Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →112 papers
Uma Arquitetura Formal e Operacional para AppSec Orientado a Ameaças: Integração de SAST, DAST, SCA, Telemetria Runtime e Inteligência ATT&CK para Priorização Baseada em Risco Explorável
A superfície de ataque de aplicações modernas expandiu-se substancialmente com a adoção de arquiteturas baseadas em microserviços, APIs, contêineres e pipelines de integração e entrega contínua. Embora ferramentas de segurança de aplicações como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) e Software Composition Analysis (SCA) sejam amplamente utilizadas, tais mecanismos frequentemente operam de forma isolada, produzindo grandes volumes de alertas que carecem de contextualização operacional. Consequentemente, equipes de segurança enfrentam dificuldades em priorizar vulnerabilidades com base na probabilidade real de exploração. Neste trabalho apresentamos uma arquitetura formal e operacional para segurança de aplicações orientada a ameaças, que integra resultados de SAST, DAST e SCA com telemetria de execução coletada em tempo de execução por meio de sensores de rede e monitoramento baseado em eBPF. A arquitetura proposta utiliza correlação probabilística inspirada em modelos bayesianos para estimar o risco explorável de vulnerabilidades identificadas, incorporando evidências empíricas provenientes de eventos observados em runtime e alinhando tais evidências ao framework MITRE ATT&CK. Formalizamos matematicamente o conceito de risco explorável e demonstramos como múltiplas fontes de evidência podem ser combinadas para reduzir falsos positivos e melhorar a priorização de remediações. A implementação experimental foi realizada em ambiente Kubernetes com integração em pipeline CI/CD, utilizando ferramentas amplamente adotadas na indústria, incluindo Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco e Suricata. Avaliamos a abordagem em um conjunto de aplicações vulneráveis e observamos melhorias significativas na precisão da identificação de vulnerabilidades exploráveis. Os resultados experimentais indicam aumento do F1-score de 0,67–0,63 em abordagens isoladas para 0,85 no modelo integrado, além de redução de 37,4% em falsos positivos e diminuição do tempo médio de triagem de vulnerabilidades. Discutimos limitações do modelo probabilístico, implicações operacionais para práticas DevSecOps e possíveis extensões, incluindo integração com métricas de exploração como EPSS e análise assistida por aprendizado de máquina para priorização adaptativa. A arquitetura proposta demonstra que a correlação entre análise estática, testes dinâmicos, análise de dependências e telemetria operacional constitui um caminho promissor para reduzir a lacuna entre detecção de vulnerabilidades e detecção de exploração real.
Read paper →AppSecTÍTULO: Uma Arquitetura Formal e Operacional para AppSec Orientado por Ameaças: Integrando SAST, DAST, SCA, Telemetria de Runtime e Inteligência ATT&CK para Priorização Baseada em Risco Explorável
TÍTULO: Uma Arquitetura Formal e Operacional para AppSec Orientado por Ameaças: Integrando SAST, DAST, SCA, Telemetria de Runtime e Inteligência ATT&CK para Priorização Baseada em Risco Explorável RESUMO: TÍTULO: Uma Arquitetura Formal e Operacional para AppSec Orientado por Ameaças: Integrando SAST, DAST, SCA, Telemetria de Runtime e Inteligência ATT&CK para Priorização Baseada em Risco Explorável RESUMO: A superfície de ataque das aplicações modernas expandiu-se substancialmente com a adoção de arquiteturas baseadas em microsserviços, APIs, contêineres e pipelines de integração e entrega contínuas. Embora ferramentas de segurança de aplicações, como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) e Software Composition Analysis (SCA), sejam amplamente utilizadas, esses mecanismos frequentemente operam de forma isolada, produzindo grandes volumes de alertas sem contexto operacional. Consequentemente, as equipes de segurança enfrentam dificuldades para priorizar vulnerabilidades com base na probabilidade real de exploração. Neste trabalho, apresentamos uma arquitetura formal e operacional para segurança de aplicações orientada por ameaças que integra resultados de SAST, DAST e SCA com telemetria de execução em runtime coletada por meio de sensores de rede e monitoramento baseado em eBPF. A arquitetura proposta utiliza correlação probabilística inspirada em modelos bayesianos para estimar o risco explorável das vulnerabilidades identificadas, incorporando evidências empíricas de eventos observados em runtime e alinhando tais evidências ao framework MITRE ATT&CK. Formalizamos matematicamente o conceito de risco explorável e demonstramos como múltiplas fontes de evidência podem ser combinadas para reduzir falsos positivos e melhorar a priorização de correções. A implementação experimental foi realizada em um ambiente Kubernetes com integração a um pipeline de CI/CD, utilizando ferramentas amplamente adotadas na indústria, incluindo Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco e Suricata. Avaliamos a abordagem em um conjunto de aplicações vulneráveis e observamos melhorias significativas na acurácia da identificação de vulnerabilidades exploráveis. Os resultados experimentais indicam um aumento do F1-score de 0,67–0,63 em abordagens isoladas para 0,85 no modelo integrado, bem como uma redução de 37,4% nos falsos positivos e uma diminuição no tempo médio necessário para a triagem de vulnerabilidades. Discutimos limitações do modelo probabilístico, implicações operacionais para práticas de DevSecOps e possíveis extensões, incluindo integração com métricas de exploração como EPSS e análise assistida por machine learning para priorização adaptativa. A arquitetura proposta demonstra que correlacionar análise estática, testes dinâmicos, análise de dependências e telemetria operacional constitui um caminho promissor para reduzir a lacuna entre a detecção de vulnerabilidades e a detecção de exploração real.
Read paper →AppSecTÍTULO: Uma Arquitetura Formal e Operacional para AppSec Orientada por Ameaças: Integrando SAST, DAST, SCA, Telemetria de Runtime e Inteligência ATT&CK para Priorização Baseada em Risco Exploitável
TÍTULO: Uma Arquitetura Formal e Operacional para AppSec Orientada por Ameaças: Integrando SAST, DAST, SCA, Telemetria de Runtime e Inteligência ATT&CK para Priorização Baseada em Risco Exploitável RESUMO: O superfície de ataque das aplicações modernas expandiu-se substancialmente com a adoção de arquiteturas baseadas em microsserviços, APIs, containers e pipelines de integração e entrega contínuas. Embora ferramentas de segurança de aplicações, como Static Application Security Testing (SAST), Dynamic Application Security Testing (DAST) e Software Composition Analysis (SCA), sejam amplamente utilizadas, esses mecanismos frequentemente operam de forma isolada, produzindo grandes volumes de alertas que carecem de contexto operacional. Consequentemente, as equipes de segurança enfrentam dificuldades para priorizar vulnerabilidades com base na real probabilidade de exploração. Neste trabalho, प्रस्तुतiamo uma arquitetura formal e operacional para segurança de aplicações orientada por ameaças que integra resultados de SAST, DAST e SCA com telemetria de execução em runtime coletada por meio de sensores de rede e monitoramento baseado em eBPF. A arquitetura proposta utiliza correlação probabilística inspirada em modelos bayesianos para estimar o risco exploitável das vulnerabilidades identificadas, incorporando evidências empíricas de eventos de runtime observados e alinhando tais evidências com a estrutura MITRE ATT&CK. Formalizamos matematicamente o conceito de risco exploitável e demonstramos como múltiplas fontes de evidência podem ser combinadas para reduzir falsos positivos e melhorar a priorização de remediação. A implementação experimental foi realizada em um ambiente Kubernetes com integração a um pipeline de CI/CD, utilizando ferramentas amplamente adotadas na indústria, incluindo Semgrep, OWASP ZAP, OWASP Dependency-Check, Falco e Suricata. Avaliamos a abordagem em um conjunto de aplicações vulneráveis e observamos melhorias significativas na precisão da identificação de vulnerabilidades exploráveis. Os resultados experimentais indicam um aumento do F1-score de 0.67–0.63 em abordagens isoladas para 0.85 no modelo integrado, bem como uma redução de 37,4% nos falsos positivos e uma diminuição no tempo médio necessário para a triagem de vulnerabilidades. Discutimos limitações do modelo probabilístico, implicações operacionais para práticas de DevSecOps e possíveis extensões, incluindo integração com métricas de exploração como EPSS e análise assistida por machine learning para priorização adaptativa. A arquitetura proposta demonstra que correlacionar análise estática, testes dinâmicos, análise de dependências e telemetria operacional constitui um caminho promissor para reduzir a lacuna entre a detecção de vulnerabilidades e a detecção de exploração real.
Read paper →AppSecAppSec Orientada a Evidências: Um Framework Formal e Escalável para Orquestração de Segurança de Aplicações Baseada em Modelagem de Ameaças e Análise Híbrida Contínua
A segurança de aplicações tornou-se um componente central da segurança cibernética moderna devido à crescente dependência de arquiteturas distribuídas, microserviços, APIs públicas e cadeias complexas de dependências open‑source. A superfície de ataque de sistemas contemporâneos cresce proporcionalmente à interconectividade entre componentes, tornando insuficientes abordagens tradicionais que analisam vulnerabilidades de forma isolada. Em ambientes DevSecOps contemporâneos, ferramentas como análise estática (SAST), análise dinâmica (DAST) e análise de composição de software (SCA) produzem grandes volumes de alertas, frequentemente caracterizados por alta taxa de falsos positivos e priorização inadequada de riscos. Este trabalho propõe um framework formal denominado EO‑AppSec (Evidence‑Oriented Application Security), que integra múltiplas fontes de evidência de segurança em um modelo probabilístico unificado para priorização de vulnerabilidades. Formalizamos o problema utilizando inferência bayesiana combinada com métricas CVSS contextualizadas e modelagem de dependências de componentes representadas por grafos direcionados. O framework correlaciona resultados de ferramentas SAST, DAST e SCA, além de telemetria operacional, para estimar a probabilidade de exploração de vulnerabilidades e calcular um escore de risco condicional. A arquitetura proposta integra pipelines CI/CD e infraestruturas cloud‑native, incluindo ambientes Kubernetes e plataformas de observabilidade baseadas em eBPF e stacks de telemetria modernas. Avaliamos o sistema em um ambiente industrial contendo 47 aplicações e aproximadamente 3,2 milhões de linhas de código, comparando‑o com abordagens tradicionais baseadas em análise isolada. Os resultados demonstram aumento significativo na precisão da priorização de vulnerabilidades (0,89) e redução de falsos positivos em 42,3%, além de redução do tempo médio de remediação de 14,2 para 8,7 dias. Discutimos implicações práticas para governança de segurança de software e integração com frameworks contemporâneos de segurança, incluindo o NIST Secure Software Development Framework e práticas modernas de segurança em pipelines DevSecOps. Também analisamos limitações metodológicas e implicações para ambientes que incorporam componentes de inteligência artificial e modelos de linguagem de grande escala em aplicações modernas. Os resultados indicam que a orquestração baseada em evidências oferece um caminho viável para reduzir ruído operacional e melhorar a eficácia de programas de AppSec em escala industrial.
Read paper →AppSecUma Arquitetura Quantitativa e Operacional de Application Security Baseada na Integração de SAST, DAST, SCA e Threat Intelligence no Ciclo DevSecOps
A segurança de aplicações (Application Security – AppSec) tornou-se um componente central da gestão de risco em ambientes digitais modernos. A crescente adoção de arquiteturas baseadas em microsserviços, APIs expostas, contêineres e pipelines de entrega contínua ampliou significativamente a superfície de ataque das organizações. Embora diversas ferramentas de análise de segurança estejam amplamente disponíveis, muitas organizações ainda enfrentam dificuldades para priorizar vulnerabilidades com base no risco real de exploração. Ferramentas de análise estática (SAST), análise dinâmica (DAST) e análise de composição de software (SCA) frequentemente produzem grandes volumes de achados, muitos dos quais possuem baixo impacto operacional ou alta taxa de falsos positivos. Este trabalho propõe uma arquitetura quantitativa para programas de AppSec orientados a risco, integrando resultados de SAST, DAST e SCA com fontes externas de inteligência de ameaças. Apresentamos um modelo formal de priorização baseado em uma função de risco que combina pontuações CVSS, evidência de exploit público, contexto de exposição da aplicação e mapeamento a técnicas do framework MITRE ATT&CK. A arquitetura proposta é integrada a pipelines DevSecOps e utiliza mecanismos de correlação e normalização de vulnerabilidades por meio de plataformas de gerenciamento como DefectDojo. Avaliamos empiricamente a abordagem em um conjunto de 42 aplicações reais desenvolvidas em Java, Python e Node.js. Os resultados indicam redução significativa de vulnerabilidades duplicadas, diminuição da taxa de falsos positivos e melhora substancial no tempo médio de remediação (MTTR). Observou-se redução de 63% no MTTR e diminuição de 44,7% no volume de achados após correlação entre scanners. Demonstramos ainda que a incorporação de inteligência de ameaças — incluindo presença de exploits públicos e observação de atividade adversária — melhora a priorização de remediações e direciona recursos para vulnerabilidades efetivamente exploráveis. Os resultados sugerem que programas de AppSec orientados por risco, quando integrados ao ciclo DevSecOps, oferecem ganhos mensuráveis na redução da superfície de ataque e na eficiência operacional de equipes de segurança.
Read paper →AppSecTÍTULO: Uma Arquitetura Quantitativa para Segurança de Aplicações Baseada em Modelagem Formal de Ameaças, Integração de SAST/DAST/SCA e Telemetria em Tempo de Execução em Ambientes DevSecOps
TÍTULO: Uma Arquitetura Quantitativa para Segurança de Aplicações Baseada em Modelagem Formal de Ameaças, Integração de SAST/DAST/SCA e Telemetria em Tempo de Execução em Ambientes DevSecOps RESUMO: TÍTULO: Uma Arquitetura Quantitativa para Segurança de Aplicações Baseada em Modelagem Formal de Ameaças, Integração de SAST/DAST/SCA e Telemetria em Tempo de Execução em Ambientes DevSecOps RESUMO: A crescente dependência de aplicações web, APIs e arquiteturas baseadas em microsserviços expandiu significativamente a superfície de ataque dos sistemas modernos. Relatórios recentes de incidentes indicam que a exploração de aplicações expostas à Internet continua entre os vetores de intrusão mais frequentes, muitas vezes aproveitando vulnerabilidades conhecidas em bibliotecas, falhas de validação de entrada ou configurações inadequadas. Embora ferramentas de segurança de aplicações, como análise estática (SAST), análise dinâmica (DAST) e análise de composição de software (SCA), sejam amplamente utilizadas em pipelines DevSecOps, esses mecanismos normalmente operam de forma fragmentada e sem uma estrutura quantitativa que permita estimar o risco residual do sistema. Este trabalho propõe uma arquitetura integrada de Application Security baseada em modelagem formal de ameaças, agregação de resultados de múltiplas fontes de análise e incorporação de telemetria de execução em tempo real. Formalizamos o problema de priorização de vulnerabilidades como um processo de minimização ponderada do risco residual, no qual cada vulnerabilidade é avaliada com base em métricas de probabilidade de explorabilidade, impacto potencial e contexto operacional. A arquitetura proposta integra ferramentas de análise estática, dinâmica e de dependências com mecanismos de observabilidade de segurança, incluindo detecção comportamental em runtime e coleta contínua de eventos. Avaliamos experimentalmente a abordagem em um ambiente composto por aplicações deliberadamente vulneráveis e microsserviços reais executados em infraestrutura conteinerizada. Os resultados indicam uma melhoria significativa na capacidade de identificar vulnerabilidades efetivamente exploráveis, com um aumento médio de recall para 91,3% e uma redução de 63,4% no mean time to detect (MTTD) em comparação com abordagens isoladas. A sobrecarga computacional observada permaneceu abaixo de 20%, compatível com os requisitos operacionais de pipelines CI/CD modernos. Além disso, discutimos implicações para programas corporativos de AppSec, destacando a importância de integrar análise de código, monitoramento operacional e threat intelligence. A arquitetura proposta demonstra que a combinação de modelagem formal com telemetria em runtime fornece uma base sólida para a priorização contextualizada de vulnerabilidades e a redução efetiva do risco residual em sistemas de software contemporâneos.
Read paper →AppSecUma Arquitetura Quantitativa de Application Security Baseada em Modelagem Formal de Ameaças, Integração SAST/DAST/SCA e Telemetria Runtime em Ambientes DevSecOps
A crescente dependência de aplicações web, APIs e arquiteturas baseadas em microserviços ampliou significativamente a superfície de ataque de sistemas modernos. Relatórios recentes de incidentes indicam que a exploração de aplicações expostas à internet permanece entre os vetores de intrusão mais frequentes, frequentemente explorando vulnerabilidades conhecidas em bibliotecas, falhas de validação de entrada ou configurações inadequadas. Embora ferramentas de segurança de aplicações, como análise estática (SAST), análise dinâmica (DAST) e análise de composição de software (SCA), sejam amplamente utilizadas em pipelines DevSecOps, tais mecanismos normalmente operam de forma fragmentada e sem uma estrutura quantitativa que permita estimar o risco residual do sistema. Este trabalho propõe uma arquitetura integrada de Application Security baseada em modelagem formal de ameaças, agregação de resultados provenientes de múltiplas fontes de análise e incorporação de telemetria de execução em tempo real. Formalizamos o problema de priorização de vulnerabilidades como um processo de minimização de risco residual ponderado, no qual cada vulnerabilidade é avaliada a partir de métricas de probabilidade de exploração, impacto potencial e contexto operacional. A arquitetura proposta integra ferramentas de análise estática, dinâmica e de dependências com mecanismos de observabilidade de segurança, incluindo detecção comportamental em runtime e coleta contínua de eventos. Avaliamos experimentalmente a abordagem em um ambiente composto por aplicações deliberadamente vulneráveis e microserviços reais executados em infraestrutura containerizada. Os resultados indicam melhoria significativa na capacidade de identificar vulnerabilidades efetivamente exploráveis, com aumento de recall médio para 91,3% e redução de 63,4% no tempo médio de detecção (MTTD) em comparação com abordagens isoladas. O overhead computacional observado permaneceu inferior a 20%, compatível com requisitos operacionais de pipelines CI/CD modernos. Adicionalmente, discutimos implicações para programas corporativos de AppSec, destacando a importância da integração entre análise de código, monitoramento operacional e inteligência de ameaças. A arquitetura proposta demonstra que a combinação de modelagem formal com telemetria runtime fornece uma base sólida para priorização contextualizada de vulnerabilidades e redução efetiva do risco residual em sistemas de software contemporâneos.
Read paper →AppSecUma Arquitetura Formal para AppSec Contínua Baseada em Análise Híbrida, Modelagem de Ameaças Quantitativa e Orquestração Orientada a Risco
A crescente complexidade dos ecossistemas de software modernos — compostos por microsserviços, APIs expostas publicamente, dependências de código aberto e pipelines CI/CD altamente automatizados — ampliou substancialmente a superfície de ataque das aplicações. Vulnerabilidades como Log4Shell (CVE-2021-44228) e falhas recorrentes de injeção e controle de acesso inadequado demonstram que abordagens tradicionais de segurança de aplicações (AppSec) permanecem insuficientes frente a adversários adaptativos. Neste trabalho, propomos uma arquitetura integrada de AppSec contínua que combina análise estática (SAST), análise dinâmica (DAST), análise de composição de software (SCA) e modelagem quantitativa de ameaças, acopladas por um mecanismo de orquestração orientado a risco. Formalizamos o problema de priorização de vulnerabilidades como uma otimização multiobjetivo sob restrições operacionais, modelando o risco como $R = P(E) \times I$, onde $P(E)$ é a probabilidade estimada de exploração baseada em inteligência de ameaças e $I$ é o impacto mensurado via métricas CVSS e criticidade de ativos. Implementamos um protótipo sobre um pipeline DevSecOps com integração a GitHub Actions, SonarQube, OWASP ZAP e dependabot, avaliando-o em 47 aplicações reais de código aberto. Nossos resultados demonstram redução média de 38,7% no tempo de remediação (MTTR), aumento de 24,3% na taxa de detecção de vulnerabilidades críticas e redução de 41,2% em falsos positivos priorizados incorretamente, quando comparado a pipelines convencionais não orientados a risco. A contribuição central reside na formalização matemática da priorização e na integração operacional contínua, fornecendo garantias mensuráveis de melhoria na postura de segurança. Os resultados indicam que a incorporação de modelos quantitativos na orquestração de ferramentas de AppSec constitui avanço substancial para a maturidade de segurança em ambientes de desenvolvimento modernos.
Read paper →AppSecUma Arquitetura Formalmente Fundamentada para Application Security Contínua: Modelagem de Ameaças, Análise Híbrida e Priorização Quantitativa de Riscos em Pipelines DevSecOps
A crescente complexidade dos ecossistemas de software, caracterizada por arquiteturas distribuídas, microsserviços, dependências de terceiros e ciclos de entrega contínua, ampliou substancialmente a superfície de ataque das aplicações modernas. Relatórios recentes da Verizon Data Breach Investigations Report (DBIR) indicam que mais de 43% das violações exploram vulnerabilidades em aplicações web, enquanto o NVD registrou mais de 28.000 CVEs em 2023, muitos associados a falhas exploráveis remotamente. Neste trabalho, investigamos o problema de segurança de aplicações (AppSec) sob uma perspectiva formal e sistemática, propondo uma arquitetura integrada para detecção, priorização e mitigação contínua de vulnerabilidades em pipelines DevSecOps. Nossa metodologia combina análise estática (SAST), análise dinâmica (DAST), análise de composição de software (SCA) e modelagem probabilística de risco baseada em CVSS e métricas contextuais organizacionais. Introduzimos um modelo matemático para priorização de vulnerabilidades baseado na função $R(v) = P_e(v) \cdot I(v) \cdot C(v)$, onde $P_e$ representa probabilidade de exploração, $I$ impacto técnico e $C$ criticidade contextual. Avaliamos nossa abordagem em 42 aplicações open source e 8 sistemas corporativos reais, totalizando 3,2 milhões de linhas de código. Os resultados demonstram redução média de 37,4% no tempo de remediação (MTTR), aumento de 29,1% na taxa de detecção de vulnerabilidades críticas e redução de 41,8% em falsos positivos quando comparado a pipelines tradicionais baseados apenas em SAST. A arquitetura proposta apresenta overhead médio de 8,6% no tempo de build, mantendo viabilidade operacional. Concluímos que a integração formalmente orientada de técnicas híbridas, aliada à priorização quantitativa contextualizada, eleva substancialmente a eficácia de programas de AppSec em ambientes de alta cadência de desenvolvimento.
Read paper →AppSecAppSec Orientada por Evidências: Um Framework Formal e Escalável para Análise Contínua de Vulnerabilidades em Pipelines DevSecOps
A segurança de aplicações (Application Security – AppSec) tornou-se um dos principais vetores de risco no ecossistema digital contemporâneo, impulsionada pela adoção massiva de arquiteturas em microsserviços, integração contínua e dependências de código aberto. Vulnerabilidades exploradas em larga escala, como Log4Shell (CVE-2021-44228) e Spring4Shell (CVE-2022-22965), evidenciam limitações estruturais das abordagens tradicionais de análise estática (SAST), dinâmica (DAST) e composição de software (SCA). Neste trabalho, propomos um framework formal e orientado por evidências para AppSec contínua, denominado EASE (Evidence-Aware Security Enforcement), que integra análise estática incremental, modelagem formal de fluxos de dados e priorização probabilística de risco baseada em telemetria operacional. Nossa metodologia combina um modelo matemático de risco $R(v) = P_e(v) \cdot I(v) \cdot E(v)$, onde $P_e$ representa probabilidade de exploração estimada por aprendizado estatístico, $I$ o impacto contextual e $E$ a exposição dinâmica medida por dados de execução. Implementamos o framework em pipelines CI/CD reais contendo 312 repositórios (Java, Python e Node.js), totalizando 48 milhões de linhas de código. Os resultados experimentais indicam redução média de 37,4% em falsos positivos comparado a ferramentas SAST convencionais, diminuição de 42,1% no tempo médio de remediação (MTTR) e detecção antecipada de 91% das vulnerabilidades posteriormente catalogadas como críticas (CVSS ≥ 9.0). Além disso, a análise incremental reduziu o tempo de execução em 58% em comparação com varreduras completas. Contribuímos com (i) uma formalização rigorosa do problema de priorização de vulnerabilidades em ambientes DevSecOps, (ii) algoritmos eficientes para análise incremental com garantias de correção, e (iii) uma avaliação empírica em larga escala demonstrando ganhos substanciais de precisão e desempenho. O framework proposto estabelece fundamentos quantitativos para uma AppSec baseada em risco real, aproximando segurança de aplicação de práticas de engenharia orientadas por evidências.
Read paper →AppSecArquitetura Formal e Escalável para Application Security (AppSec) Baseada em Análise Híbrida Orientada a Grafos e Priorização Quantitativa de Risco
A crescente complexidade de aplicações distribuídas, baseadas em microsserviços e integradas a cadeias extensas de dependências open source, ampliou significativamente a superfície de ataque e a frequência de vulnerabilidades exploráveis. Incidentes recentes associados a falhas como Log4Shell (CVE-2021-44228) e vulnerabilidades de desserialização insegura evidenciam a inadequação de abordagens tradicionais de Application Security (AppSec) centradas exclusivamente em varreduras estáticas ou dinâmicas isoladas. Neste trabalho, propomos uma arquitetura formal e escalável de AppSec baseada em análise híbrida orientada a grafos, combinando análise estática (SAST), dinâmica (DAST), composição de software (SCA) e modelagem de ameaças automatizada por meio de grafos de dependência semântica e fluxo de dados interprocedural. Introduzimos um modelo matemático para priorização quantitativa de risco que integra métricas CVSS, probabilidade exploratória estimada por aprendizado estatístico e centralidade estrutural no grafo de chamadas. Implementamos um protótipo distribuído capaz de analisar aplicações com mais de 5 milhões de linhas de código, processando 1,2 milhões de nós de grafo com latência média de 38 minutos por pipeline CI/CD. Avaliamos o sistema em 42 projetos open source críticos (incluindo Apache Struts, Spring PetClinic, e NodeGoat), totalizando 9.317 vulnerabilidades conhecidas. Nossa abordagem reduziu falsos positivos em 37,4% comparativamente a ferramentas SAST tradicionais e aumentou a detecção de fluxos exploráveis reais em 28,9%. O mecanismo de priorização elevou a taxa de correção de vulnerabilidades críticas em ambientes de teste controlado em 41% dentro de ciclos de sprint de duas semanas. Os resultados demonstram que a integração formal de múltiplas técnicas sob um modelo unificado orientado a grafos oferece ganhos substanciais de precisão, escalabilidade e relevância operacional, contribuindo para a evolução do estado da arte em AppSec e para a integração efetiva de segurança no ciclo DevSecOps.
Read paper →AppSecUma Arquitetura Formalmente Fundamentada e Escalável para AppSec Contínuo: Integração de Análise Multimodal, Modelagem de Ameaças e Verificação Baseada em Propriedades em Pipelines DevSecOps
1. Introduction A transformação digital da última década alterou profundamente o paradigma de desenvolvimento e operação de sistemas de informação. Arquiteturas monolíticas foram progressivamente substituídas por ecossistemas distribuídos compostos por microsserviços, APIs RESTful e GraphQL, funções serverless, contêineres orquestrados (e.g., Kubernetes) e extensas cadeias de dependências externas. A adoção de práticas DevOps — e, subsequentemente, DevSecOps — reduziu ciclos de entrega de meses para dias ou horas, ao custo de expansão não linear da superfície de ataque. A exploração da vulne
Read paper →AppSecEngenharia de Segurança de Aplicações em Ambientes Cloud-Native: Modelagem de Ameaças, Instrumentação Runtime e Detecção Baseada em Telemetria em 2026
cloudsecurityalliance.org CIS. Kubernetes Benchmark. https://www.cisecurity.org NIST. Secure Software Development Framework (SSDF). https://csrc.nist.gov/publications/detail/sp/800-218/final GOOGLE. BeyondProd: A New Approach to Cloud Security. https://cloud.google.com/beyondprod MICROSOFT. Zero Trust Architecture. https://learn.microsoft.com/security/zero-trust ENISA. Software Supply Chain Security. https://www.enisa.europa.eu/publications/software-supply-chain-security OWASP. Software Assurance Maturity Model (SAMM). https://owaspsamm.org Figure 1: Árvore de Ameaças em Aplicações Clou
Read paper →AppSecUma Arquitetura Formalmente Fundamentada para AppSec Contínuo: Integração de Análise Estática, Dinâmica e Observabilidade Orientada a Ameaças com Garantias Quantificáveis
AtualizacaoBayesiana AtualizacaoBayesiana --> Priorizacao Priorizacao --> Mitigacao Mitigacao --> Monitoramento ``` Cada transição corresponde a um operador de atualização no grafo de dependência de vulnerabilidades. Definimos o grafo de vulnerabilidades como: $$ G = (V, E) $$ onde $V$ representa vulnerabilidades e $E$ dependências causais entre elas. A propagação de risco segue: $$ r_j' = r_j + \alpha \cdot r_i $$ quando existe aresta $(i,j)$. O parâmetro $\alpha$ representa fator de influência contextual derivado da topologia do sistema. Métodos de Verificação Aplicados Para valida
Read paper →AppSecUma Arquitetura Formal e Escalável para AppSec Contínua: Integração de Análise Estática Guiada por Modelos, Instrumentação Dinâmica Adaptativa e Verificação de Políticas com Garantias Quantificáveis
InstrumentationLevel = f(R_c) $$ onde níveis mais altos de risco ativam monitoramento adicional, como: - rastreamento de fluxo de dados - hooks adicionais de segurança - verificação de políticas em tempo real Esse mecanismo permite ajustar o custo operacional do sistema de segurança sem sacrificar cobertura de detecção. Referências Shostack, A. (2014). Threat Modeling: Designing for Security. Wiley. Manadhata, P., & Wing, J. (2011). An Attack Surface Metric. IEEE Transactions on Software Engineering. UcedaVelez, T., & Morana, M. (2015). Risk Centric Threat Modeling. Wiley. ZIMMERMAN
Read paper →AppSecUma Arquitetura Formal e Escalável para AppSec Contínuo Baseada em Análise Híbrida, Modelagem de Ameaças Orientada por MITRE ATT&CK e Priorização Quantitativa de Risco
1. Introduction A segurança de aplicações (Application Security – AppSec) constitui componente central da postura de segurança organizacional contemporânea. A transformação digital acelerada, a adoção de arquiteturas baseadas em microsserviços, APIs RESTful e GraphQL, computação serverless e plataformas Kubernetes ampliaram substancialmente a superfície de ataque exposta a adversários. Além disso, a incorporação de componentes de inteligência artificial, incluindo modelos de linguagem de grande porte (LLMs) integrados a aplicações corporativas, introduziu vetores adicionais de ameaça, como in
Read paper →