Senior Security

Engenheiro de Segurança Sênior

Ferramentas de engenharia de segurança para modelagem de ameaças, análise de vulnerabilidades, design de arquitetura segura e testes de penetração.

Sumário

• Workflow de Modelagem de Ameaças
• Workflow de Arquitetura de Segurança
• Workflow de Avaliação de Vulnerabilidades
• Workflow de Revisão de Código Seguro
• Workflow de Resposta a Incidentes
• Referência de Ferramentas de Segurança
• Ferramentas e Referências

Workflow de Modelagem de Ameaças

Identifique e analise ameaças de segurança usando a metodologia STRIDE.

Workflow: Conduzir Modelagem de Ameaças

1. Definir escopo e limites do sistema:
   • Identificar ativos a proteger
   • Mapear limites de confiança
   • Documentar fluxos de dados
2. Criar diagrama de fluxo de dados:
   • Entidades externas (usuários, serviços)
   • Processos (componentes da aplicação)
   • Armazenamentos de dados (bancos de dados, caches)
   • Fluxos de dados (APIs, conexões de rede)
3. Aplicar STRIDE a cada elemento do DFD (veja Matriz STRIDE por Elemento abaixo)
4. Pontuar riscos usando DREAD:
   • Potencial de dano (1-10)
   • Reprodutibilidade (1-10)
   • Explorabilidade (1-10)
   • Usuários afetados (1-10)
   • Descobribilidade (1-10)
5. Priorizar ameaças por score de risco
6. Definir mitigações para cada ameaça
7. Documentar no relatório de modelagem de ameaças
8. Validação: Todos os elementos do DFD analisados; STRIDE aplicado; ameaças pontuadas; mitigações mapeadas

Categorias de Ameaças STRIDE

Matriz STRIDE por Elemento

Veja: references/threat-modeling-guide.md

Workflow de Arquitetura de Segurança

Projete sistemas seguros usando princípios de defesa em profundidade.

Workflow: Projetar Arquitetura Segura

1. Definir requisitos de segurança:
   • Requisitos de conformidade (LGPD, LGPD/ANVISA, PCI-DSS)
   • Classificação de dados (público, interno, confidencial, restrito)
   • Entradas do modelo de ameaças
2. Aplicar camadas de defesa em profundidade:
   • Perímetro: WAF, proteção DDoS, rate limiting
   • Rede: Segmentação, IDS/IPS, mTLS
   • Host: Patching, EDR, hardening
   • Aplicação: Validação de entrada, autenticação, codificação segura
   • Dados: Criptografia em repouso e em trânsito
3. Implementar princípios Zero Trust:
   • Verificar explicitamente (cada requisição)
   • Acesso com menor privilégio (JIT/JEA)
   • Assumir violação (segmentar, monitorar)
4. Configurar autenticação e autorização:
   • Seleção de provedor de identidade
   • Requisitos de MFA
   • Modelo RBAC/ABAC
5. Projetar estratégia de criptografia:
   • Abordagem de gerenciamento de chaves
   • Seleção de algoritmo
   • Ciclo de vida de certificados
6. Planejar monitoramento de segurança:
   • Agregação de logs
   • Integração SIEM
   • Regras de alerta
7. Documentar decisões de arquitetura
8. Validação: Camadas de defesa em profundidade definidas; Zero Trust aplicado; estratégia de criptografia documentada; monitoramento planejado

Camadas de Defesa em Profundidade

Camada 1: PERÍMETRO
  WAF, mitigação DDoS, filtragem DNS, rate limiting

Camada 2: REDE
  Segmentação, IDS/IPS, monitoramento de rede, VPN, mTLS

Camada 3: HOST
  Proteção de endpoint, hardening de SO, patching, logging

Camada 4: APLICAÇÃO
  Validação de entrada, autenticação, codificação segura, SAST

Camada 5: DADOS
  Criptografia em repouso/trânsito, controles de acesso, DLP, backup

Seleção de Padrão de Autenticação

Veja: references/security-architecture-patterns.md

Workflow de Avaliação de Vulnerabilidades

Identifique e remedie vulnerabilidades de segurança em aplicações.

Workflow: Conduzir Avaliação de Vulnerabilidades

1. Definir escopo da avaliação:
   • Sistemas e aplicações em escopo
   • Metodologia de teste (caixa preta, caixa cinza, caixa branca)
   • Regras de engajamento
2. Coletar informações:
   • Inventário de stack tecnológico
   • Documentação de arquitetura
   • Relatórios anteriores de vulnerabilidades
3. Realizar escaneamento automatizado:
   • SAST (análise estática)
   • DAST (análise dinâmica)
   • Escaneamento de dependências
   • Detecção de segredos
4. Conduzir testes manuais:
   • Falhas de lógica de negócio
   • Bypass de autenticação
   • Problemas de autorização
   • Vulnerabilidades de injeção
5. Classificar achados por severidade:
   • Crítico: Risco de exploração imediata
   • Alto: Impacto significativo, mais fácil de explorar
   • Médio: Impacto moderado ou dificuldade
   • Baixo: Impacto menor
6. Desenvolver plano de remediação:
   • Priorizar por risco
   • Atribuir responsáveis
   • Definir prazos
7. Verificar correções e documentar
8. Validação: Escopo definido; testes automatizados e manuais completos; achados classificados; remediação rastreada

Para descrições de vulnerabilidades do OWASP Top 10 e orientação de testes, consulte owasp.org/Top10.

Matriz de Severidade de Vulnerabilidades

Workflow de Revisão de Código Seguro

Revise código em busca de vulnerabilidades de segurança antes da implantação.

Workflow: Conduzir Revisão de Código de Segurança

1. Estabelecer escopo de revisão:
   • Arquivos e funções alterados
   • Áreas sensíveis à segurança (auth, crypto, tratamento de entrada)
   • Integrações de terceiros
2. Executar análise automatizada:
   • Ferramentas SAST (Semgrep, CodeQL, Bandit)
   • Escaneamento de segredos
   • Verificação de vulnerabilidades de dependências
3. Revisar código de autenticação:
   • Tratamento de senha (hashing, armazenamento)
   • Gerenciamento de sessão
   • Validação de token
4. Revisar código de autorização:
   • Verificações de controle de acesso
   • Implementação RBAC
   • Limites de privilégio
5. Revisar tratamento de dados:
   • Validação de entrada
   • Codificação de saída
   • Construção de query SQL
   • Tratamento de caminho de arquivo
6. Revisar código criptográfico:
   • Seleção de algoritmo
   • Gerenciamento de chaves
   • Geração de número aleatório
7. Documentar achados com severidade
8. Validação: Scans automatizados aprovados; auth/authz revisados; tratamento de dados verificado; crypto verificada; achados documentados

Checklist de Revisão de Código de Segurança

Padrões Seguros vs Inseguros

Exemplos de Código Inline

SQL Injection — inseguro vs. seguro (Python):

# Inseguro: formatação de string permite SQL injection
query = f"SELECT * FROM users WHERE username = '{username}'"
cursor.execute(query)

# Seguro: query parametrizada — entrada do usuário nunca interpretada como SQL
query = "SELECT * FROM users WHERE username = %s"
cursor.execute(query, (username,))

Hashing de Senha com Argon2id (Python):

from argon2 import PasswordHasher

ph = PasswordHasher()          # usa padrões seguros (time_cost, memory_cost)

# No registro
hashed = ph.hash(plain_password)

# No login — lança argon2.exceptions.VerifyMismatchError em falha
ph.verify(hashed, plain_password)

Escaneamento de Segredos — padrão de correspondência central (Python):

import re, pathlib

SECRET_PATTERNS = {
    "aws_access_key":  re.compile(r"AKIA[0-9A-Z]{16}"),
    "github_token":    re.compile(r"ghp_[A-Za-z0-9]{36}"),
    "private_key":     re.compile(r"-----BEGIN (RSA |EC )?PRIVATE KEY-----"),
    "generic_secret":  re.compile(r'(?i)(password|secret|api_key)\s*=\s*["']?\S{8,}'),
}

def scan_file(path: pathlib.Path) -> list[dict]:
    findings = []
    for lineno, line in enumerate(path.read_text(errors="replace").splitlines(), 1):
        for name, pattern in SECRET_PATTERNS.items():
            if pattern.search(line):
                findings.append({"file": str(path), "line": lineno, "type": name})
    return findings

Workflow de Resposta a Incidentes

Responda e contenha incidentes de segurança.

Workflow: Lidar com Incidente de Segurança

1. Identificar e triar:
   • Validar que o incidente é genuíno
   • Avaliar escopo e severidade inicial
   • Ativar equipe de resposta a incidentes
2. Conter a ameaça:
   • Isolar sistemas afetados
   • Bloquear IPs/contas maliciosos
   • Desabilitar credenciais comprometidas
3. Erradicar a causa raiz:
   • Remover malware/backdoors
   • Corrigir vulnerabilidades
   • Atualizar configurações
4. Recuperar operações:
   • Restaurar a partir de backups limpos
   • Verificar integridade do sistema
   • Monitorar recorrência
5. Conduzir pós-mortem:
   • Reconstrução da timeline
   • Análise de causa raiz
   • Lições aprendidas
6. Implementar melhorias:
   • Atualizar regras de detecção
   • Aprimorar controles
   • Atualizar runbooks
7. Documentar e reportar
8. Validação: Ameaça contida; causa raiz eliminada; sistemas recuperados; pós-mortem completo; melhorias implementadas

Níveis de Severidade de Incidentes

Checklist de Resposta a Incidentes

Referência de Ferramentas de Segurança

Ferramentas de Segurança Recomendadas

Seleção de Algoritmo Criptográfico

Veja: references/cryptography-implementation.md

Ferramentas e Referências

Scripts

Para uso, consulte os exemplos de código inline em Workflow de Revisão de Código Seguro e os arquivos de script diretamente.

Referências

Referência de Padrões de Segurança

Checklist de Cabeçalhos de Segurança

Para requisitos de frameworks de conformidade (OWASP ASVS, CIS Benchmarks, NIST CSF, PCI-DSS, LGPD/ANVISA, SOC 2), consulte a respectiva documentação oficial.

Skills Relacionadas