Glossário
CVE, CVSS, RCE, SSRF, XSS, SPF/DKIM/DMARC — cada termo com uma resposta em uma linha e uma explicação simples.
O que é shadow AI? Os riscos do uso de IA que a empresa não enxerga, e o que organizações e pessoas devem fazer
Shadow AI é o uso, no trabalho, de ferramentas de IA que a empresa não aprovou ou não gerencia (chatbots, extensões de navegador com IA, assistentes de programação, IA de atas de reunião, agentes de IA conectados a contas de trabalho). É a…
O que é backdoor (porta dos fundos): como o atacante mantém o acesso e como identificá-lo
Backdoor é um ponto de entrada oculto, deixado para que o atacante possa voltar contornando a autenticação normal. Em geral vem depois de uma invasão inicial e transforma uma intrusão em acesso contínuo; também pode chegar dentro de uma dep…
O que é o GDPR: as regras de proteção de dados da UE e o dever de notificar vazamentos
O GDPR (General Data Protection Regulation) é o conjunto de regras abrangente da UE para proteger os dados pessoais de pessoas na UE — e pode alcançar empresas fora da UE que atendem usuários da UE. Ele exige uma base legal (ex.: consentime…
O que é o OWASP Top 10: a lista padrão dos 10 maiores riscos de aplicações web
O OWASP Top 10 é uma lista que a organização sem fins lucrativos OWASP publica a cada poucos anos com os 'riscos mais críticos de aplicações web'. É uma linguagem comum entre desenvolvedores e operadores. A edição atual de 2025 (anunciada e…
O que é o PCI DSS: o padrão de segurança para lidar com dados de cartão de crédito
O PCI DSS (Payment Card Industry Data Security Standard) é o padrão internacional para empresas que armazenam, processam ou transmitem dados de cartão. Definido pelas bandeiras de cartão, ele exige proteção de rede, criptografia dos dados a…
O que é criptografia de chave pública: cifrar e assinar com um par de chaves
A criptografia de chave pública usa uma 'chave pública' (segura para distribuir) e uma 'chave privada' (guardada só pelo dono). Qualquer coisa cifrada com a chave pública só pode ser decifrada pela chave privada correspondente, e uma assina…
O que é malware? Tipos, rotas de infecção e as defesas básicas
Malware (software malicioso) é o termo guarda-chuva para software feito para causar dano aos seus dispositivos ou dados. Vírus, worms, trojans, ransomware, spyware e bots são todos tipos abaixo dele. Por mais diferentes que pareçam, a defes…
O que é uma senha de uso único (OTP)? TOTP vs HOTP vs SMS, e seus limites
Uma senha de uso único (OTP) é um código de curta duração e uso único que se torna inválido depois de usado. Tipos: TOTP de aplicativo autenticador (baseado em tempo), HOTP (baseado em contador) e SMS-OTP. É forte contra senhas vazadas e re…
O que é autenticação de dois fatores (2FA)? vs duas etapas, e a força de cada método
A autenticação de dois fatores (2FA) reforça a verificação de identidade acrescentando uma categoria diferente de prova — 'algo que você tem' ou 'algo que você é' (um código, chave ou biometria) — além de 'algo que você sabe' (sua senha). E…
O que é o Let's Encrypt — a CA gratuita que automatiza o HTTPS
Let's Encrypt = uma autoridade certificadora (CA) gratuita e automatizada de certificados TLS. O protocolo ACME valida o controle do domínio automaticamente, então a emissão e a renovação não exigem trabalho manual. Os certificados têm vida…
O que é o OpenSSL? A biblioteca que cuida da criptografia do HTTPS, e como mantê-la segura
OpenSSL = a biblioteca de código aberto que sustenta o HTTPS (TLS/SSL) e a criptografia. Quase ninguém a escreve diretamente — você a herda via servidor web, SO ou runtime da linguagem. Por isso um único bug tem um impacto enorme (o Heartbl…
O que é passkey? Chave pública, resistência a phishing e sincronização
Uma passkey autentica por assinatura de chave privada, enquanto o serviço guarda a chave pública. Passkeys sincronizadas podem transferir credenciais criptografadas entre dispositivos; as vinculadas ao dispositivo não sincronizam. MFA depen…
O que é hashing de senha? Armazenar senhas com segurança usando uma transformação irreversível
Hashing de senha significa armazenar uma senha como uma transformação de mão única, não reversível. Nunca armazene texto puro. Diferente da criptografia, você não consegue descriptografá-la de volta — esse é o ponto. Mas MD5/SHA-256 puro ca…
O que é um sal? O valor aleatório por usuário adicionado ao fazer o hash de senhas
Um sal é um valor aleatório, por usuário, adicionado antes do hashing de uma senha. A mesma senha então é armazenada de forma diferente para cada usuário, o que derrota rainbow tables pré-computadas e impede que uma execução de quebra quebr…
O que é phishing? Os tipos de ataque e defesas mais confiáveis do que identificar a olho
Phishing se passa por uma parte confiável para atraí-lo a uma página de login falsa e roubar credenciais ou dados (ou rodar malware). Mira no julgamento humano em vez de uma falha de software, e é a rota de entrada número um para ransomware…
O que é um JWT (JSON Web Token)? Como funcionam os tokens assinados e como usá-los com segurança
Um JWT é um token que um servidor assina e emite para que a adulteração possa ser detectada. Ele tem três partes — header.payload.signature — e o servidor verifica a assinatura para confirmar a autenticidade. Cuidado com: (1) sempre verifiq…
O que é ransomware? Como funciona, como entra e como evitar pagar
Ransomware é um malware que criptografa seus arquivos e exige pagamento para tê-los de volta. Ataques modernos adicionam a dupla extorsão — roubam os dados primeiro e ameaçam vazá-los, então só descriptografar não detém o vazamento. Princip…
O que é o BitLocker: a criptografia de disco do Windows que protege dados em um dispositivo perdido ou roubado
O BitLocker é a criptografia de disco embutida no Windows. Ele protege os dados quando o PC está desligado ou o disco é removido, transformando um roubo ou perda em texto cifrado. O principal ponto de atenção é a chave de recuperação: perca…
O que é C2 (comando e controle): o canal que atacantes usam para controlar um dispositivo após uma invasão
C2 é o canal que um dispositivo comprometido usa para ligar de volta ao servidor do atacante (um beacon) para receber comandos e exfiltrar dados — a etapa após a invasão. As principais pistas são tráfego de saída periódico suspeito e destin…
O que é CORS — como funciona e o que uma configuração incorreta expõe
O CORS é como o navegador controla se o JS de outra origem pode ler as respostas da sua API. Uma configuração incorreta — refletir qualquer Origin, ou Access-Control-Allow-Origin:* com credenciais — deixa um site de terceiros ler dados de u…
O que é EDR: registrar a atividade dos endpoints para detectar e responder a ataques que passam pelo antivírus
O EDR registra continuamente o comportamento do endpoint, detecta atividade suspeita (no estilo IOA) e apoia a resposta (isolar, investigar). Ele captura ataques sem arquivo e living-off-the-land que o antivírus baseado em assinaturas/IOC p…
O que é um IOA (Indicator of Attack): detectar uma invasão por comportamento, não por rastros
Um IOA (Indicator of Attack) detecta uma invasão pelo comportamento de um ataque em andamento (escalonamento de privilégios → movimento lateral → exfiltração). É a contraparte do IOC, que é a posteriori. Atacantes trocam hashes e IPs num in…
O que é um IOC (Indicator of Compromise): rastros que revelam uma invasão
Um IOC (Indicator of Compromise) é um rastro que uma invasão deixa para trás — hashes de arquivo sabidamente maliciosos, IPs/domínios de atacantes, URLs, processos incomuns. Seu valor é detectar/bloquear mecanicamente o sabidamente malicios…
O que é session fixation — fazer a vítima logar com um ID que o invasor já conhece
Session fixation faz a vítima usar um ID de sessão conhecido pelo invasor e então se passa por ela depois que ela loga com esse ID. A defesa principal: regenerar o ID de sessão no login (e na mudança de privilégio). Não aceite IDs da URL e…
O que é clickjacking? Um ataque que faz você clicar em botões de uma página transparente sobreposta a outra
O clickjacking sobrepõe seu site real de forma invisível sobre a página do atacante para que o usuário execute uma ação não intencional (transferência, mudança de configuração, consentimento). A defesa principal é recusar ser colocado em fr…
O que é IDOR: uma falha que expõe os dados de outras pessoas quando um ID é trocado
O IDOR permite que um usuário troque ?id=124 por 125 e leia a fatura ou os dados pessoais de outra pessoa — controle de acesso quebrado. A defesa principal: no servidor, verificar a cada acesso se o usuário logado tem permissão sobre este o…
O que é open redirect: uma falha que encaminha usuários da sua URL confiável para outro site
Um open redirect permite que um parâmetro do tipo ?next= encaminhe usuários para qualquer site externo, tomando emprestada a confiança do seu domínio para phishing. A defesa principal: nunca aceitar URLs externas como destino de redireciona…
O que é path traversal — ler arquivos que o servidor jamais deveria servir, via ../
Path traversal mistura ../ em um campo de nome de arquivo para escapar do diretório base e ler/escrever .env, configurações ou chaves. A defesa principal: nunca use entrada do usuário como caminho de arquivo cru, e normalize-então-confine d…
O que é CSRF (Cross-Site Request Forgery): um ataque que faz um usuário logado enviar requisições que ele não pretendia
O CSRF faz o navegador de um usuário logado enviar uma ação não intencional, abusando do hábito do navegador de anexar cookies automaticamente. A defesa principal são tokens CSRF mais cookies SameSite. Nunca use GET para mudanças de estado.
O que são SPF / DKIM / DMARC: três configurações de DNS que protegem seu domínio de e-mails forjados
SPF/DKIM/DMARC são três configurações de DNS para que os destinatários verifiquem o e-mail do seu domínio. SPF = quais servidores podem enviar, DKIM = uma assinatura criptográfica, DMARC = a política mais relatórios. Juntos, impedem o spoof…
O que é injeção de SQL (SQLi): uma falha que deixa a entrada reescrever os comandos do seu banco de dados
SQLi é quando a entrada é lida como 'parte do comando' em vez de dado, mudando o significado de uma consulta e levando diretamente a ler/alterar/apagar. A defesa principal é parar de concatenar SQL em strings e passar valores via placeholde…
O que é XSS (Cross-Site Scripting): uma falha que roda o script de um invasor no navegador de outro usuário
XSS faz uma string fornecida pelo invasor rodar 'como script' no navegador de outro usuário, levando diretamente a roubo de sessão e personificação. A defesa principal é escapar na saída. Não desabilite o auto-escape do seu framework.
O que é um CVE? Como funciona o sistema compartilhado de identificação de vulnerabilidades
Um CVE é um identificador globalmente compartilhado de uma vulnerabilidade (por exemplo, CVE-2025-12345). CVE = o nome, CVSS = a severidade, KEV = está sendo explorada. É a âncora do monitoramento. Acompanhe-o com máquinas, não na mão.
O que é CVSS? A pontuação de severidade de vulnerabilidades e como ela é calculada
O CVSS classifica a severidade de 0.0 a 10.0. A pontuação é calculada a partir de métricas definidas (vetor de ataque, complexidade, privilégios, interação do usuário, escopo, impacto CIA) por uma fórmula pública — não um palpite. Conheça o…
O que é o .env — o que acontece quando um arquivo de ambiente vaza
O .env guarda os segredos de um aplicativo (autenticação do banco, chaves de API, chaves de criptografia). Como as chaves ficam reunidas em um único arquivo, a exposição vaza todos os segredos de uma vez. Mantenha o app fora do docroot, nun…
O que é RCE (execução remota de código) — por que é a pior classe de falha
RCE permite que um invasor rode código arbitrário no seu servidor — direto para a tomada de controle, a pior classe. Até onde o dano se espalha é definido pelos privilégios do processo em execução. As defesas centrais são patches rápidos, m…
O que é SSRF (Server-Side Request Forgery)
SSRF abusa de URLs vindas de entrada externa para fazer um servidor acessar recursos internos (IPs internos, metadados de nuvem). Se você busca URLs, precisa de uma allowlist de destinos, bloqueio de alvos internos e proteção contra contorn…