0 de 106 estudados
A espinha dorsal do software moderno: cada commit vira build, teste e deploy sem intervenção manual.
começar este tópico todos os domínios AppSec CloudSec Agents SecOps Engenharia OWASP Top 10 Vibecoding DevOps Resposta a incidentes Segurança ofensiva GRC e liderança
qualquer carreira AppSec Engineer DevSecOps Engineer DevOps / Platform Engineer Cloud Security Engineer Detection / SOC Engineer AI Security Engineer Security Architect Incident Responder Threat Hunter Forensics and Malware Analyst Penetration Tester Red Team Operator Third-Party Risk Analyst GRC and Compliance Manager CISO
01 Fundamentos
As ideias sobre as quais todo o resto se apoia.
02 Prática
Aplique os controles e faça-os funcionar na prática.
03 Avançado
Projete, escale e opere em profundidade.
Fundamentos
CI/CD A esteira automatizada de build, teste e deploy próximo Secrets Scanning Detecta chaves e senhas no repositório Shift-left Segurança o mais cedo possível Prática
SAST Análise estática do código-fonte DAST Teste dinâmico na aplicação rodando SCA Inventário e CVEs das dependências Threat modeling - pensar como o atacante antes de codar achar a falha no desenho, antes de existir código Avançado
SBOM A lista de ingredientes do software DevSecOps Segurança embutida em cada stage Fundamentos
IAM - identidade e acesso quem é quem, e o que cada um pode fazer Network - segmentação e zero-trust segmentação, microsegmentação e policies de rede Logging & detection - sinais e alertas CloudTrail, audit e correlação de sinais Prática
Containers — imagens e cadeia de suprimentos build, signing e runtime imutável CSPM — postura cloud postura contínua na nuvem Secrets - cofres e rotação credenciais nunca no código KMS & crypto - chaves e envelopes gerenciamento de chaves e criptografia Zero-trust - modelo de confiança nunca confiar, sempre verificar Avançado
Kubernetes — runtime seguro RBAC, admission e segurança de cluster CWPP — proteção de workload runtime e comportamento de carga Resposta a incidentes em cloud do alerta à contenção, com a prova preservada Fundamentos
Chunking cortar o documento em pedaços recuperáveis Embeddings transformar texto em vetores que aproximam significado LLM - large language model o modelo que gera texto a partir de contexto Prática
RAG - retrieval-augmented generation resposta com base em documentos recuperados Vector DB banco que busca por distância em vez de por termo exato Retrieval escolher os trechos certos para a pergunta Tool calling o modelo invoca funções externas tipadas Evals - qualidade medida em produção dataset, métrica e runner para medir qualidade Guardrails - filtros de entrada e saída filtros de entrada e saída para conter o agente Avançado
Agent frameworks esqueleto para orquestrar raciocínio, memória e ferramentas Orchestration coordenar múltiplos agentes e etapas MCP - model context protocol protocolo padronizado entre modelo e ferramentas Benchmarks - referência pública conjuntos públicos para comparar agentes e LLMs LLM as judge - rubrica automatizada usar um LLM para pontuar a saída de outro Regression evals - suite fixa no PR suite fixa que bloqueia regressões no PR Fundamentos
Telemetria de borda e aplicação do log bruto ao evento pronto para detectar Ataques L7: o que procurar uma taxonomia dos abusos de camada de aplicação Prática
Engenharia de detecção tratar detecções como software: versionadas, testadas e medidas WAF - observação, shadow e enforcement filtrar o tráfego L7 sem derrubar o que é legítimo Rate limiting adaptativo limitar abuso sem punir quem usa de verdade Bot management separar automação legítima de abuso automatizado Avançado
Escala: telemetria, cardinalidade e custo manter a detecção rápida e barata quando o volume explode Runbooks, resposta e hardening pós-incidente da contenção rápida à correção que fecha a porta SLOs de SOC e tuning contínuo medir tempo, precisão e cobertura, e ajustar toda semana Defesa em camadas: system design de borda onde cada controle vive, e o que acontece quando ele falha
Prática
Infraestrutura segura como código Terraform e Ansible revisados, escaneados e sem drift Hardening de CI/CD a esteira também é um alvo: protegê-la é proteger tudo que ela entrega Avançado
Policy as code regras de segurança executáveis, versionadas e testáveis Confiabilidade em escala: idempotência, retries e backpressure o pipeline que aguenta falha sem perder nem duplicar decisão Observabilidade da própria plataforma de segurança saber quando o pipeline de detecção está cego ou atrasado Automação de segurança e playbooks como código resposta automática com freios: idempotente, auditável e reversível IA na triagem e na mitigação LLMs como assistentes de segurança, com validação e sem confiança cega Segurança como produto interno o caminho seguro precisa ser o caminho mais fácil Fundamentos
A01 Broken Access Control usuários agindo fora das permissões que deveriam ter A05 Injection entrada não confiável interpretada como código ou comandos A07 Authentication Failures atacantes se passam por outra pessoa: sessões adivinhadas, reutilizadas, roubadas ou fixadas Prática
A02 Security Misconfiguration software seguro, entregue com configurações inseguras A03 Software Supply Chain Failures comprometimento por aquilo de que você depende, com que compila ou que instala A04 Cryptographic Failures dados sensíveis expostos por criptografia fraca, ausente ou mal usada A06 Insecure Design uma falha na própria ideia, que nenhum código limpo corrige A09 Security Logging and Alerting Failures ataques que passam despercebidos porque nada os registrou ou ninguém foi avisado A10 Mishandling of Exceptional Conditions erros, timeouts e entradas estranhas que deixam o sistema aberto ou vazando Avançado
A08 Software or Data Integrity Failures confiar em código ou dados que podem ter sido adulterados Fundamentos
O espectro do vibecoding do autocomplete aos agents autônomos, e onde cada um se encaixa Modelo, harness e provider as três camadas por trás de toda ferramenta de código com IA, e por que o mesmo modelo se comporta de forma diferente Agents de código comparados Claude Code, OpenCode, OMP, OMO, herdr e o resto: o que cada um é e como se diferenciam Prática
Escolhendo um modelo: de fronteira, barato e aberto Claude, GPT, Gemini, DeepSeek e modelos locais: qualidade, custo, velocidade e para onde vai o seu código Quando usar o quê um guia de decisão da tarefa até a ferramenta, o modelo e o nível de autonomia Context engineering para agents de código instruções do projeto, planos, skills e tarefas pequenas: como obter resultados confiáveis O loop de verificação testes, diffs, revisão e gates de CI: confiar na saída da IA só até onde você consegue checar Avançado
Orquestração e agents paralelos git worktrees, multiplexadores como o herdr e camadas como o OMO: rodar muitos agents sem caos Protegendo o próprio agent permissões, sandboxes, prompt injection, segredos e cadeia de suprimentos para agents de código Fundamentos
Fundamentos de Linux e redes processos, permissões, serviços, DNS, TCP e TLS: o chão sobre o qual toda outra ferramenta se apoia Fluxos de Git e code review branching, pull requests, branches protegidos e ownership como a porta de entrada da entrega Contêineres e imagens imagens, camadas, registries e um Dockerfile pequeno, reproduzível e seguro de executar O ciclo de vida da entrega do commit à produção e de volta: integração, entrega e implantação contínuas Prática
Pipelines de CI que continuam rápidos stages, cache, artefatos e builds reproduzíveis Infraestrutura como código descreva servidores, redes e serviços em arquivos, revise-os e aplique-os de forma repetível Fundamentos de Kubernetes pods, deployments, services, configuração, probes e limites de recursos Observabilidade: métricas, logs e traces saber o que seu sistema está fazendo por fora e alertar sobre o que importa Avançado
Estratégias de release e rollback blue/green, canary, rolling e feature flags: entregar sem apostar a empresa Confiabilidade: SLOs, error budgets e incidentes definir quão confiável é confiável o bastante e aprender com cada falha Fundamentos
O ciclo de vida da resposta a incidentes preparar, detectar, conter, erradicar, recuperar e aprender: o ciclo que todo incidente segue Inteligência de ameaças saber quem ataca você e como, e usar isso para decidir o que defender primeiro Prática
Análise de logs e construção de uma linha do tempo transformar logs dispersos na história do que o atacante fez e quando Triagem, delimitação de escopo e contenção decidir o que aconteceu e qual o tamanho, depois estancar o problema sem destruir evidências Playbook de resposta a ransomware conter rápido, preservar evidências, recuperar a partir de backups e decidir junto com o jurídico e a liderança Avançado
Threat hunting procurar atacantes que seus alertas deixaram passar, a partir de uma hipótese Fundamentos de forense digital coletar evidências na ordem certa, provar que não foram alteradas e ler o que elas mostram Fundamentos de análise de malware fazer a triagem segura de um arquivo suspeito: análise estática e dinâmica, regras de detecção e um laboratório disciplinado Fundamentos
Autorização, escopo e ética o que separa um teste de segurança de um crime: permissão, limites e regras de engajamento Metodologia de teste de intrusão fases, tipos de teste e os padrões que dão estrutura e repetibilidade a uma avaliação Prática
Reconhecimento e superfície de ataque encontrar o que está exposto: ativos, serviços e sistemas esquecidos, do lado do atacante e do defensor Testes de segurança de web e API um método para testar autenticação, autorização e tratamento de entrada, com duas contas e um proxy de interceptação Engenharia social e defesa contra phishing a superfície de ataque humana: como funciona, como simulá-la de forma ética e os controles que funcionam Relatar achados e conduzir a remediação o relatório é o produto: impacto claro, evidências reproduzíveis e correções que as pessoas conseguem aplicar Avançado
Caminhos de ataque e escalação de privilégios como pequenas configurações incorretas se encadeiam até o comprometimento total, e como os defensores encontram a cadeia primeiro Red team, purple team e emulação de adversário testar se as pessoas e a detecção conseguem parar um adversário realista, e não apenas se um bug existe Fundamentos
Gestão de riscos de segurança identificar, classificar, tratar e acompanhar riscos para que as decisões sejam tomadas de propósito Frameworks e padrões de segurança ISO 27001, NIST CSF, CIS Controls e PCI DSS: para que serve cada um e como escolher Prática
Risco de terceiros e da cadeia de suprimentos avaliar fornecedores e parceiros, porque a fraqueza deles se torna a sua Princípios de arquitetura de segurança zero trust, defesa em profundidade, privilégio mínimo e arquiteturas de referência que escalam Conformidade na prática: controles, evidências e auditorias transformar requisitos em controles com responsável, coletar evidências continuamente e passar em auditorias com tranquilidade Métricas de segurança e relatórios para a liderança medir resultados, não atividade, e contar ao conselho uma história sobre a qual ele possa agir Avançado
Estratégia, roadmap e orçamento de segurança o que um CISO decide: prioridades, um plano plurianual, um orçamento e os trade-offs por trás deles Comunicação de crise e cultura de segurança o que dizer, a quem e quando durante um incidente, e como a cultura decide tudo antes dele