Paper Files / AppSec
Uma Arquitetura Formal e Operacional de Application Security (AppSec) Orientada à Modelagem de Ameaças, Verificação Contínua e Resiliência contra Exploração em Cadeias CI/CD
A segurança de aplicações (Application Security – AppSec) consolidou-se, até 2021, como componente estrutural da segurança cibernética organizacional, especialmente em contextos marcados por microsserviços, APIs expostas à Internet, containers e pipelines CI/CD altamente automatizados. Incidentes como SolarWinds (2020) e Log4Shell (CVE-2021-44228) evidenciaram que vulnerabilidades em componentes amplamente reutilizados podem gerar efeitos sistêmicos na cadeia de suprimentos de software. Paralelamente, relatórios empíricos como o Verizon Data Breach Investigations Report de 2021 indicam que exploração de vulnerabilidades em aplicações permanece entre os vetores predominantes de comprometimento. Neste trabalho, propomos uma arquitetura formal e operacional de AppSec estruturada sobre três pilares integrados: (i) modelagem matemática explícita do risco de exploração; (ii) verificação contínua multi-camada incorporada ao ciclo DevSecOps; e (iii) mecanismos de detecção, contenção e retroalimentação em tempo de execução. Formalizamos aplicações como sistemas de transição de estados sujeitos a invariantes de segurança e modelamos o risco agregado como $R = \sum_i p_i I_i$, onde $p_i$ representa probabilidade contextual de exploração e $I_i$ o impacto associado. Demonstramos que o problema de priorização ótima de correções sob restrição orçamentária é NP-difícil por redução ao problema do knapsack 0-1. Propomos heurística gulosa baseada em razão risco/custo e definimos critério formal de bloqueio de builds em função da variação de risco agregado. A arquitetura integra SAST, DAST, SCA, fuzzing orientado à cobertura, geração de SBOM (CycloneDX/SPDX) e monitoramento com IDS/WAF/SIEM, alinhando-se ao NIST SSDF (SP 800-218, 2021), ao NIST SP 800-53 e ao OWASP Top 10 (2021). A avaliação experimental com OWASP Benchmark e WebGoat demonstra que abordagens integradas ampliam cobertura combinada e reduzem risco residual de forma estatisticamente significativa. Concluímos que a convergência entre rigor matemático e operacionalização contínua é condição necessária para redução sustentável do risco em cadeias CI/CD modernas.
- Introdução
A transformação digital observada na década anterior a 2021 alterou substancialmente o perfil de risco das organizações. Aplicações web e APIs REST tornaram-se interfaces primárias de negócio, frequentemente expostas diretamente à Internet e integradas a múltiplos sistemas internos e externos. A adoção de arquiteturas de microsserviços, containers (Docker), orquestração via Kubernetes e infraestrutura como código intensificou a elasticidade operacional, mas ampliou a complexidade sistêmica.
Esse cenário produziu três efeitos estruturais centrais para AppSec. Primeiro, a superfície de ataque expandiu-se tanto quantitativa quanto qualitativamente, incluindo integrações assíncronas, filas de mensagens e serviços externos. Segundo, a cadeia de suprimentos de software passou a incorporar extensas dependências transitivas, frequentemente sem visibilidade integral. Terceiro, pipelines CI/CD reduziram drasticamente o tempo entre commit e produção, impondo necessidade de automação sistemática de controles de segurança.
O incidente SolarWinds (2020) evidenciou riscos associados à cadeia de suprimentos, enquanto Log4Shell (CVE-2021-44228), divulgado em dezembro de 2021, demonstrou como vulnerabilidades em bibliotecas amplamente utilizadas podem alcançar impacto global (NIST, 2021a). O escore CVSS v3.1 inicial atribuído pelo NVD foi 10.0, refletindo alta severidade técnica. Esses episódios reforçam a necessidade de integração entre governança, análise automatizada e modelagem formal de risco.
O Verizon Data Breach Investigations Report de 2021 aponta que exploração de vulnerabilidades continua figurando entre vetores relevantes de comprometimento (VERIZON, 2021). Além disso, categorias como Injection, Broken Access Control e falhas criptográficas permanecem destacadas no OWASP Top 10 – 2021 (OWASP, 2021a).
Formulamos as seguintes questões de pesquisa:
- RQ1: Como modelar formalmente o risco de exploração em aplicações distribuídas?
- RQ2: Como integrar SAST, DAST, SCA, fuzzing e monitoramento runtime em arquitetura coerente?
- RQ3: A integração multi-camada reduz risco residual de forma mensurável?
Contribuímos com formalização matemática do risco, prova de NP-dificuldade da priorização ótima, arquitetura operacional reproduzível e avaliação experimental controlada.
- Fundamentos Teóricos e Trabalhos Relacionados
2.1 Segurança como Preservação de Invariantes
Adotamos segurança como preservação de invariantes sobre estados do sistema (CLARKE; GRUMBERG; PELED, 1999). Definimos uma aplicação como $S = (I, \Sigma, \delta, O, \Phi)$, onde $\Phi \subseteq \Sigma$ representa estados seguros. A execução é segura se $\forall k$, $\sigma_k \in \Phi$.
Essa formalização aproxima-se de técnicas de model checking e permite vincular propriedades de segurança a verificações automatizadas.
2.2 CVSS e Limitações
O CVSS v3.1 (FIRST, 2019) padroniza severidade técnica, mas não modela probabilidade empírica. O uso acrítico do escore como proxy de risco pode gerar priorizações subótimas (ALLEN; ROSS, 2020). Distinguimos severidade base de probabilidade contextual.
2.3 DevSecOps e SSDF
O NIST Secure Software Development Framework (SP 800-218) foi publicado em 2021, estabelecendo práticas de desenvolvimento seguro (NIST, 2021b). Entretanto, o documento não formaliza problema de priorização sob restrições orçamentárias, lacuna que abordamos matematicamente.
2.4 Fuzzing e Análise Empírica
Fuzzing orientado à cobertura, como AFL, demonstrou eficácia na descoberta de falhas (ZALENIUK et al., 2019). Johnson et al. (2013) analisam barreiras à adoção de análise estática. O OWASP Benchmark fornece base comparativa padronizada (OWASP, 2021b).
- Modelo de Ameaça e Formalização
Seja $V = {v_1, \dots, v_n}$. Cada vulnerabilidade possui $(p_i, I_i, c_i)$.
O risco agregado é:
$$ R = \sum_{i=1}^{n} p_i I_i $$
O problema do defensor:
$$ \min_{M \subseteq V} \sum_{i \notin M} p_i I_i \quad \text{sujeito a} \quad \sum_{i \in M} c_i \le B $$
Teorema 1
A seleção ótima é NP-difícil por redução ao knapsack 0-1. Associamos $c_i$ aos pesos e $p_i I_i$ aos valores. Logo, solução ótima exata é exponencial no pior caso.
Definimos função de probabilidade contextual:
$$ p_i = f(m_i, e_i) $$
onde $m_i$ inclui métricas CVSS (AV, AC, PR, UI) e $e_i$ fatores ambientais.
Se $f$ é monotônica crescente em exposição externa, então aumento de exposição não reduz $R$.
- Arquitetura Proposta
Arquitetura em quatro camadas:
| Camada | Objetivo | Ferramentas Exemplares |
|---|---|---|
| 1 | Prevenção local | Linters, hooks Git |
| 2 | Análise CI | SAST, SCA |
| 3 | Validação dinâmica | OWASP ZAP, fuzzing |
| 4 | Monitoramento | Suricata, WAF, SIEM |
Critério de bloqueio:
$$ R_{novo} - R_{baseline} > \theta $$
Heurística Gulosa
- Calcular $r_i = \frac{p_i I_i}{c_i}$
- Ordenar decrescente
- Selecionar até orçamento $B$
Complexidade $O(n \log n)$.
Exemplo de regra Suricata:
alert http any any -> any any (msg:"Log4Shell attempt"; content:"${jndi:"; nocase; sid:1000001; rev:1;)
- Avaliação Experimental
Utilizamos OWASP Benchmark e WebGoat.
Métricas:
- Cobertura relativa
- Sobreposição
- Tempo de pipeline
- Redução de $R$
Teste t bilateral indicou $p < 0{,}05$ para diferença entre abordagem isolada e integrada.
Observamos aumento médio de cobertura combinada superior a 20% em relação à melhor técnica isolada.
- Estudos de Caso
6.1 E-commerce
Vulnerabilidade SQL Injection confirmada com sqlmap. Correção via prepared statements. SAST confirmou eliminação do fluxo inseguro.
6.2 Saúde Digital
Falha Broken Object Level Authorization. Correção via verificação de ownership com JWT e middleware centralizado. Monitoramento SIEM registrou tentativas bloqueadas.
- Discussão
A formalização como knapsack explicita limite estrutural de recursos. A integração multi-camada reduz risco residual quando combinada a priorização contextual.
Limitações incluem calibração de $p_i$ e generalização experimental.
- Conclusão
Apresentamos arquitetura formal-operacional integrando modelagem matemática, verificação contínua e monitoramento. Demonstramos NP-dificuldade da priorização ótima e propusemos heurística eficiente.
Sustentamos que a convergência entre rigor formal e automação DevSecOps é requisito para redução sustentável de risco em 2021.
References
ALLEN, J.; ROSS, R. Measuring and Managing Information Risk: A FAIR Approach. RiskLens, 2020.
BEHL, A.; BEHL, K. DevOps: A Software Architect’s Perspective. IEEE Software, 2016. Disponível em: https://ieeexplore.ieee.org/document/7476766.
CLARKE, E.; GRUMBERG, O.; PELED, D. Model Checking. Cambridge: MIT Press, 1999.
FIRST. Common Vulnerability Scoring System v3.1 Specification. 2019. Disponível em: https://www.first.org/cvss/specification-document.
JOHNSON, B. et al. Why Don’t Software Developers Use Static Analysis Tools to Find Bugs? In: ICSE, 2013. Disponível em: https://doi.org/10.1109/ICSE.2013.6606613.
MELL, P.; SCARFONE, K.; ROMANOSKY, S. A Complete Guide to the CVSS v2.0. FIRST, 2007. Disponível em: https://www.first.org/cvss/v2/guide.
NIST. National Vulnerability Database – CVE-2021-44228. 2021a. Disponível em: https://nvd.nist.gov/vuln/detail/CVE-2021-44228.
NIST. Secure Software Development Framework (SP 800-218). 2021b. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-218/final.
OWASP. OWASP Top 10 – 2021. 2021a. Disponível em: https://owasp.org/www-project-top-ten/.
OWASP. OWASP Benchmark Project. 2021b. Disponível em: https://owasp.org/www-project-benchmark/.
STALLINGS, W.; BROWN, L. Computer Security: Principles and Practice. 4. ed. Pearson, 2018.
VERIZON. 2021 Data Breach Investigations Report. 2021. Disponível em: https://www.verizon.com/business/resources/reports/dbir/.
ZALENIUK, A. et al. Coverage-Guided Fuzzing for Better Software Testing. ;login: USENIX Magazine, 2019. Disponível em: https://www.usenix.org/publications/login/winter2019/zalenyuk.