Estágio em SOC: O Que Estudar e Como Usar Python

Para conseguir um estágio em SOC, construa uma base em redes, Linux, HTTP, autenticação e logs; aprenda a investigar eventos sem tirar conclusões precipitadas; use Python para automatizar tarefas defensivas pequenas; e publique um projeto com dados sintéticos, testes e limitações claras. Você não precisa dominar todas as ferramentas de cibersegurança. Precisa mostrar raciocínio, responsabilidade e capacidade de seguir um processo sob supervisão.

SOC é a sigla de Security Operations Center, ou Centro de Operações de Segurança. A equipe monitora sinais de segurança, investiga alertas, registra evidências e coordena respostas conforme procedimentos definidos. Para uma pessoa estagiária, a rotina pode incluir consulta a logs, enriquecimento de eventos, atualização de chamados e preparação de indicadores. A decisão de bloquear uma conta, isolar um equipamento ou escalar um incidente deve seguir o playbook e a orientação da equipe.

Python aparece como ferramenta para ler arquivos, normalizar dados, consultar APIs permitidas, comparar eventos e gerar relatórios. Ele não substitui um SIEM, um EDR ou a análise humana. O melhor projeto de entrada não é uma “ferramenta hacker”, mas uma automação defensiva que você consegue executar, testar e explicar.

Se a sua busca ainda é ampla, comece pelo guia de estágio em segurança da informação com Python. Este artigo aprofunda especificamente a trilha de SOC, uma das portas de entrada possíveis na cibersegurança.

O que é um SOC e como funciona a rotina

Um SOC reúne pessoas, processos e tecnologias para acompanhar eventos que podem afetar sistemas, contas, aplicações e dados. As fontes variam: serviços de identidade, firewalls, endpoints, servidores, aplicações, nuvem, proxies e ferramentas de segurança.

Um fluxo simplificado costuma ter estas etapas:

1. uma ferramenta ou regra gera um alerta;
2. alguém verifica se o evento tem dados suficientes;
3. o alerta é enriquecido com contexto;
4. a pessoa compara o evento com comportamento esperado e sinais relacionados;
5. o caso é encerrado, mantido em observação ou escalado;
6. ações e evidências são registradas para auditoria e aprendizado.

O objetivo não é tratar todo alerta como ataque confirmado. Ferramentas produzem falsos positivos, dados podem chegar incompletos e um comportamento incomum pode ter uma explicação legítima. Uma investigação defensiva precisa preservar contexto e rastreabilidade.

Níveis e nomes de cargo

Algumas empresas organizam o SOC em níveis, como L1, L2 e L3. Em uma estrutura assim, L1 costuma fazer a triagem inicial, L2 aprofunda a investigação e L3 trabalha com casos complexos, engenharia de detecção ou resposta avançada. Essa divisão não é universal.

Ao procurar estágio, você pode encontrar títulos como:

• estagiário de SOC;
• estágio em segurança da informação;
• estágio em cibersegurança;
• estágio em monitoramento de segurança;
• estagiário de Blue Team;
• estágio em resposta a incidentes;
• estágio em infraestrutura e segurança;
• estágio em prevenção a fraudes;
• estágio em riscos de tecnologia.

Leia as responsabilidades. Uma vaga sem “SOC” no título pode envolver triagem de alertas e análise de logs, enquanto outra chamada “SOC” pode ser mais voltada a indicadores ou atendimento de chamados.

O que uma pessoa estagiária pode fazer

Sob supervisão, as tarefas podem incluir:

• conferir alertas e campos obrigatórios;
• pesquisar eventos relacionados no período do alerta;
• organizar IP, usuário, dispositivo, horário e origem;
• consultar informações em ferramentas internas autorizadas;
• comparar o evento com um playbook;
• registrar evidências em chamado;
• preparar uma linha do tempo simples;
• atualizar listas e inventários;
• apoiar relatórios de volume e tempo de atendimento;
• automatizar uma conferência repetitiva com Python;
• documentar uma rotina para revisão da equipe.

O estágio deve ser uma experiência de formação. Pergunte como funciona a supervisão, quem revisa o trabalho e quais ações a pessoa estagiária pode executar. Um ambiente que espera resposta autônoma a incidentes críticos desde o primeiro dia pode estar confundindo estágio com mão de obra experiente e barata.

Conhecimentos mais importantes para começar

Redes e protocolos

Aprenda o significado de endereço IP, porta, TCP, UDP, DNS, HTTP, HTTPS, proxy, VPN e firewall. Você não precisa projetar uma rede corporativa, mas deve conseguir responder perguntas como:

• qual sistema iniciou a conexão?
• qual era o destino?
• que serviço costuma usar essa porta?
• o domínio foi resolvido por qual consulta DNS?
• o servidor respondeu com qual código HTTP?
• o horário do evento está em qual fuso?

Sem essa base, uma linha de log vira apenas texto.

Linux e terminal

Pratique navegação por diretórios, permissões, processos, leitura de arquivos e filtros de texto em uma máquina própria ou laboratório autorizado. Comandos como grep, find, head, tail, sort e pipes ajudam a explorar dados, mas execute somente o que você entende.

Também aprenda a reconhecer caminhos, usuários, grupos, serviços e mensagens de erro. Para um estágio, explicar como você encontrou uma linha relevante vale mais do que decorar uma lista enorme de comandos.

Autenticação, autorização e identidade

Entenda a diferença entre confirmar a identidade e decidir o que ela pode acessar. Estude senha, MFA, sessão, token, privilégio, conta de serviço e princípio do menor privilégio.

Muitos alertas de SOC envolvem login: tentativas repetidas, acesso em horário incomum, autenticação a partir de origem inesperada ou mudança de privilégio. Nenhum desses sinais prova sozinho que uma conta foi comprometida. O contexto define a investigação.

Logs e linha do tempo

Um log registra um evento observado por um sistema. Campos comuns incluem:

• data e hora;
• usuário ou conta;
• origem e destino;
• ação executada;
• resultado;
• identificador do dispositivo;
• aplicação ou serviço;
• código de erro;
• identificador de correlação.

Aprenda a conferir timezone, formato da data, ausência de campos e duplicidade. Ordenar eventos corretamente é essencial para entender o que ocorreu antes e depois de um alerta.

SIEM, EDR e playbooks

SIEM é uma categoria de plataforma usada para centralizar, pesquisar e correlacionar eventos. EDR está relacionado à visibilidade e resposta em endpoints. Você não precisa dominar uma marca específica para começar, mas deve entender o papel dessas ferramentas.

Playbook é um procedimento que orienta a triagem e a resposta. Ele pode indicar campos obrigatórios, consultas, critérios de severidade, evidências e situações que exigem escalonamento. Seguir o playbook e registrar o que foi feito é parte do trabalho.

Onde Python ajuda no SOC

Python é útil quando uma tarefa envolve dados estruturados ou repetição. Bons usos para quem está começando incluem:

• ler eventos em CSV, JSON ou JSON Lines;
• validar se campos essenciais existem;
• normalizar datas e categorias;
• agrupar falhas por usuário, IP ou dispositivo;
• deduplicar indicadores;
• gerar relatório Markdown;
• consultar uma API interna ou pública autorizada com timeout;
• transformar um resultado para importação em outra ferramenta;
• testar regras didáticas;
• criar dados sintéticos para laboratório.

Os recursos de maior retorno são pathlib, json, csv, collections, datetime, ipaddress, logging, tratamento de exceções e testes. Depois, bibliotecas como pandas ou Polars podem ajudar em volumes tabulares maiores.

O tutorial de análise de logs para SOC com Python mostra uma aplicação técnica próxima da rotina. Revise também logging em Python para registrar execução sem espalhar print pelo programa.

Projeto de portfólio: triador de alertas de autenticação

Crie um projeto chamado triador-alertas-soc. Ele receberá eventos sintéticos em JSON Lines, validará os registros, calculará uma pontuação didática e produzirá um relatório para revisão humana.

Cada linha de eventos.jsonl pode ter esta forma:

{"timestamp":"2026-08-30T10:00:00Z","usuario":"ana","ip":"192.0.2.10","resultado":"falha","mfa":false}
{"timestamp":"2026-08-30T10:01:00Z","usuario":"ana","ip":"192.0.2.10","resultado":"falha","mfa":false}
{"timestamp":"2026-08-30T10:03:00Z","usuario":"ana","ip":"192.0.2.10","resultado":"sucesso","mfa":true}

O bloco 192.0.2.0/24 é reservado para documentação. Usá-lo evita publicar um endereço real no exemplo.

Uma primeira versão pode validar e agrupar falhas:

import json
from collections import Counter
from pathlib import Path
from typing import Any

CAMPOS_OBRIGATORIOS = {
    "timestamp",
    "usuario",
    "ip",
    "resultado",
    "mfa",
}


def carregar_eventos(caminho: Path) -> list[dict[str, Any]]:
    eventos = []

    with caminho.open(encoding="utf-8") as arquivo:
        for numero_linha, linha in enumerate(arquivo, start=1):
            try:
                evento = json.loads(linha)
            except json.JSONDecodeError as erro:
                raise ValueError(
                    f"Linha {numero_linha}: JSON inválido"
                ) from erro

            ausentes = CAMPOS_OBRIGATORIOS - evento.keys()
            if ausentes:
                nomes = ", ".join(sorted(ausentes))
                raise ValueError(
                    f"Linha {numero_linha}: campos ausentes: {nomes}"
                )

            eventos.append(evento)

    return eventos


def contar_falhas_por_origem(
    eventos: list[dict[str, Any]],
) -> Counter[tuple[str, str]]:
    falhas: Counter[tuple[str, str]] = Counter()

    for evento in eventos:
        if evento["resultado"] == "falha":
            chave = (evento["usuario"], evento["ip"])
            falhas[chave] += 1

    return falhas

Depois, gere casos para revisão:

def criar_casos(
    falhas: Counter[tuple[str, str]],
    limite: int = 3,
) -> list[dict[str, object]]:
    casos = []

    for (usuario, ip), total in falhas.items():
        if total >= limite:
            casos.append(
                {
                    "usuario": usuario,
                    "ip": ip,
                    "total_falhas": total,
                    "motivo": "falhas repetidas para revisão",
                }
            )

    return casos

Essa regra não “detecta invasão”. Uma pessoa pode errar a senha, um sistema pode repetir tentativas ou várias pessoas podem compartilhar uma origem. O README deve explicar que o limite é didático e que um caso real exigiria contexto, janela de tempo, histórico, dispositivo, MFA e políticas da organização.

Estrutura recomendada

triador-alertas-soc/
├── data/
│   ├── eventos_validos.jsonl
│   └── eventos_invalidos.jsonl
├── src/
│   ├── carregar.py
│   ├── regras.py
│   └── relatorio.py
├── tests/
│   ├── test_carregar.py
│   └── test_regras.py
├── docs/
│   └── modelo-relatorio.md
├── pyproject.toml
└── README.md

Inclua testes para:

• JSON inválido;
• campo obrigatório ausente;
• evento sem falha;
• contagem por usuário e IP;
• resultado abaixo do limite;
• resultado igual ao limite;
• lista vazia;
• preservação da origem do dado.

O guia de testes com pytest ajuda a estruturar esses casos. Para configuração e dependências, use um ambiente virtual e documente o fluxo no README.

Como escrever o relatório do projeto

A saída pode ser Markdown para facilitar a leitura:

# Relatório de triagem

Gerado em: 2026-08-31T00:30:00Z
Fonte: dados sintéticos para estudo

## Caso 1

- Usuário: ana
- Origem: 192.0.2.10
- Falhas observadas: 4
- Regra acionada: falhas repetidas para revisão
- Próxima etapa: consultar eventos relacionados no laboratório

## Limitações

A regra não confirma comprometimento e não considera contexto corporativo.

Registre a data de geração, a fonte, a regra e a limitação. Em um SOC real, o formato seguiria o processo da empresa. No portfólio, essa estrutura demonstra que você entende a diferença entre um sinal e uma conclusão.

Como apresentar o projeto no currículo

Evite frases vagas como “conhecimento em SIEM e Python”. Descreva a entrega:

Desenvolvi um triador defensivo de alertas com Python e dados sintéticos. Implementei leitura de JSON Lines, validação de esquema, agrupamento de falhas de autenticação, relatório Markdown e testes automatizados, documentando falsos positivos e limites da regra.

Se você criou uma interface de linha de comando:

Criei uma CLI para analisar eventos fictícios de autenticação, selecionar período e limite, exportar relatório e registrar erros sem expor dados sensíveis.

Não afirme que construiu um SIEM. O projeto demonstra uma pequena etapa de processamento e triagem. Precisão aumenta a confiança de quem avalia o currículo.

Adapte o currículo Python para vaga júnior e coloque formação, previsão de conclusão, fundamentos de segurança, projeto e atividades acadêmicas em destaque.

Como buscar vagas de estágio em SOC

Crie alertas com variações em português e inglês:

• estágio SOC;
• estágio em SOC;
• estágio segurança da informação;
• estágio cibersegurança;
• estágio cybersecurity;
• estágio Blue Team;
• estágio monitoramento de segurança;
• estágio resposta a incidentes;
• estágio SIEM;
• estágio infraestrutura e segurança;
• estágio riscos de tecnologia;
• estágio prevenção a fraudes.

Pesquise também por vagas sem a palavra “estágio” quando a plataforma tiver filtro de senioridade. Algumas empresas usam “assistente”, “trainee” ou “analista júnior”, mas confirme se os requisitos são compatíveis com uma pessoa em formação.

Acompanhe as vagas de estágio e o radar geral de vagas Python. Para oportunidades de tecnologia que não destacam a linguagem, consulte também o eu.dev.br.

Como avaliar se o estágio oferece aprendizado

Durante o processo, tente entender:

• existe alguém responsável pela supervisão?
• há treinamento inicial?
• a equipe possui playbooks documentados?
• quais ações a pessoa estagiária pode executar?
• como alertas são revisados e escalados?
• existe plantão? Estagiários participam?
• quais ferramentas e fontes de log são usadas?
• a função mistura SOC com suporte sem explicar o escopo?
• como o desempenho é avaliado?

Não é necessário receber detalhes confidenciais. A empresa pode explicar o processo de formação sem revelar arquitetura ou incidentes.

Sinais positivos incluem revisão frequente, laboratório, documentação, reuniões de aprendizado e progressão clara de tarefas. Sinais de alerta incluem responsabilidade isolada por turno, ausência de supervisão e expectativa de executar ações críticas sem procedimento.

O que pode aparecer na entrevista

Prepare respostas para perguntas como:

• qual é a diferença entre autenticação e autorização?
• o que é um falso positivo?
• para que serve um log?
• o que DNS faz?
• qual é a diferença entre HTTP e HTTPS?
• por que horário e timezone importam em uma investigação?
• o que você faria ao receber um alerta que não entende?
• como seu script reage a uma linha inválida?
• quais limitações existem na sua regra?
• por que você usou dados sintéticos?

Uma boa resposta para um alerta desconhecido não é inventar certeza. Explique que você verificaria o playbook, preservaria os dados, consultaria o contexto permitido e pediria revisão antes de qualquer ação de impacto.

No simulador de entrevista Python, pratique a explicação técnica do projeto. Use também o checklist de teste técnico Python para validar instalação, testes, README e segurança do repositório.

Certificações e laboratórios

Certificação não costuma ser condição obrigatória para estágio. Uma trilha introdutória pode organizar o estudo, mas projeto, fundamentos e capacidade de explicação continuam essenciais.

Antes de pagar por uma prova, analise 20 vagas e verifique se a certificação aparece de forma recorrente. Para uma pessoa estudante, pode ser mais útil investir tempo em:

1. redes e Linux;
2. logs e identidade;
3. laboratório local ou plataforma educacional autorizada;
4. projeto defensivo em Python;
5. documentação e candidatura.

Em laboratórios, respeite o escopo. Não reproduza técnicas contra sistemas de terceiros. A habilidade profissional inclui saber onde você tem autorização para agir.

Plano prático de 30 dias

Semana 1: base e vagas reais

• analise 20 anúncios de SOC e segurança;
• revise IP, DNS, HTTP, autenticação e autorização;
• pratique Linux em ambiente próprio;
• estude a estrutura de logs;
• anote os requisitos recorrentes.

Semana 2: Python para eventos

• revise JSON, arquivos, dicionários e datas;
• crie dados sintéticos;
• implemente validação de campos;
• agrupe eventos por usuário e origem;
• mantenha o projeto pequeno.

Semana 3: testes e relatório

• adicione testes das regras;
• trate arquivo ausente e JSON inválido;
• gere relatório Markdown;
• documente falsos positivos;
• revise o repositório para remover segredos e dados reais.

Semana 4: apresentação e candidatura

• escreva um README reproduzível;
• grave uma demonstração curta, se desejar;
• adapte o currículo;
• pratique cinco perguntas de entrevista;
• crie alertas de vagas;
• envie candidaturas compatíveis.

Trinta dias não tornam alguém especialista em SOC. O objetivo é sair de uma lista abstrata de ferramentas para uma base verificável, um projeto concluído e um processo de aprendizado orientado por vagas reais.

Erros comuns de quem quer entrar em SOC

Evite:

• tratar qualquer alerta como ataque confirmado;
• estudar somente ferramentas e ignorar redes;
• publicar dados reais ou indicadores sensíveis;
• executar scanner ou exploração sem autorização;
• copiar um script sem entender entradas e saídas;
• afirmar que uma regra simples “detecta hackers”;
• esconder falsos positivos;
• colocar tokens ou chaves no Git;
• buscar apenas vagas que trazem Python no título;
• aceitar responsabilidade crítica sem supervisão em nome de “experiência”.

A postura defensiva é parte do portfólio. Dados sintéticos, limitações documentadas e ações reversíveis mostram mais maturidade do que uma demonstração agressiva sem contexto.

Checklist antes de se candidatar

• Entendo IP, DNS, HTTP, autenticação e autorização em nível introdutório.
• Sei explicar o que são log, alerta, incidente e falso positivo.
• Meu projeto usa apenas dados sintéticos, próprios ou autorizados.
• O README ensina a instalar, executar e testar.
• A regra está documentada como didática, não como detecção definitiva.
• Não existem senhas, tokens ou dados pessoais no repositório.
• Consigo explicar uma limitação do projeto.
• Pesquisei títulos além de “estágio SOC”.
• Adaptei o currículo aos requisitos do anúncio.
• Sei que devo pedir revisão antes de uma ação de impacto.

Perguntas frequentes

O que faz uma pessoa estagiária em SOC?

Ela pode apoiar triagem de alertas, consulta a logs, enriquecimento de eventos, atualização de chamados, documentação e indicadores. As tarefas devem ser supervisionadas e seguir playbooks. O estágio não deveria deixar uma pessoa iniciante responsável sozinha por incidentes críticos.

Preciso saber Python para conseguir estágio em SOC?

Não em todas as vagas. Python é um diferencial para arquivos, APIs, normalização, relatórios e automação. Redes, Linux, HTTP, autenticação e logs são igualmente importantes para interpretar o que o código processa.

Qual projeto Python fazer para um portfólio de SOC?

Um triador de alertas com dados sintéticos é uma boa escolha. Leia JSON Lines, valide campos, agrupe falhas, gere casos para revisão, exporte relatório e escreva testes. Explique os falsos positivos e não apresente a regra como detecção pronta para produção.

SOC é uma boa porta de entrada para cibersegurança?

Pode ser, pois oferece contato com eventos, investigação, processos e resposta. Avalie a supervisão, o treinamento, os playbooks e as responsabilidades. A qualidade da experiência depende mais da estrutura da equipe do que do título.

Como procurar vagas de estágio em SOC?

Pesquise por SOC, segurança da informação, cibersegurança, Blue Team, monitoramento, resposta a incidentes, SIEM, infraestrutura e segurança, riscos e antifraude. Leia a descrição completa e acompanhe as vagas de estágio.

Próximo passo

Abra dez anúncios de estágio em SOC ou segurança e conte quantas vezes aparecem redes, Linux, SIEM, logs e Python. Depois, crie cinco eventos sintéticos e implemente apenas a leitura e a validação. Quando essa etapa estiver testada, adicione uma regra didática e um relatório.

Publique o projeto somente quando outra pessoa conseguir reproduzi-lo pelo README. Em seguida, revise o guia de cibersegurança júnior com Python, aprofunde a análise de logs para SOC e acompanhe as oportunidades de estágio. Para entrar em segurança, demonstrar cuidado com evidência, autorização e limites é tão importante quanto escrever código.