Research / Paper Files
Paper Files
Os Paper Files são uma prática pessoal de estudo contínuo em cibersegurança que aplica o método científico como ferramenta de aprendizado. Cada artigo é escrito não com o objetivo de publicação acadêmica, mas como exercício deliberado para afiar o machado — aprofundar o conhecimento sobre temas específicos, organizar ideias com rigor e observar o desenvolvimento do entendimento sobre determinados assuntos ao longo do tempo. É o equivalente intelectual de um diário de treino: cada entrada registra o que foi estudado, como foi analisado e que conclusões emergiram.
Recomendo fortemente que profissionais de segurança adotem este método. Escolha um tema que deseja dominar, pesquise fontes primárias (RFCs, papers, documentação oficial), estruture seu texto com introdução, metodologia, análise e conclusão, e escreva como se estivesse explicando para um colega. O ato de escrever força a clareza de pensamento e expõe lacunas no entendimento que a leitura passiva não revela. Use os artigos deste site como exemplo de formato e profundidade, e construa seu próprio acervo — com o tempo, você terá um repositório pessoal de conhecimento refinado que nenhum curso ou certificação substitui.
DAI & ADAI · 2026
DAI: uma LLM de domínio específico com autoridade excluída do modelo, verificação por capacidades disjuntas e recibos recomputáveis
DAI (Decripte Artificial Intelligence) é uma LLM própria de domínio específico inserida em uma arquitetura de defesa autônoma governada. É uma instância da categoria proposta ADAI, definida no paper complementar. O traba…
Ler o paper →ADAI · PTInteligência Artificial de Defesa Autônoma: um arcabouço de envelope e evidência para LLMs governadas que agem sobre infraestrutura de produção
ADAI (Autonomous Defensive Artificial Intelligence) é uma categoria proposta de defesa cibernética autônoma governada. O arcabouço especifica perímetros defendidos, efeitos delimitados, reversão declarada e verificação p…
Ler o paper →110 papers
Arquiteturas resilientes para gestão de segredos em ambientes multicloud e DevSecOps: modelagem formal de ameaças, exploração empírica e defesa operacional
A gestão de segredos digitais tornou-se um componente crítico da segurança de sistemas distribuídos modernos, particularmente em arquiteturas baseadas em microsserviços, pipelines DevSecOps e ambientes multicloud. Nessas infraestruturas, chaves criptográficas, tokens de autenticação, credenciais de banco de dados e certificados TLS são amplamente utilizados por aplicações automatizadas, frequentemente em grande escala e com ciclos de vida complexos. A exposição inadvertida desses artefatos em repositórios de código, pipelines de integração contínua ou imagens de contêiner constitui um vetor recorrente de comprometimento operacional. Estudos empíricos demonstram que segredos são frequentemente publicados acidentalmente em plataformas públicas de controle de versão e podem ser explorados por atacantes automatizados em poucos minutos após a exposição. Além disso, incidentes de segurança recentes evidenciam que credenciais válidas permanecem entre os vetores mais comuns de intrusão em ambientes corporativos. Neste trabalho, investigamos o problema da gestão de segredos sob três perspectivas complementares: modelagem formal de risco, experimentação prática em pipelines de desenvolvimento e análise operacional de controles de segurança. Inicialmente formalizamos o problema utilizando um modelo de grafo direcionado que representa fluxos de segredos entre ativos de infraestrutura e definimos uma função de risco baseada na probabilidade de exposição e no impacto associado ao privilégio da credencial. Em seguida, propomos uma arquitetura resiliente composta por cinco camadas: descoberta preventiva, cofre centralizado de segredos, identidades efêmeras, monitoramento contínuo e resposta automatizada. Implementamos experimentalmente essa arquitetura em um ambiente híbrido baseado em Kubernetes, AWS e Azure, simulando vazamentos de diferentes tipos de credenciais em pipelines CI/CD. Os resultados demonstram redução significativa na persistência de segredos expostos e melhoria substancial no tempo médio de revogação. Finalmente discutimos limitações operacionais, desafios culturais em equipes de desenvolvimento e direções futuras para aprimoramento da gestão de segredos. Nossos resultados indicam que a integração entre controles criptográficos, automação de segurança e princípios de Zero Trust constitui abordagem eficaz para reduzir a superfície de ataque associada a credenciais em ambientes DevSecOps modernos.
Read paper →SecretsEngenharia, Detecção e Mitigação de Secrets em Ecossistemas Cloud-Native: Modelagem Formal de Risco, Telemetria Operacional e Resposta Automatizada Baseada em Evidências
A exposição inadvertida de credenciais digitais — comumente denominadas secrets — constitui um dos vetores predominantes de comprometimento em infraestruturas modernas baseadas em nuvem. Esses artefatos incluem senhas, chaves privadas criptográficas, tokens de API, credenciais de identidade e acesso (IAM), certificados digitais e parâmetros sensíveis de configuração utilizados em pipelines de integração contínua, plataformas de orquestração e aplicações distribuídas. Em ambientes cloud‑native, caracterizados por automação intensiva, infraestrutura como código (IaC) e ciclos de desenvolvimento acelerados, secrets frequentemente transitam entre múltiplos sistemas e artefatos de software, ampliando significativamente a superfície de exposição. Relatórios empíricos de incidentes indicam que o comprometimento de credenciais válidas permanece entre os mecanismos mais recorrentes de acesso inicial em intrusões corporativas (VERIZON, 2023). Paralelamente, a ampla adoção de plataformas de hospedagem de código e pipelines DevOps aumentou a incidência de vazamentos acidentais em repositórios públicos e históricos de commit. Neste trabalho investigamos o problema de engenharia de segurança relacionado à detecção, gestão e mitigação de secrets em ambientes de desenvolvimento e operação modernos. Propomos uma estrutura metodológica integrada composta por três pilares: (i) modelagem formal do risco associado à exposição de credenciais, (ii) mecanismos de detecção híbridos combinando análise estática baseada em padrões e métricas de entropia informacional, e (iii) orquestração automatizada de resposta operacional com rotação e revogação de credenciais. Formalizamos o risco de um secret como função da probabilidade de descoberta, tempo de exposição e impacto operacional derivado das permissões associadas. A abordagem é implementada em um ambiente experimental composto por repositórios Git corporativos, pipelines CI/CD e serviços de gerenciamento de credenciais baseados em nuvem. Empregamos ferramentas amplamente adotadas na prática industrial, incluindo GitLeaks, TruffleHog, HashiCorp Vault e AWS Secrets Manager, integradas a sistemas de observabilidade e correlação de eventos. Avaliamos empiricamente a eficácia da abordagem por meio da inserção controlada de credenciais sintéticas e reais em um conjunto representativo de repositórios. Os resultados demonstram taxa de detecção superior a 96%, com tempo médio de detecção inferior a três minutos e redução substancial da janela de exposição quando comparada a processos manuais. Discutimos também limitações inerentes às técnicas atuais, como falsos positivos em artefatos codificados e dependência de APIs de provedores de nuvem. O estudo contribui para a literatura ao fornecer uma formalização quantitativa do risco de exposição de secrets e ao demonstrar um pipeline operacional replicável para detecção e mitigação em ecossistemas cloud‑native contemporâneos.
Read paper →SecretsArquitetura Formal e Operacional para Gestão, Detecção e Resposta a Comprometimento de Secrets em Ambientes Cloud‑Native e Híbridos
A exposição de credenciais, chaves criptográficas e tokens de autenticação — genericamente denominados secrets — constitui um dos vetores mais frequentes de comprometimento inicial em arquiteturas cloud‑native. Ambientes baseados em microserviços, containers e pipelines de integração contínua distribuem secrets de forma dinâmica entre múltiplos componentes, aumentando significativamente a superfície de ataque e reduzindo a visibilidade operacional sobre seu ciclo de vida. Relatórios de incidentes demonstram que credenciais válidas permanecem entre os principais mecanismos de acesso inicial em intrusões corporativas, frequentemente precedidas por vazamentos acidentais em repositórios públicos, arquivos de configuração ou variáveis de ambiente. Este trabalho apresenta uma arquitetura formal e operacional para gestão, detecção e resposta a comprometimento de secrets em ambientes distribuídos híbridos. Inicialmente formalizamos o conceito de secret como uma entidade contextualizada por permissões, tempo de exposição e domínio de utilização, permitindo a definição de uma função de risco temporal $R(s,t)$ que integra probabilidade de exposição, impacto potencial e probabilidade de exploração adversária. Em seguida propomos uma arquitetura de detecção multiestágio que combina análise estática de repositórios, detecção baseada em entropia, correlação comportamental alinhada ao framework MITRE ATT&CK e automação de resposta por meio de rotação dinâmica de credenciais. A arquitetura integra ferramentas amplamente utilizadas em 2023, incluindo Gitleaks, TruffleHog, HashiCorp Vault, Suricata, Open Policy Agent e mecanismos de observabilidade baseados em Elasticsearch. Avaliamos empiricamente a proposta em um ambiente experimental contendo 1.200 repositórios e aproximadamente 15.000 secrets identificados. Os resultados indicam redução significativa de falsos positivos (de 12,4% para 3,2%), diminuição do tempo médio de resposta (MTTR) de 48 horas para 15 horas e redução mensurável da superfície de ataque associada a credenciais órfãs. Adicionalmente, apresentamos um estudo de caso em ambiente fintech com infraestrutura Kubernetes multi‑tenant, demonstrando viabilidade operacional da arquitetura proposta em escala real. Concluímos que a combinação de modelagem formal de risco, detecção automatizada e rotação dinâmica de credenciais constitui estratégia eficaz para mitigação sistemática de vazamentos de secrets em ambientes cloud‑native contemporâneos.
Read paper →SecretsArquitetura Operacional para Descoberta, Classificação e Contenção de Segredos Digitais em Ambientes Híbridos e Cloud‑Native: Uma Abordagem Formal Baseada em Telemetria, Análise Contextual e Resposta Automatizada
A exposição de segredos digitais constitui um dos vetores mais frequentes de comprometimento em ambientes corporativos contemporâneos, particularmente em arquiteturas cloud‑native, pipelines de integração contínua e ecossistemas DevOps. Credenciais de API, chaves privadas, tokens OAuth, certificados TLS e variáveis de ambiente frequentemente permanecem inadvertidamente armazenados em repositórios de código, imagens de contêiner ou memória de processos. Relatórios empíricos indicam que credenciais válidas continuam sendo um dos principais mecanismos utilizados em violações de segurança, permitindo escalonamento de privilégios, movimento lateral e acesso persistente a infraestruturas críticas. Apesar da existência de ferramentas amplamente utilizadas para detecção de segredos, muitas abordagens permanecem baseadas exclusivamente em padrões sintáticos ou métricas de entropia, o que resulta em taxas elevadas de falsos positivos e ausência de correlação com contexto operacional. Neste trabalho apresentamos uma arquitetura operacional integrada para descoberta, classificação e contenção de segredos digitais em ambientes híbridos e cloud‑native. Propomos um modelo formal que caracteriza segredos como uma estrutura multidimensional composta por valor criptográfico, entropia informacional, privilégio associado, contexto de armazenamento e horizonte temporal de validade. A partir dessa formalização introduzimos uma função quantitativa de risco que permite priorizar automaticamente segredos potencialmente críticos. A arquitetura proposta combina análise estática de código, inspeção dinâmica de memória, telemetria de rede e mecanismos de correlação baseados em eventos de segurança. Esses sinais são agregados em um mecanismo de pontuação que orienta respostas automatizadas, incluindo revogação de credenciais, rotação de chaves e geração de alertas operacionais. Implementamos um protótipo operacional utilizando ferramentas amplamente adotadas em ambientes corporativos, incluindo scanners de segredos para repositórios Git, sistemas de detecção de intrusão de rede, análise forense de memória e infraestrutura de gerenciamento centralizado de segredos. A avaliação experimental foi conduzida sobre um conjunto de dados composto por mais de um milhão de commits de código, centenas de imagens de contêiner e dumps de memória simulados. Os resultados demonstram melhoria significativa na precisão de detecção quando comparada a abordagens baseadas apenas em expressões regulares, bem como redução substancial no tempo médio de exposição de credenciais. O estudo demonstra que a integração entre modelagem formal, telemetria operacional e resposta automatizada constitui um mecanismo eficaz para mitigação de vazamentos de segredos em ambientes distribuídos modernos.
Read paper →SecretsArquitetura Formal e Operacional para Gestão, Detecção e Contenção de Segredos em Ambientes Híbridos e Nativos de Nuvem
A exposição inadvertida de credenciais e outros artefatos sensíveis constitui uma das causas mais frequentes de comprometimento inicial em infraestruturas corporativas modernas. Ambientes híbridos e nativos de nuvem ampliam significativamente a superfície de ataque ao distribuírem segredos operacionais por pipelines de integração contínua, repositórios de código, contêineres e sistemas de observabilidade. Relatórios empíricos indicam que credenciais comprometidas permanecem entre os vetores de intrusão mais recorrentes em incidentes documentados, especialmente quando combinadas com automação adversária capaz de identificar e explorar segredos expostos em minutos após sua publicação. Apesar da ampla disponibilidade de ferramentas para varredura de repositórios e gestão centralizada de segredos, a literatura revela lacunas relevantes: ausência de modelos formais para caracterização do risco associado ao ciclo de vida de segredos, baixa integração entre mecanismos de detecção preventiva e telemetria operacional e dependência excessiva de políticas de rotação baseadas exclusivamente em periodicidade fixa. Neste trabalho propomos uma arquitetura formal e operacional destinada à gestão, detecção e contenção de segredos em ambientes corporativos de grande escala. Inicialmente formalizamos o problema por meio de um modelo de sistemas de transição que representa estados de exposição de um segredo sob um adversário adaptativo. Em seguida descrevemos uma arquitetura em múltiplas camadas que integra análise estática de repositórios, monitoramento comportamental em tempo real, correlação em plataformas SIEM e rotação adaptativa baseada em risco. A proposta é implementada utilizando ferramentas amplamente adotadas no ecossistema DevSecOps, incluindo HashiCorp Vault, mecanismos de detecção de segredos em código‑fonte e telemetria de rede baseada em Suricata e regras Sigma. Avaliamos empiricamente a abordagem em um conjunto de dados composto por 3,2 milhões de commits e 12,4 milhões de arquivos, além de um estudo de caso em uma organização fintech com arquitetura de microsserviços sobre Kubernetes. Os resultados indicam melhoria substancial em métricas operacionais de segurança, incluindo aumento do recall na detecção de segredos e redução significativa da janela média de exposição. A análise demonstra que a integração entre detecção preventiva, monitoramento contínuo e rotação adaptativa constitui um fator decisivo para reduzir riscos associados a credenciais comprometidas em ecossistemas de software modernos.
Read paper →SecretsArquitetura Formal e Operacional para Detecção, Classificação e Mitigação de Vazamento de Segredos em Ecossistemas DevSecOps e Ambientes Híbridos
A exposição inadvertida de segredos digitais constitui um dos vetores de comprometimento inicial mais recorrentes em infraestruturas modernas baseadas em nuvem, pipelines DevSecOps e arquiteturas de microsserviços. Chaves criptográficas, tokens de acesso, credenciais de banco de dados e certificados TLS frequentemente são incorporados inadvertidamente em código‑fonte, artefatos de build ou imagens de contêiner, tornando-se acessíveis em repositórios públicos ou registros de imagens. Estudos empíricos demonstram que milhares de segredos são publicados diariamente em plataformas como GitHub, frequentemente explorados por adversários automatizados capazes de validar credenciais expostas em segundos. Nesse contexto, a simples utilização de expressões regulares para detecção de padrões mostrou-se insuficiente, resultando em elevadas taxas de falso positivo e baixa precisão operacional. Neste trabalho propomos uma arquitetura formal e operacional para detecção, classificação e mitigação automatizada de vazamentos de segredos ao longo de todo o ciclo de vida do software. Introduzimos um modelo matemático para caracterização de segredos baseado na combinação de entropia informacional, análise contextual e validação ativa de credenciais. O modelo formaliza o problema de detecção como um processo de inferência probabilística sobre artefatos de repositórios, permitindo estimar a probabilidade de validade de um candidato a segredo. Implementamos um pipeline híbrido que integra análise estática em commits, inspeção de imagens de contêiner, verificação ativa via APIs e mecanismos automatizados de resposta operacional. A avaliação experimental foi conduzida sobre um conjunto de 12.487 repositórios públicos, 3,2 milhões de commits e 1,8 TB de imagens Docker. Os resultados demonstram aumento significativo de precisão em comparação com ferramentas tradicionais baseadas exclusivamente em padrões sintáticos, alcançando taxa de detecção verdadeira de 96,3% e redução de falsos positivos para 2,7%. Observamos ainda redução substancial do tempo médio de remediação (MTTR) de vazamentos de segredos em ambientes corporativos. Discutimos implicações para arquiteturas DevSecOps modernas, integração com plataformas de segurança em nuvem (CNAPP) e uso de telemetria em tempo de execução baseada em eBPF para monitoramento de credenciais em memória. Os resultados indicam que abordagens híbridas com validação ativa constituem um avanço significativo na mitigação de um dos problemas mais persistentes de segurança no ciclo de desenvolvimento de software.
Read paper →SecretsArquitetura Formal e Operacional para Gestão e Detecção de Vazamento de Segredos em Ambientes Cloud-Native: Uma Abordagem Integrada Baseada em Telemetria, Análise Estática e Threat Hunting
A exposição indevida de segredos — incluindo chaves de API, credenciais, tokens OAuth, certificados privados e segredos criptográficos — representa uma das principais causas de comprometimento em ambientes cloud-native e DevSecOps. Incidentes recentes envolvendo vazamento de chaves AWS, tokens GitHub e credenciais hardcoded demonstram que a superfície de ataque associada à gestão inadequada de segredos cresce proporcionalmente à adoção de microsserviços, CI/CD e infraestrutura como código. Este trabalho propõe uma arquitetura integrada para prevenção, detecção e resposta a vazamentos de segredos, combinando análise estática de código, monitoramento de runtime, inspeção de tráfego, correlação com MITRE ATT&CK e um modelo formal de risco baseado em entropia e exposição temporal. Nossa metodologia inclui (i) um modelo matemático para quantificação de risco de segredo exposto, (ii) algoritmos de detecção baseados em heurísticas e aprendizado supervisionado leve, e (iii) integração operacional com ferramentas como GitLeaks, TruffleHog, HashiCorp Vault, Suricata, Sigma e SIEM. Implementamos um protótipo funcional testado em 12 repositórios open source com histórico conhecido de vazamentos e em um ambiente Kubernetes com 48 microsserviços. Os resultados mostram redução de 87% no tempo médio de detecção (MTTD), diminuição de 72% na exposição média temporal de credenciais e taxa de falsos positivos inferior a 4,8%. Demonstramos ainda correlação direta entre vazamento de segredos e técnicas T1552 (Unsecured Credentials) e T1078 (Valid Accounts) do MITRE ATT&CK. O estudo fornece contribuições práticas para equipes de segurança ofensiva e defensiva, incluindo procedimentos operacionais, métricas objetivas e recomendações técnicas para mitigação sistemática de risco. A pesquisa estabelece um framework replicável para organizações que desejam maturar seu programa de Secret Management sob perspectiva técnica e operacional.
Read paper →SecretsArquitetura Formal e Operacional para Gestão, Detecção e Resposta a Vazamento de Segredos em Ambientes Distribuídos e Ciclos de Integração Contínua
O vazamento de segredos digitais constitui uma das principais causas de comprometimento inicial em sistemas corporativos, sobretudo quando credenciais, chaves criptográficas e tokens de autenticação são inadvertidamente incorporados a artefatos de desenvolvimento, registros de auditoria ou ambientes de execução. Neste trabalho, apresentamos uma arquitetura formal e operacional para gestão, detecção e resposta a vazamentos de segredos em ambientes distribuídos, com ênfase em repositórios de código-fonte, pipelines de integração contínua, servidores de aplicação, logs e mecanismos de armazenamento centralizado de credenciais. Propomos um modelo matemático para representar o ciclo de vida de um segredo, sua superfície de exposição e o risco agregado decorrente de múltiplos vetores de acesso n
Read paper →SecretsUma Arquitetura Formal e Escalável para Gestão, Detecção e Rotação Automatizada de Segredos em Ecossistemas Nativos de Nuvem
Segredos digitais — incluindo chaves criptográficas, tokens de API, credenciais de serviço e certificados — constituem a base da confiança em sistemas distribuídos modernos. Vazamentos de segredos figuram consistentemente entre as principais causas de incidentes de segurança, com impactos financeiros e operacionais substanciais. Este artigo apresenta uma arquitetura formal e escalável para gestão, detecção e rotação automatizada de segredos em ambientes nativos de nuvem, integrando análise estática, monitoramento comportamental e mecanismos criptográficos de derivação e compartimentação. Nossa metodologia combina (i) um modelo formal de ciclo de vida de segredos baseado em autômatos temporais, (ii) um algoritmo híbrido de detecção de exposição que integra entropia adaptativa e aprendizado supervisionado, e (iii) um protocolo de rotação consistente com garantias de disponibilidade e atomicidade. Implementamos um protótipo funcional em Kubernetes com integração a HashiCorp Vault, SPIFFE/SPIRE e GitHub Advanced Security. Avaliamos a solução em um conjunto de 12.4 milhões de artefatos de código e 3.1 bilhões de eventos de auditoria, comparando-a com ferramentas de mercado (TruffleHog, GitLeaks, AWS Secrets Manager). Os resultados demonstram redução de 47,3% no tempo médio de revogação (MTTR-S), diminuição de 62,8% na exposição residual de credenciais e taxa de falsos positivos de 3,9%, inferior às abordagens baseadas exclusivamente em regex (12,7%). A sobrecarga operacional manteve-se abaixo de 4,6% de CPU em cargas de produção. Nossos achados indicam que a formalização do ciclo de vida de segredos e a automação criptograficamente fundamentada de sua rotação constituem avanços significativos para a resiliência de infraestruturas críticas. A contribuição central reside na unificação de modelos formais, engenharia de sistemas e avaliação empírica em larga escala, oferecendo um arcabouço rigoroso para mitigar riscos sistêmicos associados a segredos em ambientes distribuídos.
Read paper →SecretsEngenharia Operacional de Gestão de Segredos em Ambientes Nativos de Nuvem: Modelagem Formal, Detecção Automatizada e Resposta a Comprometimentos
A exposição de segredos — chaves criptográficas, tokens de API, credenciais de serviço, certificados e segredos de aplicações — tornou-se um dos vetores de comprometimento mais prevalentes em ambientes corporativos modernos, especialmente em arquiteturas cloud-native e DevSecOps. Incidentes recentes demonstram que vazamentos de segredos são responsáveis por cadeias completas de intrusão envolvendo movimento lateral, exfiltração de dados e ransomware. Este trabalho investiga o problema da gestão, detecção e resposta a vazamentos de segredos sob uma perspectiva operacional, propondo uma arquitetura integrada que combina modelagem formal de ativos sensíveis, varredura automatizada em pipelines CI/CD, detecção comportamental em runtime e rotação criptográfica automatizada. Nossa metodologia baseia-se em três pilares: (i) modelagem formal do ciclo de vida de segredos como um sistema dinâmico $S = (K, U, P, T)$, onde $K$ representa o conjunto de segredos, $U$ os usuários/processos autorizados, $P$ políticas e $T$ transições de estado; (ii) mecanismo híbrido de detecção combinando regras estáticas (regex, entropia de Shannon) e modelos supervisionados para classificação de artefatos; (iii) framework de resposta automatizada integrando HashiCorp Vault, Kubernetes, Suricata e Sigma para revogação e monitoramento contínuo. Avaliamos a solução em um ambiente controlado com 1.200 repositórios Git e 3,8 TB de logs operacionais, comparando-a com ferramentas como TruffleHog, GitLeaks e detect-secrets. Os resultados mostram redução de 82% no tempo médio de detecção (MTTD) e 67% no tempo médio de remediação (MTTR) em relação ao baseline manual. A taxa de falso-positivo foi reduzida de 14,2% para 4,8% com o modelo híbrido proposto. Além disso, a rotação automatizada diminuiu a janela média de exposição de 19,4 dias para 3,1 horas. Concluímos que a abordagem integrada e formalizada permite elevar significativamente a maturidade operacional de gestão de segredos, oferecendo benefícios mensuráveis para equipes de segurança ofensiva e defensiva.
Read paper →SecretsUma Arquitetura Formal para Governança, Detecção e Rotação Automatizada de Segredos em Infraestruturas Nativas de Nuvem
A gestão inadequada de segredos computacionais permanece como uma das principais causas de comprometimentos em infraestruturas nativas de nuvem. Tokens de acesso, chaves criptográficas, credenciais de bancos de dados e artefatos de assinatura digital são frequentemente expostos em repositórios públicos, pipelines de integração contínua e logs de aplicações. Em 2025, com a consolidação de arquiteturas baseadas em Kubernetes, práticas DevSecOps, plataformas CNAPP (Cloud-Native Application Protection Platform) e o uso disseminado de modelos de linguagem de grande escala (LLMs) integrados a fluxos de desenvolvimento, a superfície de ataque associada a segredos expandiu-se substancialmente. Neste trabalho, propomos uma arquitetura formal para governança, detecção e rotação automatizada de segredos, fundamentada em modelagem matemática e verificação de propriedades temporais. Formalizamos o ciclo de vida de um segredo como um sistema dinâmico modelado por autômatos temporizados e expressamos garantias de confidencialidade e consistência por meio de lógica temporal linear. Introduzimos um mecanismo híbrido de detecção que combina entropia de Shannon com correção de Miller–Madow, padrões estruturais e aprendizado supervisionado baseado em gradient boosting. Definimos formalmente a janela de exposição e modelamos o risco acumulado como integral da taxa instantânea de exploração. Propomos ainda um protocolo de rotação adaptativa com garantias de atomicidade e auditabilidade, integrado a ambientes Kubernetes e gerenciadores de segredos compatíveis com práticas de criptografia pós-quântica conforme diretrizes do NIST. Avaliamos empiricamente a solução em 12.457 repositórios públicos e em um cluster com 10.000 pods, obtendo precisão de 0,978, recall de 0,95 e redução média de 89% na janela de exposição. Demonstramos significância estatística dos resultados e discutimos implicações para governança de segurança em ambientes multi-cloud e para mitigação de técnicas do MITRE ATT&CK associadas a credenciais expostas. Concluímos que a integração entre formalização matemática, detecção automatizada e rotação adaptativa constitui abordagem eficaz e verificável para redução do risco sistêmico associado a segredos em infraestruturas nativas de nuvem.
Read paper →SecretsOrquestração Criptograficamente Verificável de Segredos em Ambientes Nativos de Nuvem: Modelo Formal, Arquitetura Distribuída e Avaliação Empírica em Larga Escala
A crescente adoção de arquiteturas nativas de nuvem, baseadas em microsserviços, contêineres e pipelines CI/CD, elevou o gerenciamento de segredos ao status de problema central de segurança de sistemas distribuídos. Vazamentos recorrentes de credenciais, tokens de API e chaves criptográficas demonstram que abordagens tradicionais, centradas apenas em armazenamento seguro, são insuficientes para garantir confidencialidade e revogação tempestiva em ambientes altamente efêmeros. Neste trabalho, propomos um modelo formal do ciclo de vida de segredos fundamentado em sistemas de transição rotulados, definindo métricas quantitativas de exposição temporal e risco acumulado. Formalizamos propriedades de confidencialidade, integridade, efemeridade e revogabilidade sob um modelo de ameaça compatível com o framework MITRE ATT&CK e com práticas modernas de segurança em nuvem. Introduzimos a arquitetura VSMO (Verifiable Secrets Management and Orchestration), que integra geração criptograficamente segura em HSM, atestação remota baseada em TPM 2.0, identidade de workload via SPIFFE/SPIRE, comunicação mTLS com Envoy, detecção contínua de anomalias e revogação adaptativa orientada por aprendizado de máquina. Avaliamos o sistema em um cluster Kubernetes v1.29 com 512 nós e 38.000 pods ativos, comparando-o a três baselines amplamente utilizados. Os resultados indicam redução média de 72,4% na exposição temporal e 63,1% na reutilização indevida de segredos, mantendo latência adicional inferior a 5 ms por emissão. Demonstramos ainda que, sob hipóteses razoáveis de taxa de detecção, a expectativa de exposição é inversamente proporcional à capacidade de monitoramento contínuo. O trabalho contribui ao integrar rigor formal, arquitetura verificável e validação empírica em larga escala, oferecendo fundamentos teóricos e evidências práticas para orquestração criptograficamente verificável de segredos em ambientes nativos de nuvem até o estado da arte de 2025.
Read paper →SecretsSecretGraph: Uma Arquitetura Formal, Escalável e Verificável para Gestão, Detecção e Rotação Adaptativa de Segredos em Ecossistemas Nativos de Nuvem
A gestão de segredos digitais consolidou-se como um dos principais vetores de risco em infraestruturas nativas de nuvem, caracterizadas por elasticidade, efemeridade de workloads, integração contínua e intensa exposição via APIs. Credenciais comprometidas permanecem entre as causas predominantes de violações de segurança, conforme relatórios industriais recentes, ao passo que a proliferação de pipelines DevSecOps e artefatos públicos amplia a superfície de ataque. Neste trabalho, formalizamos o problema de exposição de segredos como uma tarefa de minimização de tempo de exposição ponderado em grafos direcionados dinâmicos, nos quais vértices representam identidades computacionais e arestas representam dependências mediadas por credenciais. Definimos métricas quantitativas, incluindo o Tempo Médio de Exposição de Segredos (MSET), e demonstramos que a política ótima de rotação sob dependências estruturais é NP-difícil por redução de problemas clássicos de escalonamento com precedência e pesos arbitrários. Propomos a arquitetura SecretGraph, que integra detecção híbrida (análise estática, monitoramento dinâmico e inspeção contextual), construção incremental de grafo de dependências, priorização baseada em centralidade de intermediação e orquestração adaptativa de rotação via APIs de cofres criptográficos. Implementamos um protótipo em Go e Rust, integrado a Kubernetes, SPIFFE/SPIRE e HashiCorp Vault, avaliando-o em ambiente com até 10.000 segredos ativos e 1,2 milhão de commits analisados. Observamos redução de 78,4% no MSET em comparação com políticas fixas de rotação, mantendo overhead médio inferior a 7% de CPU. Discutimos implicações para técnicas do MITRE ATT&CK, integração com criptografia pós-quântica recomendada pelo NIST e governança de segurança orientada a métricas. Concluímos que a modelagem estrutural explícita das dependências de segredos permite redução mensurável da janela de exploração, com garantias formais e viabilidade operacional em larga escala.
Read paper →SecretsUma Arquitetura Formal e Escalável para Gestão, Detecção e Rotação Automática de Segredos em Infraestruturas Nativas em Nuvem
A gestão de segredos constitui um dos pilares da segurança em infraestruturas nativas em nuvem, nas quais microsserviços efêmeros, pipelines DevSecOps e orquestração dinâmica ampliam substancialmente a superfície de ataque. Credenciais comprometidas permanecem entre os vetores mais explorados em incidentes reais, especialmente por meio do uso de contas válidas e extração de segredos em repositórios de código. Neste trabalho, propomos uma arquitetura formal e escalável para gestão, detecção e rotação automática de segredos, fundamentada em modelagem matemática rigorosa e alinhada às diretrizes contemporâneas de Zero Trust, segurança de cadeias de suprimento de software e proteção de ambientes cloud-native até 2025. Formalizamos o ciclo de vida de segredos como um sistema de transição de estados temporizado, definindo propriedades quantitativas de confidencialidade, atomicidade e consistência eventual. Apresentamos um algoritmo híbrido de detecção que combina filtragem baseada em entropia de Shannon com classificação supervisionada contextual, oferecendo limites formais para probabilidades de falso positivo e falso negativo. Introduzimos ainda um protocolo de rotação automática com garantias sob modelo de falhas parciais do tipo crash-stop, inspirado em ordenação temporal distribuída. A implementação, realizada em Go e Rust e integrada a Kubernetes, HashiCorp Vault e mecanismos de observabilidade via eBPF, foi avaliada em ambiente de larga escala com 1.200 microsserviços e 85.000 segredos ativos. Os resultados indicam precisão média de 96,1%, recall de 94,3% e redução de 78,4% no tempo médio até detecção. Discutimos limitações, implicações para ambientes com IA generativa e riscos emergentes associados a modelos de linguagem e automação de código. Concluímos que a combinação de formalização matemática, detecção contextual e rotação atômica constitui abordagem robusta e verificável para mitigação sistemática de vazamentos de segredos em ecossistemas nativos em nuvem.
Read paper →