Trilhas de estudo

A ordem natural para entender cada verificação e onde ela entra na pipeline.

1. 1CI/CDappsecA esteira é o palco: entenda as etapas antes das ferramentas.
2. 2Shift-leftappsecA ideia que organiza tudo: achar cedo custa menos.
3. 3Threat modeling - pensar como o atacante antes de codarappsecO ponto mais à esquerda: achar a falha no desenho.
4. 4Secrets ScanningappsecO erro mais comum e mais barato de evitar.
5. 5SASTappsecOlhar o código que você escreveu.
6. 6SCAappsecOlhar o código que você importou.
7. 7SBOMappsecGuardar o inventário do que foi entregue.
8. 8DASTappsecAtacar a aplicação rodando, de fora.
9. 9DevSecOpsappsecJuntar tudo em gates, políticas e cultura.

Segue o ciclo cloud: proteger, detectar e responder, começando pela identidade.

1. 1IAM - identidade e acessocloudsecIdentidade é o novo perímetro: o ponto de partida.
2. 2Network - segmentação e zero-trustcloudsecSegmentar para limitar o movimento lateral.
3. 3Logging & detection - sinais e alertascloudsecSem sinal, não há detecção: logs antes de tudo.
4. 4Zero-trust - modelo de confiançacloudsecO modelo mental que une identidade e rede: nenhuma origem é confiável por padrão.
5. 5KMS & crypto - chaves e envelopescloudsecCifrar bem depende de controlar as chaves.
6. 6Secrets - cofres e rotaçãocloudsecSegredos efêmeros, em cofre, com rotação.
7. 7Containers — imagens e cadeia de suprimentoscloudsecImagens imutáveis e a cadeia de suprimentos.
8. 8Kubernetes — runtime segurocloudsecO cluster como sistema operacional distribuído.
9. 9CSPM — postura cloudcloudsecPostura contínua: detectar desvios de configuração.
10. 10CWPP — proteção de workloadcloudsecVer o que acontece dentro do workload.
11. 11Resposta a incidentes em cloudcloudsecDo alerta à contenção, com a prova preservada.

Monte o pipeline de um agente e aprenda onde cada risco aparece.

1. 1LLM - large language modelai-agentsO núcleo: o que o modelo faz e onde ele falha.
2. 2Chunkingai-agentsComo o conhecimento é fatiado.
3. 3Embeddingsai-agentsTransformar texto em significado vetorial.
4. 4Vector DBai-agentsOnde os vetores moram e quem pode vê-los.
5. 5Retrievalai-agentsEscolher o contexto certo para a pergunta.
6. 6RAG - retrieval-augmented generationai-agentsJuntar recuperação e geração, e seu risco de injeção indireta.
7. 7Tool callingai-agentsQuando o modelo passa a agir no mundo.
8. 8MCP - model context protocolai-agentsO protocolo que conecta ferramentas, e sua superfície de ataque.
9. 9Orchestrationai-agentsVários agentes, confiança que não deve ser transitiva.
10. 10Guardrails - filtros de entrada e saídaai-agentsCamadas de proteção antes e depois do modelo.
11. 11Evals - qualidade medida em produçãoai-agentsMedir antes de acreditar.
12. 12Regression evals - suite fixa no PRai-agentsProteger o que já funciona a cada mudança.

Um caminho cruzando domínios: o mesmo artefato, da esteira à produção.

1. 1Threat modeling - pensar como o atacante antes de codarappsecComece pelo desenho: quais ameaças valem a pena tratar?
2. 2Secrets ScanningappsecNada de segredo no repositório.
3. 3SCAappsecDependências verificadas antes do build.
4. 4SBOMappsecO inventário que acompanha o artefato.
5. 5Containers — imagens e cadeia de suprimentoscloudsecO artefato vira imagem: assinada e imutável.
6. 6IAM - identidade e acessocloudsecA workload roda com o mínimo de privilégio.
7. 7Secrets - cofres e rotaçãocloudsecEm produção, o segredo vem do cofre.
8. 8CSPM — postura cloudcloudsecA postura do ambiente é vigiada continuamente.
9. 9Resposta a incidentes em cloudcloudsecQuando algo escapa, a resposta já está ensaiada.

Do log ao bloqueio: observe, detecte, aja e meça, como um programa de defesa de borda de verdade.

1. 1Telemetria de borda e aplicaçãosecopsSem dado bom, não há detecção boa.
2. 2Escala: telemetria, cardinalidade e custosecopsComo manter tudo rápido e barato quando o volume explode.
3. 3Ataques L7: o que procurarsecopsAs assinaturas dos ataques que você vai procurar.
4. 4Engenharia de detecçãosecopsTransformar padrões em detecções versionadas e medidas.
5. 5WAF - observação, shadow e enforcementsecopsAgir com cuidado: observação, shadow e enforcement.
6. 6Rate limiting adaptativosecopsLimitar abuso sem punir quem usa de verdade.
7. 7Bot managementsecopsSeparar automação legítima de abuso automatizado.
8. 8Runbooks, resposta e hardening pós-incidentesecopsContenção rápida e correção que fecha a porta.
9. 9SLOs de SOC e tuning contínuosecopsProvar que funciona e ajustar toda semana.
10. 10Defesa em camadas: system design de bordasecopsO desenho que une tudo: onde cada controle vive e o que acontece se ele falha.

Da infraestrutura como código à automação com freios: como construir a plataforma de segurança.

1. 1Infraestrutura segura como códigosecengComece pelo que você provisiona: infraestrutura revisada e escaneada.
2. 2Policy as codesecengRegras executáveis que valem para todo mundo.
3. 3Hardening de CI/CDsecengA esteira que entrega tudo precisa ser confiável.
4. 4Confiabilidade em escala: idempotência, retries e backpressuresecengEm escala, falha acontece: não perder nem duplicar decisão.
5. 5Observabilidade da própria plataforma de segurançasecengSaber quando o próprio pipeline está cego.
6. 6Automação de segurança e playbooks como códigosecengResposta automática com freios.
7. 7IA na triagem e na mitigaçãosecengAcelerar a triagem sem confiar às cegas.
8. 8Segurança como produto internosecengO caminho seguro precisa ser o mais fácil.

Os dez riscos mais importantes em aplicações web, na ordem em que fazem mais sentido para aprender, cada um com código que falha, código que resiste e o teste que prova.

1. 1A01 Broken Access ControlowaspO risco número um: quem pode fazer o quê, em toda requisição.
2. 2A05 InjectionowaspDado virando instrução: o padrão por trás de SQLi, XSS e comandos.
3. 3A07 Authentication FailuresowaspProvar quem é o usuário sem abrir a porta para ninguém mais.
4. 4A04 Cryptographic FailuresowaspProteger dados em repouso e em trânsito sem inventar algoritmo.
5. 5A02 Security MisconfigurationowaspSoftware correto, configuração insegura: o erro mais barato de achar.
6. 6A06 Insecure DesignowaspA falha que está na ideia, não no código.
7. 7A03 Software Supply Chain FailuresowaspVocê entrega o código dos outros junto com o seu.
8. 8A08 Software or Data Integrity FailuresowaspProvar que o que roda é o que deveria rodar.
9. 9A09 Security Logging and Alerting FailuresowaspVer o ataque enquanto ele acontece.
10. 10A10 Mishandling of Exceptional ConditionsowaspO que acontece quando algo dá errado também é segurança.

Do que essas ferramentas são até usá-las com segurança: camadas, comparação, contexto, paralelismo, verificação e segurança do agente.

1. 1O espectro do vibecodingvibecodingO espectro: de autocomplete a agentes autônomos, e onde cada um serve.
2. 2Modelo, harness e providervibecodingModelo, harness e provedor: a confusão que explica quase tudo.
3. 3Agents de código comparadosvibecodingClaude Code, OpenCode, OMP, OMO, herdr: o que cada um é de verdade.
4. 4Escolhendo um modelo: de fronteira, barato e abertovibecodingModelos de ponta, baratos e abertos: custo, velocidade e para onde vai seu código.
5. 5Quando usar o quêvibecodingDa tarefa para a ferramenta, o modelo e o nível de autonomia.
6. 6Context engineering para agents de códigovibecodingO que o agente vê decide a qualidade do que ele faz.
7. 7O loop de verificaçãovibecodingConfiar só no que você consegue checar.
8. 8Orquestração e agents paralelosvibecodingVários agentes sem caos: worktrees, multiplexadores e revisão.
9. 9Protegendo o próprio agentvibecodingO agente lê texto não confiável e roda comandos: proteja-o.

A base que DevOps e DevSecOps exigem, na ordem em que cada peça se apoia na anterior.

1. 1Fundamentos de Linux e redesdevopsO chão: processos, permissões, DNS, TCP e TLS.
2. 2Fluxos de Git e code reviewdevopsToda mudança entra pela revisão e pelo controle de versão.
3. 3Contêineres e imagensdevopsEmpacotar a aplicação de forma pequena, reproduzível e segura.
4. 4O ciclo de vida da entregadevopsO ciclo que você vai automatizar e os princípios por trás.
5. 5Pipelines de CI que continuam rápidosdevopsPipelines rápidos e confiáveis, claros quando falham.
6. 6Infraestrutura como códigodevopsAmbientes descritos em código e reproduzíveis.
7. 7Fundamentos de KubernetesdevopsRodar contêineres em cluster com limites e verificações.
8. 8Estratégias de release e rollbackdevopsCanary, blue/green e flags: lançar sem apostar tudo.
9. 9Observabilidade: métricas, logs e tracesdevopsSaber o que o sistema faz e alertar sobre o que importa.
10. 10Confiabilidade: SLOs, error budgets e incidentesdevopsSLOs, orçamento de erro e aprendizado com cada falha.

Preparar, detectar, conter e investigar: a ordem em que cada habilidade de defesa se apoia na anterior.

1. 1O ciclo de vida da resposta a incidentesresponseO ciclo, os papéis e a severidade, antes de qualquer crise.
2. 2Inteligência de ameaçasresponseQuem ataca, como, e com que confiança sabemos disso.
3. 3Análise de logs e construção de uma linha do temporesponseMontar a história a partir de logs com tempo limpo.
4. 4Threat huntingresponseProcurar o que os alertas não pegaram, por hipótese.
5. 5Triagem, delimitação de escopo e contençãoresponseDimensionar e conter sem destruir evidência.
6. 6Playbook de resposta a ransomwareresponseO caso mais difícil, tratado como crise de negócio.
7. 7Fundamentos de forense digitalresponseColetar evidência que ninguém consegue contestar.
8. 8Fundamentos de análise de malwareresponseTriar um arquivo suspeito com segurança e gerar detecção.

Do que separa um teste de um crime até o relatório que vira correção.

1. 1Autorização, escopo e éticaoffsecAutorização, escopo e ética antes de qualquer pacote.
2. 2Metodologia de teste de intrusãooffsecFases e padrões que dão repetibilidade.
3. 3Reconhecimento e superfície de ataqueoffsecDescobrir o que está exposto, do lado de quem ataca e de quem defende.
4. 4Testes de segurança de web e APIoffsecDuas contas e um proxy respondem a maior parte das perguntas.
5. 5Caminhos de ataque e escalação de privilégiosoffsecComo fraquezas pequenas se encadeiam, e como cortá-las.
6. 6Engenharia social e defesa contra phishingoffsecA superfície humana e os controles que não dependem de perfeição.
7. 7Red team, purple team e emulação de adversáriooffsecTestar se a defesa detecta um adversário realista.
8. 8Relatar achados e conduzir a remediaçãooffsecO relatório é o produto: impacto, evidência e correção.

Risco, frameworks, evidência, métricas e a conversa com a diretoria.

1. 1Gestão de riscos de segurançagrcDecidir por risco, não por urgência.
2. 2Frameworks e padrões de segurançagrcO vocabulário comum e como escolher e combinar.
3. 3Risco de terceiros e da cadeia de suprimentosgrcA superfície de ataque que não está nos seus servidores.
4. 4Princípios de arquitetura de segurançagrcControles desenhados uma vez, como padrão.
5. 5Conformidade na prática: controles, evidências e auditoriasgrcEvidência contínua em vez de correria de auditoria.
6. 6Métricas de segurança e relatórios para a liderançagrcResultados, não atividade.
7. 7Estratégia, roadmap e orçamento de segurançagrcPrioridades, roadmap e orçamento.
8. 8Comunicação de crise e cultura de segurançagrcO que dizer na crise e a cultura que a antecede.