Blue Team Labs Online (BTLO): guia para iniciantes 2026

O que é o Blue Team Labs Online?

O Blue Team Labs Online (BTLO) é uma plataforma de prática em segurança defensiva onde você investiga incidentes realistas e ganha pontos respondendo perguntas sobre eles. A página inicial o descreve como "uma plataforma gamificada para defensores praticarem suas habilidades em investigações de segurança e desafios".

O BTLO é oferecido pela Centri, empresa britânica antes conhecida como Security Blue Team. O antigo endereço securityblue.team agora redireciona para centri.org, então, se você encontrar qualquer um dos dois nomes em um fórum, é a mesma organização. A Centri também vende a certificação Blue Team Level 1 (BTL1), que aparece mais adiante neste guia.

O conteúdo é dividido em cinco áreas, listadas na página inicial do BTLO:

• Incident Response: descobrir o que um atacante fez em um sistema e em que ordem.
• Digital Forensics: dumps de memória, artefatos de disco, histórico do navegador e metadados de arquivos.
• Security Operations: o dia a dia de um SOC, como análise de phishing e triagem de alertas.
• Reverse Engineering: desmontar scripts e binários maliciosos para entender o que eles fazem.
• Threat Hunting: procurar nos logs atividades que nenhum alerta sinalizou ainda.

Como o BTLO difere de um CTF ofensivo

Em uma plataforma clássica de capture the flag, você ataca algo até encontrar uma flag. No BTLO, o ataque já aconteceu. Cada lab traz um cenário e uma lista de perguntas: qual IP fez o scan, qual arquivo o atacante enviou, qual comando ele executou primeiro. Quando você responde todas, ganha pontos de acordo com a dificuldade do lab, e esses pontos definem sua posição nos rankings global e por país.

Esse formato de perguntas é o que dá valor à plataforma. Na última pergunta, você já reconstruiu a linha do tempo do atacante, que é exatamente o formato de um relatório de incidente no trabalho.

O Blue Team Labs Online é grátis? Desafios e investigações

Sim. Uma conta gratuita do BTLO dá acesso a todos os desafios da plataforma: arquivos para download, como e-mails de phishing, capturas de rede, dumps de memória e logs, que você analisa na sua própria máquina. O que é pago são as investigações, labs com cenário que rodam em um ambiente privado direto no navegador.

As investigações são exclusivas para você, então ninguém mais consegue alterar a máquina enquanto você trabalha. Isso pesa mais do que parece: em plataformas com labs compartilhados, outro jogador apagando um arquivo de log pode estragar sua noite.

Na prática, é nas investigações que ficam as ferramentas de um SOC de verdade. Write-ups da comunidade descrevem máquinas Windows com as evidências em uma pasta na área de trabalho, além de investigações montadas em torno de ELK, Splunk e logs de eventos do Windows. Os desafios, por outro lado, são só arquivos: você leva suas próprias ferramentas.

O BTLO é bom para iniciantes?

Em parte. O FAQ do BTLO é direto: a plataforma "foi feita para defensores que já têm experiência com ferramentas de segurança e investigações", e não é uma plataforma de treinamento (a Centri diz que uma assinatura de treinamento está a caminho). Os desafios Easy estão ao alcance de um iniciante motivado, mas nada no BTLO vai explicar o que é um handshake TCP ou um registro SPF.

Antes do primeiro desafio, confira se você sabe fazer estas quatro coisas:

• Ler cabeçalhos brutos de e-mail: encontrar o servidor de envio real, o endereço Reply-To e os resultados de SPF, DKIM e DMARC.
• Abrir um PCAP no Wireshark: aplicar filtros de exibição, usar Estatísticas > Conversações e seguir um fluxo TCP ou HTTP. Nosso tutorial de Wireshark para iniciantes cobre os três.
• Decodificar codificações comuns: reconhecer Base64 e hexadecimal e decodificá-los com o CyberChef.
• Trabalhar em uma máquina virtual: alguns arquivos de desafio contêm código malicioso ativo, então nunca os abra no seu computador do dia a dia.

Se dois ou mais desses itens parecerem desconhecidos, comece por um conteúdo guiado e volte em algumas semanas. O BTLO é um ótimo segundo passo e um primeiro passo frustrante.

Como resolver seu primeiro desafio no BTLO (sem spoiler)

Uma boa primeira escolha é o Network Analysis - Web Shell, um desafio gratuito classificado como Easy. O cenário: o SOC recebeu um alerta do SIEM de "Local to Local Port Scanning", em que um host interno começou a escanear outro. Você recebe um PCAP e precisa decidir se a atividade é maliciosa, depois reconstruir o que o atacante fez. Aqui está o método, sem as respostas.

1. Veja o quadro geral primeiro: abra a captura e vá em Estatísticas > Conversações, aba TCP. Um par de hosts com centenas de conversas curtas chama a atenção na hora. Ordene pela coluna da porta de destino e o intervalo escaneado fica evidente.
2. Identifique o tipo de scan: filtre as tentativas de conexão que nunca se completam. Uma longa sequência de pacotes SYN para portas em sequência, com RST como resposta das portas fechadas, é um scan SYN.
3. Veja o que veio depois: abra Estatísticas > Hierarquia de Protocolos. Se aparecer HTTP depois do scan, o atacante passou para o servidor web. Ferramentas de scan costumam se identificar no cabeçalho User-Agent, então adicione-o como coluna.
4. Encontre o upload: filtre as requisições POST. Um envio para uma página PHP seguido de requisições para um arquivo PHP novo e com nome estranho é o padrão clássico de web shell. O cabeçalho Referer mostra de qual página o upload foi feito.
5. Leia os comandos: siga o fluxo HTTP das requisições para o novo arquivo. Os comandos ficam em um parâmetro da URL, na ordem em que o atacante os digitou.
6. Pegue a conexão de volta: os últimos comandos geralmente abrem um reverse shell. Procure uma nova conexão TCP que parte da vítima e volta para o atacante em uma porta incomum.

Estes são os filtros de exibição do Wireshark que fazem a maior parte do trabalho:

tcp.flags.syn == 1 && tcp.flags.ack == 0     # só tentativas de conexão: scans se destacam
http.request                                  # todas as requisições HTTP, adicione http.user_agent como coluna
http.request.method == "POST"                 # uploads e envios de formulário
http.request.uri contains ".php"              # requisições para páginas PHP, inclusive um shell enviado

Os quatro funcionam nas versões atuais do Wireshark 4.x, e o guia do usuário do Wireshark sobre filtros de exibição explica a sintaxe se você quiser criar os seus.

Na prática, o truque que mais economiza tempo no BTLO é ler todas as perguntas antes de abrir as evidências. As perguntas são um mapa: se a quinta pede o nome do parâmetro de um web shell, você já sabe que existe um web shell e mais ou menos onde procurar na captura. Anote cada resposta com o número do pacote ou o filtro que a comprova, e suas notas do incidente ficam prontas de graça.

6 desafios gratuitos do BTLO para começar

Estes desafios gratuitos são classificados como Easy no BTLO e bem documentados pela comunidade, então você pode conferir seu raciocínio depois de terminar. Tente cada um sem write-up primeiro.

• Phishing Analysis: um e-mail denunciado para desmontar. Você identifica o destinatário, o servidor de origem, o anexo e o link dentro dele. Um editor de texto, consultas WHOIS e um serviço de captura de tela de URLs bastam.
• Phishing Analysis 2: a mesma habilidade um degrau acima, com conteúdo codificado que o CyberChef resolve bem.
• Network Analysis - Web Shell: o passo a passo acima. O melhor primeiro desafio de rede da plataforma.
• Shiba Insider: um PCAP com uma surpresa. Os write-ups da comunidade resolvem com Wireshark e ExifTool, então ele também treina seus reflexos com metadados.
• PowerShell Analysis - Keylogger: leia um script PowerShell malicioso e explique o que ele faz. Só é preciso um editor de texto, o que faz dele uma entrada tranquila em engenharia reversa.
• Browser Forensics - Cryptominer: vasculhe artefatos do navegador para encontrar o cryptominer. Os write-ups da comunidade usam o FTK Imager para navegar pelas evidências.

Quando esses ficarem confortáveis, o desafio Bruteforce, classificado como Medium, é um bom próximo passo: um arquivo de log grande, muito ruído e um único atacante para encontrar no meio dele.

Ferramentas para instalar antes de começar

Como os desafios gratuitos são downloads, seu ambiente faz diferença. Uma VM Windows ou Linux com estas ferramentas cobre quase todos os desafios Easy: Wireshark, um bom editor de texto, CyberChef (roda no navegador), ExifTool, FTK Imager no Windows e Volatility 3 quando chegar aos dumps de memória. Tire um snapshot da VM antes de abrir qualquer amostra para poder voltar atrás.

O BTLO Pro vale a pena?

O BTLO Pro vale a pena quando os desafios Easy gratuitos já viraram rotina e você quer praticar com um conjunto real de ferramentas de SOC (buscas no SIEM, logs de eventos do Windows, máquinas de lab ativas) sem montar tudo sozinho. Antes disso, você está pagando por conteúdo que ainda não está pronto para aproveitar.

Nossa opinião sobre como gastar esse dinheiro:

• Pule o Pro no primeiro mês. Os desafios gratuitos ocupam você por semanas e mostram de quais áreas você gosta.
• Compre um mês, não um ano. £15 por um mês focado em investigações dizem mais do que qualquer review. O plano anual (£144, 20% de economia) só faz sentido quando você sabe que vai usar toda semana.
• Escolha um tema por mês. Por exemplo, só investigações com ELK em um mês, só forense de memória no seguinte. Pular de lab em lab ao acaso aumenta pontos, não habilidades.

BTLO e a certificação BTL1

BTLO e BTL1 são produtos separados. A Blue Team Level 1 é a certificação de SOC júnior da Centri, com preço de £399 na página do curso. Segundo a Centri, isso inclui quatro meses de acesso ao material de treinamento, 23 labs no navegador com 100 horas de uso, um exame prático de resposta a incidentes de 24 horas e uma nova tentativa gratuita. A Centri informa que 70% dos alunos passam na primeira tentativa.

Praticar no BTLO é uma forma sensata de ver se o trabalho defensivo prático combina com você antes de gastar £399, mas os pontos do BTLO não contam para a certificação. Se estiver comparando a BTL1 com outras certificações de entrada, compare o formato do exame, não só o preço: um exame prático de 24 horas é um teste muito diferente de uma prova de múltipla escolha.

Blue Team Labs Online vs CyberDefenders, LetsDefend e TryHackMe

O BTLO faz parte de um pequeno grupo de plataformas defensivas. Elas se sobrepõem, mas cada uma se encaixa em uma fase diferente.

O CyberDefenders é o parente mais próximo do BTLO: investigações baseadas em perguntas sobre evidências reais, com foco maior em DFIR e labs mais longos. Nosso guia de CyberDefenders para iniciantes explica os labs gratuitos e a certificação CCDL1.

O LetsDefend é menos um CTF e mais um simulador de trabalho: os alertas chegam em uma fila e você faz a triagem. A Hack The Box agora é dona dele e está levando o conteúdo novo para a própria plataforma, como explica nosso guia do LetsDefend.

A HackerDNA preenche a lacuna que o BTLO deixa: ela ensina antes de testar. O curso SOC Analyst e Blue Team ensina a escrever consultas de SIEM no Splunk e no Elastic, criar regras de detecção e mapear alertas para o MITRE ATT&CK. Como a HackerDNA também cobre o lado ofensivo, você mesmo executa ataques como um scan SYN ou o upload de um web shell, o que torna os rastros deles em um PCAP muito mais fáceis de reconhecer. Um caminho realista: HackerDNA para aprender, desafios gratuitos do BTLO para se testar e depois BTLO Pro ou CyberDefenders para ganhar volume.

Considerações legais e éticas

• Trate as amostras como ativas: os desafios do BTLO podem conter scripts e documentos maliciosos reais. Abra-os somente em uma VM isolada, nunca no seu computador do dia a dia nem em uma máquina de trabalho.
• Não interaja com infraestrutura real: se um desafio tiver uma URL ou IP, use consultas passivas e serviços de captura de tela em vez de acessá-la a partir da sua própria conexão.
• Respeite as regras de write-ups: confira as regras da plataforma antes de publicar uma solução e nunca compartilhe respostas de conteúdo que ainda vale pontos ou de exames de certificação.
• Mantenha dados reais em sigilo: se você praticar com logs do seu trabalho, nunca os cole em ferramentas públicas ou em write-ups.

O guia de resposta a incidentes do NIST, SP 800-61 Revision 3, vale uma leitura rápida para ver como equipes reais lidam com evidências e relatórios.

Perguntas frequentes