Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →110 papers
Arquitetura DevSecOps Orientada por Risco com Correlação Multiestágio Baseada no MITRE ATT&CK e Evidências Empíricas em Pipelines CI/CD Nativos em Nuvem
A crescente adoção de arquiteturas nativas em nuvem e pipelines CI/CD altamente automatizados ampliou significativamente a superfície de ataque associada ao ciclo de vida de desenvolvimento de software. Incidentes amplamente documentados, incluindo comprometimentos de cadeia de suprimentos e exploração de vulnerabilidades amplamente distribuídas, demonstram que controles isolados de segurança são insuficientes quando não integrados a mecanismos de priorização contextual e correlação comportamental. Neste trabalho apresentamos uma arquitetura DevSecOps orientada por risco que integra análise estática de código, análise de dependências, geração e verificação de SBOM, validação de infraestrutura como código, detecção comportamental em tempo de execução e um motor formal de cálculo de risco contextual. A arquitetura utiliza o framework MITRE ATT&CK como ontologia para correlação multiestágio de eventos ao longo de todo o pipeline de desenvolvimento e execução. Realizamos uma análise crítica das limitações de abordagens baseadas exclusivamente em CVSS, demonstrando que a ausência de contextualização operacional frequentemente conduz à priorização inadequada de vulnerabilidades e à fadiga de alertas. Propomos uma formulação matemática do risco como função composta da probabilidade de exploração estimada por EPSS, impacto técnico normalizado e fatores dinâmicos de exposição operacional. Introduzimos definições formais de adversário, propriedades de correção do mecanismo de bloqueio de builds e um modelo probabilístico de correlação entre técnicas adversárias. A arquitetura foi implementada em ambiente Kubernetes utilizando GitLab CI, SonarQube, Semgrep, Trivy, Syft, Grype, OWASP ZAP, Falco, Suricata e Open Policy Agent. Avaliamos empiricamente o sistema ao longo de seis meses em um conjunto de microsserviços corporativos distribuídos em dois domínios organizacionais distintos. Os resultados indicam redução consistente no tempo médio de remediação, diminuição relativa de falsos positivos e impacto operacional limitado no tempo total de build. Os resultados empíricos sugerem que a integração entre modelagem formal de risco, inteligência de ameaças e automação de políticas pode melhorar significativamente a eficácia operacional de programas DevSecOps em ambientes nativos em nuvem.
Read paper →DevSecOpsDevSecOps Orientado a Ameaças: Arquitetura Formal para Integração de SAST, DAST, SCA e Telemetria Comportamental Baseada em MITRE ATT&CK em Pipelines CI/CD
A adoção massiva de arquiteturas cloud‑native e pipelines de integração e entrega contínua (CI/CD) transformou profundamente os processos de desenvolvimento de software. Entretanto, essa automação amplia significativamente a superfície de ataque quando mecanismos de segurança não são incorporados de forma sistemática ao ciclo de vida de desenvolvimento. Incidentes amplamente documentados, como o comprometimento da cadeia de suprimentos da SolarWinds e a exploração da vulnerabilidade CVE‑2021‑44228 (Log4Shell), demonstram que falhas na integração entre segurança de código, dependências e monitoramento em tempo de execução podem permitir comprometimentos em larga escala. Embora ferramentas de análise estática (SAST), análise dinâmica (DAST) e análise de composição de software (SCA) sejam amplamente utilizadas em pipelines DevSecOps, sua operação isolada frequentemente gera volumes elevados de alertas e dificulta a priorização baseada em risco real. Neste trabalho, propomos uma arquitetura DevSecOps orientada a ameaças que integra resultados de scanners de segurança com telemetria comportamental e mapeamento sistemático ao framework MITRE ATT&CK. Formalizamos matematicamente o cálculo de risco residual em pipelines CI/CD combinando métricas de severidade (CVSS), evidências de exploração observadas em runtime e criticidade contextual da aplicação. Introduzimos um algoritmo de priorização adaptativa que correlaciona vulnerabilidades detectadas em estágios estáticos com indicadores comportamentais provenientes de sistemas de detecção e observabilidade, como Falco e Suricata. Implementamos a arquitetura proposta em um ambiente corporativo baseado em GitLab CI/CD, Kubernetes e ferramentas amplamente utilizadas de segurança de aplicações, incluindo Semgrep, SonarQube, Trivy, Checkov e OWASP ZAP. Avaliamos empiricamente a abordagem em 120 pipelines envolvendo 48 microsserviços e aproximadamente 3,2 milhões de linhas de código ao longo de seis meses. Os resultados indicam redução significativa no tempo médio de detecção (MTTD), no tempo médio de remediação (MTTR) e na incidência de vulnerabilidades críticas em produção. Observamos também diminuição substancial na taxa de falsos positivos quando a priorização é orientada por telemetria comportamental e inteligência de ameaças. Esses resultados demonstram que a correlação sistemática entre análise de código, segurança da cadeia de suprimentos e detecção comportamental baseada em MITRE ATT&CK permite reduzir de forma mensurável o risco operacional em pipelines CI/CD modernos.
Read paper →DevSecOpsTÍTULO: Orquestração Verificável Criptograficamente de Pipelines DevSecOps: Modelos Formais, Arquitetura de Automação e Avaliação Experimental em um Ambiente Kubernetes Nativo de Nuvem
TÍTULO: Orquestração Verificável Criptograficamente de Pipelines DevSecOps: Modelos Formais, Arquitetura de Automação e Avaliação Experimental em um Ambiente Kubernetes Nativo de Nuvem RESUMO: O crescente uso de arquiteturas baseadas em microserviços e da orquestração Kubernetes consolidou os pipelines CI/CD como um elemento central da engenharia de software moderna. No entanto, essa automação ampliou significativamente a superfície de ataque da cadeia de suprimentos de software. Incidentes amplamente documentados ցույց mostraram que a adulteração de dependências, artefatos de build ou da infraestrutura do pipeline pode comprometer simultaneamente milhares de sistemas. Este estudo propõe um modelo formal para a orquestração verificável criptograficamente de pipelines DevSecOps em ambientes nativos de nuvem. O modelo representa um pipeline como um grafo acíclico direcionado no qual cada transformação de artefato é acompanhada por propriedades verificáveis de integridade, autenticidade e rastreabilidade. Além disso, formaliza indicadores quantitativos de risco operacional derivados de funções hash criptográficas, assinaturas digitais e pontuação baseada em vulnerabilidades CVSS. Com base nessa fundamentação teórica, desenvolvemos uma arquitetura de automação chamada OCV-DevSecOps que integra verificação de artefatos com Sigstore/Cosign, aplicação declarativa de políticas com Open Policy Agent, detecção de comportamento em tempo de execução com Falco e análise de vulnerabilidades com ferramentas SAST, SCA e DAST. A arquitetura também incorpora uma Software Bill of Materials (SBOM) no formato CycloneDX para apoiar a rastreabilidade de dependências e a governança da cadeia de suprimentos. Avaliamos experimentalmente a abordagem proposta em um cluster Kubernetes composto por 42 microserviços e 180 execuções de pipeline. Os resultados demonstraram uma redução significativa no tempo médio de detecção de vulnerabilidades críticas, uma melhora substancial na rastreabilidade dos artefatos e uma diminuição no número de implantações contendo defeitos críticos. Além disso, o impacto no tempo total de execução do pipeline foi moderado, preservando a viabilidade operacional. Esses resultados sugerem que a combinação de verificação criptográfica imposta, automação de políticas e monitoramento comportamental contínuo fornece um mecanismo eficaz para fortalecer a segurança dos pipelines DevSecOps modernos. Este estudo contribui ao fornecer uma formalização matemática do problema, uma arquitetura reproduzível e uma avaliação empírica baseada em infraestrutura nativa de nuvem real.
Read paper →DevSecOpsOrquestração Criptograficamente Verificável de Pipelines DevSecOps: Modelo Formal, Arquitetura Automatizada e Avaliação Experimental em Ambientes Kubernetes Nativos de Nuvem
A crescente adoção de arquiteturas baseadas em microsserviços e orquestração Kubernetes consolidou pipelines CI/CD como componente central da engenharia de software moderna. Contudo, essa automação ampliou significativamente a superfície de ataque das cadeias de suprimentos de software. Incidentes amplamente documentados demonstraram que a adulteração de dependências, artefatos de build ou infraestrutura de pipeline pode comprometer milhares de sistemas simultaneamente. Este trabalho propõe um modelo formal para orquestração criptograficamente verificável de pipelines DevSecOps em ambientes nativos de nuvem. O modelo representa pipelines como grafos direcionados acíclicos nos quais cada transformação de artefato é acompanhada de propriedades verificáveis de integridade, autenticidade e rastreabilidade. Formalizamos métricas quantitativas de risco operacional baseadas em funções hash criptográficas, assinaturas digitais e scoring derivado de vulnerabilidades CVSS. Sobre essa base teórica, desenvolvemos uma arquitetura automatizada denominada OCV-DevSecOps, que integra verificação de artefatos com Sigstore/Cosign, políticas declarativas com Open Policy Agent, detecção comportamental em tempo de execução com Falco e análise de vulnerabilidades com ferramentas SAST, SCA e DAST. A arquitetura também incorpora Software Bill of Materials (SBOM) em formato CycloneDX para rastreabilidade de dependências e suporte a governança de cadeia de suprimentos. Avaliamos experimentalmente a proposta em um cluster Kubernetes com 42 microsserviços e 180 execuções de pipeline. Os resultados indicam redução significativa no tempo médio de detecção de vulnerabilidades críticas, melhoria substancial na rastreabilidade de artefatos e redução do número de implantações contendo falhas críticas. Observamos ainda impacto moderado no tempo total de execução do pipeline, mantendo viabilidade operacional. Os resultados sugerem que a combinação de verificação criptográfica obrigatória, políticas automatizadas e monitoramento comportamental contínuo oferece um mecanismo eficaz para fortalecer a segurança de pipelines DevSecOps modernos. O trabalho contribui ao fornecer uma formalização matemática do problema, uma arquitetura reproduzível e uma avaliação empírica baseada em infraestrutura real de nuvem nativa.
Read paper →DevSecOpsTÍTULO: Orquestração Formal de Segurança em Pipelines CI/CD: Um Modelo Quantitativo de Risco para DevSecOps com Correlação MITRE ATT&CK e Métricas Operacionais
TÍTULO: Orquestração Formal de Segurança em Pipelines CI/CD: Um Modelo Quantitativo de Risco para DevSecOps com Correlação MITRE ATT&CK e Métricas Operacionais RESUMO: A adoção de práticas DevOps transformou profundamente o ciclo de vida de desenvolvimento de software ao priorizar automação, integração contínua e entrega contínua. No entanto, a aceleração dos pipelines CI/CD ampliou significativamente a superfície de ataque das organizações, especialmente no contexto de ataques à cadeia de suprimentos de software e da exploração de dependências vulneráveis. Incidentes amplamente documentados, como a compromissão da cadeia de distribuição do SolarWinds Orion (SUNBURST) e a exploração em larga escala da vulnerabilidade Log4Shell (CVE-2021-44228), demonstram que falhas introduzidas durante o processo de build ou por meio de dependências externas podem propagar impacto em escala global. Embora o paradigma DevSecOps proponha a integração de controles de segurança ao pipeline de desenvolvimento, a prática operacional ainda é caracterizada por integração superficial de ferramentas, ausência de métricas quantitativas de risco e falta de alinhamento entre as saídas de scanners automatizados e modelos formais de ameaça. Neste trabalho, propomos um modelo quantitativo para orquestração de segurança em pipelines CI/CD baseado em análise incremental de risco. O modelo formaliza o pipeline como um grafo acíclico dirigido e define uma função de risco acumulado que combina pontuação CVSS, probabilidade de exploração estimada via EPSS, criticidade do ativo e um fator temporal associado à idade da vulnerabilidade. Com base nessa formulação, introduzimos um mecanismo adaptativo de bloqueio que utiliza limiares dinâmicos para decidir automaticamente a promoção ou a rejeição de artefatos durante o processo de build. Implementamos o modelo em um ambiente Kubernetes utilizando ferramentas amplamente adotadas no ecossistema DevSecOps, incluindo Semgrep, SonarQube, Trivy, Syft/Grype, OWASP ZAP e Checkov, bem como monitoramento em runtime com Falco e correlação de eventos com a matriz MITRE ATT&CK. A avaliação experimental foi conduzida ao longo de 1.200 execuções de pipeline envolvendo 37 microsserviços. Os resultados indicam uma redução significativa na exposição a vulnerabilidades críticas em produção e uma diminuição no mean time to remediation sem impacto substancial no tempo de execução do pipeline. O estudo demonstra que a formalização matemática de risco em pipelines CI/CD possibilita decisões automatizadas mais consistentes e fornece uma base operacional para governança de segurança orientada por métricas em ambientes DevSecOps.
Read paper →DevSecOpsOrquestração Formal de Segurança em Pipelines CI/CD: Modelo Quantitativo de Risco para DevSecOps com Correlação MITRE ATT&CK e Métricas Operacionais
A adoção de práticas DevOps transformou profundamente o ciclo de desenvolvimento de software ao priorizar automação, integração contínua e entrega contínua. Entretanto, a aceleração dos pipelines CI/CD ampliou significativamente a superfície de ataque das organizações, sobretudo no contexto de ataques à cadeia de suprimentos de software e exploração de dependências vulneráveis. Incidentes amplamente documentados, como o comprometimento da cadeia de distribuição do SolarWinds Orion (SUNBURST) e a exploração massiva da vulnerabilidade Log4Shell (CVE‑2021‑44228), evidenciam que falhas introduzidas durante o processo de build ou dependências externas podem propagar impacto em escala global. Embora o paradigma DevSecOps proponha integrar controles de segurança ao pipeline de desenvolvimento, a prática operacional ainda é caracterizada por integração superficial de ferramentas, ausência de métricas quantitativas de risco e falta de alinhamento entre resultados de scanners automatizados e modelos formais de ameaça. Neste trabalho propomos um modelo quantitativo para orquestração de segurança em pipelines CI/CD baseado em análise incremental de risco. O modelo formaliza o pipeline como um grafo direcionado acíclico e define uma função de risco acumulado que combina pontuação CVSS, probabilidade de exploração estimada via EPSS, criticidade do ativo e fator temporal associado à idade da vulnerabilidade. A partir dessa formulação introduzimos um mecanismo de bloqueio adaptativo que utiliza limiares dinâmicos para decidir automaticamente a promoção ou rejeição de artefatos durante o processo de build. Implementamos o modelo em um ambiente Kubernetes utilizando ferramentas amplamente adotadas no ecossistema DevSecOps, incluindo Semgrep, SonarQube, Trivy, Syft/Grype, OWASP ZAP e Checkov, além de monitoramento em tempo de execução com Falco e correlação de eventos com a matriz MITRE ATT&CK. A avaliação experimental foi conduzida em 1.200 execuções de pipeline envolvendo 37 microsserviços. Os resultados indicam redução significativa da exposição a vulnerabilidades críticas em produção e diminuição do tempo médio de remediação sem impacto substancial no tempo de execução do pipeline. O estudo demonstra que a formalização matemática do risco em pipelines CI/CD permite decisões automatizadas mais consistentes e fornece uma base operacional para governança de segurança orientada por métricas em ambientes DevSecOps.
Read paper →DevSecOpsUm Framework Formal e Quantitativamente Avaliado para Orquestração Adaptativa de Controles de Segurança em Pipelines DevSecOps Baseado em Modelagem de Ameaças e Análise de Risco Contínua
A crescente adoção de práticas DevOps transformou radicalmente o ciclo de vida de desenvolvimento de software, mas introduziu novos vetores de ataque decorrentes da automação extensiva, infraestrutura como código e cadeias de suprimento complexas. Embora DevSecOps proponha a integração contínua de segurança ao pipeline de desenvolvimento, a maioria das implementações permanece ad hoc, carecendo de formalização matemática, modelagem rigorosa de ameaças e mecanismos adaptativos de priorização de controles. Neste trabalho, propomos um framework formal para orquestração adaptativa de controles de segurança em pipelines DevSecOps, fundamentado em modelagem probabilística de risco e integração com a matriz MITRE ATT&CK. Definimos formalmente o problema de minimização de risco residual sob restrições de latência e custo computacional, modelando o pipeline como um grafo direcionado acíclico com funções de risco associadas a cada estágio. Desenvolvemos dois algoritmos principais: (i) um mecanismo de priorização dinâmica de verificações de segurança baseado em risco marginal esperado e (ii) um orquestrador adaptativo que reconfigura o pipeline em tempo real com base em telemetria de execução. Implementamos o framework sobre GitLab CI/CD, Kubernetes e ferramentas como SAST, DAST, SCA e scanners de IaC, avaliando-o em 312 repositórios corporativos com 4.8 milhões de linhas de código. Os resultados demonstram redução média de 37,4% no tempo total de pipeline, diminuição de 52,1% no risco residual estimado e redução de 41,3% em falsos positivos em comparação com pipelines estáticos tradicionais. Além disso, observamos melhoria de 29,6% no tempo médio de correção (MTTR). Os resultados indicam que a formalização matemática da orquestração DevSecOps permite ganhos simultâneos de segurança e eficiência operacional, contribuindo para a consolidação científica do campo.
Read paper →DevSecOpsUma Arquitetura Formal e Quantitativamente Avaliada para Orquestração Adaptativa de Controles de Segurança em Pipelines DevSecOps Nativos em Nuvem
A aceleração dos ciclos de entrega de software impulsionada por práticas DevOps introduziu um paradoxo estrutural: a redução do tempo de desenvolvimento ampliou a superfície de ataque e a frequência de introdução de vulnerabilidades. DevSecOps emerge como resposta, integrando controles de segurança ao longo do pipeline de integração e entrega contínua (CI/CD). Contudo, abordagens existentes permanecem predominantemente heurísticas, carecendo de formalização rigorosa, modelagem de ameaças sistemática e avaliação quantitativa abrangente. Neste trabalho, propomos uma arquitetura formal para orquestração adaptativa de controles de segurança em pipelines DevSecOps nativos em nuvem, fundamentada em modelagem matemática de risco e otimização multiobjetivo. Nossa metodologia combina análise estática (SAST), análise dinâmica (DAST), varredura de dependências (SCA), análise de infraestrutura como código (IaC) e detecção comportamental orientada a MITRE ATT&CK, integradas por um mecanismo de priorização baseado em função de risco $R = P \cdot I \cdot E$, onde $P$ representa probabilidade explorável, $I$ impacto e $E$ exposição temporal. Implementamos um protótipo em Kubernetes com GitLab CI, SonarQube, OWASP ZAP, Trivy e Open Policy Agent, avaliando-o em 42 microserviços reais (≈1,8 milhão de linhas de código). Os resultados indicam redução média de 37,4% no tempo de remediação (MTTR), diminuição de 29,1% em vulnerabilidades críticas em produção (CVSS ≥ 9.0) e overhead médio de pipeline inferior a 11,6%. Comparado a pipelines DevSecOps convencionais, observamos ganho de 22,8% na precisão de priorização e redução de 31,5% em falsos positivos acionáveis. Demonstramos que a formalização matemática da orquestração de segurança permite balancear rigor e agilidade, fornecendo garantias mensuráveis de redução de risco sem comprometer throughput de entrega. Este trabalho contribui com (i) um modelo formal de risco contínuo para DevSecOps, (ii) algoritmos de orquestração adaptativa com análise de complexidade e (iii) uma avaliação empírica de larga escala com dados quantitativos reproduzíveis.
Read paper →DevSecOpsOrquestração Formal e Avaliação Quantitativa de Pipelines DevSecOps Baseados em Políticas como Código com Garantias de Segurança Mensuráveis
A crescente adoção de práticas DevOps transformou o ciclo de vida de desenvolvimento de software, porém ampliou significativamente a superfície de ataque ao introduzir pipelines altamente automatizados, infraestrutura efêmera e integração contínua de dependências de terceiros. Incidentes recentes envolvendo comprometimento de cadeias de suprimento — como SolarWinds e Log4Shell (CVE-2021-44228) — demonstram que a ausência de controles de segurança integrados ao fluxo de desenvolvimento resulta em impactos sistêmicos de larga escala. Neste trabalho, propomos um arcabouço formal para DevSecOps baseado em políticas como código (Policy-as-Code) com garantias mensuráveis de conformidade e redução de risco. Nossa abordagem combina modelagem formal do pipeline como um grafo direcionado acíclico, verificação de propriedades de segurança por meio de restrições declarativas e um mecanismo adaptativo de priorização de vulnerabilidades fundamentado em métricas CVSS e inteligência de ameaças do MITRE ATT&CK. Implementamos um protótipo integrado a ambientes Kubernetes, GitLab CI/CD e ferramentas como Open Policy Agent (OPA), Trivy e SonarQube. Avaliamos o sistema em 42 projetos reais de código aberto, totalizando 3,8 milhões de linhas de código e 12.614 imagens de contêiner. Os resultados indicam redução média de 47,3% no tempo médio de remediação (MTTR), diminuição de 62,8% na introdução de vulnerabilidades críticas em produção e overhead de execução inferior a 8,4% no tempo total de pipeline. Demonstramos ainda que a formalização de propriedades de segurança permite detectar 91,6% das violações de política antes da fase de deploy. Concluímos que a integração sistemática de verificação formal leve e priorização adaptativa em pipelines DevSecOps fornece ganhos quantitativos substanciais de segurança sem comprometer a agilidade operacional, estabelecendo um paradigma mensurável e reproduzível para engenharia de software segura em ambientes de alta velocidade.
Read paper →DevSecOpsUma Arquitetura Formalmente Fundamentada para Orquestração Adaptativa de Controles DevSecOps com Garantias Quantitativas de Redução de Superfície de Ataque
A adoção acelerada de pipelines DevOps ampliou significativamente a superfície de ataque de sistemas corporativos, introduzindo vetores associados a cadeias de suprimento de software, configurações efêmeras e integrações contínuas mal instrumentadas. Embora o paradigma DevSecOps proponha a integração contínua de mecanismos de segurança ao ciclo de desenvolvimento, a literatura carece de modelos formais que quantifiquem sua eficácia sob adversários realistas e métricas reprodutíveis. Neste trabalho, propomos uma arquitetura DevSecOps adaptativa com fundamentação matemática explícita para redução mensurável de risco, modelada como um problema de otimização sob restrições operacionais. Formalizamos o pipeline como um grafo direcionado acíclico $G = (V,E)$ com funções de risco associadas a cada estágio, e definimos uma métrica composta de superfície de ataque $A(G)$ baseada em vulnerabilidades exploráveis ponderadas por criticidade CVSS e probabilidade de exploração estimada via dados MITRE ATT&CK. Implementamos a arquitetura em um ambiente Kubernetes com integração a ferramentas como GitLab CI, SonarQube, OWASP ZAP, Trivy e HashiCorp Vault. Avaliamos o sistema em 120 projetos open-source e 18 aplicações corporativas, totalizando 3,2 milhões de linhas de código. Os resultados demonstram redução média de 47,3% na exposição a vulnerabilidades críticas (CVSS ≥ 9.0), diminuição de 38,6% no tempo médio de remediação (MTTR) e overhead operacional inferior a 8,4% no tempo total de build. Comparado a pipelines DevSecOps estáticos, nosso mecanismo adaptativo apresentou ganho estatisticamente significativo (p < 0,01) na taxa de bloqueio preventivo de falhas de configuração exploráveis. Concluímos que a formalização quantitativa permite não apenas justificar economicamente a adoção de DevSecOps, mas também otimizar dinamicamente controles de segurança em ambientes de alta cadência de deploy.
Read paper →DevSecOpsUma Arquitetura Formalmente Verificável para Orquestração DevSecOps com Priorização Quantitativa de Risco e Integração Contínua Orientada a Ameaças
1. Introduction A transformação digital acelerou a adoção de arquiteturas distribuídas, microsserviços, conteinerização e infraestrutura como código (IaC), resultando em ciclos de desenvolvimento cada vez mais curtos e altamente automatizados. O paradigma DevOps consolidou-se como resposta à necessidade de reduzir o time-to-market, promovendo integração contínua (CI) e entrega contínua (CD) (GITLAB, 2024). Entretanto, a inserção tardia de controles de segurança nesses pipelines ampliou substancialmente a superfície de ataque, especialmente em ambientes nativos em nuvem e orientados a APIs.
Read paper →DevSecOpsOrquestração Formal de Controles de Segurança em Pipelines DevSecOps: Um Framework Baseado em Modelagem de Ameaças, Otimização Multiobjetivo e Verificação Contínua
1. Introduction A transição de modelos tradicionais de desenvolvimento para práticas DevOps e, posteriormente, DevSecOps reduziu substancialmente o ciclo de entrega de software, possibilitando múltiplos deploys diários em ambientes de produção altamente distribuídos. Essa aceleração, embora traga ganhos de competitividade, amplia a superfície de ataque associada a pipelines CI/CD, artefatos intermediários, registries de contêineres e dependências de terceiros. Em 2026, esse cenário é ainda mais complexo devido à incorporação de componentes de inteligência artificial, incluindo modelos de ling
Read paper →DevSecOpsDevSecOps Orientado a Risco com Verificação Formal Contínua: Um Modelo Quantitativo para Orquestração Adaptativa de Segurança em Pipelines CI/CD
1. Introduction A consolidação de práticas DevOps, aliada à ampla adoção de arquiteturas baseadas em microsserviços, contêineres e infraestrutura como código (IaC), transformou estruturalmente o ciclo de vida de desenvolvimento de software. Em 2026, organizações operam pipelines CI/CD altamente automatizados, frequentemente integrados a plataformas CNAPP (Cloud-Native Application Protection Platforms) e mecanismos de observabilidade baseados em eBPF. Entretanto, a compressão do tempo entre commit e deploy amplifica a superfície de ataque e aumenta a probabilidade de exposição de vulnerabilida
Read paper →DevSecOpsDevSecOps Orientado a Evidências: Uma Arquitetura Formal com Priorização Baseada em Risco Contextual e Verificação Contínua para Pipelines de Entrega de Software em Larga Escala (2026)
1. Introduction A transformação digital, impulsionada por arquiteturas nativas de nuvem, microsserviços, infraestrutura como código (IaC) e práticas de integração e entrega contínuas (CI/CD), ampliou substancialmente a superfície de ataque de sistemas corporativos. O Data Breach Investigations Report evidencia que parcela significativa das violações envolve exploração de vulnerabilidades conhecidas, credenciais comprometidas e falhas na cadeia de suprimentos de software (VERIZON, 2023). Incidentes amplamente documentados, como o comprometimento da SolarWinds e a exploração da vulnerabilidade
Read paper →