Home Lab Barato — Guia Completo

O home lab é o projeto P1 e a base de todo o resto. A boa notícia: dá para começar hoje com R$ 0. A má notícia que ninguém conta: o limite não é o processador — é RAM. Todo o resto deste guia gira em torno disso.

Não pule direto para o nível 1. Passe pelo menos 2 meses no nível 0. Muita gente compra hardware e nunca usa — o gargalo quase sempre é tempo, não máquina.

Verifique se a virtualização está ligada. É o erro nº 1 de quem começa — a VM não liga e a pessoa acha que o PC é fraco.

# Linux
grep -E --color 'vmx|svm' /proc/cpuinfo | head -1

# macOS
sysctl -a | grep machdep.cpu.features | grep VMX

# Windows (PowerShell) — procure "Virtualization Enabled In Firmware: Yes"
systeminfo | Select-String "Hyper-V|Virtualization"

Se estiver desativada, ligue na BIOS/UEFI: Intel VT-x / AMD-V ou SVM Mode.

As avaliações da Microsoft são legais e renováveis: quando expira, você recria a VM a partir de um snapshot limpo. É por isso que o passo dos snapshots (abaixo) importa.

Reserve sempre 4 GB para o seu sistema hospedeiro. O que sobra é o seu lab:

Com 8 GB de RAM total: 4 GB host + Kali (2 GB) + Metasploitable (512 MB) + DVWA (512 MB). Suficiente para todo o PortSwigger Academy, TryHackMe e a maior parte dos CTFs.

Com 16 GB: 4 GB host + Kali (4 GB) + Windows Server AD (4 GB) + Windows cliente (4 GB). Já dá para lab de Active Directory pequeno.

1. Nada de interface gráfica em servidor. Ubuntu Server sem GUI usa ~400 MB; com GUI, 2 GB.
2. Ligue só o que está usando. VM desligada não consome RAM. Parece óbvio, e todo mundo deixa 5 ligadas.
3. Use containers em vez de VMs quando o alvo for uma aplicação web:

   docker run -d -p 3000:3000 bkimminich/juice-shop
   docker run -d -p 80:80 vulnerables/web-dvwa

   O Juice Shop em container usa ~200 MB. Em VM, 2 GB.
4. Disco dinâmico (não pré-alocado) — cresce só conforme o uso.
5. Linked clones no VirtualBox: 5 VMs a partir de uma base ocupam o espaço de ~1,2.

Serve para o que precisa ficar ligado 24/7 e você não quer deixar o notebook aceso: honeypot, servidor de C2 de laboratório, coletor de logs.

Regras de sobrevivência na nuvem gratuita:

• Configure alerta de orçamento em R$ 0,01 antes de qualquer coisa. Free tier vira conta cara com um clique errado.
• Nunca rode malware em nuvem pública — viola os termos de uso e derruba sua conta.
• Honeypot é permitido pela maioria, mas leia os termos antes.
• Oracle: escolha a região certa na criação — não dá para mudar depois, e a capacidade ARM varia por região.

Quando o notebook começar a engasgar, o caminho mais barato não é montar um PC — é comprar um desktop corporativo usado da linha "tiny/micro/mini". São máquinas que custaram ~US$ 900 novas e hoje saem por US$ 80–180.

• CPU: Intel 8ª geração ou mais nova (i5 basta). Precisa ter VT-x e VT-d — todas as acima têm.
• RAM: 16 GB (dois slots SO-DIMM DDR4, aceita até 32 GB)
• Disco: SSD de 256 GB no mínimo; tem slot M.2 NVMe
• Energia: ~10W em idle — cabe rodar 24/7 sem susto na conta de luz

• Servidor de rack antigo (Dell R710 e similares). Parece tentador pelo preço, mas faz barulho de aspirador, consome 200W+ e a conta de luz supera o preço do mini PC em poucos meses.
• Raspberry Pi como host principal. É ARM — muita imagem de lab (Windows, Metasploitable, boa parte das VMs de segurança) não roda. Serve como alvo ou honeypot, não como hypervisor.
• Máquina com menos de 8 GB e sem slot para expandir.
• CPU anterior à 6ª geração Intel — falta suporte de virtualização moderno.

Busque pelos nomes exatos dos modelos acima em Mercado Livre, OLX e lojas de recondicionados corporativos. Leilões e desmobilização de empresas costumam ter os melhores preços. Confira o preço atual antes de decidir — o mercado usado varia muito, e o valor de referência em dólar acima é do mercado americano.

Ao comprar, confirme: geração da CPU, quantidade de RAM, se acompanha SSD e se tem fonte original.

1. RAM 16 → 32 GB (~US$ 30–60 em DDR4 SO-DIMM usada). É sempre o melhor upgrade. Destrava GOAD, Security Onion e análise de malware.
2. SSD NVMe — se o lab está lento, geralmente é disco, não CPU.
3. Switch gerenciável barato com VLAN — só quando for estudar segmentação de rede de verdade.
4. Segundo mini PC — para simular ambiente distribuído. Só na fase 3+.

Os níveis anteriores resolvem estudo pontual — subir um Kali, quebrar um alvo, desligar. Mas existe um teto: VM isolada não é ambiente real. Empresa de verdade tem domínio, segmentação, vários hosts conversando e log acumulando há semanas. Nada disso cabe num lab que você liga por duas horas e desliga.

Um mini servidor dedicado, ligado 24/7, muda o tipo de coisa que você consegue estudar.

RAM é o que decide. Com 32 GB você roda a topologia corporativa abaixo inteira. Com 16 GB você roda metade dela por vez — funciona, mas mata justamente a parte de "tudo conversando ao mesmo tempo", que é o motivo de ter o servidor.

A mesma linha do nível 1 (ThinkCentre Tiny, OptiPlex Micro, EliteDesk Mini) serve aqui — só que com 32 GB. Os dois slots SO-DIMM aceitam 2×16 GB. Comprar a máquina com 16 GB e fazer o upgrade depois costuma sair mais barato que comprar já com 32.

Este é o layout que simula uma PME real e cabe em 32 GB:

                    INTERNET
                        │
              [ pfSense / OPNsense ]  2GB
                  firewall + VLANs
                        │
    ┌───────────────┬───┴────────┬──────────────┐
    │ VLAN 10       │ VLAN 20    │ VLAN 30      │ VLAN 99
    │ SERVIDORES    │ ESTAÇÕES   │ DMZ          │ ATACANTE
    │               │            │              │
[ DC Windows    ]  [ Win10 #1 ]  [ Web server ]  [ Kali    ]
[ Server  4GB   ]  [    4GB   ]  [   1GB      ]  [   4GB   ]
                                                          
[ File server   ]  [ Win10 #2 ]
[     2GB       ]  [    4GB   ]

[ Wazuh SIEM 8GB ] ← recebe log de todos

Total: ~29 GB. Sobra folga para o Proxmox (~2 GB).

Versão enxuta para 16 GB: pfSense + DC + 1 workstation + Wazuh, sem DMZ e sem file server.

1. Ataque encadeado: comprometa a workstation, escale para Domain Admin, alcance o file server — e depois vá ver o que o Wazuh registrou de cada etapa.
2. Escreva a detecção do que passou batido. É literalmente o projeto P6, e o mais valioso da lista.
3. Segmente e reteste. Aplique regra de firewall entre VLANs e refaça o ataque. O que ainda funciona? Isso é purple team.
4. Deixe rodando duas semanas antes de julgar suas regras. Falso positivo só aparece com tempo.
5. Documente como incidente, não como CTF — usando templates/relatorio-pentest.md e o playbook do P10.

Montar isso clicando leva um fim de semana. Montar com código leva uma tarde, e você pode destruir e recriar quando quiser:

Infra como código também vira projeto de portfólio — o repositório com a definição do seu lab é evidência de skill.

• Você já esgotou o que dá para fazer em 16 GB? Se não, o upgrade é RAM, não máquina nova.
• Vai deixar ligado 24/7 de verdade? Se for desligar todo dia, o ganho principal (log com histórico) some.
• Tem onde colocar? Barulho é mínimo nesses modelos, mas precisa de tomada e rede fixa.
• O maior erro deste guia inteiro é montar o lab e não usar. Escolha o cenário antes de comprar o hardware.

[ Kali Linux 2GB ] ──┐
                     ├── Rede host-only  192.168.56.0/24
[ Metasploitable 512MB ]
[ DVWA/Juice Shop em container ]

Cobre: recon, exploração, web hacking, privilege escalation em Linux.

[ Wazuh all-in-one 4GB ] ←── logs ──┬── [ Windows 10 + agente 4GB ]
                                    └── [ Ubuntu + agente 1GB ]
[ Kali 2GB ] ── ataca os alvos para gerar alertas

Cobre: coleta de log, regras de detecção, triagem, projeto P5 e P6.

[ Windows Server DC 4GB ]
[ Windows 10 cliente 4GB ]
[ Kali 4GB ]

Para o GOAD completo, planeje 32 GB. Existe a variante GOAD-Light, que roda em 16 GB.

[ Windows 10 (snapshot limpo) ] ── rede: NENHUMA ou host-only isolada
[ REMnux ou FlareVM ]

Sem NAT, sem bridge, sem exceção.

O maior risco de um home lab não é alguém te invadir — é você mesmo infectar sua rede de casa.

1. Metasploitable, DVWA e qualquer alvo vulnerável: só host-only. São máquinas propositalmente inseguras. Em bridge, qualquer coisa na sua rede as alcança.
2. Nunca exponha o lab para a internet. Nada de port forwarding no roteador.
3. Snapshot antes de qualquer coisa arriscada. É gratuito e salva horas.
4. VM de malware nunca volta a ter rede. Terminou a análise, restaura o snapshot e apaga.
5. Senha diferente da sua real em tudo dentro do lab.
6. Só ataque o que é seu. No Brasil, acesso não autorizado é crime (Lei 12.737/2012, CP Art. 154-A). Ver projetos/00-regras.md.

1. VM instalada e atualizada       → snapshot "base-limpa"
2. Ferramentas instaladas          → snapshot "pronta"
3. Antes de cada experimento       → snapshot "antes-de-X"
4. Quebrou?                        → restaura em 10 segundos

Sem snapshot, cada erro custa uma reinstalação. Com snapshot, custa 10 segundos. É a diferença entre experimentar sem medo e ter medo de mexer.

Software: R$ 0 em todos os cenários. Todo hypervisor, sistema operacional e ferramenta deste guia é gratuito ou tem avaliação legal e renovável.

Com o lab de pé, você já pode fazer:

• projetos/01-fundamentais.md — P1: documentar o home lab (é o projeto, não o preparo para ele)
• projetos/02-blue-team.md — P5 (SIEM Wazuh) e P6 (lab de detecção)
• projetos/03-red-team.md — P13 (relatório de pentest) e P16 (Active Directory)
• labs/red-team-ctf.md e labs/blue-team.md — quando quiser lab pronto sem montar nada

Documente enquanto monta, não depois. Print de cada etapa, decisão de rede anotada, problema que apareceu e como resolveu. Isso é exatamente o conteúdo do P1 — e é o projeto que abre o seu portfólio.

• Used enterprise desktops vs new mini PCs (2026)
• Best used mini PCs for a homelab under $200 (2026)
• Oracle corta free tier de 4 OCPU/24GB para 2 OCPU/12GB (jun/2026)

← Voltar ao índice