Linux é o sistema operacional central em cibersegurança. Kali Linux, Parrot OS, Ubuntu Server, CentOS — praticamente todas as ferramentas de segurança, servidores de produção e ambientes de laboratório operam em Linux. Dominar a linha de comando não é opcional para quem quer trabalhar na área.

Esta lista apresenta 10 comandos fundamentais para quem está começando, com exemplos práticos focados em uso em segurança da informação — não apenas administração de sistemas.

1. ls — Listar arquivos e permissões

O comando ls lista o conteúdo de diretórios. Em segurança, a flag -la é a mais importante: exibe permissões, proprietários, tamanhos e datas de modificação.

ls -la /etc/passwd
ls -la /var/www/html/
ls -lah /home/

Em análise de comprometimento, verificar arquivos recentemente modificados em diretórios críticos é um dos primeiros passos. O comando ls -lat ordena por data de modificação — arquivos no topo são os mais recentes.

2. find — Localizar arquivos por critério

O find é uma das ferramentas mais poderosas para investigação forense em Linux. Localiza arquivos por nome, tamanho, data de modificação, permissões e proprietário.

# Arquivos modificados nas últimas 24 horas
find / -mtime -1 -type f 2>/dev/null

# Arquivos com permissão SUID (possível escalação de privilégio)
find / -perm -4000 -type f 2>/dev/null

# Arquivos de configuração com "password" no nome
find /etc -name "*password*" 2>/dev/null

Em investigações de incidente, o find com filtros de tempo é o primeiro comando para identificar o que mudou após uma janela de comprometimento suspeita.

3. grep — Buscar padrões em arquivos

O grep localiza linhas que contêm um padrão de texto. Em segurança, é usado para analisar logs, extrair IPs, encontrar credenciais expostas e filtrar saídas de outras ferramentas.

# Buscar tentativas de login falhas no auth.log
grep "Failed password" /var/log/auth.log

# Extrair todos os IPs de um arquivo de log
grep -oE '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}' acesso.log

# Buscar recursivamente "password" em arquivos PHP
grep -r "password" /var/www/html/ --include="*.php"

4. netstat / ss — Conexões de rede ativas

O ss (substituto moderno do netstat) exibe conexões de rede ativas, portas em escuta e processos associados. Em análise de comprometimento, identificar conexões inesperadas é crítico.

# Todas as conexões TCP ativas com processos
ss -tulpn

# Conexões estabelecidas para IPs externos
ss -tn state established

# Equivalente com netstat (sistemas mais antigos)
netstat -tulpn

Uma conexão estabelecida para um IP externo desconhecido em uma porta não-padrão é um indicador claro de possível C2 (Command and Control). O EDR moderno automatiza esse monitoramento, mas saber fazer manualmente é fundamental.

5. ps — Processos em execução

O ps lista processos em execução. Em análise de incidente, identificar processos suspeitos — nomes estranhos, processos de sistema em diretórios inesperados, processos filhos de shells — é prioridade.

# Todos os processos com usuário e comando completo
ps aux

# Árvore de processos (mostra relação pai-filho)
ps auxf

# Filtrar por nome
ps aux | grep python

6. chmod e chown — Permissões e proprietários

Permissões incorretas são uma das causas mais comuns de vulnerabilidades em servidores Linux. O chmod altera permissões e o chown altera proprietários.

# Remover permissão de escrita para outros em arquivo sensível
chmod o-w /etc/configuracao.conf

# Definir permissão correta para chave SSH privada
chmod 600 ~/.ssh/id_rsa

# Alterar proprietário de arquivo de log
chown root:root /var/log/app.log

Arquivos de configuração com permissão de leitura para todos (644 em arquivos que contêm senhas) são vulnerabilidades imediatas em servidores mal configurados.

7. curl — Interagir com serviços HTTP

O curl faz requisições HTTP/HTTPS pela linha de comando. Em segurança, é usado para testar endpoints de APIs, verificar headers de resposta e simular requisições de aplicações.

# Ver headers HTTP de um servidor
curl -I https://exemplo.com

# Fazer requisição POST com dados JSON
curl -X POST -H 'Content-Type: application/json' -d '{"user":"admin"}' http://alvo/api

# Seguir redirects e salvar resposta
curl -L -o resposta.html http://alvo/

8. tail e journalctl — Monitoramento de logs em tempo real

Monitorar logs em tempo real é essencial durante análise de incidentes e testes de penetração. O tail -f exibe as últimas linhas e atualiza em tempo real.

# Monitorar auth.log em tempo real
tail -f /var/log/auth.log

# Últimas 100 linhas do syslog
tail -n 100 /var/log/syslog

# Logs do sistema via journalctl (sistemas com systemd)
journalctl -f
journalctl -u nginx --since "1 hour ago"

9. iptables — Regras de firewall

O iptables controla o firewall do kernel Linux. Em hardening de servidores, entender as regras vigentes e saber criar regras básicas é fundamental.

# Listar regras atuais
iptables -L -n -v

# Bloquear IP específico
iptables -A INPUT -s 192.168.1.100 -j DROP

# Permitir apenas porta 22 e 443 de entrada
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -P INPUT DROP

10. sudo e su — Gerenciamento de privilégios

Entender como funciona a escalação de privilégios é fundamental tanto para hardening quanto para pentest. O sudo -l lista o que o usuário atual pode executar com privilégios elevados — um dos primeiros comandos em qualquer atividade de pós-exploração.

# Ver o que o usuário atual pode fazer com sudo
sudo -l

# Executar comando como root
sudo comando

# Trocar para outro usuário
su - usuario

# Verificar quem tem acesso sudo
cat /etc/sudoers | grep -v "^#"

Configurações incorretas do sudoers — como permitir que um usuário execute qualquer comando com sudo sem senha — são vetores clássicos de escalação de privilégio em ambientes Linux mal configurados. O domínio desses comandos é base para qualquer trilha em área de cibersegurança.

Pratique Linux em laboratórios reais de cibersegurança

Conhecer comandos é o início — aplicá-los em cenários reais de segurança é onde a habilidade se consolida. A IBSEC oferece formação prática: