pular para o conteúdo
sec/atlas
todas as carreiras

carreiras

AppSec Engineer

Deixe o software que a sua empresa entrega difícil de quebrar, sem atrasar quem o escreve.

Um engenheiro de segurança de aplicações encontra e previne vulnerabilidades no código e no desenho dos produtos, e constrói as verificações, a orientação e os hábitos que permitem aos desenvolvedores corrigi-las cedo. O trabalho fica entre segurança e engenharia: metade profundidade técnica, metade influência.

ver este caminho no mapa da jornada

Um dia no cargo

  • Revisar desenhos e pull requests em busca de problemas de segurança, e explicar a correção em vez de só bloquear.
  • Operar e ajustar SAST, SCA, DAST e varredura de segredos na pipeline, mantendo o ruído baixo o bastante para os desenvolvedores confiarem neles.
  • Priorizar achados pelo risco real, não pela severidade do scanner, e acompanhá-los até o fechamento.
  • Fazer threat modeling de funcionalidades novas com o time antes de o código existir.
  • Responder quando algo escapa: reproduzir, avaliar o impacto e ajudar a entregar a correção.
0 de 17 estudadosPróximo tópico: Shift-left

  1. Etapa 1· Fundamentos

    Entender como o software é entregue e onde a segurança se encaixa.

    Estude aqui

    Aprenda em outros lugares

    • Como a web funciona: HTTP, sessões, autenticação e autorização
    • O OWASP Top 10 e uma linguagem de programação que você leia bem
    • Git e um fluxo de trabalho com pull requests

    Construa isto

    Adicione varredura de segredos e um hook de pre-commit a um repositório seu, e documente o que ele pega.

  2. Etapa 2· Prática

    Operar as verificações principais e julgar os resultados delas.

    Estude aqui

    Aprenda em outros lugares

    • Ler código na stack que você protege
    • Testes manuais com um proxy de interceptação
    • Escrever um relatório de vulnerabilidade claro e acionável

    Construa isto

    Rode SAST, SCA e DAST contra um app propositalmente vulnerável, faça a triagem de cada achado e registre quais são reais.

  3. Etapa 3· Avançado

    Conduzir um programa de segurança de aplicações, não só ferramentas.

    Estude aqui

    Aprenda em outros lugares

    • Revisões de design seguro em sistemas reais
    • Métricas de gestão de vulnerabilidades e priorização
    • Ensinar e influenciar desenvolvedores em escala

    Construa isto

    Desenhe uma política de gate para a pipeline (o que bloqueia, o que avisa, o que é isento) e meça a taxa de falso positivo ao longo de um mês.

O que mostrar

  • Um relato de threat model de um sistema real pequeno, com as mitigações que você escolheu e por quê.
  • Um repositório de pipeline com SAST, SCA e varredura de segredos com regras ajustadas e um processo de exceção documentado.
  • Um guia curto para desenvolvedores: as cinco classes de vulnerabilidade que mais importam na sua stack e como evitá-las.

Certificações (exemplos)

  • OSWE (OffSec)
  • CSSLP (ISC2)
  • GIAC GWEB

Exemplos, não recomendações nem requisitos. Confira os detalhes atuais com a entidade emissora.

Cargos relacionados