referência

Glossário

Toda a sopa de letrinhas em um lugar: siglas, identificadores, frameworks e conceitos — o que cada um significa e onde se conecta com o resto. Os termos de todos os domínios convivem aqui, com filtro por domínio quando você quer focar.

frameworks e listasAppSec

OWASP Top 10: A lista de referência mais famosa de riscos de segurança em aplicações web (A01 acesso quebrado, A02 falhas criptográficas, A03 injeção...), revisada a cada alguns anos pela comunidade OWASP. É um mapa educacional de categorias de risco — não um checklist de ferramenta nem uma certificação.
OWASP ASVSverification standard: Application Security Verification Standard: checklist verificável, em três níveis de rigor, para auditar uma aplicação ou contratar auditoria. Onde o Top 10 ensina, o ASVS audita.
NIST SSDF: Framework norte-americano de processo seguro de desenvolvimento (práticas de produção de software seguro). É processo, não ferramenta — cita SAST, SCA, SBOM como partes do ciclo.
OWASP SAMM: Modelo de maturidade de segurança de software: avalia a organização em cinco funções de negócio para dizer em que nível ela está e o que priorizar depois.

identificadores, bancos e scoresAppSec

CVEcommon vulnerabilities and exposures: O identificador único de UMA vulnerabilidade pública específica, no formato CVE-ANO-NÚMERO. Ex.: CVE-2021-44228 é o Log4Shell. É a instância real, não a classe do problema.
CWEcommon weakness enumeration: O identificador do TIPO de fraqueza, a classe do erro no código. CWE-89 é SQL injection, CWE-79 é XSS. A distinção que confunde todo mundo: CWE é a categoria, CVE é uma ocorrência concreta dela — uma CVE de SQL injection no seu framework vai referenciar o CWE-89.
CVSScommon vulnerability scoring system: Score de 0 a 10 que mede a severidade técnica de uma vulnerabilidade: como é explorada (rede ou local, complexidade, privilégio necessário, interação do usuário) e qual o impacto. 9.0+ é crítico, mas o número é teórico — não sabe se você está exposto.
EPSSexploit prediction scoring system: Probabilidade (0 a 100%) de um CVE ser explorado de verdade nos próximos 30 dias, baseada em evidência. Complementa o CVSS: um 9.8 com EPSS 0,1% pode ser menos urgente que um 7.5 com EPSS 60%.
CISA KEVknown exploited vulnerabilities: Catálogo das vulnerabilidades que estão sendo exploradas ativamente, agora, no mundo real. 'Está no KEV' = prioridade máxima, independente do CVSS.
NVDnational vulnerability database: O banco do NIST que enriquece cada CVE com score CVSS e CWE associada. É de onde a maioria das ferramentas de SCA bebe.
OSV / GitHub Advisoryadvisories: Bancos de vulnerabilidades focados em ecossistemas de pacotes (npm, PyPI, Maven...). Mais práticos que o CVE genérico: dizem exatamente qual versão é afetada e qual corrige.

testes e técnicasAppSec

SAST: Análise estática: examina o código sem executar. Acha por análise de fluxo, não por adivinhação.→ SAST
DAST: Teste dinâmico: ataca a aplicação rodando, de fora, em caixa-preta.→ DAST
IAST: Híbrido: um agente dentro da aplicação observa a execução em tempo real, combinando o contexto do código (SAST) com a evidência do ataque (DAST).
RASP: Runtime Application Self-Protection: proteção embutida no runtime da aplicação que bloqueia ataques em execução, mesmo depois do deploy.
SCA: Análise de composição: inventaria dependências de terceiros e cruza com CVEs conhecidas.→ SCA
Secrets scanning: Varredura de credenciais expostas em código, commits e histórico do git.→ Secrets Scanning
Fuzzing: Bombardear a aplicação com entradas aleatórias ou mutações de entradas válidas, caçando crashe mesmo comportamento inesperado — o ancestral do DAST moderno.
Pentest: Teste manual adversarial, com escopo definido e relatório: um humano (ou time) tentando invadir a aplicação de propósito.
ASTabstract syntax tree: A árvore de sintaxe que o parser produz: cada construção do código vira um nó tipado, e as ferramentas analisam a árvore em vez de texto solto.→ SAST
Source: A origem de um dado não confiável: input de usuário, query string, header, arquivo. É onde o taint nasce.→ SAST
Sink: O destino perigoso onde dado não confiável vira comando, query ou HTML: db.query, eval, innerHTML. Se a taint chega aqui, é vulnerabilidade.→ SAST
Taint trackinganálise de contaminação: Seguir a marca de 'dado sujo' do source até o sink, propagando por atribuições e chamadas. É o coração do SAST moderno.→ SAST
Sanitizador / barrier: A função que limpa o dado ou prova que ele é seguro (query parametrizada, escape de HTML). Corta o fluxo e o engine deixa de alertar naquele caminho.→ SAST
Falso positivo / falso negativo: Falso positivo: alerta de vulnerabilidade que não existe. Falso negativo: vulnerabilidade real que passou batido. Toda ferramenta vive trocando um pelo outro.

supply chain e artefatosAppSec

SBOM: A lista de ingredientes do software: dependências, versões, licenças e hashes, em formato padrão.→ SBOM
purlpackage url: Identificador universal de um pacote: pkg:npm/lodash@4.17.15 diz ecossistema, nome e versão sem ambiguidade. É a coluna vertebral de um SBOM.
CycloneDX / SPDX: Os dois formatos padrão de SBOM. CycloneDX é mais voltado a segurança, SPDX a licenças — na prática, ambos listam os mesmos componentes.
Hash (SHA-256): Impressão digital de um arquivo: se um byte muda, o hash muda. Prova que o componente é exatamente o que dizem que é.
Lockfile: O registro exato de qual versão de cada dependência foi resolvida (package-lock.json, go.sum...). Sem ele, builds não são reproduzíveis e o SCA não enxerga a árvore real.
Dependência transitiva: Pacote que você não escolheu: entrou como dependência de outra dependência, às vezes três níveis abaixo. Recebe CVEs igual — e é o ponto cego clássico.
Provenanceproveniência: O registro de como e onde um artefato foi construído: qual pipeline, qual commit, qual máquina. Permite perguntar 'esse binário veio mesmo do nosso código?'.
SLSA: Supply-chain Levels for Software Artifacts: escala de 1 a 4 para a integridade do build — do 'tem documentação' até 'build à prova de adulteração com proveniência verificável'.
Sigstore / Cosign: Assinatura e verificação de artefatos sem gerenciar chaves na mão: chaves efêmeras atreladas à identidade do build, com log público de transparência.
in-toto: Framework que assina, etapa por etapa, o que a pipeline fez: prova que o processo esperado rodou, na ordem esperada, sem etapa trocada.
SCA vs SBOM: SCA é a análise viva (monitora CVEs); SBOM é o retrato do momento (o inventário). Na prática, alimentam um ao outro: o SCA gera o SBOM e o monitora.→ SBOM

pipeline e práticasAppSec

CI / CDentrega vs deploy: CI: validar cada mudança automaticamente. CD de entrega: deploy é um clique. CD de deploy: tudo que passa nos gates vai ao ar sozinho.→ CI/CD
Stage: Uma etapa da pipeline: source, build, test, package, deploy, monitor. Cada stage é um lugar possível para um portão de segurança.→ CI/CD
Quality gate: O portão explícito de um stage: 'falha o build se houver achado crítico novo'. Sem critério claro, gate vira sugestão.
Policy as codeOPA / Rego: A política de segurança escrita como arquivo versionado que a pipeline consulta (negar imagem com vulnerabilidade crítica, exigir assinatura). Muda o critério = muda o arquivo, com review.→ DevSecOps
Pre-commit hook: Verificação local que roda antes do commit sair da sua máquina: secrets scanning, linter, SAST rápido. A forma mais barata de feedback.→ Shift-left
Shift-left / shift-right: Shift-left: mover a verificação para o mais cedo possível no ciclo. Shift-right: testar e observar também em produção (canário, observabilidade). Os dois convivem.→ Shift-left
DevSecOps: Segurança como código dentro do CI/CD, com gates automatizados e responsabilidade compartilhada.→ DevSecOps
Secret manager / vault: Cofre que guarda credenciais e as injeta em runtime (Vault, AWS Secrets Manager, Doppler). Tira o segredo do código e permite rotação sem deploy.
Rotação de credencial: Trocar a chave comprometida — o passo número um após vazamento. Commit de remoção não resolve: o histórico guarda o que foi commitado.→ Secrets Scanning
WAFweb application firewall: Filtro na borda que bloqueia padrões de ataque conhecidos em HTTP. Complementa o código — não substitui corrigir a vulnerabilidade, apenas compra tempo.

conceitos fundamentaisAppSec

Vulnerabilidade: A fraqueza no sistema que pode ser explorada: uma falha concreta de código, configuração ou design.
Exploit: A técnica ou o artefato concreto que abusa de uma vulnerabilidade. A vulnerabilidade é o buraco; o exploit é o pé que entra nele.
Ameaça vs risco: Ameaça é quem ou o que pode causar dano (o atacante). Risco é probabilidade × impacto no SEU contexto. Ferramentas reportam vulnerabilidades; quem decide o risco é você.
Superfície de ataque: Tudo que está exposto a entrada não confiável: endpoints, formulários, dependências, portas, pipelines. Superfície mínima é estratégia de defesa.
Defesa em profundidade: Camadas independentes de proteção, partindo da premissa de que qualquer uma pode falhar: validação + parametrização + WAF + monitoramento.
Zero-day: Vulnerabilidade explorada antes de existir correção pública. Contra zero-day, só defesa em profundidade e detecção ajudam na hora.
CNAPP / ASPM: Categorias de mercado que empacotam SAST + DAST + SCA + infraestrutura numa plataforma só. Útil saber que existem — o conceito por trás é o mesmo dos gates desta KB.

modelagem de ameaçasAppSec

STRIDE: Mnemônico de seis categorias de ameaça (Spoofing, Tampering, Repudiation, Information disclosure, Denial of service, Elevation of privilege) usado como checklist ao percorrer um diagrama de fluxo de dados.→ Threat modeling - pensar como o atacante antes de codar
DFDdiagrama de fluxo de dados: Desenho de atores, processos, armazenamentos e fluxos de um sistema, com as fronteiras de confiança marcadas. É a entrada do threat modeling: as ameaças aparecem onde um fluxo cruza uma fronteira.→ Threat modeling - pensar como o atacante antes de codar
Fronteira de confiançatrust boundary: Linha onde muda o nível de confiança dos dados ou de quem os envia (internet para VPC, serviço para banco, usuário para admin). Tudo que a cruza deve ser autenticado, autorizado e validado.→ Threat modeling - pensar como o atacante antes de codar

identidade e acessoCloudSec

IAMidentity and access management: O conjunto de políticas, papéis e credenciais que diz quem é cada humano, serviço ou workload, e o que cada um pode fazer. Em cloud, IAM virou o novo perímetro: a borda de rede ficou porosa, então a identidade carrega a autorização.→ IAM - identidade e acesso
Privilégio mínimoleast privilege: Princípio de dar a cada identidade só as permissões estritamente necessárias para a sua função, e nada mais. É oposto a 'usuário admin por padrão': cada papel extra é um caminho a mais que um atacante pode usar depois de um compromise.→ IAM - identidade e acesso
Modelo de responsabilidade compartilhadashared responsibility model: A divisão clássica entre o que o provedor de cloud garante (segurança DA nuvem: datacenter, hardware, serviço físico) e o que é responsabilidade do cliente (segurança NA nuvem: dados, IAM, configuração, rede). Confundir as duas pontas é a fonte clássica de vazamento.
Rotação de segredoscredential rotation: Trocar periodicamente (ou após suspeita de vazamento) chaves de API, tokens e senhas armazenadas num cofre. Sem rotação, um segredo exposto num log ou num histórico git vale para sempre; com rotação, vale até a próxima virada.→ Secrets - cofres e rotação
Raio de impactoblast radius: O tamanho do estrago quando uma coisa quebra: uma conta, uma região inteira, um tenant. Bom design de cloud limita o raio por isolamento (contas separadas, VPCs separadas, papéis estreitos) para que uma falha ou um ataque não se torne um desastre de página inteira.

rede e dadosCloudSec

Grupo de segurançasecurity group: Lista de regras stateful anexada a uma instância ou interface de rede na cloud: quem pode entrar em qual porta, de qual origem. Funciona como firewall de host no nível da cloud — e erra por padrão: se você esquecer de fechar uma porta, ela fica aberta para 0.0.0.0/0.→ Network - segmentação e zero-trust
VPCvirtual private cloud: Rede privada isolada logicamente dentro da cloud pública: você escolhe o range de IPs, divide em sub-redes públicas e privadas, controla o tráfego com route tables e NAT. A VPC é o seu datacenter virtual; tudo que roda dentro dela conversa como se estivesse no mesmo rack.→ Network - segmentação e zero-trust
Network policy: Regras de firewall declarativas no nível do pod (Kubernetes) ou da workload (service mesh), dizendo qual serviço pode falar com qual porta. Diferente do grupo de segurança, opera em L7 dentro do cluster, com selectors por label, e é peça central de defesa em profundidade para east-west traffic.→ Kubernetes — runtime seguro
KMSkey management service: Serviço gerenciado que cria, armazena e controla o uso de chaves criptográficas. A aplicação raramente toca a chave mestra: ela pede ao KMS para criptografar ou descriptografar, e o provedor registra cada uso em log auditável. Sem KMS, a chave acaba em disco e vira alvo.→ KMS & crypto - chaves e envelopes
Envelope encryption: Padrão em duas camadas: uma chave de dados (DEK) criptografa o payload, e uma chave do KMS (KEK) criptografa a DEK. A aplicação guarda a DEK criptografada junto dos dados, e só chama o KMS para desembrulhar a DEK quando precisa usar. Reduz chamadas ao KMS e limita exposição da chave mestra.→ KMS & crypto - chaves e envelopes

postura e detecçãoCloudSec

Zero trust: Modelo que parte da premissa de não confiar em ninguém por posição na rede: cada requisição é autenticada, autorizada e logada, mesmo vinda da rede interna. Substitui o castelo com fosso por verificação contínua em cada porta, humana ou de serviço.→ Zero-trust - modelo de confiança
CSPMcloud security posture management: Ferramenta que varre a configuração da sua cloud contra boas práticas e benchmarks (CIS, NIST), apontando bucket S3 público, IAM largo demais, porta exposta. Faz a pergunta que humanos esquecem: 'o que está configurado errado AGORA?'.→ CSPM — postura cloud
CWPPcloud workload protection platform: Proteção monitora para workloads em execução: VM, container, função serverless. Combina visibilidade do que roda (processos, syscalls, rede) com prevenção (bloquear execução, isolar anomalia). É o endpoint security reformulado para a realidade efêmera da cloud.→ CWPP — proteção de workload
Driftconfiguration drift: Quando a infraestrutura viva se afasta do estado declarado: alguém abriu uma porta no console, um bucket ficou público, uma IAM virou admin. Drift é configuração acumulada fora de controle de versão, e a melhor cura é IaC com revisão: tudo que muda passa por código.
Hardeningendurecimento: Reduzir a superfície de uma workload ao essencial: desabilitar serviços não usados, fechar portas, remover pacotes supérfluos, aplicar baseline (CIS). É o equivalente cloud de tirar a senha padrão e fechar as janelas: chato, repetitivo, e a diferença entre alvo fácil e alvo caro.
Trilha de auditoriacloudtrail: Registro imutável de cada chamada de API feita na conta da cloud: quem chamou o quê, de onde, com qual resultado. É a caixa-preta da conta: depois de um vazamento, é o que responde 'o atacante fez o quê, e quando?'. Sem trilha, não tem investigação nem contenção informada.→ Logging & detection - sinais e alertas

resposta a incidentesCloudSec

MTTRmean time to respond: Tempo médio entre a confirmação de um incidente e a sua contenção. É a métrica que mostra se runbooks e automações funcionam de verdade, e a que mais cai quando a resposta é praticada em exercícios.→ Resposta a incidentes em cloud
Runbook: Roteiro passo a passo para um tipo de incidente (chave vazada, instância comprometida). Escrito antes da crise, testado em game days e, quando possível, transformado em automação.→ Resposta a incidentes em cloud
Cadeia de custódiachain of custody: Registro de quem coletou, guardou e manipulou cada evidência digital, e quando. Sem ela, a prova perde valor para auditoria e para eventual disputa legal.→ Resposta a incidentes em cloud

recuperaçãoAgents

Retrievalbusca semântica: Etapa do RAG em que você procura nos seus chunks os trechos que respondem à pergunta do usuário. Retrieval é o gargalo real do sistema: LLM bom com retrieval ruim é LLM que alucina com confiança. Vai da busca densa por similaridade ao BM25 clássico, passando por híbrido e reranking.→ Retrieval
Reranking: Segunda passada do retrieval: o modelo pega os top-K candidatos que vieram da busca barata (digamos 50) e reordena pelos K mais úteis (top 5 ou 10) usando um cross-encoder que viu query e chunk juntos. Adiciona latência, mas corta o ruído: o LLM recebe contexto denso em vez de uma mistura de bom e mediano.→ Retrieval
BM25: Função de ranking clássica da busca textual: pontua cada documento por TF-IDF com saturação (termos importantes pesam mais até certo teto) e normaliza pelo tamanho. É a busca esparsa do retrieval híbrido e captura match exato de termos (código de erro, nome de API) onde embedding sozinho erra feio.→ Retrieval
Similaridade de cosseno: Medida de quão alinhados estão dois vetores no espaço de embeddings: cosseno do ângulo entre eles, independente da magnitude. Para embeddings normalizados basta o produto interno e ainda fica rápido, por isso virou o padrão de distância em quase todo banco vetorial.→ Embeddings
HNSWhierarchical navigable small world: Estrutura de grafo em camadas que bancos vetoriais usam para busca de vizinhos em alta dimensão. Cada camada é um grafo esparso que pula longe; as de baixo fazem o ajuste fino. É o motivo de pgvector, Pinecone, Weaviate, Qdrant e LanceDB responderem em milissegundos com milhões de vetores.→ Vector DB
ANNapproximate nearest neighbor: Família de algoritmos (HNSW, IVF, LSH) que trocam exatidão por velocidade brutal em busca de vizinhos em alta dimensão. ANN não acha o vizinho perfeito, mas o vizinho bom o suficiente, e em retrieval de produção esse trade é o que faz o sistema caber no orçamento de latência.→ Vector DB

modelo, agentes e protocolosAgents

Janela de contextocontext window: Tamanho máximo de tokens que o modelo consegue ler de uma só vez: prompt, todo o histórico concatenado e a saída que vai gerar. É a memória de curto prazo do LLM. Janelas enormes parecem resolver RAG, mas amplificam custo, latência e o risco de o modelo se perder no meio do texto, então contexto bom é contexto pequeno e bem escolhido.→ LLM - large language model
Alucinaçãohallucination: Quando o modelo inventa um fato plausível que não estava nos dados: nome de API que não existe, paper inexistente, comando coerente que não faz nada. É um problema de treinamento e de retrieval, não de 'veracidade'. Mitigação é em camadas: retrieval com fontes verificáveis, prompt que pede citação, e avaliador que caça invenção automaticamente.→ Agent frameworks
Function callingtool use: Mecanismo pelo qual o LLM pede, em vez de só texto, para executar uma função com parâmetros estruturados: o modelo emite JSON, seu código roda a função, e o resultado volta para a conversa. É o que transforma um modelo puro em agente capaz de agir no mundo, e o que precisa de guardrails para evitar o call errado com o argumento errado.→ Tool calling
Agente: Programa que usa um LLM para decidir o que fazer em cada passo, em vez de seguir um script fixo. Recebe objetivo, escolhe ferramentas, observa resultado, decide o próximo passo, e segue até concluir ou desistir. A diferença para um chatbot é autonomia: o agente sequencia ações fora de uma ordem pré-definida.→ Agent frameworks
Grafo de agente: Decomposição explícita do raciocínio do agente em nós (planejar, agir, observar, revisar) e arestas direcionadas, em vez de um loop único que faz tudo. Vantagem: cada nó é auditável e testável de forma independente, e quando o agente trava você sabe em que nó travou. LangGraph e state machines em geral seguem esse modelo.→ Orchestration
MCP servermodel context protocol server: Servidor que implementa o Model Context Protocol, o padrão aberto da Anthropic que padroniza a conversa entre um agente e ferramentas externas. O agente lista o que está disponível, chama o que precisa, recebe resultado, sem integração caso a caso. Um MCP server bem escrito vira reutilizável por Claude, Cursor, Cline e qualquer cliente compatível.→ MCP - model context protocol
Tool vs resource (MCP): No MCP, tool é uma função que o agente invoca com parâmetros e recebe resultado sob demanda (um POST, um cálculo, um envio). Resource é um dado nomeado que o agente pode ler quando quiser (arquivo de configuração, schema, log). Separar os dois é importante: o LLM raciocina melhor quando operações com efeito colateral são claramente diferentes de leituras.→ MCP - model context protocol
DeepAgents: Biblioteca de agentes em grafo da LangChain que combina planning tool, filesystem tool e subagentes para resolver tarefas longas demais para um loop único. É referência prática de agente que não trava no terceiro tool call e o lugar onde você aprende a calibrar autonomia antes de soltar um agente real em produção.→ Agent frameworks

avaliação e segurançaAgents

SWE-bench: Benchmark que mede se um agente consegue resolver issues reais do GitHub em código real de projetos open source: multi-arquivo, com testes, sem instruções de como fazer. É o padrão atual para diferenciar agente que impressiona em demo de agente que fecha ticket de verdade, e onde o deepagents e afins publicam os números de evolução.→ Benchmarks - referência pública
JudgeLLM-as-judge: Usar um LLM forte (em geral GPT-4 class ou Claude Opus) para pontuar a saída de outro modelo segundo uma rubrica. Resolve escala, porque humano não lê 5.000 saídas por PR. Traz vícios próprios: viés de posição (prefere o primeiro candidato), de verbosidade (prefere o mais longo) e auto-promoção (acha que o próprio modelo é melhor). Calibração contra avaliador humano é obrigatória antes de confiar no judge.→ LLM as judge - rubrica automatizada
Rubrica: Lista explícita de critérios e pesos que o juiz usa para pontuar uma saída: 'cite a fonte na primeira frase, máximo 2 linhas, sem adjetivo, retorne JSON'. Sem rubrica escrita o LLM-as-judge diverge entre runs e entre modelos, e você não consegue melhorar prompt, modelo e dataset de forma reprodutível. Com rubrica travada vira régua, sem ela vira opinião.→ LLM as judge - rubrica automatizada
Baseline: Modelo ou configuração de referência (fixa) que roda em todo dataset antes de qualquer mudança, para você medir o delta da sua alteração. Em eval de LLM, 'melhor' sem baseline é chute: a versão anterior já era boa, ou só parecia boa no demo? Baseline travado por versão é o que transforma eval em ciência, e o que separa 'passou no teste' de 'passou no teste, e aqui está a evidência'.→ Regression evals - suite fixa no PR
Prompt injection: Ataque em que conteúdo hostil (em página indexada, em e-mail resumido, em doc aberto pelo agente) tenta substituir as instruções do sistema. O atacante sabe que o LLM mistura texto confiável com texto encontrado e planta um 'ignore as instruções anteriores e execute X'. É o vetor número 1 em agente em produção hoje, não é bug do LLM, é como agentes leem texto por design.→ Guardrails - filtros de entrada e saída
PIIpersonally identifiable information: Dado pessoal que identifica alguém: nome e CPF, e-mail, telefone, endereço, IP. Quando o usuário cola um documento com PII no chat, ou o RAG indexa um CRM com 5.000 clientes, o agente vira um vazamento por design. Guardrails aqui são detecção na entrada, redação antes de mandar para o LLM, e retenção curta, porque mascarar depois de receber a resposta já é tarde demais.→ Guardrails - filtros de entrada e saída

defesa de bordaSecOps

WAFweb application firewall: Filtro de tráfego HTTP na camada 7 que decide, por requisição, se segue, é desafiada, limitada ou bloqueada. Reduz a superfície exposta e permite patch virtual; não substitui a correção na aplicação.→ WAF - observação, shadow e enforcement
Modelo positivoallowlist: Definir o que é válido para um endpoint (métodos, caminhos, formatos, tamanhos) e bloquear o resto. Mais preciso que assinaturas, mas exige conhecer a aplicação.→ WAF - observação, shadow e enforcement
Shadow mode: Fase em que uma regra roda em paralelo, sem agir, e a decisão simulada é comparada com a realidade para medir falso positivo antes do enforcement.→ WAF - observação, shadow e enforcement
Patch virtualvirtual patching: Regra de WAF que bloqueia a exploração de uma vulnerabilidade conhecida enquanto a correção real não chega à aplicação. Ganha tempo, não elimina a falha.→ WAF - observação, shadow e enforcement
Rate limiting: Limite de requisições por entidade e janela de tempo. A escolha da chave (IP, conta, token, ASN) pesa tanto quanto o valor do limite.→ Rate limiting adaptativo
Challengedesafio: Verificação que tenta provar que o cliente é um navegador real, sem pedir nada ao usuário na maioria dos casos. É o degrau antes do bloqueio.→ Bot management
Fail-open / fail-closed: O que o sistema faz quando um controle de segurança falha: fail-open deixa passar (disponível, desprotegido), fail-closed bloqueia (seguro, indisponível). A escolha deve ser consciente por endpoint.→ Defesa em camadas: system design de borda

detecção e métricasSecOps

Credential stuffing: Ataque que testa em massa pares usuário/senha vazados de outros serviços. Assinatura: muitas falhas de login distribuídas por muitos IPs, com poucas tentativas por conta.→ Ataques L7: o que procurar
Z-score: Distância de um valor até a média, medida em desvios padrão. Em detecção, valores muito acima do histórico recente da mesma chave sugerem anomalia.→ Engenharia de detecção
EWMAmédia móvel exponencial: Média que dá mais peso aos dados recentes. Usada como baseline adaptativo: acompanha a mudança do tráfego normal sem ficar presa ao passado.→ Engenharia de detecção
Cardinalidade: Quantidade de valores distintos de um campo (IPs, user agents). Alta cardinalidade encarece agregações e derruba sistemas de métricas; agregue pelo nível mais grosso que ainda separa o ataque do normal.→ Escala: telemetria, cardinalidade e custo
MTTTmean time to triage: Tempo médio entre o alerta e a classificação dele como real ou falso.→ SLOs de SOC e tuning contínuo
MTTCmean time to contain: Tempo médio entre a confirmação de um ataque e a sua contenção.→ SLOs de SOC e tuning contínuo
Precisão e recall: Precisão: dos alertas emitidos, quantos eram ataque real. Recall: dos ataques existentes, quantos foram detectados. Subir um tende a derrubar o outro.→ SLOs de SOC e tuning contínuo

infraestrutura e política como códigoEngenharia

IaCinfrastructure as code: Descrever infraestrutura em arquivos versionados (Terraform, Ansible). Dá revisão, histórico e testes à configuração, mas replica erros em escala se não for escaneada.→ Infraestrutura segura como código
Drift: Divergência entre o estado real da infraestrutura e o descrito no código, normalmente por mudança manual. Detectá-lo mantém o código como fonte da verdade.→ Infraestrutura segura como código
RegoOPA: Linguagem declarativa do Open Policy Agent para escrever políticas avaliadas sobre uma entrada (plano de Terraform, manifesto Kubernetes, requisição de API).→ Policy as code
OIDC na esteira: A esteira prova sua identidade ao provedor de nuvem com um token de curta duração e recebe credenciais temporárias, eliminando chaves estáticas guardadas como segredo.→ Hardening de CI/CD
SLSA: Framework de níveis de garantia para a cadeia de build: quem construiu o artefato, a partir de qual fonte e em qual ambiente, com proveniência verificável.→ Hardening de CI/CD

escala e confiabilidadeEngenharia

Lag: Distância entre o fim do log e a posição do consumidor. É o sinal mais direto de que a detecção está atrasada.→ Observabilidade da própria plataforma de segurança
Idempotência: Propriedade de uma operação que, repetida, produz o mesmo resultado de uma execução. Base para tolerar entregas duplicadas sem agir duas vezes.→ Confiabilidade em escala: idempotência, retries e backpressure
DLQdead letter queue: Fila para eventos que não puderam ser processados após as tentativas. Evita travar o fluxo e preserva o evento para análise.→ Confiabilidade em escala: idempotência, retries e backpressure
Backpressure: Mecanismo pelo qual um consumidor lento faz o produtor desacelerar (ou o excesso ser descartado de forma consciente), em vez de a memória crescer sem limite.→ Confiabilidade em escala: idempotência, retries e backpressure
SOAR: Orquestração, automação e resposta de segurança: executar passos de resposta de forma automática, descritos em playbooks, com freios como aprovação humana e auditoria.→ Automação de segurança e playbooks como código

acesso e identidadeOWASP Top 10

IDORreferência direta insegura a objeto · BOLA: A requisição nomeia um objeto (um id) e o servidor o devolve sem verificar se quem chama pode vê-lo. É a forma mais comum de controle de acesso quebrado e, em APIs, chama-se broken object level authorization.→ A01 Broken Access Control
Negar por padrão: O acesso é proibido a menos que uma regra o permita explicitamente, de modo que uma rota esquecida falha fechada em vez de aberta.→ A01 Broken Access Control
Credential stuffing: Reutilizar pares de e-mail e senha vazados em outras violações contra o seu login. Funciona porque as pessoas reutilizam senhas, então a defesa é throttling, verificação de senhas vazadas e um segundo fator.→ A07 Authentication Failures
Session fixation: Um atacante planta um id de sessão conhecido no navegador da vítima; se o app mantém esse id depois do login, o atacante compartilha a sessão. Regenere o id no login.→ A07 Authentication Failures
PasskeyWebAuthn: Um login resistente a phishing baseado em um par de chaves guardado no dispositivo do usuário; o site guarda apenas a chave pública, então não há senha para roubar ou reutilizar.→ A07 Authentication Failures

dados e entradaOWASP Top 10

SQL injectionSQLi: Entrada concatenada em uma string SQL é interpretada como parte da consulta. Consultas parametrizadas enviam os valores separadamente e eliminam o problema.→ A05 Injection
XSScross-site scripting: Injeção em uma página web: entrada não confiável é renderizada como HTML ou script no navegador de outro usuário. Faça escape na saída conforme o contexto e adicione uma Content-Security-Policy.→ A05 Injection
Prepared statementconsulta parametrizada: Uma consulta cuja estrutura é fixada antes de qualquer valor ser fornecido, de modo que o banco de dados não confunde dados com instruções.→ A05 Injection
Argon2id: Uma função de hash de senhas com uso intensivo de memória e salt embutido. A lentidão é o objetivo: ela torna cada tentativa cara para o atacante.→ A04 Cryptographic Failures
CSPRNGgerador de números aleatórios criptograficamente seguro: A fonte de bytes imprevisíveis do sistema operacional (secrets em Python, crypto.randomBytes em Node, crypto/rand em Go). Use-a para tokens e chaves, nunca Math.random.→ A04 Cryptographic Failures
Criptografia autenticadaAEAD: Criptografia que também detecta adulteração (AES-GCM, ChaCha20-Poly1305). Criptografia sozinha não impede que um atacante modifique o texto cifrado.→ A04 Cryptographic Failures

design e cadeia de suprimentosOWASP Top 10

Modelo de ameaças: Uma resposta estruturada a quatro perguntas: o que estamos construindo, o que pode dar errado, o que faremos a respeito e se fizemos um bom trabalho.→ A06 Insecure Design
Caso de abuso: Uma história de usuário escrita do lado do atacante. Cada uma gera um requisito e um teste.→ A06 Insecure Design
SBOMlista de materiais de software: Um inventário legível por máquina dos componentes de um build. Responde "somos afetados?" em minutos quando uma nova vulnerabilidade é anunciada.→ A03 Software Supply Chain Failures
Dependency confusion: Enganar um build para baixar um pacote público com o mesmo nome de um interno. Use nomes com escopo e um registry privado que tenha prioridade.→ A03 Software Supply Chain Failures
Subresource IntegritySRI: Um hash em uma tag script ou link que faz o navegador recusar o arquivo se ele não corresponder, de modo que uma CDN comprometida não consiga alterar sua página.→ A08 Software or Data Integrity Failures
Desserialização insegura: Reconstruir objetos a partir de bytes não confiáveis usando um formato que pode instanciar tipos arbitrários (serialização Java, pickle). Os bytes podem provocar execução de código.→ A08 Software or Data Integrity Failures

operação e falhaOWASP Top 10

Fail closedfail secure: Quando uma verificação de segurança não consegue decidir (timeout, erro), a resposta é negar. O oposto, falhar aberto, transforma toda indisponibilidade em um bypass de controle de acesso.→ A10 Mishandling of Exceptional Conditions
Log injection: Entrada de usuário contendo quebras de linha ou caracteres de controle forja entradas de log. Codifique a entrada ou use logging estruturado (JSON).→ A09 Security Logging and Alerting Failures
Correlation idrequest id: Um id único anexado a uma requisição e a cada linha de log que ela gera, exibido ao usuário nas mensagens de erro para que o suporte encontre os detalhes sem vazá-los.→ A09 Security Logging and Alerting Failures
Má configuração de segurança: Software correto rodando com configurações inseguras: debug ligado, credenciais padrão, armazenamento público, CORS permissivo, headers ausentes.→ A02 Security Misconfiguration
CORScompartilhamento de recursos entre origens: Um mecanismo do navegador que permite a um servidor dizer quais outras origens podem ler suas respostas. Uma origem curinga combinada com credenciais é uma má configuração.→ A02 Security Misconfiguration

camadas e termosVibecoding

Vibe coding: Um estilo de programação em que você descreve o que quer e conduz executando o resultado, sem ler cada linha. O termo foi popularizado no início de 2025 e hoje costuma nomear a programação assistida por IA em geral.→ O espectro do vibecoding
Modelo: A rede neural que prevê o próximo passo. Ela produz texto, incluindo pedidos para chamar ferramentas. Não é a ferramenta em que você digita.→ Modelo, harness e provider
Harnessagent harness · scaffold: O programa em torno do modelo: monta o prompt, expõe ferramentas, aplica permissões e executa o loop. Claude Code, OpenCode, oh-my-pi e Codex CLI são harnesses.→ Modelo, harness e provider
Provider: Onde um modelo roda e como você chega até ele: a API do fornecedor, uma nuvem, um roteador como o OpenRouter ou a sua própria máquina.→ Modelo, harness e provider
Modelo open-weight: Um modelo cujos pesos treinados são publicados, de modo que você pode executá-lo por conta própria. Nem sempre é o mesmo que open source: verifique a licença.→ Escolhendo um modelo: de fronteira, barato e aberto

ferramentasVibecoding

OMPoh-my-pi: Um agent de código open source para terminal que começou como um fork do minimalista Pi agent e acrescentou edições estruturadas, operações de language server e debugger, acesso ao navegador, plugins e subagents.→ Agents de código comparados
OMOOh My OpenAgent · oh-my-opencode: Um plugin do OpenCode que adiciona uma equipe de agents especializados e um modo multiagente autônomo. Ele estende um harness; não é um.→ Agents de código comparados
herdr: Um multiplexador de terminal para agents de código com IA. Mantém vários agents em painéis de terminal reais, mostra o status deles e persiste após desconexões. Organiza os agents em vez de substituí-los.→ Orquestração e agents paralelos
Git worktree: Um diretório de trabalho extra, com branch própria, para o mesmo repositório. Dá a cada agent um lugar isolado para trabalhar.→ Orquestração e agents paralelos

trabalhar bem e com segurançaVibecoding

AGENTS.md: Um arquivo na raiz do repositório com instruções para agents de código (comandos, convenções, limites). Uma convenção comum entre ferramentas; o Claude Code lê CLAUDE.md.→ Context engineering para agents de código
MCPModel Context Protocol: Um protocolo aberto para conectar agents a ferramentas e fontes de dados por meio de servidores. Cada servidor que você conecta amplia o que o agent pode fazer e, portanto, também amplia a superfície de ataque.→ Context engineering para agents de código
Plan mode: Um modo somente leitura em que o agent explora e propõe um plano para aprovação antes de editar qualquer coisa.→ Context engineering para agents de código
Prompt injection: Instruções ocultas em conteúdo que o agent lê (um README, uma página web, o resultado de uma ferramenta) e que o modelo pode seguir como se você as tivesse escrito.→ Protegendo o próprio agent
Slopsquatting: Registrar um pacote com um nome que uma IA inventou, de modo que um agent ou desenvolvedor que o instale sem verificar receba malware.→ Protegendo o próprio agent
Loop de verificação: As verificações que toda mudança deve passar antes de ser considerada confiável: testes que decidem, um diff que você lê, gates de CI e revisão independente.→ O loop de verificação

entregaDevOps

CIintegração contínua: Integrar mudanças pequenas a um branch compartilhado com frequência, com cada mudança compilada e testada automaticamente, para que problemas de integração apareçam em minutos.→ O ciclo de vida da entrega
CDentrega contínua · implantação contínua: A entrega contínua mantém toda mudança pronta para ser implantada a qualquer momento; a implantação contínua vai além e libera automaticamente em produção cada mudança aprovada.→ O ciclo de vida da entrega
Artefato: A saída versionada e imutável de um build (uma imagem de contêiner, um pacote). O mesmo artefato é promovido por todos os ambientes.→ Pipelines de CI que continuam rápidos
Trunk-based development: Trabalhar em branches de vida curta, integrados com frequência ao branch principal, escondendo o trabalho inacabado atrás de feature flags.→ Fluxos de Git e code review
CODEOWNERS: Um arquivo do repositório que mapeia caminhos para as pessoas ou equipes que devem revisar as mudanças ali.→ Fluxos de Git e code review

releaseDevOps

Canary release: Enviar uma pequena parcela do tráfego para uma nova versão, observar suas métricas e só então ampliar. Limita o dano de um release ruim.→ Estratégias de release e rollback
Blue/green deployment: Dois ambientes completos: o tráfego muda do antigo para o novo de uma só vez, e o rollback é voltar a chave.→ Estratégias de release e rollback
Feature flag: Uma chave na configuração que liga ou desliga uma funcionalidade sem novo deploy. Separa implantar o código de liberá-lo.→ Estratégias de release e rollback

plataformaDevOps

IaCinfraestrutura como código: Descrever a infraestrutura em arquivos versionados, revisados e aplicados por ferramentas, de modo que os ambientes sejam reproduzíveis.→ Infraestrutura como código
Drift: Uma diferença entre a infraestrutura real e o que o código diz, geralmente causada por uma mudança manual.→ Infraestrutura como código
Imagem de contêiner: Uma pilha de camadas somente leitura mais metadados, a partir da qual os contêineres iniciam. Identificada por um digest, rotulada por um nome mutável.→ Contêineres e imagens
Pod: No Kubernetes, um ou mais contêineres que rodam juntos e compartilham uma identidade de rede. A menor unidade implantável, e descartável.→ Fundamentos de Kubernetes
Probereadiness · liveness: Uma verificação de saúde executada pelo cluster: a readiness decide se um pod recebe tráfego, a liveness decide se ele deve ser reiniciado.→ Fundamentos de Kubernetes

operações e confiabilidadeDevOps

SLIindicador de nível de serviço: Uma medição da qualidade do serviço como os usuários a percebem, como a fração de requisições que têm sucesso rapidamente.→ Confiabilidade: SLOs, error budgets e incidentes
SLOobjetivo de nível de serviço: A meta de um SLI em uma janela de tempo. Define quão confiável é confiável o bastante.→ Confiabilidade: SLOs, error budgets e incidentes
Error budget: A não confiabilidade permitida: 100% menos o SLO. Enquanto sobra, dá para assumir riscos; quando acaba, o trabalho de confiabilidade vem primeiro.→ Confiabilidade: SLOs, error budgets e incidentes
Golden signals: Latência, tráfego, erros e saturação: quatro medições que descrevem a saúde de quase qualquer serviço.→ Observabilidade: métricas, logs e traces
Cardinalidade: O número de combinações distintas de labels em uma métrica. Labels ilimitados (ids de usuário) podem sobrecarregar um sistema de métricas.→ Observabilidade: métricas, logs e traces
Postmortemrevisão sem culpados: Uma revisão escrita de um incidente que pergunta como o sistema permitiu o problema, e não quem errou, e termina com ações que têm responsável.→ Confiabilidade: SLOs, error budgets e incidentes

processo e papéisResposta a incidentes

Comandante do incidenteIC: A pessoa que é dona da resposta e toma as decisões, enquanto os outros fazem o trabalho técnico. Manter esses papéis separados evita que o líder desapareça nos detalhes técnicos.→ O ciclo de vida da resposta a incidentes
Severidadenível SEV: Uma escala acordada para medir a gravidade de um incidente, definida com antecedência para que ninguém discuta isso durante o evento. Ela determina quem é acionado e com que rapidez.→ O ciclo de vida da resposta a incidentes
Exercício de mesa (tabletop): Um ensaio, baseado em discussão, de um cenário de incidente. Testa o plano, os contatos e as decisões sem tocar na produção.→ O ciclo de vida da resposta a incidentes
Contenção: Limitar a propagação e o dano de um incidente: isolar um host, revogar credenciais, bloquear um destino. A contenção de curto prazo ganha tempo; a de longo prazo prepara uma recuperação limpa.→ Triagem, delimitação de escopo e contenção
Triagem: A primeira avaliação de um alerta: é real, até onde chegou e qual é a urgência.→ Triagem, delimitação de escopo e contenção

detecção e inteligênciaResposta a incidentes

Threat hunting: Uma busca proativa na telemetria por atividade de atacantes que as detecções automáticas deixaram passar, guiada por uma hipótese testável.→ Threat hunting
IOCindicador de comprometimento: Um observável que sugere comprometimento, como o hash de um arquivo, um domínio ou um endereço. É rápido de usar e rápido de expirar, já que os atacantes os trocam com facilidade.→ Inteligência de ameaças
TTPtáticas, técnicas e procedimentos: Como um adversário opera. O comportamento é muito mais difícil de mudar do que um indicador, por isso é uma base mais durável para a detecção.→ Inteligência de ameaças
MITRE ATT&CK: Uma base de conhecimento pública de táticas e técnicas de adversários observadas em intrusões reais, usada para descrever comportamento e medir a cobertura de detecção.→ Inteligência de ameaças
Pirâmide da Dor (Pyramid of Pain): Um modelo que classifica os indicadores pelo quanto bloqueá-los prejudica o atacante, de triviais (valores de hash) a dolorosos (táticas e técnicas).→ Inteligência de ameaças
Sigma: Um formato neutro em relação a fornecedores para regras de detecção, que pode ser convertido para a linguagem de consulta de muitos produtos SIEM.→ Análise de logs e construção de uma linha do tempo
Pivoteamento (pivoting): Pegar um fato conhecido (um endereço, uma conta, um hash) e buscar tudo o mais que o compartilha, para ampliar ou reduzir o escopo.→ Análise de logs e construção de uma linha do tempo

forense e malwareResposta a incidentes

Cadeia de custódia: Um registro escrito de quem teve a posse de uma evidência, quando e o que foi feito com ela. Sustenta a credibilidade da evidência em uma disputa.→ Fundamentos de forense digital
Ordem de volatilidade: O princípio de coletar primeiro a evidência mais frágil: memória, depois processos e conexões, depois arquivos temporários, depois disco e logs.→ Fundamentos de forense digital
Bloqueador de escrita (write blocker): Um dispositivo ou software que permite ler um disco sem permitir qualquer alteração nele, para que a evidência permaneça intacta.→ Fundamentos de forense digital
YARA: Uma linguagem para descrever os padrões que identificam uma família de arquivos, usada para encontrar amostras e variantes de malware.→ Fundamentos de análise de malware
Sandbox: Um ambiente isolado em que um arquivo suspeito pode ser executado sob monitoramento, para que seu comportamento seja observado com segurança.→ Fundamentos de análise de malware
Dupla extorsão (double extortion): Uma tática de ransomware que criptografa os sistemas e rouba dados, ameaçando publicá-los, de modo que restaurar o backup não encerra a pressão.→ Playbook de resposta a ransomware

engajamentosSegurança ofensiva

Regras de engajamentoRoE: O documento acordado que transforma a permissão em limites práticos: escopo, janela de tempo, ações proibidas, taxa de requisições, contatos de emergência e como os achados são reportados.→ Autorização, escopo e ética
Escopo: A lista de sistemas, contas e atividades que podem ser testados, e daqueles explicitamente excluídos. Tudo o que está fora dela não é autorizado.→ Autorização, escopo e ética
Divulgação coordenadadivulgação responsável: Reportar uma vulnerabilidade de forma privada ao seu responsável e dar um prazo razoável para a correção antes de qualquer detalhe público.→ Autorização, escopo e ética
Teste de intrusãopentest: Uma tentativa, com tempo limitado, de explorar fraquezas dentro de um escopo acordado, para mostrar o que um atacante realmente poderia fazer.→ Metodologia de teste de intrusão
Black, gray e white box: Quanto o testador sabe de antemão: nada, algo (como contas e documentação) ou tudo, inclusive o código-fonte.→ Metodologia de teste de intrusão
PTESPenetration Testing Execution Standard: Uma descrição das fases de um teste de intrusão, do pré-engajamento ao relatório.→ Metodologia de teste de intrusão

técnicasSegurança ofensiva

Superfície de ataque: Tudo o que um atacante pode alcançar e tentar: ativos expostos à internet, serviços, interfaces e as pessoas que os usam.→ Reconhecimento e superfície de ataque
Recon passivo e ativo: O passivo reúne informações sem tocar no alvo; o ativo o sonda diretamente e deve respeitar o escopo e os limites de taxa.→ Reconhecimento e superfície de ataque
Subdomain takeover: Um registro DNS que aponta para um recurso de nuvem ou SaaS que não existe mais e que outra pessoa pode reivindicar para servir conteúdo a partir do seu domínio.→ Reconhecimento e superfície de ataque
BOLAbroken object level authorization: Uma API aceita o id de um objeto e o devolve sem verificar se quem chama pode acessá-lo. É a forma de IDOR em APIs.→ Testes de segurança de web e API
Mass assignment: Uma API associa campos enviados pelo cliente a um objeto, permitindo que quem chama defina campos (como um papel) que não deveria controlar.→ Testes de segurança de web e API
Caminho de ataque: Uma cadeia de permissões, credenciais e relações de confiança que leva de um ponto de apoio a algo valioso. Os defensores mapeiam e cortam esses caminhos.→ Caminhos de ataque e escalação de privilégios
Escalação de privilégios: Obter mais direitos do que os concedidos inicialmente, por meio de uma falha, uma configuração incorreta ou uma credencial roubada.→ Caminhos de ataque e escalação de privilégios

exercícios e relatóriosSegurança ofensiva

Red team: Uma simulação baseada em objetivos, em geral encoberta, de um adversário realista, que testa as pessoas, os processos e a tecnologia da organização.→ Red team, purple team e emulação de adversário
Purple team: Um exercício colaborativo em que atacantes e defensores trabalham juntos às claras, verificando a detecção técnica por técnica e corrigindo as lacunas na hora.→ Red team, purple team e emulação de adversário
Emulação de adversário: Reproduzir o comportamento documentado de um agente de ameaça específico para testar se as defesas o detectariam.→ Red team, purple team e emulação de adversário
DMARC: Uma política de autenticação de e-mail que diz aos receptores o que fazer com mensagens que falham nas verificações SPF ou DKIM do seu domínio e para onde enviar relatórios.→ Engenharia social e defesa contra phishing
CVSSCommon Vulnerability Scoring System: Um padrão para pontuar a severidade técnica de uma vulnerabilidade. Precisa ser ajustado ao seu contexto antes de definir a prioridade.→ Relatar achados e conduzir a remediação
Reteste: Verificar se uma correção realmente fecha um achado, e não apenas a requisição exata que foi reportada.→ Relatar achados e conduzir a remediação

riscoGRC e liderança

Apetite a risco: Quanto risco a organização está disposta a aceitar na busca de seus objetivos. Define quais riscos precisam de tratamento e quais podem ser aceitos.→ Gestão de riscos de segurança
Risco inerente e residual: O risco inerente é o nível antes dos controles; o risco residual é o que resta depois deles. Reportar ambos mostra o que os controles realmente alcançam.→ Gestão de riscos de segurança
Registro de riscos: O registro de trabalho dos riscos identificados: responsável, classificação, controles, tratamento, ações e data de revisão.→ Gestão de riscos de segurança
Tratamento de risco: As quatro respostas a um risco: reduzi-lo com controles, aceitá-lo conscientemente, transferi-lo (seguro, contrato) ou evitá-lo encerrando a atividade.→ Gestão de riscos de segurança
Risco de concentração: Dependência excessiva de um fornecedor, provedor ou tecnologia, de modo que a falha dele se torna a sua falha.→ Risco de terceiros e da cadeia de suprimentos
Classificação de fornecedores em níveis (vendor tiering): Agrupar fornecedores por criticidade para que a profundidade da revisão e do monitoramento corresponda ao impacto de sua falha.→ Risco de terceiros e da cadeia de suprimentos

frameworks e conformidadeGRC e liderança

ISMSsistema de gestão de segurança da informação: O conjunto de políticas, processos e controles que uma organização usa para gerenciar a segurança da informação, conforme exigido pela ISO 27001.→ Frameworks e padrões de segurança
NIST CSF: Um framework voluntário que organiza um programa de segurança em funções: Govern, Identify, Protect, Detect, Respond e Recover.→ Frameworks e padrões de segurança
CIS Controls: Uma lista priorizada de salvaguardas práticas agrupadas em níveis de implementação, útil para decidir por onde começar.→ Frameworks e padrões de segurança
SOC 2: Um relatório de auditor sobre os controles de um prestador de serviços para segurança e critérios relacionados, geralmente solicitado por clientes.→ Frameworks e padrões de segurança
Controle: Uma salvaguarda que reduz a probabilidade ou o impacto de um risco; para ser auditável, precisa ter responsável, frequência e evidência.→ Conformidade na prática: controles, evidências e auditorias
Evidência: Prova de que um controle operou durante um período, como uma exportação de configuração, um log, um ticket ou um registro de aprovação.→ Conformidade na prática: controles, evidências e auditorias

arquitetura e liderançaGRC e liderança

Zero trust: Uma abordagem que não concede confiança pela localização na rede: toda requisição é autenticada e autorizada usando identidade, dispositivo e contexto.→ Princípios de arquitetura de segurança
ADRregistro de decisão de arquitetura: Um documento curto que registra uma decisão significativa, seu contexto, alternativas e consequências.→ Princípios de arquitetura de segurança
KRIindicador-chave de risco: Uma medida que avisa que o risco está aumentando, como um backlog crescente de achados críticos ou de sistemas sem suporte.→ Métricas de segurança e relatórios para a liderança
Joias da coroa (crown jewels): Os ativos cuja perda ou comprometimento mais prejudicaria a organização. A estratégia começa por identificá-los e protegê-los.→ Estratégia, roadmap e orçamento de segurança
Relato sem culpa (blameless reporting): Uma cultura em que as pessoas que relatam erros ou incidentes rapidamente são apoiadas, pois relatos precoces limitam o dano.→ Comunicação de crise e cultura de segurança
Security champion: Uma pessoa de uma equipe de engenharia ou de negócio que atua como ponto de contato local para segurança e a leva para o dia a dia do trabalho.→ Comunicação de crise e cultura de segurança