AppSec / DevSecOps

← Voltar às trilhas · ← Voltar ao índice

Segurança de aplicação e de pipeline. A trilha mais direta para quem já programa — e a que aproveita mais uma carreira anterior em desenvolvimento.

Lacuna declarada: o ROADMAP.md mapeia fase 2 para Blue (2A), Red (2B), Cloud (2C) e GRC (2D). AppSec não tem fase 2 própria ainda. A sequência abaixo foi montada a partir dos cursos e projetos que existem, sem carga horária oficial do roadmap.

• Revisar código procurando classe de falha, não erro de estilo
• Fazer threat model: sentar com quem desenvolve e perguntar o que pode dar errado
• Colocar verificação no pipeline sem parar a entrega — e essa é a parte difícil
• Triar o que a ferramenta cospe: SAST gera muito falso positivo, e alguém precisa separar
• Ensinar. Boa parte do trabalho é fazer o time desenvolver melhor sem virar obstáculo

A tensão central da função: segurança que atrasa demais é contornada. Quem não resolve isso não é eficaz.

Você programa, entende como aplicação é construída, e prefere prevenir a encontrar. Se você já é desenvolvedor, é de longe seu caminho mais curto.

Você não gosta de ler código alheio, ou não tem paciência para negociar com time de produto.

Fases 0 e 1 do roadmap, mais uma coisa que as outras trilhas não exigem: saber programar de verdade, em pelo menos uma linguagem, o suficiente para ler o código de outra pessoa e entender a arquitetura.

Se você não programa, faça cursos/00-fundamentos.md na parte de programação antes. Não dá para pular.

O que mais pesa: HTTP e web a fundo, Git e CI/CD, e a lógica de autenticação e autorização.

Sobre o passo 1: a Web Security Academy é gratuita e é o melhor material de segurança web que existe. Faça a trilha inteira; ela ensina a mecânica, não a lista.

Ferramentas completas: repositorios/ferramentas-appsec-cloud.md.

P31–P33, em projetos/06-appsec.md. São só três — a trilha com menos projeto do catálogo.

Se fizer só um: P33. Um PR aceito num projeto que outras pessoas usam é a evidência mais difícil de fabricar.

Como escolher o alvo do P31 e P33: um projeto que você já usa e cuja linguagem você conhece. Familiaridade com o domínio vale mais que fama do repositório.

O ASVS é subestimado: é uma lista de requisitos verificáveis, e serve tanto para testar quanto para especificar.

• Gratuito: API Security Fundamentals e os outros da APIsec University, e o conteúdo do PortSwigger
• Primeiro exame que vale: aqui certificação pesa menos que nas outras trilhas. Um PR de segurança aceito vale mais
• Se quiser sigla: Burp Suite Certified Practitioner é prático e respeitado; CSSLP se o seu contexto é corporativo

Esta é a trilha em que portfólio de código supera credencial com mais folga.

Você terminou esta trilha quando consegue, sem consultar nada:

• Achar e explicar, em código, cada classe do OWASP Top 10
• Fazer um threat model de um serviço em uma hora, com quem desenvolve na sala
• Configurar SAST num pipeline e justificar cada regra que você desligou
• Olhar 20 achados de SAST e separar real de falso positivo, com argumento
• Explicar por que uma correção proposta não resolve o problema de raiz
• Escrever correção segura, não só apontar a falha
• Dizer onde você colocaria um controle sem parar a entrega do time

O quarto item é o trabalho do dia a dia, e quase ninguém treina.

• "Como você impede que uma classe de falha volte?" — controle sistêmico, não correção pontual
• "SAST acusou 400 achados. E agora?" — triagem, priorização, ajuste de regra
• "O time diz que a verificação atrasa o deploy. O que você faz?" — a tensão central da função
• "Explique SSRF e como corrigir" — quer mecanismo e mitigação em profundidade
• "Como você faria threat model deste sistema?" — normalmente com um diagrama na lousa

• Cloud Security — pipeline e nuvem são a mesma conversa hoje
• Red Team — se você quer atacar o que aprendeu a defender

← Voltar às trilhas · ← Voltar ao índice