade security by design, orientando os desenvolvedores a empregarem modelos como shift left security (deslocando a segurança para o início do processo) ou integrando frameworks completos como o ciclo de vida do desenvolvimento de software seguro (SSDLC), transformando a maturidade de segurança em um objetivo diário no processo de desenvolvimento, com profissionais focados, para que só então as equipes de segurança ofensiva possam mensurar o quão protegido esse ambiente está efetivamente, com todas as bases de sustentação posicionadas. É nesse contexto que se insere a abordagem DevSecOps, que integra segurança em todas as etapas, do planejamento e codificação até o deploy, incluindo monitoramento e resposta a ameaças, com o propósito de garantir que a segurança seja contínua, automatizada e parte da cultura de desenvolvimento, e não uma etapa isolada ou posterior, como ocorre nas demais áreas quando desacopladas.

Em resumo: não dá pra chegar com o pé na porta, tendo a certeza de que o que você quer é Red Team, sem antes entender a área, as suas necessidades e qual é o seu perfil dentro desse universo tão amplo.

Então, como red teamer que gosta bastante da área (mas que também está tomando gosto por DevSecOps), deixo essa estranha provocação para quem está chegando agora: antes de ser influenciado pelo glamour de um lado e a falta de propaganda atrativa do outro, é importante que o iniciante pense na realidade do mercado. Vale pesquisar como é o dia a dia, os prós e contras, o que é aprendido e quais são as possibilidades de crescimento para o próprio perfil, afinal, se esse iniciante prefere implementar, projetar ou avaliar dados, é mais provável que, no final, seja mais aderente ao Blue Team ou outra frente do que ao Red Team, apesar do êxtase pela possibilidade de quebrar cadeados. É imprescindível examinar o que cabe nos planos futuros de carreira, sempre com os pés no chão. Há muito espaço para crescimento em Red Team, especialmente em consultorias e bancos, mas será que não há uma falta de considerar o quanto outras áreas de segurança também são uma alternativa interessante? E se não forem, tudo certo, no final você descobriu o que realmente queria seguir como carreira.

É importante mencionar que, apesar dessas reflexões abordarem dois times específicos (de muitos), como se suas atuações fossem isoladas, na prática, muitas de suas atividades convergem. AppSec, por exemplo, não constitui necessariamente um time isolado, visto que pode envolver profissionais de diferentes frentes da segurança da informação, incluindo Blue Team e Red Team, dependendo da estrutura e das necessidades da organização.

Que essa provocação não sirva como um desencorajamento, muito pelo contrário, que ajude a esclarecer o que realmente se procura ;)

Em artigos futuros pretendo esclarecer um pouco sobre os aspectos de cada time.