Como começar em segurança ofensiva em 2026: um roteiro honesto

Toda semana chega a mesma pergunta na minha DM: “por onde eu começo?”. A resposta honesta é que não existe atalho, mas existe ordem. A maioria das pessoas trava não por falta de conteúdo — hoje há material grátis demais — e sim por pular etapas, colecionar cursos e nunca consolidar o básico. Este é o roteiro que eu daria para mim mesmo há alguns anos.

1. Fundamentos primeiro (não pule esta parte)

Segurança ofensiva é a camada de cima. Se a base está fraca, você vira aquele pentester que roda ferramenta sem entender o que ela faz. Antes de qualquer coisa, garanta que você consegue explicar com as suas palavras:

Redes: modelo TCP/IP, o que acontece num handshake TCP, DNS, HTTP/HTTPS, NAT, o que é uma porta e por que um serviço escuta nela.
Linux: navegar sem depender de interface gráfica, permissões (chmod/chown, SUID), processos, systemd, ler logs, escrever um script em bash.
Windows e Active Directory: usuários e grupos, NTLM vs Kerberos, o que é um Domain Controller, GPO. AD é onde a maior parte do dinheiro de red team está.
Uma linguagem de script: Python resolve 90% dos casos. Você precisa ler código de exploit e adaptá-lo, não necessariamente escrever do zero.
Web: como uma requisição funciona, cookies e sessões, mesma-origem, e o OWASP Top 10 — não decorado, mas entendido.

Recurso gratuito e sólido para essa fase: as trilhas Pre Security e Jr Penetration Tester do TryHackMe, ou o material do Google Cybersecurity Certificate se você quer algo mais estruturado e com menos ansiedade.

2. Ponha a mão na massa em laboratório

Leitura não fixa. A partir do momento em que o básico está de pé, o seu tempo tem que ir para máquinas vulneráveis:

TryHackMe para aprender com trilha guiada e dicas.
Hack The Box quando você já aguenta ficar travado sem um passo a passo — comece pelas máquinas Easy da seção Machines e leia writeups depois de tentar por conta própria (idealmente com pelo menos algumas horas de esforço real).
Portswigger Web Security Academy — de graça, e é o melhor material de web que existe.

A métrica que importa não é “quantas máquinas eu fiz”, é “quantas eu conseguiria refazer sem consultar nada”. Documente cada uma. Escrever o writeup é onde o aprendizado gruda — e de quebra você começa a construir portfólio.

3. As certificações que realmente pesam

O mercado brasileiro tem escassez real de gente de segurança ofensiva, mas o filtro de currículo ainda existe. Em 2026 o consenso da comunidade é:

Certificação	Para quem	Comentário
eJPT (INE/eLearnSecurity)	Primeiro certificado	Prático, barato, prova que você sabe encadear um ataque simples ponta a ponta. É o novo “primeiro passo”.
CPTS (HTB)	Alternativa forte ao eJPT/OSCP	Extremamente completa, laudo obrigatório, ótimo custo-benefício.
OSCP (OffSec)	Mid/senior	Ainda é o nome que abre portas em vaga de pentest séria. Prova de 24h + relatório. Difícil e cara — faça quando já estiver confortável em lab.
CEH	Ambientes que exigem no edital	Muito teórica. Útil para passar em RH e concurso, fraca como prova de habilidade.

Ordem sugerida para quem está começando do zero: eJPT → (CPTS ou OSCP). Não comece pela OSCP achando que a pressão vai te ensinar o básico; ela pune quem ainda está aprendendo a enumerar.

4. Construa evidência pública

Ninguém vai confiar no seu “eu sei fazer”. Mostre:

Um GitHub com scripts seus, mesmo pequenos — um parser de saída de nmap, um wrapper de alguma ferramenta, automação de recon.
Writeups de máquinas retiradas de plataforma (respeite as regras: HTB só permite writeup de máquina aposentada) ou de labs próprios.
Perfil no Hack The Box / TryHackMe com progressão visível.

Esse conjunto — repositório + writeups + laboratório — é o que um time olha antes de te chamar para entrevista. É literalmente o motivo deste site existir.

5. Erros que fazem a maioria travar

Colecionar curso. Terminar um vídeo não é aprender. Fazer, quebrar e documentar é.
Pular Active Directory porque “é chato”. É onde está a maior parte das vagas de red team.
Ignorar a parte de relatório. Um pentester que não sabe comunicar risco para quem decide orçamento vale menos no mercado. Pratique escrever achados: impacto, prova de conceito, correção.
Achar que precisa saber tudo antes de aplicar para vaga. Não precisa. Precisa saber enumerar bem, entender o que faz, e conseguir aprender rápido.

Um cronograma possível

Se você tem ~10 horas por semana, algo assim é realista:

Meses 1–2: fundamentos (rede, Linux, Windows, web, Python básico).
Meses 3–4: TryHackMe trilha de pentest + Web Security Academy. eJPT ao final.
Meses 5–7: Hack The Box (Easy → Medium), writeups de tudo, primeiros scripts no GitHub. Começar a estudar AD a sério.
Meses 8–10: CPTS ou preparação de OSCP. Aplicar para vagas júnior e estágio em paralelo — não espere se sentir “pronto”.

O mercado precisa de gente. O que ele filtra é quem só assistiu contra quem consegue mostrar o que faz.