KC7 é um jogo gratuito de detetive cibernético, e ele inverte a lógica dos CTFs tradicionais. Em vez de invadir uma máquina, você entra na equipe de segurança de uma empresa quando os atacantes já estão lá dentro, e os pega vasculhando logs. Sem exploits, sem VPN, sem máquina virtual. Se quiser provar esse tipo de investigação antes de começar, o lab Log Hunter da HackerDNA entrega o log bruto de um servidor web e pede que você encontre a única requisição que entregou o atacante. KC7 é essa mesma sensação, esticada em uma história completa.
Este guia explica o que é o KC7, quem o mantém, como funciona um caso, como terminar o primeiro, as poucas consultas que resolvem a maioria das perguntas, como usar o KC7 como competição em uma turma ou clube, e onde ele se encaixa ao lado dos CTFs tradicionais.
TL;DR: KC7 é um jogo de cibersegurança gratuito e sem fins lucrativos em que você faz o papel de analista de segurança e investiga invasões fictícias consultando logs com KQL (Kusto Query Language) no Azure Data Explorer. Comece pelo caso iniciante de 50 minutos "A Rap Beef", aprenda cinco ou seis operadores de consulta e você conseguirá jogar a maior parte do catálogo. É uma das melhores formas gratuitas de aprender segurança defensiva e uma ótima alternativa às competições de CTF ofensivas se você gosta mais de investigar do que de explorar.
O que é o KC7?
KC7 é um jogo online e gratuito de cibersegurança em que os jogadores investigam ataques cibernéticos realistas e fictícios vasculhando logs de segurança. Cada caso é um mistério: você recebe uma empresa, uma história e milhões de linhas de dados de e-mail, web e endpoints, e responde a perguntas que levam de uma primeira pista até a visão completa do ataque.
Alguns fatos que vale saber antes de se cadastrar:
- Ele é mantido por uma organização sem fins lucrativos. O jogo é operado pela KC7 Foundation, uma entidade americana registrada como 501(c)(3). A página inicial do KC7 promete "Free forever" (grátis para sempre) e "No credit card" (sem cartão de crédito).
- Ele foi criado por analistas da área. O KC7 foi fundado por Simeon Kakpovi, analista de threat intelligence da Microsoft. Greg Schloemer e Emily Hacker são coautores do guia de treinamento original, e Greg Schloemer é vice-presidente da fundação.
- Ele começou pequeno. Segundo a página "About" do KC7, o projeto nasceu em 2019 como um conjunto de dados digitado à mão e compartilhado com uma turma de community college (uma faculdade americana de cursos curtos). O perfil publicado pelo Microsoft Unlocked conta como ele cresceu a partir do Global Hackathon 2022 da Microsoft.
- O nome é uma referência à kill chain. O perfil da Microsoft explica que "KC7" aponta para a etapa final do processo de ataque. Na Cyber Kill Chain da Lockheed Martin, essa é a etapa sete, "Actions on Objectives", o momento em que o atacante faz aquilo que veio fazer.
Esse último ponto resume o jogo. Se a kill chain é novidade para você, nosso guia da Cyber Kill Chain explica as sete etapas. No KC7, você as vê da cadeira do defensor: um e-mail de phishing chega, alguém clica, um arquivo aparece, um processo roda, dados saem. Seu trabalho é encontrar cada etapa nos logs.
Como o KC7 funciona
Todo caso do KC7 (o site também os chama de módulos ou jogos) segue a mesma estrutura, então, depois do primeiro, os outros parecem familiares.
A página do caso e o placar
Você se cadastra com Google, Microsoft ou e-mail, ou clica em "Continue as Guest" e reivindica a conta depois. Cada caso abre com uma história curta e uma lista de perguntas. As respostas são fatos exatos: um endereço de e-mail, um domínio, um nome de arquivo, um timestamp, uma contagem. Digite a resposta no placar e você sabe na hora se acertou. Respostas corretas rendem pontos e badges, e sua posição aparece em um ranking global.
Os dados ficam no Azure Data Explorer
Na maioria dos casos, os logs ficam hospedados no Azure Data Explorer (ADX), o serviço de análise de logs da Microsoft. O caso fornece o link para o conjunto de dados, e muitos casos podem mostrar o painel de consultas do ADX dentro da própria página do KC7. Se você abrir o ADX separadamente, ele pede login com uma conta Microsoft, e uma conta pessoal gratuita serve. Você nunca instala nada.
Dentro do ADX, você escreve consultas em KQL, a Kusto Query Language. É isso que faz do KC7 mais do que um jogo. A Microsoft documenta a KQL como a linguagem do Microsoft Sentinel e do Azure Monitor, então as consultas que você digita para pegar um hacker fictício são do mesmo tipo que analistas de SOC de verdade digitam todos os dias.
Níveis de dificuldade, trilhas e a pergunta do dia
- A dificuldade vai de Beginner a Expert. As páginas dos casos mostram um tempo estimado, de cerca de 50 minutos em "A Rap Beef" a dezenas de horas em investigações intermediárias longas como "AzureCrest".
- As trilhas agrupam os casos em ordem. A página de módulos mostra quatro trilhas "Security Analyst" (I a IV), com as trilhas Incident Responder e CTI Analyst marcadas como em breve.
- O DAILY7 adiciona uma pergunta por dia. Digite o código DAILY7 no placar e uma nova pergunta aparece diariamente, sobre temas como OSINT e decodificação. Foi feito para manter sequências.
KC7 vs um CTF tradicional
O KC7 costuma ser chamado de CTF, e ele compartilha o placar e o ciclo de "encontrar a resposta". Mas as habilidades treinadas são diferentes, e saber disso ajuda você a decidir onde investir suas noites.
| Aspecto | CTF jeopardy tradicional | KC7 |
|---|---|---|
| Seu papel | Atacante invadindo um sistema | Analista investigando um ataque |
| O que você envia | Uma flag como flag{...} | Fatos dos logs: endereços, domínios, arquivos, horários |
| Ferramenta principal | Muitas ferramentas (Burp Suite, Ghidra, pwntools, CyberChef) | Uma linguagem de consulta: KQL no Azure Data Explorer |
| Preparação | Muitas vezes uma VM Linux e uma VPN | Só o navegador |
| História | Desafios separados por categoria | Uma invasão conectada por caso |
| Carreira para a qual prepara | Pentester, caçador de bug bounty | Analista de SOC, threat hunter, analista de threat intelligence |
| Custo | Varia conforme o evento | Grátis |
Nossa opinião: faça os dois. CTFs ofensivos ensinam como os ataques funcionam, e o KC7 ensina o que eles deixam para trás. Analistas que já exploraram uma SQL injection a identificam muito mais rápido em um log web, e atacantes que já leram logs cometem menos erros barulhentos. Se você nunca jogou um CTF ofensivo, nosso guia de CTF para iniciantes mostra como começar por esse lado.
O KC7 também é a porta de entrada mais amigável para um tipo de iniciante: quem gosta de quebra-cabeças e planilhas, mas se sente perdido em um terminal Linux. Não há shell, não há compilação e não há exploit que se recusa a funcionar por motivos que ninguém explica. Você lê dados e faz perguntas a eles.
Como jogar seu primeiro caso no KC7
Comece por "A Rap Beef: An Intro to Security Investigations". A página do caso o classifica como Beginner, cerca de 50 minutos, 950 pontos, e diz "Anyone can do this! No prior experience necessary" (qualquer pessoa consegue, sem experiência prévia). Você é analista de segurança de uma gravadora cujos dois artistas estão em guerra, e os objetivos são identificar uma campanha de phishing, interpretar logs de segurança e investigar uma invasão básica.
Esta é a rotina que recomendamos para esse caso e para todos os seguintes:
- Leia a história inteira e todas as perguntas primeiro. As perguntas são um mapa do ataque. Se a pergunta 9 fala de um arquivo baixado, você já sabe que houve um download e pode ficar atento desde o início.
- Faça uma amostra de cada tabela. Rode
take 10em cada tabela antes de qualquer coisa. Você descobre quais colunas existem e como os valores estão escritos (e-mails em minúsculas, URLs completas, timestamps em UTC). - Comece pela pista que a história dá. Normalmente um domínio, remetente ou IP suspeito. Procure-o na tabela mais óbvia, muitas vezes a Email.
- Pivote. Pegue um valor do resultado, como um destinatário, e procure-o na próxima tabela. O destinatário leva a um endereço IP, o IP leva ao tráfego web, o tráfego web leva a um download.
- Mantenha um arquivo de anotações. Uma linha por descoberta: hora, quem, o quê, onde. Metade das perguntas seguintes sai direto das suas anotações.
- Copie as respostas exatamente. O placar compara strings. Um subdomínio esquecido ou um espaço a mais vira resposta errada, mesmo com o raciocínio perfeito.
Na prática, pivotar é o jogo inteiro. O guia de treinamento original do KC7 define o pivô como pegar um dado conhecido em um conjunto de dados e procurar em outro conjunto para descobrir algo que você ainda não sabia. Iniciantes travam quando continuam vasculhando a mesma tabela com mais força. Quando uma consulta para de trazer informação nova, troque de tabela.
A KQL que você precisa para o KC7
Você não precisa "saber KQL" antes do primeiro caso. O guia de treinamento original do KC7 ensina o essencial em poucas páginas, e seis operadores resolvem a maioria das perguntas de nível iniciante e intermediário. Esse guia lista oito tabelas (Employees, Email, OutboundBrowsing, AuthenticationEvents, FileCreationEvents, ProcessEvents, PassiveDns e InboundBrowsing). Casos mais novos às vezes renomeiam ou adicionam tabelas, e é exatamente por isso que o passo 2 acima é "faça amostra de tudo".
Os exemplos abaixo usam dados inventados de uma empresa fictícia, não respostas de nenhum caso real. Os nomes de colunas também são ilustrativos, então confirme os reais com take 10.
1. Olhe antes de buscar: take
Employees
| take 10Toda consulta começa com o nome de uma tabela. O pipe | passa as linhas para o próximo operador. Aqui, take 10 mostra dez linhas para você ver as colunas.
2. Quantos: count
Email
| where recipient == "[email protected]"
| countPerguntas como "Quantos e-mails foram enviados para Dana?" são um filtro seguido de count.
3. Filtrar: where, com == ou has
Email
| where sender has "acmeverify"
| project timestamp, sender, recipient, subject, link== busca uma correspondência exata. has procura um termo inteiro dentro do texto. project mantém só as colunas que interessam, o que deixa os resultados legíveis.
O resultado é o tipo de tabela que destrava um caso (cortado para caber na largura):
timestamp sender recipient subject
2026-03-03T09:14:02Z [email protected] [email protected] Password expires today
2026-03-03T09:14:05Z [email protected] [email protected] Password expires today
2026-03-03T09:14:09Z [email protected] [email protected] Password expires todayTrês funcionários, um domínio imitando o verdadeiro, um assunto urgente. Isso é uma campanha de phishing, e cada destinatário agora é uma pista para pivotar.
4. Valores únicos: distinct
Email
| where link has "acmeverify"
| distinct recipientUse distinct quando a pergunta for "quais usuários" ou "quantos domínios diferentes".
5. Vários valores de uma vez: in
PassiveDns
| where ip in ("203.0.113.40", "203.0.113.41")
| distinct domainEsta consulta encontra todos os domínios hospedados nos IPs do atacante. Atacantes reutilizam infraestrutura, então um domínio malicioso muitas vezes leva a outros cinco.
6. Encadear consultas: let
let victims = Employees
| where name in ("Dana Ruiz", "Omar Haddad", "Lena Novak")
| distinct ip_addr;
OutboundBrowsing
| where src_ip in (victims)
| where url has "acmeverify"let guarda o resultado de uma consulta para que a próxima possa usá-lo. É o pivô escrito em código: de funcionários para IPs, de IPs para tráfego web, tudo de uma vez.
A armadilha has vs contains
Cedo ou tarde, uma consulta que "deveria" trazer resultados volta vazia. O culpado de sempre é o has. A documentação da Microsoft sobre operadores de string explica que has busca termos inteiros, então "KustoExplorerQueryRun" has "Explorer" retorna false, enquanto contains busca qualquer substring e retorna true. Use has por padrão, porque é mais rápido, e mude para contains quando estiver caçando um fragmento dentro de uma palavra maior.
Mais uma armadilha de nome: "KQL" também significa Kibana Query Language na stack Elastic, uma linguagem diferente com as mesmas iniciais. Se quiser ver a mesma lógica de filtrar e depois agregar no Splunk SPL e no Elastic, o capítulo de análise de logs por consultas do curso Analista SOC da HackerDNA percorre uma investigação de força bruta nos dois.
KC7 como alternativa às competições
Muita gente procura o KC7 porque um professor, clube ou empresa o usou em um evento. Esse é um dos seus melhores usos, e não custa nada.
- O GameOn permite que qualquer um organize. O KC7 descreve o GameOn como uma "free teaching platform with classrooms, progress tracking, and a cyber competition" (plataforma de ensino gratuita com turmas, acompanhamento de progresso e uma competição cyber). Educadores, instrutores corporativos e organizadores de comunidades preenchem um pedido curto, e a página do GameOn diz que os primeiros pedidos ficam "usually ready within minutes" (normalmente prontos em minutos), com uma página de organizador, um link para os jogadores e um painel.
- Funciona com níveis misturados. Como cada pergunta é um filtro ou um pivô, um iniciante completo pontua nas perguntas fáceis enquanto jogadores experientes correm pelas últimas. Isso é difícil de conseguir em um CTF tradicional, em que um iniciante pode passar um fim de semana inteiro em um único desafio sem solução.
- Fica aberto o ano todo. Diferente de eventos sazonais como a National Cyber League ou o Advent of Cyber, os casos do KC7 estão sempre abertos, então um clube pode usá-los em qualquer semana do ano letivo.
Se você organiza um clube, nossa sugestão é simples: rode "A Rap Beef" em uma sessão de abertura de uma hora, com duplas dividindo a tela. As duplas falam seus pivôs em voz alta, e é assim que analistas realmente aprendem uns com os outros.
O KC7 é bom? Nossa opinião sincera
Sim, o KC7 é um dos melhores recursos gratuitos para aprender segurança defensiva. Veja por quê, e onde ele deixa a desejar.
O que ele faz bem
- Habilidades reais, zero preparação. KQL no ADX é uma habilidade de trabalho, não uma mecânica de jogo, e você começa em uma aba do navegador.
- As histórias fixam o aprendizado. Você vai lembrar "daquele domínio de phishing que também hospedava o malware" por muito mais tempo do que de um slide sobre indicadores de comprometimento.
- Curva de dificuldade suave. Os casos para iniciantes realmente não pressupõem nada.
Onde ele deixa a desejar
- Uma ferramenta só. Você não vai mexer em Wireshark, análise de memória ou Splunk. O KC7 ensina consulta de logs, não a caixa de ferramentas completa do SOC.
- Casos longos são longos. Alguns casos intermediários têm estimativa de 45 a 96 horas. Encare-os como projetos, não como uma noite.
- Sem lado ofensivo. Você só vê os ataques pelos rastros, então nunca aprende por que um exploit funcionou.
O melhor caminho que conhecemos: KC7 para o raciocínio com logs, depois uma plataforma com capturas de rede e imagens de disco. Nosso guia do CyberDefenders para iniciantes cobre esse próximo passo, em que você troca a KQL por Wireshark, dumps de memória e SIEMs.
Considerações legais e éticas
Lembrete crítico: as empresas, pessoas e domínios do KC7 são fictícios. Investigar logs, caixas de e-mail ou redes reais exige autorização explícita e por escrito de quem é o dono, mesmo quando suas intenções são defensivas.
- Não acesse indicadores de um caso. O guia de treinamento do KC7 chama isso de boa OPSEC: como analista, você pesquisa domínios suspeitos por meio de dados como DNS passivo em vez de navegar até eles.
- Respeite a privacidade em empregos reais. O guia também lembra que empresas registram os metadados dos e-mails, não o conteúdo completo, para proteger os funcionários. Acesso real a logs vem com deveres reais de confidencialidade.
- Não publique respostas. Compartilhar listas de respostas estraga o jogo para outros jogadores e para as turmas que usam o KC7 como currículo gratuito. Compartilhe seu método, não suas respostas.
Perguntas frequentes
O que é o KC7?
KC7 é um jogo de cibersegurança gratuito mantido pela organização sem fins lucrativos KC7 Foundation. Os jogadores atuam como analistas de segurança e investigam ataques cibernéticos fictícios consultando logs de e-mail, web e endpoints com KQL no Azure Data Explorer, respondendo a perguntas que reconstroem cada invasão.
O KC7 é grátis?
Sim. O KC7 é operado por uma organização sem fins lucrativos 501(c)(3), e o site afirma que ele é "Free forever", sem cartão de crédito. Organizar uma competição pelo GameOn também é gratuito.
Preciso saber programar para jogar KC7?
Não. Os casos para iniciantes ensinam, ao longo do jogo, os poucos operadores de KQL de que você precisa. Se você sabe aplicar um filtro em uma planilha, consegue escrever sua primeira consulta no KC7.
O que significa KC7?
Segundo o perfil do projeto publicado pela Microsoft, o nome se refere à etapa final do processo de ataque. Na Cyber Kill Chain da Lockheed Martin, essa é a etapa sete, Actions on Objectives.
Por qual caso do KC7 devo começar?
Comece por "A Rap Beef: An Intro to Security Investigations". Ele é classificado como Beginner, leva cerca de 50 minutos e é descrito como ótimo para quem joga KC7 pela primeira vez, sem experiência em cibersegurança.
O KC7 ajuda a conseguir uma vaga de analista de SOC?
Ele desenvolve uma habilidade que equipes de SOC usam todos os dias: consultar logs e pivotar entre fontes de dados. Não é uma certificação, então combine-o com uma prática Blue Team mais ampla e cite nas entrevistas casos específicos que você resolveu.
Última verificação: outubro de 2026. Detalhes dos casos, GameOn, DAILY7 e trilhas verificados em kc7cyber.com. Comportamento da KQL verificado na documentação do Kusto da Microsoft.
Seus próximos passos
O KC7 é o jeito mais fácil de descobrir se você gosta do lado defensivo da segurança. Crie uma conta gratuita, abra "A Rap Beef", faça amostras de cada tabela com take 10 e siga as pistas um pivô de cada vez. Se terminar em uma noite e quiser mais, experimente o DAILY7 para criar um hábito diário e avance pela trilha Security Analyst I.
Depois, equilibre com prática hands-on em que você também vê como os ataques são construídos. Aqueça com Email Header Forensics e Log Hunter, e depois aprenda os ataques por trás desses logs nos labs da HackerDNA, direto no navegador. Comece pelo plano gratuito da HackerDNA, sem cartão de crédito.
