O meu objetivo é crescer em SOC, DFIR e engenharia de segurança.
Construir, proteger, defender.
Quase tudo o que faço gira em torno destes três verbos. Venho da implementação em cloud e da administração de sistemas, por isso comecei por aprender a montar infraestrutura (arquiteturas de microsserviços em AWS e Azure, bases de dados, cache, orquestração com Kubernetes) e a automatizá-la com pipelines de CI/CD no GitHub e no GitLab.
A especialização em cibersegurança encaminhou essa prática para a abordagem DevSecOps: colocar os controlos dentro do próprio ciclo de desenvolvimento, com análise de código, verificação de dependências e revisão de contentores antes de qualquer coisa chegar a produção.
Depois aprendi a defender aquilo que tinha construído.
Montei ambientes de Blue Team completos: SIEM com Wazuh e as respetivas regras de deteção, automatização de resposta através de SOAR, firewalls OPNsense, EDR e VPN, além de honeypots expostos à internet. Vir da administração de sistemas dá-me vantagem aqui: quem sabe qual é o aspeto de uma máquina saudável deteta muito mais cedo o que foge à norma.
Mas o que realmente me prende é o que acontece depois do ataque.
O meu honeypot recebe tentativas de intrusão reais todos os dias, e cada uma deixa um rasto que é preciso reconstruir: por onde entrou, que comandos executou, o que descarregou e até onde chegou. Para isso apoio-me na análise de memória e no modelo MITRE ATT&CK, que me permite classificar cada movimento segundo táticas e técnicas conhecidas.
E o que daí sai não fica no laboratório: reporto os endereços IP atacantes e envio as amostras de malware para as plataformas públicas de informação sobre ameaças, incluindo vários binários que nenhum motor antivírus tinha registado antes.
Na verdade...
Vamos falar de conquistas e números:
Dados acumulados a partir dos meus honeypots e laboratórios, atualizados a agosto de 2026. Posso detalhar qualquer uma destas contribuições, se for do interesse.
Este é o Dirtylands, um projeto Cowrie + Dionaea cuja proposta de valor é a implementação rápida. Oferece comandos funcionais, um ambiente realista, rigor e maturidade do projeto. Além disso, tem plena capacidade de reportar cada evento via Telegram e as atividades maliciosas às respetivas plataformas, e garante observabilidade.
Traduzido para 5 idiomas: espanhol, francês, inglês, alemão e búlgaro.
Relatório pericial sobre o lab "Sysinternals" do CyberDefenders.org. Imagem .E01 analisada com Autopsy e Registry Explorer, download por HTTP que se faz passar pela Microsoft, execução como SYSTEM, SHA-1 recuperado do Amcache, trojan Rozena, C2 e persistência por serviço. Inclui cadeia de custódia e conclusões periciais.
Relatório pericial sobre uma captura de tráfego de rede (.PCAP) de um computador infetado pelo Lumma Stealer. Análise no Wireshark, identificação do host por DHCP e Kerberos, beaconing HTTP para o C2, exfiltração de credenciais comprimidas e cinco domínios maliciosos verificados no VirusTotal. Inclui IoCs e cadeia de custódia.
Relatório pericial sobre um dump de memória RAM (.dmp) de um computador comprometido pelo StrelaStealer. Análise com Volatility 3: processos órfãos, cadeia Living off the Land com PowerShell, carregamento fileless de uma DLL via WebDAV, ligação ao C2 e injeção de código no Thunderbird para roubar credenciais.
Prática 1: laboratório de IAM com Keycloak sobre Docker e WSL. Fluxos de OAuth 2.0 e OpenID Connect, anatomia dos três tokens, PKCE, introspeção, rotação e revogação. Inclui erros provocados de propósito, com a resposta real do servidor.
Prática 2: servidor de recursos em FastAPI que valida tokens JWT emitidos pelo Keycloak contra o seu JWKS, verificando assinatura, emissor, audiência, expiração e funções. Inclui seis tipos de falha provocados de propósito, com a resposta real da API.
Prática 3: federação do Active Directory no Keycloak via LDAPS. O controlador de domínio corre no Hyper-V e o Keycloak no Docker dentro do WSL2. Utilizadores que só existem no AD iniciam sessão com OIDC e os seus atributos e grupos chegam ao token. Inclui mapeadores, ciclo de vida e contas órfãs.
Honeypot implementado no Azure com port knocking dinâmico através de iptables e alertas em tempo real pelo Telegram.
Pipeline DevSecOps completo no GitLab CI/CD que integra SonarQube, GitLeaks, Snyk e OWASP ZAP para analisar a qualidade e a segurança do código de ponta a ponta. O estado do pipeline é notificado automaticamente e em tempo real pelo Discord.
Migração lift & shift para a AWS (IaaS) de uma aplicação web Java multicamada montada antes em local. Servidores Tomcat atrás de um Elastic Load Balancer com Auto Scaling, MariaDB, Memcached e RabbitMQ como serviços de backend, DNS privado no Route 53, artefactos implementados a partir do S3 e acessos limitados com IAM.
Implementação de um cluster de Kubernetes gerido na AWS com EKS, a partir de uma conta acabada de criar. Reforço do acesso com utilizadores IAM e MFA, um alarme de faturação no CloudWatch, a VPC com as sub-redes públicas, o grupo de nós com as funções necessárias e os erros reais que foram surgindo pelo caminho.
Projeto em que faço o uso básico do Ansible, concluindo todos os módulos do curso da Udemy. Além disso, tive de enfrentar o cenário em que se perdem as chaves .pem da minha máquina EC2, e tento resolvê-lo.
Este projeto do GitHub faz parte do curso "DevOps Beginners to Advanced" da Udemy. Consiste em usar Vagrant, Nginx, Tomcat, RabbitMQ, Memcached e MySQL para construir um site.
Este projeto mostra a criação de um pipeline CI/CD com serviços da AWS para gerir, compilar e implementar uma aplicação web no AWS Elastic Beanstalk, integrando AWS CodePipeline, AWS CodeBuild e a ligação a uma base de dados AWS RDS. Além disso, usa o Bitbucket como repositório git do código-fonte.
Este projeto do GitHub faz parte do curso "DevOps Beginners to Advanced" da Udemy. O nosso projeto anterior na AWS implementava uma webapp multicamada com Memcached, MySQL, Tomcat, RabbitMQ e um balanceador de carga. Agora reconstruímos tudo com serviços da AWS como ElastiCache, Amazon MQ, RDS e Beanstalk.
