Latest / Entre Chaves / Como encontrar vulnerabilidades sem ser especialista em segurança

Transcript

Como encontrar vulnerabilidades sem ser especialista em segurança · Entre Chaves

• 0:02
  Existem vários tipos de vulnerabilidades que eles são
• 0:05
  fundamentais da forma como aquele software foi desenhado,
• 0:09
  então elas estão bem intrínsecas à arquitetura, né?
• 0:12
  A forma como aquilo foi construído, às vezes não foi
• 0:14
  feito uma boa modelagem de ameaças antes do software ser
• 0:17
  desenvolvido, né? E aí são problemas estruturais
• 0:20
  que muitas vezes vão exigir mudanças grandiosas ali no
• 0:23
  software para esse essa configuração deixar de dar
• 0:26
  problema, né? Então o gasto é muito maior.
• 0:29
  De corrigir esse tipo de vulnerabilidade inerente
• 0:31
  posteriormente. Por isso que o pensei que o
• 0:33
  designer ele é tão importante que é você ali, no ato de
• 0:36
  desenhar o software, de pensar nas funcionalidades, nas regras
• 0:39
  de negócio. Você já tá pensando em
• 0:41
  segurança? Olha, talvez não seja muito
• 0:43
  legal ter essa opção aqui pra esse, pra esse usuário, porque
• 0:46
  você pode levar a isso, né? Então é ter esse tipo de de
• 0:49
  maldade ali na hora de desenhar o software antes de desenvolver
• 0:53
  ele. Então, o próprio desenho da
• 0:55
  arquitetura, do fluxo, dos dados, da aplicação, eles já
• 0:59
  competem a segurança entender que eu estou desenhando 11 front
• 1:03
  end que se conecta diretamente com um banco de dados sem ser um
• 1:07
  fairy base, né? Claro, eu tô falando assim, um
• 1:08
  banco tradicional. Eu tenho que entender que isso é
• 1:10
  uma falha de design, o desenho da minha aplicação, ele está mal
• 1:13
  feito, né? Eu preciso de ter um agente
• 1:15
  intermediário que barre a minha conexão direta e consiga fazer
• 1:19
  essa proteção. Pô, e como que?
• 1:23
  O desenvolvedor que tá ouvindo a gente que às vezes não tem um
• 1:25
  expertise em segurança, como que ele pode revisar a aplicação
• 1:29
  dele? Como que ele pode procurar mais
• 1:31
  sobre isso, garantir que tá tudo certo ou pelo menos fazer uma
• 1:34
  revisão básica? Bom, a gente tá em 2026, né?
• 1:37
  Então eu já vou começar com o mais óbvio que você pode usar e
• 1:40
  abusar de inteligência artificial pra fazer isso, né?
• 1:43
  Então, uma vez que você tem um diagrama arquitetural inicial
• 1:45
  ali, você pode facilmente é colocar ele junto com o prompt
• 1:49
  olha, me ajude a fazer uma modelagem de ameaças.
• 1:52
  Nessa arquitetura que a gente desenhou aqui é você pode
• 1:55
  definir o nível de detalhe que você quer nesse a nível de
• 1:57
  código ou se a nível de cada componente.
• 1:59
  Olha, é interessante ter um firewall aqui entre esses 2
• 2:02
  componentes, né? É, ou é interessante você juntar
• 2:05
  esses, esses todas, essas requisições aqui no application
• 2:08
  gateway, por exemplo, né? Então você pode utilizar dessas
• 2:12
  ferramentas pra ter em sites que você talvez não teria
• 2:14
  normalmente, é, e a segurança? Ela é uma postura antes de tudo
• 2:18
  também, uma cultura, né, e que qualquer um pode ter.
• 2:21
  Né? Então o exercício de fazer uma
• 2:23
  modelagem de ameaças, né, que é você pensar ali onde que pode
• 2:26
  dar problema basicamente, né? E o que que você pode fazer pra
• 2:29
  resolver esses problemas todo mundo deveria fazer
• 2:31
  constantemente, né? Então é mesmo desenvolvedor que
• 2:34
  não tem experiência com segurança, ele já pode começar a
• 2:37
  ter esse tipo de é de questionamento, né?
• 2:39
  E fazer esse exercício. Recomendo também que sempre
• 2:42
  tenha nessas conversas iniciais, né Discovery em entender as
• 2:46
  jornadas de usuário. De cada tipo de persona que vai
• 2:49
  ter dentro do produto. Você já envolveu alguém de
• 2:51
  segurança nessas conversas? Sempre.
• 2:53
  Existe uma persona que é um atacante, né, que vai usar seu
• 2:55
  sistema. É 11 ótima abordagem.
• 2:58
  É pensar também nesse no indivíduo, né?
• 3:00
  Tipo assim, que pode estar agindo com má intenção no uso da
• 3:03
  sua, é da sua aplicação e entender qual que seria a
• 3:06
  jornada dele, né, digamos assim, pelas sombras ali da aplicação,
• 3:10
  né? É uma ótima abordagem e é isso,
• 3:12
  é até essa, esse questionamento. Ter pessoas qualificadas do do
• 3:16
  lado, né? Nesses momentos, e usar a
• 3:19
  inteligência artificial também para poder é entender melhor os
• 3:22
  tipos de fraqueza que você pode encontrar desde o início.
• 3:25
  Perfeito. Então uma sabatina com
• 3:28
  especialista poderia ser substituído por uma sabatina com
• 3:30
  aya. Desde que você faça as perguntas
• 3:32
  certas, né? Aya deve ter competência o
• 3:34
  suficiente para poder te provar alguns pontos.