Uns anos atrás eu tava literalmente googlando “o que é um endereço IP”.

Ontem, 24 de agosto de 2026, foi meu primeiro dia como Cyber Field Engineer na Pentera.

Eu já escrevi sobre esse caminho: o plantão noturno onde eu decidi sair do SOC, e o dia que o OSCP+ finalmente caiu (esse tá em inglês). Era pra esse post aqui que os outros tavam apontando desde o começo. O plano funcionou.

Como aconteceu

Quando eu passei no OSCP+ em junho, escrevi que o cert “não é a linha de chegada, é o ingresso”. Foi mais literal do que eu imaginava. As semanas seguintes foram entrevistas, checagem de referências, e a espera mais longa da minha vida. No começo de agosto a oferta chegou. Eu assinei. E no dia 24 de agosto eu entrei pela porta da frente.

O que um Cyber Field Engineer faz de verdade

A Pentera constrói uma plataforma de validação de segurança automatizada. Em português claro: software que roda, com segurança, técnicas de ataque reais contra o ambiente real de uma empresa (ataques de credencial, movimento lateral, escalação de privilégios, as mesmas cadeias que eu venho grindando em lab) pra provar quais defesas aguentam e quais só ficam bonitas no dashboard.

Meu trabalho é o lado humano disso: trabalhar com clientes, rodar a plataforma em ambientes reais, mostrar pros times de segurança o que os ataques encontraram, e explicar ofensiva em linguagem simples. Se você leu esse blog, sabe que essa última parte é exatamente o que esse site inteiro existe pra praticar.

É a vaga clássica de pentester de consultoria? Não, e eu não vou fingir que é. É algo que me cabe melhor: ofensiva como disciplina, todo dia, em ambiente real, com o olho de defensor dos meus anos de SOC e a missão de fazer os ataques serem fáceis de entender. O SOC me ensinou como os alertas aparecem. O OSCP me ensinou como gerar eles. Esse trabalho é onde as duas metades finalmente funcionam juntas.

O que me trouxe até aqui

Não tem segredo. A mesma lista sem graça de todos os outros posts desse site:

  • As boxes. 49+ máquinas rootadas, e cada uma das que me humilharam no caminho.
  • O cert. O OSCP+ foi a prova de que eu conseguia fazer, não só falar.
  • O SOC. Defesa não foi um desvio. Foi treino.
  • Esse blog. Cada writeup foi treino de explicar um caminho de ataque em linguagem simples, que é exatamente a habilidade que sustenta esse trabalho.

Pra quem tá no meio da grind agora

Quando eu comecei, a ideia de ser pago pra fazer segurança ofensiva parecia coisa que acontece com os outros. Gente com diploma de computação, gente que começou aos 15. Não com um analista SOC googlando o básico entre um alerta e outro.

Disciplina ganha do talento que desiste. Eu continuo falando isso porque continua sendo verdade. Se você tá nesse caminho agora, no meio da grind, sem saber se tá funcionando: tá funcionando. Você só não consegue ver ainda.

E quando a porta finalmente abrir, entra como se o lugar fosse seu. A chave foi você que construiu.

O blog não vai a lugar nenhum

Capítulo novo, missão igual. Writeups, metodologia, cheatsheets, tudo continua. Eu continuo quebrando boxes em toda hora que não tô no trabalho, e agora o trabalho também é ofensiva. A seção de Jornada acabou de ganhar o melhor post dela até agora.

Try harder. Try smarter. E se ainda assim não funcionar… você não tá enumerando o suficiente.