Arquitetura Formal e Operacional para Application Security Integrado ao SDLC: Um Framework Quantitativo Baseado em Threat Modeling, SAST, DAST, IAST e Telemetria Contínua

1. Introduction

A segurança de aplicações (Application Security – AppSec) tornou‑se um dos pilares centrais da cibersegurança contemporânea, especialmente diante da expansão de aplicações web, APIs REST e arquiteturas de microsserviços implantadas em ambientes cloud‑native. Organizações modernas dependem de pipelines de desenvolvimento contínuo e de bibliotecas de terceiros, ampliando significativamente a superfície de ataque. Nesse contexto, vulnerabilidades exploráveis em aplicações frequentemente servem como ponto inicial de comprometimento para ataques mais complexos, incluindo escalonamento de privilégios, movimentação lateral e exfiltração de dados.

O relatório Verizon Data Breach Investigations Report de 2023 indica que uma parcela substancial das violações analisadas envolve exploração de aplicações web expostas ou de credenciais comprometidas associadas a serviços online (VERIZON, 2023). Táticas frequentemente observadas nesses ataques incluem exploração de aplicações públicas (T1190) e execução remota de comandos por meio de intérpretes de script (T1059), conforme catalogado no framework MITRE ATT&CK (MITRE, 2023).

Incidentes amplamente documentados evidenciam as consequências de vulnerabilidades não detectadas durante o ciclo de desenvolvimento. A vulnerabilidade Log4Shell (CVE‑2021‑44228), presente na biblioteca Apache Log4j, demonstrou como falhas em componentes amplamente distribuídos podem permitir execução remota de código em larga escala (NIST, 2023). Da mesma forma, a exploração da vulnerabilidade no Apache Struts (CVE‑2017‑5638) resultou no comprometimento da Equifax, expondo dados de aproximadamente 147 milhões de indivíduos (U.S. HOUSE OF REPRESENTATIVES, 2018).

Apesar da disponibilidade de diretrizes amplamente aceitas, como OWASP Top 10 (OWASP, 2021) e práticas DevSecOps, muitas organizações enfrentam dificuldades práticas para integrar múltiplas ferramentas de análise de segurança em pipelines de desenvolvimento. O resultado frequentemente é um grande volume de alertas não priorizados, baixa contextualização de risco e dificuldade para correlacionar resultados com impacto operacional real.

Diante desse cenário, investigamos três questões de pesquisa centrais:

RQ1: Como integrar formalmente múltiplas técnicas de AppSec (SAST, DAST, IAST e SCA) em um modelo quantitativo unificado de risco?

RQ2: É possível reduzir falsos positivos e o tempo médio de remediação por meio de priorização contextual baseada em telemetria operacional?

RQ3: Qual o impacto mensurável da integração dessas técnicas na detecção precoce de vulnerabilidades críticas?

As principais contribuições deste trabalho são:

• Proposição de um modelo matemático de priorização de risco adaptado a pipelines CI/CD.
• Implementação prática de uma arquitetura integrada baseada em ferramentas amplamente utilizadas no ecossistema DevSecOps.
• Avaliação experimental quantitativa demonstrando melhorias mensuráveis em métricas operacionais de segurança.

O restante do artigo está estruturado da seguinte forma. A Seção 2 apresenta fundamentos conceituais e trabalhos relacionados. A Seção 3 formaliza o modelo de ameaça e o problema de priorização. A Seção 4 descreve a metodologia proposta. As Seções 5 e 6 apresentam implementação e avaliação experimental. A Seção 7 discute um estudo de caso realista. As Seções 8 e 9 discutem implicações e conclusões.

2. Background and Related Work

Application Security abrange técnicas destinadas a identificar, mitigar e prevenir vulnerabilidades ao longo de todo o ciclo de vida do software. Formalmente, podemos modelar uma aplicação como uma função $f : I \rightarrow O$, na qual um conjunto de entradas $I$ é processado produzindo saídas $O$. Uma vulnerabilidade ocorre quando existe um subconjunto $I’ \subseteq I$ tal que $f(I’)$ viola propriedades de segurança desejadas $S$, incluindo confidencialidade, integridade ou disponibilidade.

Ferramentas de análise estática de código (SAST) examinam o código‑fonte sem necessidade de execução, utilizando análise de fluxo de dados, grafos de controle e padrões sintáticos para detectar construções potencialmente vulneráveis (CHESS; WEST, 2007). Ferramentas amplamente utilizadas incluem SonarQube e Semgrep, que permitem aplicação de regras semânticas e padrões de vulnerabilidade associados a categorias do OWASP Top 10.

Análise dinâmica de aplicações (DAST) examina sistemas em execução, enviando entradas maliciosas ou inesperadas para identificar falhas exploráveis durante a execução (SCANDARIATO et al., 2013). Ferramentas como OWASP ZAP e Burp Suite realizam varreduras automatizadas e fuzzing de parâmetros HTTP.

Interactive Application Security Testing (IAST) combina instrumentação de runtime com análise dinâmica, observando fluxos de execução durante testes funcionais. Essa abordagem permite detectar vulnerabilidades com maior contexto de execução e reduzir falsos positivos (HUANG et al., 2010).

Software Composition Analysis (SCA) examina dependências externas utilizadas pelo software e correlaciona versões de bibliotecas com bases de dados de vulnerabilidades, como a National Vulnerability Database (NIST, 2023). Essa abordagem tornou‑se essencial após incidentes de grande escala envolvendo bibliotecas open source.

Pesquisas empíricas demonstram limitações importantes nessas técnicas. Estudos indicam que ferramentas SAST podem gerar altos índices de falsos positivos quando aplicadas sem contextualização de execução (JOHNSON et al., 2013). Por outro lado, ferramentas DAST podem apresentar baixa cobertura de caminhos de execução raramente exercitados. Em ambientes cloud‑native e baseados em microsserviços, esses desafios são amplificados pela natureza distribuída das aplicações.

Nos últimos anos, pesquisas também exploraram integração de segurança ao DevOps, frequentemente denominada DevSecOps, buscando automatizar verificações de segurança diretamente em pipelines de integração contínua (BEHL; BEHL, 2017). Entretanto, a literatura ainda apresenta lacunas em relação a modelos formais de priorização de risco que integrem múltiplas fontes de evidência de vulnerabilidades.

3. Threat Model and Problem Formalization

Assumimos um adversário remoto com acesso à aplicação por meio de interfaces HTTP ou HTTPS expostas publicamente. O adversário possui capacidade de enviar entradas arbitrárias, explorar vulnerabilidades conhecidas e utilizar ferramentas automatizadas de exploração. Exemplos incluem scanners de vulnerabilidades, frameworks de exploração e ferramentas de fuzzing de parâmetros web.

Consideramos o conjunto de vulnerabilidades detectadas como:

$$ V = {v_1, v_2, …, v_n} $$

Cada vulnerabilidade $v_i$ é caracterizada por um conjunto de atributos observáveis:

• Severidade CVSS: $S_i$
• Probabilidade de exploração: $E_i$
• Impacto de negócio estimado: $B_i$
• Grau de exposição operacional: $X_i$

A partir desses fatores definimos uma função de risco agregada:

$$ R_i = S_i \cdot E_i \cdot B_i \cdot X_i $$

O objetivo do sistema de priorização é minimizar o impacto acumulado das vulnerabilidades ao longo do tempo de remediação:

$$ \min \sum_{i=1}^{n} R_i \cdot t_i $$

onde $t_i$ representa o tempo necessário para corrigir a vulnerabilidade $v_i$.

Para que o sistema seja operacionalmente útil, definimos três propriedades desejáveis:

• Correção: vulnerabilidades com maior risco devem possuir maior prioridade de correção.
• Completude: cobertura mínima de 90% das categorias do OWASP Top 10.
• Eficiência: impacto inferior a 15% no tempo total de execução do pipeline CI/CD.

Esse modelo permite integrar resultados provenientes de múltiplas ferramentas de análise e dados operacionais, produzindo uma métrica única de priorização.

4. Proposed Methodology

A arquitetura proposta organiza o processo de análise em quatro camadas principais.

A primeira camada consiste em análise estática de código utilizando ferramentas SAST. Nessa fase, o código‑fonte é examinado em cada commit, permitindo identificar vulnerabilidades estruturais antes da implantação.

A segunda camada consiste em análise dinâmica automatizada executada em ambientes de teste ou staging. Nessa etapa são simulados ataques reais contra a aplicação em execução.

A terceira camada incorpora telemetria operacional, incluindo logs de aplicação, métricas de infraestrutura e eventos de rede coletados por sistemas de monitoramento e detecção de intrusão.

A quarta camada implementa o motor de priorização quantitativa que correlaciona todos os sinais coletados.

O algoritmo de priorização é descrito a seguir.

Algorithm 1 RiskPrioritization(V)

Input: V = {v1,...,vn}
Output: Lista ordenada L

for each vi in V:
    Ri = Si  Ei  Bi  Xi

sort V by Ri in descending order

return L

A complexidade computacional do algoritmo é $O(n \log n)$ devido ao processo de ordenação.

No pipeline de integração contínua, a execução ocorre em etapas sequenciais:

• Execução de SAST durante a fase de build.
• Análise de dependências via SCA.
• Implantação em ambiente de staging.
• Execução de varredura DAST automatizada.
• Correlação de eventos de telemetria e priorização de vulnerabilidades.

Essa arquitetura permite retroalimentação contínua entre detecção de vulnerabilidades e observabilidade operacional.

5. Implementation

Implementamos o framework em um ambiente baseado em contêineres utilizando Kubernetes 1.27. O ambiente experimental emprega ferramentas amplamente adotadas no ecossistema de segurança de aplicações.

Componente	Ferramenta
SAST	SonarQube 9.9 LTS
SAST leve	Semgrep 1.45
DAST	OWASP ZAP 2.12
SCA	Trivy 0.45
Observabilidade	Elastic Stack 8.10
IDS/IPS	Suricata 6.0

Um exemplo de regra Semgrep utilizada para detectar possíveis vulnerabilidades de SQL Injection é apresentado a seguir.

rules:
- id: sql-injection
  patterns:
    - pattern: $DB.query("SELECT ..." + $VAR)
  message: Possible SQL Injection
  severity: ERROR
  languages: [java, javascript, python]

Para correlação de eventos de rede, utilizamos regras de detecção no Suricata capazes de identificar padrões associados a exploração de injeção SQL.

alert http any any -> any any (msg:"Possible SQL Injection attempt"; content:"UNION SELECT"; nocase; sid:1000001;)

Eventos detectados pelo IDS são enviados ao Elastic Stack e correlacionados com resultados de análise de código e de varredura dinâmica.

6. Experimental Evaluation

A avaliação experimental foi conduzida em um ambiente controlado composto por três servidores Dell PowerEdge R740.

Parâmetro	Valor
Memória total	128 GB
vCPUs	32
Número de aplicações	12
Linhas de código analisadas	1,8 milhão

Definimos dois cenários de baseline para comparação:

1. Pipeline tradicional baseado apenas em SAST.
2. Pipeline com SAST e DAST sem priorização contextual.

Os resultados obtidos são apresentados a seguir.

Métrica	Baseline	Proposto
MTTR médio	18,4 dias	11,6 dias
Falsos positivos críticos	31%	18%
Cobertura OWASP Top 10	71%	92%
Overhead CI/CD	9%	13%

Observamos redução significativa no tempo médio de remediação e melhoria substancial na cobertura de vulnerabilidades críticas. O impacto adicional no pipeline de integração contínua permaneceu dentro do limite de eficiência definido no modelo.

7. Case Study

Aplicamos o framework em um cenário representativo de plataforma de comércio eletrônico composta por 24 microsserviços desenvolvidos em Spring Boot. Os serviços expõem APIs REST utilizadas por aplicações web e móveis.

O processo iniciou‑se com modelagem de ameaças utilizando o método STRIDE (SHOSTACK, 2014). Em seguida, executamos análise SAST e SCA durante o processo de build. A aplicação foi implantada em ambiente de staging, onde executamos varreduras DAST automatizadas com OWASP ZAP.

Durante a fase de testes, o sistema de telemetria detectou padrões de requisição compatíveis com tentativa de exploração de SQL Injection em endpoints expostos publicamente. A correlação entre telemetria de rede e resultados de análise estática elevou o valor de $X_i$ no modelo de risco, aumentando a prioridade de remediação.

Essa priorização permitiu correção rápida da vulnerabilidade antes da implantação em produção, demonstrando a utilidade prática do modelo.

8. Discussion

Os resultados experimentais indicam que a integração sistemática de múltiplas técnicas de análise de segurança pode reduzir significativamente o volume de alertas irrelevantes e melhorar a priorização de vulnerabilidades críticas. A utilização de telemetria operacional fornece contexto adicional que frequentemente não está disponível em ferramentas de análise isoladas.

Outro aspecto relevante é a integração com frameworks de inteligência de ameaças como MITRE ATT&CK, que facilita o alinhamento entre equipes de AppSec e centros de operações de segurança (SOC). Esse alinhamento permite que vulnerabilidades identificadas durante o desenvolvimento sejam correlacionadas com táticas reais observadas em campanhas de ataque.

Em 2023 também emergiram novas preocupações relacionadas ao uso de modelos de inteligência artificial em aplicações, incluindo riscos de exposição de dados sensíveis e ataques de prompt injection em sistemas baseados em grandes modelos de linguagem (OWASP, 2023). Embora não sejam o foco central deste trabalho, tais riscos reforçam a necessidade de abordagens de segurança integradas ao ciclo de desenvolvimento.

Entre as limitações observadas estão a dependência da qualidade das regras de análise estática e a cobertura incompleta de caminhos de execução em testes dinâmicos. Ambientes altamente distribuídos podem exigir instrumentação adicional para coleta eficaz de telemetria.

9. Conclusion

Apresentamos uma arquitetura formal e operacional para integração de segurança de aplicações ao ciclo de desenvolvimento de software. A proposta combina técnicas de análise estática, dinâmica e interativa com dados de telemetria operacional para produzir um modelo quantitativo de priorização de vulnerabilidades.

A avaliação experimental demonstrou que a abordagem reduz significativamente o tempo médio de remediação e melhora a cobertura de vulnerabilidades relevantes, mantendo impacto limitado no desempenho do pipeline CI/CD.

Os resultados sugerem que a integração estruturada de AppSec e observabilidade operacional pode aumentar substancialmente a eficácia de programas de segurança de aplicações em ambientes modernos de desenvolvimento.

Trabalhos futuros incluem investigação de técnicas de fuzzing orientado por cobertura para ampliar detecção de vulnerabilidades e aplicação de métodos de aprendizado de máquina para ajuste adaptativo dos parâmetros de risco.

References

BEHL, Abhishek; BEHL, Kanika. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Disponível em: https://global.oup.com/academic/product/cybersecurity-and-cyberwar-9780198801269. Acesso em: 10 jun. 2023.

CHESS, Brian; WEST, Jacob. Secure Programming with Static Analysis. Boston: Addison‑Wesley, 2007. Disponível em: https://www.pearson.com/en-us/subject-catalog/p/secure-programming-with-static-analysis/P200000003312. Acesso em: 10 jun. 2023.

ENISA. Threat Landscape 2023. European Union Agency for Cybersecurity, 2023. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2023. Acesso em: 12 out. 2023.

GREEN, Matthew; SMITH, Matthew. The Cryptopals Crypto Challenges. 2016. Disponível em: https://cryptopals.com. Acesso em: 20 jul. 2023.

HUANG, Yao‑Wen et al. Web application security assessment by fault injection and behavior monitoring. Proceedings of the 12th International World Wide Web Conference. New York: ACM, 2003. Disponível em: https://doi.org/10.1145/775152.775174. Acesso em: 15 jun. 2023.

JOHNSON, Brittany et al. Why don’t software developers use static analysis tools to find bugs? International Conference on Software Engineering. IEEE, 2013. Disponível em: https://doi.org/10.1109/ICSE.2013.6606613. Acesso em: 12 jul. 2023.

KIM, Gene et al. The DevOps Handbook. Portland: IT Revolution Press, 2016. Disponível em: https://itrevolution.com/the-devops-handbook. Acesso em: 20 jul. 2023.

MITRE CORPORATION. MITRE ATT&CK Framework. 2023. Disponível em: https://attack.mitre.org. Acesso em: 15 out. 2023.

NATIONAL INSTITUTE OF STANDARDS AND TECHNOLOGY. National Vulnerability Database (NVD). 2023. Disponível em: https://nvd.nist.gov. Acesso em: 10 out. 2023.

NIST. Framework for Improving Critical Infrastructure Cybersecurity. Version 1.1. 2018. Disponível em: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04162018.pdf. Acesso em: 12 jul. 2023.

OWASP FOUNDATION. OWASP Top 10:2021 – The Ten Most Critical Web Application Security Risks. 2021. Disponível em: https://owasp.org/Top10. Acesso em: 12 jun. 2023.

OWASP FOUNDATION. OWASP Top 10 for Large Language Model Applications. 2023. Disponível em: https://owasp.org/www-project-top-10-for-large-language-model-applications. Acesso em: 20 out. 2023.

SCANDARIATO, Riccardo et al. Static analysis versus dynamic analysis for vulnerability detection. IEEE Transactions on Software Engineering, 2013. Disponível em: https://doi.org/10.1109/TSE.2012.61. Acesso em: 12 jul. 2023.

SHOSTACK, Adam. Threat Modeling: Designing for Security. Indianapolis: Wiley, 2014. Disponível em: https://www.wiley.com/en-us/Threat+Modeling. Acesso em: 10 jul. 2023.

SOMMERVILLE, Ian. Software Engineering. 10. ed. Boston: Pearson, 2015. Disponível em: https://www.pearson.com. Acesso em: 10 jul. 2023.

STALLINGS, William; BROWN, Lawrie. Computer Security: Principles and Practice. 4. ed. Boston: Pearson, 2018. Disponível em: https://www.pearson.com. Acesso em: 10 jul. 2023.

VERIZON. 2023 Data Breach Investigations Report. 2023. Disponível em: https://www.verizon.com/business/resources/reports/dbir. Acesso em: 15 jun. 2023.

WEIDMAN, Georgia. Penetration Testing: A Hands‑On Introduction to Hacking. San Francisco: No Starch Press, 2014. Disponível em: https://nostarch.com/pentesting. Acesso em: 12 jul. 2023.

ALLAIRE, Jeremy et al. Observability Engineering. Sebastopol: O’Reilly Media, 2022. Disponível em: https://www.oreilly.com/library/view/observability-engineering/9781492076438. Acesso em: 10 jul. 2023.

BEHL, Abhishek. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford University Press, 2017. Disponível em: https://academic.oup.com. Acesso em: 10 jul. 2023.

SANS INSTITUTE. CWE Top 25 Most Dangerous Software Weaknesses. 2023. Disponível em: https://cwe.mitre.org/top25/archive/2023/2023_top25_list.html. Acesso em: 15 out. 2023.

KREBS, Brian. Spam Nation. Naperville: Sourcebooks, 2014. Disponível em: https://krebsonsecurity.com. Acesso em: 10 jul. 2023.

U.S. HOUSE OF REPRESENTATIVES. The Equifax Data Breach. Committee on Oversight and Government Reform Report, 2018. Disponível em: https://oversight.house.gov/report/the-equifax-data-breach. Acesso em: 10 jul. 2023.

ALLSPAW, John. The Art of Capacity Planning. Sebastopol: O’Reilly Media, 2008. Disponível em: https://www.oreilly.com. Acesso em: 10 jul. 2023.

HUMBLE, Jez; FARLEY, David. Continuous Delivery. Boston: Addison‑Wesley, 2011. Disponível em: https://www.pearson.com. Acesso em: 10 jul. 2023.