Uma curadoria em português de ferramentas, referências e práticas para segurança cibernética defensiva, auditoria autorizada e desenvolvimento seguro.
Aviso legal: use qualquer ferramenta deste repositório somente em sistemas, redes, aplicações e dados que pertençam a você ou para os quais tenha autorização explícita. Testar terceiros sem permissão pode causar indisponibilidade, violar privacidade e configurar crime. Este projeto não fornece instruções para roubo de credenciais, evasão de controles, malware, persistência ou acesso não autorizado.
Este repositório foi criado para ajudar estudantes, desenvolvedores, administradores e profissionais de segurança a encontrar ferramentas confiáveis para aprender, avaliar riscos e melhorar a proteção de ambientes autorizados. A lista prioriza projetos open source, documentação oficial e usos que possam ser realizados em laboratórios próprios.
A versão ampliada está disponível em três formatos: catálogo navegável em Markdown, JSON para integrações e CSV para planilhas. São 360 entradas organizadas por área, com resumo, nível de risco, regra de uso autorizado, observação de risco, link de referência e cartão visual individual. Os cartões são artes originais geradas para o catálogo, não logotipos oficiais; consulte a fonte de cada projeto para a identidade visual e a licença correspondente.
Os níveis de risco são uma indicação operacional da possibilidade de impacto quando a ferramenta é mal configurada ou usada fora do escopo; não representam uma classificação universal de vulnerabilidade. Antes de usar qualquer item, leia a documentação oficial, valide a licença e confirme a autorização do alvo.
| Área | Para que serve | Ferramentas principais |
|---|---|---|
| Descoberta de rede | Inventário e validação de ativos autorizados | Nmap, Nping, Zenmap |
| Análise de tráfego | Diagnóstico e investigação de protocolos | Wireshark, TShark |
| Segurança web | Testes de aplicações em laboratório e ambientes autorizados | OWASP ZAP, OWASP Web Security Testing Guide |
| Código seguro | Análise estática e identificação de falhas | Semgrep, CodeQL |
| Dependências e containers | Vulnerabilidades e más configurações | Trivy, OWASP Dependency-Check |
| Segredos | Detecção de chaves e tokens expostos | Gitleaks, GitHub secret scanning |
| Modelagem de ameaças | Identificação de riscos antes da implementação | OWASP Threat Modeling, MITRE ATT&CK |
| Privacidade e resposta | Investigação, evidências e orientação | CISA, NIST CSF |
Nmap é um utilitário open source para descoberta de rede e auditoria de segurança. Pode ajudar a manter inventário de ativos, verificar serviços expostos e apoiar a administração de redes próprias. Consulte a documentação oficial e execute testes apenas em alvos autorizados.
Wireshark permite capturar e analisar tráfego de rede para solucionar problemas e investigar comportamentos em ambientes sob controle. Ao trabalhar com capturas, remova dados pessoais e segredos antes de compartilhar arquivos.
OWASP ZAP é um scanner e proxy de aplicações web gratuito e open source. Use-o em aplicações locais, ambientes de homologação ou programas de bug bounty que autorizem explicitamente os testes. A documentação do projeto contém guias de introdução e automação.
Semgrep e CodeQL ajudam a encontrar padrões de risco no código. Trivy cobre vulnerabilidades, configurações e artefatos, enquanto Gitleaks procura segredos acidentalmente comprometidos em arquivos e históricos Git. A regra de ouro é corrigir o achado e revogar imediatamente qualquer credencial exposta; nunca publicar o segredo para demonstrar o problema.
Comece com ambientes deliberadamente vulneráveis e isolados, como OWASP Juice Shop, WebGoat, Metasploitable e PortSwigger Web Security Academy. Use máquinas virtuais, redes sem acesso externo quando possível e snapshots para restaurar o laboratório.
- Defina o escopo, as datas, os limites técnicos e o contato de emergência.
- Obtenha autorização escrita e registre os ativos permitidos.
- Faça cópia de segurança e estabeleça critérios para interromper o teste.
- Comece por descoberta não destrutiva e aumente a profundidade gradualmente.
- Preserve evidências sem coletar dados desnecessários.
- Valide falsos positivos e comunique impacto, evidência e correção.
- Remedie, faça reteste autorizado e registre o encerramento.
.
├── README.md
├── CONTRIBUTING.md
├── SECURITY.md
├── LICENSE
├── assets/
│ └── tools/ # 360 cartões SVG originais, um por ferramenta
├── data/
│ ├── catalogo-360.json
│ └── catalogo-360.csv
├── docs/
│ ├── catalogo-360.md
│ ├── metodologia.md
│ ├── laboratorios.md
│ └── fontes.md
Contribuições são bem-vindas quando incluem fonte oficial, descrição objetiva, finalidade defensiva e aviso de escopo. Não serão aceitos payloads destrutivos, credenciais, dados pessoais, malware, instruções de intrusão ou material que incentive abuso.
O conteúdo deste repositório é disponibilizado sob a licença MIT. Cada ferramenta listada mantém sua própria licença e termos de uso; consulte o projeto original antes de distribuir ou utilizar qualquer software.