Python
Automação, scripts ofensivos e backend. Três anos de prática constante.
/// $ whoami
THIAGO
ALVES
SANTANA
DEV JÚNIOR // CIBERSEGURANÇA & IAHacker ético e engenheiro de IA. Construo ferramentas de segurança ofensiva e produtos com inteligência artificial — de Uberlândia, MG, para o mundo.
EXPLORAR PROJETOS ↘UBERLÂNDIA, MG
PORTFOLIO // 2026
PORTFOLIO // 2026
THIAGO ALVES SANTANA
DEV JÚNIOR // CIBERSEGURANÇA & IA
ID// TAS-2026-001
Construindo tecnologia com uma abordagem técnica, responsável e orientada a impacto.
03+anos com Python
05projetos próprios em andamento
04certificações concluídas
01empresa própria fundada
01 / CONTEXTO
Não sigo um caminho linear.
A transição de segurança do trabalho para segurança da informação moldou uma perspectiva que cruza tecnologia e cuidado com pessoas.
Com foco principal em cibersegurança, domino pentest, OSINT e engenharia reversa assistida por IA. Comecei no setor de segurança do trabalho, como jovem aprendiz, e migrei para segurança da informação por conta própria, estudando e construindo projetos reais.
Hoje desenvolvo tanto ferramentas ofensivas quanto produtos de impacto social, sempre unindo automação, segurança e cuidado com as pessoas.
01
Ethical Hacking & CybersecurityHacker X — certificado
02
AI Fluency: Framework and FoundationsClaude Academy, Anthropic
03
Claude 101Claude Academy, Anthropic
04
CS50Harvard / edX
02 / CAPACIDADES
O que eu coloco em prática.
Profundidade onde importa, combinada com curiosidade para explorar soluções novas.
Cibersegurança
Pentest, OSINT e análise de vulnerabilidades — minha área mais forte.
Engenharia de IA
Integração de modelos e agentes em produtos reais.
Engenharia reversa
Análise de binários e scripts com apoio de IA.
Full stack com IA
Uso IA para ampliar a atuação em JavaScript e outras stacks.
03 / PROJETOS
Ideias que ganharam sistema.
Projetos nascidos de problemas concretos, com contexto, recursos e tecnologia definidos.
Jarvis AI Cybersecurity
IA própria criada para apoiar pentest, reunindo reconhecimento OSINT, testes de SQL Injection, testes de estresse e outras automações ofensivas em um só lugar. Roda inteiramente em Kali Linux.
root@kali:~# jarvis --scan
App de Segurança para Idosos
App para idosos, pessoas com deficiência e pessoas com condições de saúde mental: detecta quedas e batidas, aciona emergência por voz, compartilha localização em tempo real, gera relatórios diários e faz check-ins com lembretes de remédio e água, respeitando o horário de sono. Nasceu no desafio Liga Jovem e pode evoluir com integração ao SUS.
[ ALERTA DE SEGURANÇA ]
Gripp
App mobile estilo Strava para motociclistas, focado em rolês noturnos, encontros e check-ins sociais. Tem rastreamento GPS de rotas, Rolês para eventos e Garagem para manutenção específica, como lubrificação de corrente e calibragem de pneu.
GRIPP // NIGHT RIDE
NERV Sistemas
Empresa própria fundada em 2025, onde desenvolvo sistemas e sites sob medida para clientes. Cuido de todo o processo: desenvolvimento, identidade visual e branding.
NERV_SISTEMAS.SYS
04 / AMBIENTE
Ferramentas de trabalho.
Meu ambiente real para investigar, automatizar, testar e construir.
Linguagem principal para automação, scripts ofensivos e backend.
Ambiente principal para pentest e testes ofensivos.
Reconhecimento de rede e varredura de portas.
Interceptação e teste de aplicações web.
Automação de testes de SQL Injection.
Análise de tráfego de rede.
Engenharia reversa de binários.
Editor do dia a dia para Python e scripts.
Versionamento dos projetos pessoais.
Apoio em engenharia de IA e desenvolvimento full stack.
05 / BLOG
Assuntos que eu quero investigar.
Uma fila de textos sobre segurança ofensiva, engenharia reversa, IA e desenvolvimento — escritos a partir do que estudo e construo.
O que é OSINT na prática
OSINT (Open Source Intelligence) é a coleta e correlação de informações disponíveis publicamente — redes sociais, registros públicos, metadados e mecanismos de busca — para montar um panorama sobre um alvo. É usada tanto na fase de reconhecimento de um pentest quanto defensivamente, para mapear a própria exposição. Depende de metodologia, validação de fontes e, acima de tudo, respeito aos limites legais.
SQL Injection: como funciona e como se proteger
Acontece quando a aplicação insere dados do usuário diretamente numa query SQL sem tratamento, permitindo alterar a lógica da consulta, como em bypass de login ou extração de dados. A defesa real é usar prepared statements e consultas parametrizadas, validar entradas no servidor e aplicar privilégio mínimo nas credenciais do banco. Filtrar aspas sozinho não resolve.
Engenharia reversa: por onde começar
É o processo de analisar um software compilado, sem acesso ao código-fonte, para entender seu comportamento usando desmontadores e debuggers como Ghidra ou IDA. É útil para análise de malware, pesquisa de vulnerabilidades e interoperabilidade. O ponto de partida ideal é entender Assembly básico e a estrutura de um binário PE ou ELF.
Kali Linux: ferramentas essenciais
Kali é uma distro baseada em Debian, feita especificamente para testes de segurança, com ferramentas pré-instaladas organizadas por categoria, como reconhecimento, exploração e forense. Para quem está começando, o ponto-chave não é instalar tudo, mas entender bem um punhado de ferramentas antes de passar para a próxima.
O papel da IA no pentest moderno
IA acelera tarefas repetitivas, como triagem de grandes volumes de dados de reconhecimento, geração de relatórios e reconhecimento de padrões. O que ela ainda não substitui é o julgamento humano nas cadeias de exploração e na avaliação de risco real de um achado. Por isso uso IA como apoio, não como substituto da análise.
Pentest, Red Team e Bug Bounty: qual a diferença
Pentest é um teste com escopo e prazo definidos, em sistemas específicos. Red Team é mais amplo e furtivo, testando pessoas, processos e tecnologia juntos para avaliar detecção e resposta. Bug Bounty é contínuo e aberto a vários pesquisadores, com recompensa por vulnerabilidade encontrada.
Como montar seu primeiro laboratório de testes de invasão
Um laboratório básico usa máquinas virtuais isoladas, com VirtualBox ou VMware, e alvos propositalmente vulneráveis como DVWA ou Metasploitable. A rede deve ser segmentada e nunca tocar sua rede real ou a internet. Assim você treina com segurança e dentro da lei.
OSINT: os limites éticos e legais da investigação digital
A legalidade do OSINT depende de usar somente fontes públicas, sem engenharia social enganosa nem acesso não autorizado a sistemas. No Brasil, isso também esbarra na LGPD. Coletar uma informação não é o mesmo que ter autorização para usar os dados.
Automatizando reconhecimento com Python
Uso bibliotecas como requests e BeautifulSoup, junto com requisições concorrentes, para automatizar tarefas repetitivas de reconhecimento. Entre elas estão enumeração de subdomínios e varreduras que manualmente tomariam horas. O uso deve ficar restrito a alvos autorizados.
Anatomia de um ataque de phishing
Os sinais mais comuns são urgência artificial, domínio do remetente levemente diferente do oficial, links que não batem com o texto exibido e pedido direto de credenciais. Tecnicamente, muitos ataques usam domínios look-alike registrados recentemente. Conferir o domínio e o destino antes de clicar ajuda a interromper o golpe.
Hardening básico: 10 passos para proteger um servidor Linux
O checklist inclui manter pacotes atualizados, desabilitar login root via SSH, usar autenticação por chave, configurar firewall, desligar serviços não usados, instalar fail2ban, automatizar backups, aplicar privilégio mínimo, monitorar logs e ativar atualizações de segurança automáticas.
06 / CONTATO
Vamos criar algo que importa.
Aberto a oportunidades em Uberlândia — presencial, híbrido ou remoto.