Leitura e teoria constroem vocabulário. Exercícios práticos constroem habilidade. Em cibersegurança, a diferença entre quem resolve um problema real e quem apenas conhece o assunto está no tempo de prática deliberada — em ambientes técnicos reais ou cuidadosamente simulados.

Esta lista apresenta 10 exercícios concretos, com ferramentas, metodologia e objetivos claros, para quem quer evoluir do nível iniciante ao intermediário sem depender de plataformas externas.

1. Montar um laboratório local com VirtualBox e Metasploitable

O ponto de partida de qualquer prática séria em segurança é ter um ambiente isolado e controlado. O Metasploitable é uma máquina virtual intencionalmente vulnerável, mantida pela Rapid7, projetada para ser explorada com o Metasploit Framework — sem risco para sistemas reais.

Setup básico: instalar o VirtualBox, baixar o Metasploitable 2 ou 3, configurar ambas as VMs em rede interna (host-only). A partir daí, pratique varredura com Nmap, exploração com Metasploit e análise de serviços vulneráveis em ambiente completamente isolado. É o exercício que mais desenvolve autonomia técnica porque não há roteiro — você precisa descobrir o que atacar.

2. Configurar e auditar um servidor Linux do zero

Criar uma VM com Ubuntu Server, instalar um serviço web (nginx com aplicação simples), configurar firewall com ufw, criar usuários com permissões mínimas — e então auditar a própria configuração com o Lynis.

sudo apt install lynis
sudo lynis audit system

O Lynis gera um relatório detalhado de configurações inseguras, pacotes desatualizados e ajustes de hardening recomendados. Corrigir cada item do relatório é um exercício completo de hardening de servidor Linux — e você aprende tanto configurando quanto corrigindo o que configurou errado. Combine com os comandos Linux essenciais para navegar com confiança no ambiente.

3. Explorar vulnerabilidades web com DVWA

O DVWA (Damn Vulnerable Web Application) é uma aplicação web intencionalmente vulnerável que cobre as principais vulnerabilidades do OWASP Top 10: SQL Injection, XSS, CSRF, File Upload e Command Injection.

Cada vulnerabilidade tem três níveis de dificuldade (Low, Medium, High). O exercício correto: tentar explorar no nível Low sem ajuda, ler o código-fonte da aplicação para entender por que funcionou, depois tentar no nível Medium com as proteções adicionadas. O contraste entre os níveis ensina exploração e defesa ao mesmo tempo — você vê o código vulnerável e o código corrigido lado a lado.

4. Analisar tráfego de rede com Wireshark

Baixe arquivos PCAP do repositório público do Wireshark (wiki.wireshark.org/SampleCaptures) e tente responder perguntas específicas sem olhar a resposta primeiro: quais protocolos aparecem? Há credenciais em texto claro? Qual o IP que mais gerou tráfego? Há anomalias no padrão de comunicação?

Filtros essenciais para começar:

  • http — isola tráfego HTTP
  • tcp contains "password" — busca credenciais em texto claro
  • ip.addr == 192.168.1.1 — filtra por IP específico

Este exercício desenvolve a leitura de tráfego de rede — habilidade central para analistas SOC e profissionais de resposta a incidentes.

5. Participar de um CTF ao vivo

Competições CTF (Capture The Flag) ao vivo — listadas em CTFtime.org — criam pressão de tempo real e expõem o participante a categorias de desafio que não escolheria por conta própria. A maioria é online e gratuita.

Meta realista para quem está começando: resolver pelo menos 1 desafio por competição. Mesmo o desafio mais fácil exige raciocínio aplicado sob pressão — diferente de qualquer prática sem limite de tempo. Após cada CTF, leia os writeups publicados pela comunidade para ver abordagens que você não considerou. Esse ciclo de tentativa, fracasso e análise é o que acelera o aprendizado.

6. Escrever um script Python de automação de segurança

Escolha uma tarefa repetitiva de segurança e automatize-a em Python. Exemplos práticos:

  • Verificar se uma lista de IPs aparece em blacklists públicas via API
  • Parsear logs de acesso Apache para extrair IPs com mais de 100 requisições em 1 minuto
  • Consultar a API pública do VirusTotal para uma lista de hashes de arquivo
  • Monitorar um diretório e alertar quando um arquivo for criado ou modificado

Um script de 50 linhas que resolve um problema real demonstra mais competência técnica do que certificações teóricas em muitas entrevistas. O exercício desenvolve programação e raciocínio de segurança simultaneamente.

7. Fazer análise estática de malware com strings e Ghidra

Baixe uma amostra de malware do MalwareBazaar (abuse.ch) em ambiente completamente isolado — VM sem acesso à rede — e aplique análise estática básica:

strings amostra.exe | grep -i 'http\|password\|cmd\|powershell'
file amostra.exe
exiftool amostra.exe

Depois, abra no Ghidra — ferramenta gratuita de engenharia reversa desenvolvida pela NSA — para análise do código desmontado. O objetivo não é análise completa do malware. É desenvolver familiaridade com o processo de investigação de binários suspeitos que analistas forenses realizam em incidentes reais.

8. Montar um homelab de monitoramento com Wazuh

O Wazuh é um SIEM/XDR open source que pode ser instalado em um servidor local para monitorar outros dispositivos da rede. Configure o servidor Wazuh, instale agentes em VMs do laboratório e analise os alertas gerados por ações normais e simuladas.

Com o Wazuh rodando, simule ações suspeitas e verifique se os alertas são gerados corretamente:

  • Varredura Nmap contra um host monitorado
  • Tentativas de login por força bruta via SSH
  • Modificação de arquivos críticos do sistema como /etc/passwd
  • Criação de usuário com privilégios de root

Esse ciclo — ataque simulado, detecção, investigação do alerta — replica o fluxo de trabalho diário de um analista SOC em ambiente corporativo. É o exercício mais próximo do trabalho real desta lista.

9. Testar segurança de aplicação web com OWASP ZAP

O OWASP ZAP (Zed Attack Proxy) é um scanner de segurança web gratuito e open source, mantido pela OWASP Foundation. Aponte-o para o DVWA ou outra aplicação vulnerável do seu laboratório e execute uma varredura ativa.

# Iniciar ZAP em modo daemon e escanear alvo
zap-cli start
zap-cli open-url http://192.168.1.x/dvwa
zap-cli spider http://192.168.1.x/dvwa
zap-cli active-scan http://192.168.1.x/dvwa
zap-cli report -o relatorio.html -f html

O relatório gerado pelo ZAP lista vulnerabilidades encontradas com severidade, descrição e recomendação de correção — no mesmo formato de um relatório de pentest profissional. Comparar o que o ZAP encontrou automaticamente com o que você encontrou manualmente no DVWA mostra os limites de ferramentas automatizadas versus análise manual.

10. Construir e documentar um relatório técnico de pentest de laboratório

O exercício mais negligenciado por quem está aprendendo: documentar tudo que foi feito nos exercícios anteriores em formato de relatório de pentest profissional. Um relatório completo tem:

  • Sumário executivo — o que foi encontrado, qual o impacto, o que precisa ser feito. Escrito para quem não é técnico
  • Metodologia — como o teste foi conduzido, quais ferramentas foram usadas, qual o escopo
  • Achados — cada vulnerabilidade com: descrição, evidência (screenshot, saída de comando), severidade (CVSS), e recomendação de remediação
  • Conclusão — avaliação geral do ambiente testado

Escrever este relatório sobre o próprio laboratório — mesmo que ninguém vá ler — desenvolve a habilidade de comunicação técnica que separa profissionais de pentest medianos dos excelentes. Em entrevistas, ter um relatório real para mostrar vale mais do que qualquer resposta teórica. O domínio dessas práticas é o que a formação em hacker ético da IBSEC estrutura em laboratório guiado.

Estruture sua evolução com formação prática

Exercícios autodidatas têm valor real — mas uma trilha estruturada elimina lacunas que a prática aleatória deixa passar. A IBSEC oferece laboratórios práticos com cenários reais e metodologia profissional:

Comece pela Certificação IBSEC gratuita — em português, sem custo.