Glossário de segurança da informação: 20 termos que todo profissional deveria saber

Segurança da informação tem um vocabulário próprio que confunde quem está começando na área. Muitos termos parecem sinônimos à primeira vista, mas descrevem conceitos diferentes com implicações práticas distintas. Este glossário reúne termos que aparecem com frequência em relatórios de pentest, documentação de arquitetura e conversas do dia a dia entre profissionais de segurança, organizados em grupos relacionados para facilitar o aprendizado.

Ameaça, vulnerabilidade e risco#

Ameaça é qualquer coisa com potencial de causar dano, como um atacante ou um evento natural. Vulnerabilidade é uma fraqueza específica que pode ser explorada — uma falha de código, uma configuração errada. Risco é a combinação entre a probabilidade de uma ameaça explorar uma vulnerabilidade e o impacto resultante disso. Confundir esses três conceitos é um erro comum que leva a priorizações erradas na hora de decidir o que corrigir primeiro em um ambiente com recursos limitados de segurança.

Autenticação, autorização e princípio do menor privilégio#

Autenticação responde à pergunta 'quem é você', geralmente por senha, biometria ou token. Autorização responde a 'o que você pode fazer', decidindo quais ações e recursos estão liberados para essa identidade já confirmada. O princípio do menor privilégio determina que cada usuário ou sistema deve ter apenas o acesso mínimo necessário para cumprir sua função, reduzindo o estrago possível caso uma credencial seja comprometida por um atacante externo ou interno.

IDOR, XSS e CSRF em uma frase cada#

IDOR é quando um sistema expõe um recurso interno através de um identificador previsível sem checar se o usuário tem permissão para acessá-lo. XSS é a injeção de script malicioso em uma página que outros usuários vão visualizar, executando código no navegador deles. CSRF força um usuário autenticado a executar uma ação indesejada em um site onde já está logado, sem que ele perceba, explorando a confiança que o site tem naquela sessão ativa.

Superfície de ataque, hardening e defesa em profundidade#

Superfície de ataque é o conjunto total de pontos por onde um sistema pode ser atacado — cada porta aberta, cada endpoint, cada dependência instalada. Hardening é o processo de reduzir essa superfície, desligando o que não é usado e reforçando configurações padrão inseguras. Defesa em profundidade é a estratégia de nunca depender de uma única camada de proteção, empilhando controles independentes para que a falha de um deles não signifique comprometimento total do sistema inteiro.

Zero-day, patch e CVE#

Zero-day é uma vulnerabilidade explorada antes que o fabricante saiba dela ou tenha corrigido, o que a torna especialmente perigosa. Patch é a correção liberada para fechar uma falha conhecida. CVE é o identificador público padronizado atribuído a vulnerabilidades divulgadas, usado por toda a indústria para referenciar a mesma falha de forma consistente entre ferramentas e relatórios diferentes, facilitando a comunicação entre equipes de segurança de organizações distintas.

Malware: ransomware, backdoor e botnet#

Ransomware é um tipo de malware que criptografa arquivos da vítima e exige pagamento para liberar o acesso novamente, muitas vezes combinado hoje em dia com ameaça de vazamento de dados caso o resgate não seja pago. Backdoor é um mecanismo de acesso oculto, deixado propositalmente por um atacante, que permite retornar ao sistema comprometido sem precisar repetir a exploração original. Botnet é uma rede de dispositivos comprometidos controlados remotamente em conjunto, geralmente usada para ataques de negação de serviço em massa.

Criptografia simétrica, assimétrica e hashing#

Criptografia simétrica usa a mesma chave para cifrar e decifrar uma informação, sendo rápida mas exigindo um canal seguro para compartilhar essa chave entre as partes envolvidas. Criptografia assimétrica usa um par de chaves, pública e privada, resolvendo o problema de distribuição de chave ao custo de mais processamento computacional. Hashing transforma um dado em uma sequência de tamanho fixo de forma unidirecional, usado tipicamente para armazenar senhas sem guardar o valor original em nenhum lugar do sistema.

SOC, SIEM e resposta a incidentes#

SOC é a sigla para o centro de operações de segurança, a equipe e a estrutura responsáveis por monitorar e responder a incidentes continuamente, geralmente operando em turnos para garantir cobertura vinte e quatro horas por dia. SIEM é a ferramenta que centraliza e correlaciona logs de múltiplas fontes para detectar padrões suspeitos que passariam despercebidos olhando cada sistema isoladamente. Resposta a incidentes, ou IR, é o processo estruturado seguido assim que uma ameaça é confirmada, cobrindo desde a contenção inicial até a recuperação completa e a análise posterior do que aconteceu.

Engenharia social, MFA e privilege escalation#

Engenharia social é a manipulação psicológica de uma pessoa para que ela realize uma ação ou revele informação que comprometa a segurança, independentemente de qualquer falha técnica no sistema. Autenticação multifator, ou MFA, exige mais de um fator de prova de identidade — algo que você sabe, algo que você tem, algo que você é — reduzindo drasticamente o risco de uma senha vazada sozinha resultar em acesso indevido. Escalonamento de privilégio, ou privilege escalation, é quando um atacante, já com algum nível de acesso limitado, consegue obter permissões maiores do que deveria através de uma falha de configuração ou de código.

Firewall, WAF e IDS/IPS#

Firewall é o controle mais básico de filtragem de tráfego de rede, decidindo o que entra e sai com base em regras de origem, destino e porta. WAF, ou firewall de aplicação web, opera em uma camada mais alta, entendendo o conteúdo de requisições HTTP para bloquear padrões conhecidos de ataque, como tentativas de injeção. IDS, sistema de detecção de intrusão, monitora e alerta sobre atividade suspeita sem bloquear automaticamente; IPS, sistema de prevenção de intrusão, vai além e bloqueia ativamente o tráfego identificado como malicioso, aceitando o risco de um falso positivo interromper tráfego legítimo em troca de resposta mais rápida.

Honeypot e pentest#

Honeypot é um sistema deliberadamente vulnerável ou atraente, exposto de propósito para atrair atacantes e estudar suas técnicas, servindo tanto de alarme antecipado quanto de fonte de inteligência sobre ameaças reais direcionadas àquele ambiente específico. Pentest, abreviação de teste de invasão, é um exercício autorizado formalmente em que um profissional simula um ataque real contra um sistema, seguindo escopo e regras de engajamento definidos previamente, com o objetivo de encontrar e reportar vulnerabilidades antes que um atacante real o faça de forma não autorizada.

VPN, segmentação de rede e DMZ#

VPN cria um túnel criptografado entre dois pontos, permitindo que um dispositivo remoto acesse recursos de uma rede privada como se estivesse fisicamente conectado a ela. Segmentação de rede é a prática de dividir uma rede em partes menores isoladas entre si, limitando o alcance de um eventual comprometimento a apenas uma fração do ambiente total. DMZ, ou zona desmilitarizada, é uma sub-rede isolada que hospeda serviços expostos à internet, como um servidor web público, separada tanto da internet externa quanto da rede interna mais sensível por camadas independentes de firewall, reduzindo o risco de que o comprometimento de um serviço público exponha diretamente sistemas internos críticos.

OWASP, NIST e frameworks de referência#

OWASP é uma comunidade aberta que mantém listas e guias de referência amplamente adotados pela indústria, sendo o Top 10 de riscos de aplicação web o mais citado deles, usado como base de priorização por times de desenvolvimento e segurança em todo o mundo. NIST é a agência responsável por padrões técnicos amplamente referenciados em segurança, incluindo diretrizes de gestão de risco e frameworks de resposta a incidentes usados como base por muitas organizações, mesmo fora dos Estados Unidos, para estruturar seus próprios programas internos de segurança.

Sandboxing, EDR e forense digital#

Sandboxing é a técnica de executar um programa ou arquivo suspeito em um ambiente isolado e controlado, observando seu comportamento sem risco de comprometer o sistema real, muito usada para analisar malware desconhecido antes de qualquer decisão sobre ele. EDR, detecção e resposta em endpoint, é uma categoria de ferramenta instalada diretamente em estações de trabalho e servidores que monitora comportamento em tempo real e permite conter uma ameaça remotamente assim que detectada. Forense digital é a disciplina de coletar, preservar e analisar evidência digital de forma metodologicamente rigorosa após um incidente, de modo que essa evidência resista a escrutínio técnico e, quando necessário, jurídico.

Threat modeling, red team e blue team#

Threat modeling é o processo estruturado de mapear, ainda na fase de design de um sistema, quais ameaças são plausíveis e quais controles mitigam cada uma delas, antecipando problemas antes que o código sequer exista. Red team é a equipe, interna ou contratada, que simula ataques reais contra a organização para testar defesas na prática, muitas vezes sem aviso prévio à equipe de operações. Blue team é a equipe responsável pela defesa contínua, detectando e respondendo às tentativas de ataque, sejam elas simuladas pelo red team ou reais vindas de um adversário externo.

Compliance, LGPD e auditoria#

Compliance em segurança da informação se refere ao conjunto de práticas e evidências que uma organização mantém para demonstrar conformidade com leis e normas aplicáveis, como a Lei Geral de Proteção de Dados no Brasil. Auditoria é o processo formal, interno ou conduzido por terceiros, que verifica se essas práticas declaradas realmente estão implementadas na prática, não apenas documentadas em papel. Empresas que tratam compliance como checklist burocrático, sem verificação real de efetividade, costumam descobrir a diferença entre os dois exatamente no pior momento possível: durante um incidente real.

Least common mechanism e segregação de funções#

Segregação de funções é o princípio organizacional que impede uma única pessoa de controlar sozinha todas as etapas de um processo crítico — quem aprova uma transação financeira, por exemplo, não deveria ser a mesma pessoa capaz de executá-la sem revisão de mais ninguém, reduzindo tanto o risco de fraude interna quanto o de erro não detectado. Esse princípio se aplica também a sistemas técnicos: quem tem permissão para implantar código em produção idealmente não deveria ser a mesma pessoa com poder de aprovar sozinha a revisão desse mesmo código, mantendo um controle cruzado independente em cada etapa sensível do processo.

Esses termos formam a base de qualquer conversa séria sobre segurança da informação. Dominar o vocabulário não substitui a prática, mas evita ambiguidade em discussões técnicas e ajuda a ler relatórios de vulnerabilidade, documentação de compliance e artigos especializados com muito mais clareza.