knowledge base · secops

Defesa L7 e SecOps, mapeadas.

Um mapa interativo da operação de segurança na borda: telemetria, detecção, WAF, rate limiting, bots e a métrica que prova que funciona — do log ao bloqueio.

$ clique num card para ver os detalhes · ctrl+k para buscar

mapa de aprendizado

Os tópicos estão organizados por nível, dos fundamentos ao avançado. As setas vão do pré-requisito para o que se apoia nele. Selecione um tópico para ver uma prévia ou siga o próximo passo destacado.

Seu próximo passo

0 de 10 estudados

começar este tópico

01 Fundamentos

As ideias sobre as quais todo o resto se apoia.

02 Prática

Aplique os controles e faça-os funcionar na prática.

03 Avançado

Projete, escale e opere em profundidade.

estudado
pronto para estudar
faltam pré-requisitos
as setas vão do pré-requisito para o que se apoia nele

ciclo de defesa

Do dado bruto à métrica — o controle mora em cada fase. Cada chip abre o tópico correspondente.

01observar
ver todo o tráfego, em escala e com contexto
telemetria de borda escala, cardinalidade e custobaseline de tráfego legítimo
gate: toda requisição relevante vira evento normalizado
02detectar
sinais viram decisões
taxonomia de ataques L7 biblioteca de detecçõesbaselines comportamentais
gate: cada detecção tem dono, severidade e ação prevista
03agir
bloquear, desafiar ou limitar, com cuidado
WAF: observação, shadow, enforcement rate limiting adaptativo bot management runbooks e hardening
gate: toda ação nova passa por shadow antes de enforcement
04medir
provar que funciona e ajustar
SLOs de SOCtuning semanalindicadores executivos
gate: precisão e recall acompanhados · falso positivo cai a cada ciclo

tópicos

Telemetria de borda e aplicação

Detecção boa começa em dado bom: um pipeline que recebe o tráfego da borda e da aplicação, normaliza, enriquece e guarda de um jeito que dê para consultar em segundos.

técnica· etapa: observar

Escala: telemetria, cardinalidade e custo

A mesma consulta que roda em segundos com um milhão de eventos pode custar uma fortuna com um trilhão. Escalar a segurança é um problema de design de dados.

conceito· etapa: observar

Ataques L7: o que procurar

Cada ataque L7 deixa uma assinatura nos logs. Conhecer o padrão de cada um é o que transforma um oceano de requisições em hipóteses que dá para testar.

conceito· etapa: detectar

Engenharia de detecção

Uma biblioteca de detecções combina assinaturas e heurísticas, cada uma com dono, teste e métrica, e evolui como qualquer código: por revisão, versão e dado.

prática· etapa: detectar

WAF - observação, shadow e enforcement

Um WAF bem operado não é uma caixa que se liga: é um programa que começa observando, valida cada regra em sombra e só então bloqueia, com um dono e uma métrica para cada decisão.

técnica· etapa: agir

Rate limiting adaptativo

Um limite fixo por IP é fácil de contornar e injusto com redes compartilhadas. O rate limiting que funciona escolhe bem a chave, aprende o comportamento normal e escala a resposta.

técnica· etapa: agir

Nem todo bot é inimigo e nem todo humano é legítimo. Bot management dá uma nota de confiança a cada requisição e deixa a política decidir o que fazer com ela.

técnica· etapa: agir

Runbooks, resposta e hardening pós-incidente

O runbook faz a contenção acontecer em minutos, e o pós-incidente transforma o que doeu em uma defesa permanente, na aplicação e não só na borda.

prática· etapa: agir

SLOs de SOC e tuning contínuo

Sem números, o SOC só conta histórias. Com SLOs claros (tempo de triagem, de contenção, precisão e recall) cada ajuste vira uma decisão com evidência.

prática· etapa: medir

Defesa em camadas: system design de borda

Projetar a defesa é decidir, camada por camada, quem inspeciona o quê, quanto latência isso custa e se o sistema abre ou fecha quando um controle cai.