Se você chegou até aqui, é porque decidiu levar a sério algo que a maioria das pessoas só assiste em filme. Este não é um curso de "truques de hacker" — é uma formação estruturada, pensada para transformar alguém que talvez nem saiba abrir um terminal em um profissional capaz de conduzir um teste de intrusão corporativo do início ao relatório final. São 129 artigos, distribuídos em 22 blocos, projetados para serem estudados ao longo de aproximadamente um ano. Antes de qualquer comando, deixa eu te explicar como esse mapa funciona e que tipo de profissional ele quer formar.

Quatro princípios inegociáveis

Comecemos pela filosofia, porque ela dita tudo o que vem depois. Este curso se apoia em quatro princípios inegociáveis. O primeiro é que ética e legalidade não são um capítulo, são o ar que se respira — toda técnica ofensiva aqui pressupõe autorização e laboratório, e voltaremos a isso à exaustão, sem pedir desculpas pela repetição. O segundo é a paridade ataque ↔ defesa: você nunca vai aprender a quebrar algo sem aprender, na mesma aula, como aquilo se defende. Um pentester que só sabe atacar é meio profissional; o valor real está em explicar ao cliente como se proteger. O terceiro é o manual antes da ferramenta — você vai fazer um SQL Injection na mão antes de tocar no SQLmap, porque quem só sabe rodar a ferramenta trava no primeiro cenário em que ela falha. O quarto é laboratório sempre: cada máquina que atacaremos é sua, isolada, feita para ser destruída.

O que se exige de você, e o que não

Para quem é este curso? Para o iniciante disposto a construir base, mas também para o autodidata que juntou conhecimento solto e quer organizá-lo numa estrutura coerente. Não exijo que você já saiba programar ou administrar redes — vamos construir isso nos Blocos III e IV. Exijo três coisas que nenhum artigo ensina: curiosidade obsessiva (a vontade de entender por que algo funciona, não só que funciona), paciência com a frustração (você vai passar horas num exploit que não roda, e isso é o trabalho, não um desvio dele) e integridade (porque estou te entregando conhecimento que, no alvo errado, é crime).

Quatro movimentos, da fundação ao relatório

O mapa se desenha em quatro grandes movimentos. Primeiro, a fundação (Blocos I a IV): ética, leis, frameworks de ameaça, Linux, redes, scripting e criptografia — o alicerce sem o qual o resto desaba. Depois, o arco de um ataque (Blocos V a XV), que percorre exatamente as fases de uma invasão real: reconhecimento, varredura, ataques a senhas, exploração, pós-exploração, movimentação lateral, e então as superfícies especializadas — Active Directory, web, APIs, redes, wireless, mobile, nuvem e contêineres. Em seguida, os domínios de fronteira (Blocos XVI a XIX), que separam um curso de 2026 de um curso datado: segurança de IA e LLMs, cadeia de suprimentos e CI/CD, red team e emulação de adversário, e a visão defensiva. Por fim, a prática profissional (Blocos XX a XXII): conduzir um pentest completo, escrever o relatório, e um projeto final que amarra tudo.

Ler não ensina; reproduzir ensina

Sobre o método de estudo, um conselho que vale ouro: não leia passivamente. Cada artigo traz, depois das referências, cinco exercícios com respostas reveláveis — tente-os antes de olhar a solução, porque o desconforto de não saber é exatamente onde o aprendizado acontece. Mais importante ainda: reproduza tudo no laboratório. Ler sobre Nmap não ensina Nmap; rodar Nmap contra uma máquina vulnerável, ver o resultado, errar a flag e corrigir — isso ensina. Sugiro um ritmo de três a quatro artigos por semana com prática entre eles; menos que isso e você esquece, mais que isso e você não pratica.

O que precisa estar na sua mesa

O que você vai precisar? Um computador com virtualização habilitada e idealmente 16 GB de RAM (8 GB funcionam com aperto), o VirtualBox ou VMware, uma VM do Kali Linux como sua máquina de ataque, e alvos vulneráveis — montaremos tudo isso passo a passo na aula Montando seu laboratório: o campo de treino legal. Nada de comprar cursos caros de ferramentas ou hardware exótico agora; por muitos meses, um laptop mediano e disciplina bastam.

O contrato que abre o curso

Encerro esta abertura com o mesmo contrato que faço com todo aluno, e que peço que você aceite conscientemente antes de virar a página: o conhecimento deste curso será usado apenas em sistemas que são seus ou que autorizaram você por escrito. Não há causa nobre que justifique a exceção, não há alvo que "mereça". No dia em que você cruzar essa linha, deixa de ser um profissional de segurança e passa a ser aquilo que o resto do mundo contrata gente como você para deter. Aceito esse compromisso com você; espero o mesmo de volta. Dito isso — bem-vindo. Começamos de verdade no próximo artigo.

Fontes e leituras recomendadas

Sem exercícios nesta abertura — eles começam já no próximo artigo. Por ora, a única tarefa é aceitar o contrato ético acima e preparar a mente para um ano de trabalho de verdade.