Glossário de Cibersegurança

Uma referência viva de Cibersegurança. Use a busca, navegue por letra ou clique em um termo para deep-link. Termos com artigo aprofundado têm o link Ler artigo.

A

AAA Authentication, Authorization, Accounting #

Tripé clássico de controle de acesso: quem é (autenticação), o que pode (autorização) e o que fez (auditoria/contabilização).

ACL Access Control List #

Lista de regras que define quais sujeitos podem acessar quais recursos e com que permissões. Base de firewalls, filesystems e roteadores.

Active Directory (AD) #

Serviço de diretório da Microsoft que centraliza autenticação, autorização e políticas em ambientes Windows corporativos. Alvo prioritário em ataques de movimentação lateral.

Ler artigo

APT Advanced Persistent Threat #

Adversário sofisticado, persistente e bem-financiado — tipicamente patrocinado por Estado ou crime organizado — que opera por longos períodos sem ser detectado.

Ler artigo

ASM Attack Surface Management #

Descoberta contínua e priorização de ativos externos expostos (domínios, IPs, APIs, certificados, serviços expostos), incluindo Shadow IT.

Ler artigo

Autenticação #

Processo de verificar a identidade alegada por um usuário, dispositivo ou serviço — por algo que sabe, tem ou é.

B

Backup & Cyber Resilience #

Conjunto de práticas de cópia, isolamento (air gap, immutability) e recuperação de dados — essencial contra ransomware moderno.

Ler artigo

BAS Breach and Attack Simulation #

Ferramentas que simulam, de forma controlada e contínua, técnicas e procedimentos reais de adversários para validar a eficácia dos controles defensivos.

Baseline / Hardening #

Configuração mínima de segurança aceitável (baseline) e o processo de removê-la de configurações inseguras padrão (hardening).

Ler artigo

BEC Business Email Compromise #

Golpe corporativo que sequestra ou personifica e-mails de executivos/fornecedores para induzir transferências ou desvio de pagamentos.

Blue Team #

Equipe defensiva responsável por detectar, conter e responder a ataques — opera SOC, threat hunting, IR e engenharia de detecção.

Ler artigo

Bug Bounty #

Programa que recompensa pesquisadores externos por reportarem vulnerabilidades reais nos sistemas da organização, sob escopo e regras definidas.

Ler artigo

C

C2 / C&C Command and Control #

Canal e infraestrutura que um atacante usa para enviar comandos e exfiltrar dados de hosts comprometidos. Frequentemente disfarçado em HTTPS, DNS ou serviços legítimos.

Ler artigo

CASB Cloud Access Security Broker #

Camada entre usuários e serviços SaaS que aplica políticas de visibilidade, conformidade, DLP e proteção contra ameaças.

CISO Chief Information Security Officer #

Executivo responsável pela estratégia, governança e operações de Segurança da Informação na organização.

Ler artigo

CSPM / DSPM / SSPM #

Posture Management para Cloud (CSPM), Dados (DSPM) e SaaS (SSPM) — descobrem desvios de configuração, exposições e violações de conformidade contínuas.

Ler artigo

CRA Cyber Resilience Act #

Regulamento europeu que impõe requisitos de cibersegurança a produtos com elementos digitais (hardware e software) colocados no mercado da UE — inclui SBOM obrigatório, suporte a updates por 5 anos e notificação de incidentes.

Ler artigo

CTI Cyber Threat Intelligence #

Coleta, análise e disseminação de informações acionáveis sobre adversários, suas TTPs e indicadores — em níveis estratégico, operacional e tático.

Ler artigo

CTEM Continuous Threat Exposure Management #

Programa cíclico que descobre, prioriza, valida e mobiliza correções de exposições com base em risco real, não em volume de CVEs.

Ler artigo

CVE Common Vulnerabilities and Exposures #

Identificador padronizado para vulnerabilidades publicamente conhecidas. Exemplo: CVE-2024-12345.

CVSS Common Vulnerability Scoring System #

Padrão para pontuar a severidade técnica de uma vulnerabilidade (0-10). Não é, sozinho, medida de prioridade — deve ser combinado com EPSS e contexto.

Calcular CVSS

CRQ Cyber Risk Quantification #

Tradução do risco cibernético em termos financeiros (perda esperada anual, FAIR). Permite priorizar investimentos e comunicar com Conselho/CFO.

Ler artigo

Criptografia #

Conjunto de técnicas matemáticas para garantir confidencialidade, integridade, autenticidade e não-repúdio de informações.

CSOC / SOC (Cyber) Security Operations Center #

Unidade — interna ou terceirizada — responsável por monitoração, detecção, resposta e melhoria contínua da postura defensiva.

Ler artigo

D

DAST Dynamic Application Security Testing #

Análise dinâmica de segurança de aplicações em execução, simulando ataques HTTP. Complementar ao SAST (estático).

Defesa em Profundidade #

Princípio que aplica múltiplas camadas de controles independentes — se uma falha, as outras seguem protegendo.

Detection Engineering #

Disciplina de criar, testar, versionar e operar regras de detecção (Sigma, YARA, KQL, SPL) como código.

Ler artigo

DevSecOps #

Integração de segurança em cada etapa do ciclo DevOps — “shift-left” com SAST, SCA, IaC scanning e gates automáticos.

Ler artigo

DLP Data Loss Prevention #

Controles que detectam e bloqueiam vazamento de dados sensíveis em endpoints, rede e nuvem com base em rótulos, padrões e contexto.

Ler artigo

DORA Digital Operational Resilience Act #

Regulamento europeu de resiliência operacional para o setor financeiro — exige gestão de risco TIC, testes de resiliência (incluindo TLPT), notificação de incidentes em janelas curtas e governança de prestadores TIC críticos.

Ler artigo

DMARC / DKIM / SPF #

Padrões DNS para autenticação de e-mail, evitando spoofing e melhorando entregabilidade. Fundamentais contra phishing e BEC.

Ler artigo

DDoS Distributed Denial of Service #

Ataque que satura recursos do alvo com tráfego oriundo de múltiplas fontes coordenadas — pode ser volumétrico, de protocolo ou de aplicação.

Dwell Time #

Tempo entre o início do comprometimento e a detecção. Reduzi-lo é objetivo central de qualquer SOC moderno.

Ler artigo

E

EDR Endpoint Detection and Response #

Plataforma que coleta telemetria do endpoint, detecta comportamentos suspeitos e habilita resposta (isolamento, kill process, rollback).

eBPF extended Berkeley Packet Filter #

Tecnologia do kernel Linux que permite executar programas sandboxed no kernel sem mudar código nem carregar módulos. Base de ferramentas modernas de observabilidade e segurança (Falco, Cilium Tetragon, Tracee, Pixie).

Ler artigo

Engenharia Social #

Manipulação psicológica do alvo para induzir ações (clicar, transferir, abrir porta) — phishing, vishing, pretexting, baiting.

Ler artigo

EPP Endpoint Protection Platform #

Camada preventiva no endpoint (antimalware, controle de aplicações, dispositivo, firewall local). Costuma vir acoplado ao EDR.

EPSS Exploit Prediction Scoring System #

Modelo probabilístico que estima a chance de uma CVE ser explorada nos próximos 30 dias. Pareado ao CVSS, melhora a priorização.

F

FAIR Factor Analysis of Information Risk #

Modelo quantitativo padrão para estimar perda esperada — frequência de eventos × magnitude. Base para CRQ.

FIDO2 / WebAuthn #

Padrão aberto de autenticação forte sem senha, usando chaves criptográficas no dispositivo (passkeys).

Ler artigo

Firewall #

Controle de tráfego que aplica políticas entre redes ou hosts. Evoluiu de filtros L3/L4 para NGFW com inspeção de aplicação e identidade.

Ler artigo

Forense Digital #

Aquisição, preservação, análise e apresentação de evidências digitais, mantendo cadeia de custódia.

Ler artigo

Fulcio #

Autoridade certificadora do projeto Sigstore que emite certificados X.509 efêmeros (~10 min) a partir de prova de identidade OIDC. Elimina a gestão manual de chaves no fluxo de assinatura keyless de artefatos de software.

Ler artigo

Frameworks de Cibersegurança #

Estruturas como NIST CSF, ISO 27001, CIS Controls, COBIT — orientam governança, controles e maturidade.

Ler artigo

G

GDPR #

Regulamento Europeu de proteção de dados pessoais (2018) — referência da LGPD brasileira.

LGPD vs GDPR

Governança de Segurança #

Estrutura de papéis, processos e decisões que alinham segurança aos objetivos de negócio e ao apetite a risco.

GRC Governance, Risk and Compliance #

Disciplina integrada que une governança, gestão de riscos e conformidade regulatória num único modelo operacional.

H

Hardening #

Aplicação sistemática de boas práticas (CIS Benchmarks, STIG) para reduzir superfície de ataque de sistemas e configurações.

Hashing #

Função de mão única que mapeia dados de tamanho arbitrário em valor fixo. Base de integridade e armazenamento de senhas (com salt + KDF).

Calculadora

HSM Hardware Security Module #

Dispositivo dedicado para gerar, armazenar e operar chaves criptográficas com proteção física e lógica.

I

IAM Identity and Access Management #

Disciplina que gerencia o ciclo de vida das identidades digitais e seus acessos — provisionamento, autenticação, autorização e revisão.

ICS / OT / SCADA #

Sistemas de controle industrial e tecnologia operacional — energia, água, manufatura. Possuem requisitos específicos (disponibilidade > confidencialidade).

Ler artigo

IDS / IPS #

Intrusion Detection / Prevention System — monitoram (IDS) ou bloqueiam (IPS) tráfego malicioso por assinaturas, heurística ou comportamento.

in-toto #

Framework aberto para attestations sobre a cadeia de produção de software. Define um formato JSON (predicate + subject) que descreve passos do pipeline; é o envelope usado pelo SLSA Provenance para registrar quem construiu o quê.

Ler artigo

IoC Indicator of Compromise #

Artefatos observáveis associados a um ataque — hashes, IPs, domínios, mutexes, regras de comportamento.

ISO/IEC 27001 #

Norma internacional para Sistema de Gestão de Segurança da Informação (SGSI) — risco, controles e melhoria contínua.

Ler artigo

ITDR Identity Threat Detection and Response #

Categoria focada em detectar ataques contra a camada de identidade (Kerberoasting, Golden Ticket, OAuth abuse).

Ler artigo

J

JWT JSON Web Token #

Formato compacto de token assinado para autenticação e troca de claims. Erros de validação comuns são fonte de bypass.

Decoder JWT

JIT Access Just-in-Time Access #

Provisão de acesso privilegiado sob demanda, com tempo limitado e justificativa — pilar de Zero Standing Privilege.

K

Kerberos #

Protocolo de autenticação por tickets usado no Active Directory. Alvo de ataques como Kerberoasting, AS-REP Roasting e Pass-the-Ticket.

KEV Known Exploited Vulnerabilities #

Catálogo público da CISA com CVEs comprovadamente exploradas in-the-wild. Prioridade alta de patch.

KMS Key Management Service #

Serviço gerenciado que cria, armazena, rotaciona e audita chaves criptográficas (ex.: AWS KMS, Azure Key Vault).

Kubernetes Security #

Controles específicos para K8s: RBAC, Network Policy, Pod Security Standards, admission controllers, scanning de imagem.

Ler artigo

KSPM Kubernetes Security Posture Management #

Subconjunto de CSPM focado em postura de clusters Kubernetes — desvios de configuração no control plane, RBAC excessivo, workloads privilegiados, falhas de Pod Security Standards e Network Policy.

L

LDAP Lightweight Directory Access Protocol #

Protocolo para consulta e modificação de serviços de diretório (AD, OpenLDAP). Sem TLS, expõe credenciais.

Least Privilege #

Princípio que concede a usuários, processos e serviços somente os privilégios estritamente necessários para sua função.

LGPD Lei Geral de Proteção de Dados #

Lei brasileira (13.709/2018) que regula o tratamento de dados pessoais — bases legais, direitos do titular, ANPD, sanções.

Ler artigo

LOLBins / LOLBAS #

“Living Off the Land”: uso de binários legítimos do sistema (powershell.exe, certutil.exe) para conduzir ataques sem dropar malware.

M

MDR Managed Detection and Response #

Serviço gerenciado de detecção, triagem e resposta — combina EDR/XDR com analistas 24×7.

SOC vs MDR vs MSSP

MFA Multi-Factor Authentication #

Autenticação que combina dois ou mais fatores independentes — algo que sabe, tem e é. Phishing-resistant quando baseado em FIDO2.

Ler artigo

MFA Fatigue / Push Bombing #

Ataque que dispara repetidos prompts de MFA até o usuário aprovar por exaustão. Mitigado por number matching e FIDO2.

Ler artigo

MITRE ATT&CK #

Base de conhecimento aberta de táticas, técnicas e procedimentos (TTPs) de adversários reais — referência para detecção, threat hunting e red team.

Ler artigo

MSSP Managed Security Service Provider #

Provedor gerenciado de operações de segurança — pode incluir monitoração, vulnerability management, firewall, e-mail security.

N

NDR Network Detection and Response #

Detecção baseada em tráfego de rede (NetFlow, full PCAP, DNS) com análise comportamental — complementa EDR para tráfego leste-oeste.

Ler artigo

NIST CSF #

NIST Cybersecurity Framework — funções Govern, Identify, Protect, Detect, Respond, Recover (v2.0).

NIS2 #

Diretiva europeia que amplia obrigações de segurança e notificação para setores essenciais e importantes — afeta fornecedores globais.

Ler artigo

O

OAuth 2.0 #

Padrão de autorização delegada — clientes obtêm acesso a recursos sem manipular credenciais do usuário. Frequentemente usado com OpenID Connect.

Ciclo OODA #

Observar, Orientar, Decidir, Agir — ciclo de tomada de decisão sob pressão, útil em IR e cyber defense.

Ler artigo

OSINT Open Source Intelligence #

Coleta e análise de informações em fontes públicas — DNS, redes sociais, leaks, registros, satélite. Disciplina-chave em CTI e investigação.

OWASP #

Fundação que mantém o Top 10 de Web/API/LLM, ASVS, MASVS e dezenas de projetos referência para AppSec.

Calc. Risco OWASP

P

PAM Privileged Access Management #

Cofre e governança de credenciais privilegiadas, com rotação automática, gravação de sessão e elevação JIT.

Ler artigo

Passwordless / Passkeys #

Autenticação sem senha baseada em chaves criptográficas atadas ao dispositivo (FIDO2/WebAuthn). Resistente a phishing.

Ler artigo

Patch Management #

Processo de identificar, testar, aplicar e verificar correções de software de forma priorizada (CVSS + EPSS + KEV + contexto).

Pentest #

Teste de intrusão autorizado que valida controles imitando comportamento adversário — escopo, regras e relatório formais.

Tipos de pentest

Phishing #

Engenharia social via e-mail, SMS (smishing) ou voz (vishing) para roubar credenciais, instalar malware ou induzir transferências.

Ler artigo

PKI Public Key Infrastructure #

Infraestrutura de chaves públicas — autoridades certificadoras, ciclo de vida de certificados, revogação (CRL/OCSP).

PQC Post-Quantum Cryptography #

Algoritmos resistentes a computadores quânticos (ex.: ML-KEM, ML-DSA, SLH-DSA). Migração já é roadmap obrigatório.

Ler artigo

Prompt Injection #

Família de ataques contra LLMs em que entradas maliciosas modificam o comportamento do modelo ou de agentes que o consomem.

Ler artigo

Purple Team #

Trabalho colaborativo entre Red e Blue Team, com objetivo de melhorar a detecção a partir de TTPs reais e medidas.

Ler artigo

Q

QKD Quantum Key Distribution #

Distribuição de chaves criptográficas usando propriedades físicas da mecânica quântica. Tecnologia experimental, complementar a PQC.

Quantificação de Risco #

Tradução de cenários de risco em distribuições de perda — ver CRQ e FAIR.

R

Ransomware #

Malware que criptografa dados (e frequentemente exfiltra) exigindo resgate. Modelo atual é “double / triple extortion”.

Ler artigo

RBAC / ABAC #

Controle de acesso baseado em papéis (RBAC) ou em atributos (ABAC) — modelos para autorização escalável.

Red Team #

Operação adversária simulada com escopo amplo e objetivos por impacto — testa pessoas, processos e tecnologia ao longo do tempo.

Ler artigo

Resposta a Incidentes (IR) #

Processo formal: preparação, identificação, contenção, erradicação, recuperação e lições aprendidas (NIST SP 800-61).

Ler artigo

Rekor #

Log de transparência público e append-only do Sigstore, baseado em Trillian (Google). Registra toda assinatura keyless e permite que qualquer um verifique posteriormente que uma assinatura existiu para um determinado digest em um instante confiável.

Ler artigo

RTO / RPO #

Recovery Time Objective (tempo aceitável até retomar serviço) e Recovery Point Objective (perda máxima aceitável de dados).

S

SAST Static Application Security Testing #

Análise estática do código-fonte para encontrar fraquezas (taint flow, secrets, more). Atua no shift-left.

SASE / SSE #

Convergência de rede e segurança como serviço — SD-WAN, SWG, CASB, ZTNA, FWaaS sob política unificada.

SBOM Software Bill of Materials #

Inventário verificável de componentes de software (formatos SPDX/CycloneDX). Base de gestão de vulnerabilidades e cadeia de suprimentos.

Ler artigo

SIEM Security Information and Event Management #

Plataforma de ingestão, correlação e análise de logs para detecção e investigação.

Ler artigo

Sigstore #

Projeto da OpenSSF que oferece infraestrutura para assinar e verificar artefatos de software sem gestão de chaves de longa duração (Cosign + Fulcio + Rekor). Padrão emergente para assinatura keyless de imagens OCI, binários e attestations.

Ler artigo

SLSA Supply chain Levels for Software Artifacts #

Framework da OpenSSF (pronuncia-se "salsa") que define níveis incrementais de garantia sobre a cadeia de build. Build Track vai de L0 (sem proveniência) a L3 (builder isolado e proveniência não-falsificável).

Ler artigo

SOAR Security Orchestration, Automation and Response #

Orquestra playbooks que automatizam triagem, enriquecimento, contenção e resposta — reduz MTTR.

Ler artigo

SOC #

Ver CSOC.

SPF Sender Policy Framework #

Registro DNS que autoriza quais servidores podem enviar e-mail em nome de um domínio. Compõe DMARC.

Validador

SSO Single Sign-On #

Autenticação centralizada que concede acesso a múltiplas aplicações com uma única sessão (SAML, OIDC).

Supply Chain Security #

Proteção de cada elo da cadeia de software/fornecedores — código-fonte, build, dependências, distribuição (SLSA, Sigstore).

Ler artigo

T

TLP Traffic Light Protocol #

Padrão de marcação para controle de compartilhamento de informação sensível — RED, AMBER, GREEN, CLEAR.

Ler artigo

Threat Hunting #

Caça proativa por adversários já presentes no ambiente, com hipóteses, TTPs (ATT&CK) e telemetria rica.

Ler artigo

Threat Modeling #

Análise estruturada de ameaças a um sistema — STRIDE, PASTA, LINDDUN. Idealmente antes de codificar.

TPRM Third-Party Risk Management #

Programa de avaliação contínua de riscos cibernéticos de fornecedores e terceiros — onboarding, due diligence, monitoração.

Ler artigo

U

UEBA User and Entity Behavior Analytics #

Detecção baseada em desvios de comportamento usual de usuários e entidades — útil contra insider threats e credenciais comprometidas.

UTM Unified Threat Management #

Appliance que consolida firewall, IPS, antimalware, filtragem web e VPN — comum em PMEs.

V

vCISO CISO virtual / fracionado #

Provisão de CISO sob modelo de serviço para organizações que não justificam um cargo full-time.

Vulnerability Management #

Programa cíclico de descoberta, priorização (CVSS+EPSS+KEV), remediação e verificação de vulnerabilidades.

Ler artigo

VPN Virtual Private Network #

Túnel cifrado entre dois pontos. Em arquiteturas modernas é substituída ou complementada por ZTNA.

VPN vs ZTNA

W

WAF Web Application Firewall #

Camada de proteção L7 para aplicações web — bloqueia padrões maliciosos, abusos de bot e ataques OWASP.

WebAuthn #

API W3C que viabiliza autenticação baseada em chaves públicas no navegador. Base das passkeys.

X

XDR Extended Detection and Response #

Plataforma que correlaciona telemetria de endpoint, rede, identidade, e-mail e cloud em uma única superfície de detecção e resposta.

Ler artigo

XSS Cross-Site Scripting #

Injeção de scripts no navegador da vítima via aplicação vulnerável. Variantes: reflected, stored, DOM-based.

Y

YARA #

DSL para descrever e identificar famílias de malware por padrões textuais e binários. Padrão de fato em CTI.

Z

Zero Day #

Vulnerabilidade sem patch disponível no momento em que é explorada — alto valor estratégico.

Zero Trust #

Modelo arquitetural que assume comprometimento, verifica explicitamente cada requisição e impõe privilégio mínimo dinâmico.

Ler artigo

ZTNA Zero Trust Network Access #

Acesso a aplicações com brokered identity e contexto contínuo. Substitui VPN broad-access por túneis específicos por aplicação.

Ler artigo