Trilha de estudo
Trilha Engenheiro DevSecOps: tudo o que estudar, tópico por tópico
Avalia a capacidade de incorporar práticas de segurança em pipelines de CI/CD, infraestrutura e fluxos de trabalho de desenvolvimento. Abrange codificação segura, hardening de pipelines, segurança de infraestrutura, proteção em tempo de execução, automação de conformidade e estratégia de segurança.
Resposta curta
Para aprender Engenheiro DevSecOps, percorra 6 módulos e 24 tópicos na ordem em que um apoia o próximo. Comece por Desenvolvimento Seguro e siga para Segurança de Pipeline e Segurança de Infraestrutura. Use o mapa como checklist, ou meça seu nível e estude só o que falta.
O que você vai estudar
Os tópicos estão agrupados por módulo. Abra um para ver os objetivos e os conceitos-chave.
1 · Desenvolvimento Seguro4 tópicos
Práticas de Codificação Segura
Validação de entrada, codificação de saída, consultas parametrizadas, tratamento seguro de erros e técnicas de programação defensiva para prevenir vulnerabilidades comuns
Objetivos
- Aplicar validação de entrada para prevenir ataques de injeção
- Implementar tratamento seguro de erros que evite vazamento de informações
Conceitos-chave
- validação de entrada
- codificação de saída
- consultas parametrizadas
- tratamento seguro de erros
- programação defensiva
- menor privilégio no código
- padrões seguros
Conscientização sobre OWASP Top 10
Compreensão dos 10 principais riscos de segurança de aplicações web do OWASP, seu impacto e estratégias fundamentais de mitigação para cada categoria
Objetivos
- Identificar riscos do OWASP Top 10 em um cenário de revisão de código
- Recomendar mitigações para as vulnerabilidades mais críticas de aplicações web
Conceitos-chave
- ataques de injeção
- autenticação quebrada
- exposição de dados sensíveis
- entidades externas XML
- controle de acesso quebrado
- configuração incorreta de segurança
- cross-site scripting
Varredura de Código (SAST)
Ferramentas de teste de segurança de aplicação estática, integração em fluxos de trabalho de desenvolvimento, triagem de achados e redução de falsos positivos em análise automatizada de código
Objetivos
- Integrar uma ferramenta SAST em um pipeline de CI com taxas gerenciáveis de falsos positivos
- Criar regras de varredura customizadas para padrões de segurança específicos da organização
Conceitos-chave
- ferramentas SAST
- SonarQube
- Semgrep
- CodeQL
- triagem de falsos positivos
- regras customizadas
- integração com IDE
Varredura de Dependências (SCA)
Análise de composição de software para identificar dependências vulneráveis, conformidade de licenças, estratégias de atualização automatizada e higiene de dependências em sistemas de build
Objetivos
- Configurar varredura automatizada de dependências que bloqueia vulnerabilidades críticas antes do merge
- Projetar uma estratégia de atualização de dependências que equilibre segurança com estabilidade
Conceitos-chave
- ferramentas SCA
- Snyk
- Dependabot
- Renovate
- banco de dados CVE
- conformidade de licenças
- dependências transitivas
2 · Segurança de Pipeline4 tópicos
Hardening de Segurança de CI/CD
Proteção de agentes de build, configurações de pipeline, isolamento de ambientes, acesso com menor privilégio para sistemas de CI/CD e prevenção de ataques de envenenamento de pipeline
Objetivos
- Fazer hardening de um pipeline de CI/CD contra vetores comuns de ataque à cadeia de suprimentos
- Implementar controles de acesso com menor privilégio para agentes de build e configurações de pipeline
Conceitos-chave
- envenenamento de pipeline
- hardening de agente de build
- runners efêmeros
- isolamento de ambiente
- RBAC para pipelines
- segurança de pipeline como código
- proteção de branch
Varredura de Imagens de Contêiner
Varredura de imagens de contêiner em busca de vulnerabilidades, malware e configurações incorretas em tempo de build e em registries, com políticas de gating automatizadas
Objetivos
- Integrar varredura de imagens de contêiner em um pipeline de build com gates baseados em severidade
- Projetar uma estratégia de imagem base que minimize a superfície de vulnerabilidade
Conceitos-chave
- Trivy
- Grype
- Clair
- camadas de imagem
- seleção de imagem base
- imagens distroless
- varredura de registry
Gerenciamento de Segredos (Vault/AWS SM)
Gerenciamento centralizado de segredos usando HashiCorp Vault ou AWS Secrets Manager, segredos dinâmicos, políticas de rotação e prevenção de vazamento de segredos em pipelines
Objetivos
- Projetar uma arquitetura de gerenciamento de segredos que previna vazamento entre estágios do pipeline
- Implementar credenciais dinâmicas de curta duração para substituir chaves de API de longa duração
Conceitos-chave
- HashiCorp Vault
- AWS Secrets Manager
- segredos dinâmicos
- rotação de segredos
- detecção de segredos
- higiene de variáveis de ambiente
- acesso com menor privilégio
Assinatura de Artefatos e Proveniência (SLSA)
Assinatura de artefatos de build, verificação de proveniência com framework SLSA, atestações in-toto e estabelecimento de confiança na cadeia de suprimentos de software
Objetivos
- Implementar proveniência SLSA Nível 3 para artefatos de contêiner em um pipeline de produção
- Projetar um fluxo de verificação de artefatos que bloqueie imagens não assinadas do deployment
Conceitos-chave
- framework SLSA
- Sigstore
- cosign
- atestações in-toto
- verificação de proveniência
- reprodutibilidade de build
- detecção de adulteração
3 · Segurança de Infraestrutura4 tópicos
Varredura de Segurança de IaC (Checkov/tfsec)
Varredura de Terraform, CloudFormation e manifestos Kubernetes em busca de configurações incorretas de segurança, criação de políticas customizadas e integração com pre-commit
Objetivos
- Integrar varredura de IaC em um fluxo de trabalho Terraform com políticas organizacionais customizadas
- Triar e priorizar achados de segurança de IaC em um ambiente multi-account na nuvem
Conceitos-chave
- Checkov
- tfsec
- KICS
- políticas customizadas
- hooks pre-commit
- varredura de Terraform plan
- detecção de drift
Gerenciamento de Postura de Segurança em Nuvem
Monitoramento contínuo de configurações de nuvem contra benchmarks de segurança, remediação automatizada e governança de segurança multi-cloud
Objetivos
- Projetar uma estratégia CSPM que cubra detecção de drift e auto-remediação
- Mapear controles de benchmark CIS para verificações automatizadas de segurança em nuvem
Conceitos-chave
- ferramentas CSPM
- benchmarks CIS
- regras AWS Config
- Azure Policy
- auto-remediação
- governança multi-cloud
- baselines de segurança
Automação de Segurança de Rede
Automação de regras de firewall, security groups, políticas de rede, micro-segmentação e arquitetura de rede zero-trust através de abordagens orientadas por código
Objetivos
- Automatizar políticas de segmentação de rede para um cluster Kubernetes usando Calico ou Cilium
- Projetar uma arquitetura de rede zero-trust com aplicação automatizada de políticas
Conceitos-chave
- políticas de rede
- micro-segmentação
- rede zero-trust
- automação de security groups
- segurança de service mesh
- Calico
- Cilium
Política como Código (OPA/Sentinel)
Definição e aplicação de políticas de segurança organizacionais usando OPA Rego ou Sentinel, admission controllers e governança orientada por políticas em escala
Objetivos
- Escrever políticas OPA Rego que imponham guardrails de segurança para deploys Kubernetes
- Projetar um framework de governança de política como código que escale entre múltiplas equipes
Conceitos-chave
- Open Policy Agent
- linguagem Rego
- políticas Sentinel
- admission controllers Kubernetes
- Gatekeeper
- teste de políticas
- bibliotecas de políticas
4 · Segurança em Tempo de Execução4 tópicos
Autoproteção de Aplicação em Tempo de Execução
Instrumentação de aplicações para detecção de ameaças em tempo de execução, bloqueio de ataques dentro da aplicação e equilíbrio entre segurança e overhead de desempenho
Objetivos
- Avaliar quando RASP é preferível a um WAF tradicional para proteção de aplicação
- Avaliar os trade-offs de desempenho de instrumentação em tempo de execução em cargas de trabalho de produção
Conceitos-chave
- agentes RASP
- instrumentação em tempo de execução
- bloqueio de ataques
- overhead de desempenho
- patching virtual
- monitoramento de comportamento
- WAF vs RASP
Segurança de Runtime de Contêineres (Falco)
Monitoramento de comportamento de contêineres em tempo de execução usando Falco e ferramentas similares, detecção de chamadas de sistema anômalas e resposta a tentativas de escape de contêiner
Objetivos
- Configurar regras Falco para detectar tentativas de escape de contêiner e escalação de privilégios
- Projetar uma arquitetura de segurança de runtime de contêineres para um cluster Kubernetes de produção
Conceitos-chave
- Falco
- monitoramento de syscalls
- detecção de escape de contêiner
- detecção de anomalias em runtime
- segurança eBPF
- contêineres imutáveis
- perfis seccomp
Testes de Segurança de API (DAST)
Testes dinâmicos de segurança de aplicação para APIs, testes de penetração automatizados, fuzzing e integração de ferramentas DAST em pipelines de CI/CD
Objetivos
- Integrar varredura DAST em um pipeline de CI/CD sem bloquear a velocidade dos desenvolvedores
- Projetar uma estratégia de testes de segurança de API que cubra falhas de autenticação e autorização
Conceitos-chave
- ferramentas DAST
- OWASP ZAP
- Burp Suite
- fuzzing de API
- varredura autenticada
- integração DAST em CI/CD
- gerenciamento de falsos positivos
Detecção de Ameaças em Produção
Detecção de ameaças de segurança em ambientes de produção usando integração com SIEM, detecção de anomalias, resposta automatizada a incidentes e observabilidade de segurança
Objetivos
- Projetar um pipeline de detecção de ameaças que correlacione sinais entre contêineres, APIs e infraestrutura
- Reduzir fadiga de alertas mantendo cobertura de detecção para vetores de ataque críticos
Conceitos-chave
- integração SIEM
- detecção de anomalias
- observabilidade de segurança
- resposta automatizada a incidentes
- feeds de inteligência de ameaças
- plataformas SOAR
- redução de fadiga de alertas
5 · Automação de Conformidade4 tópicos
Conformidade como Código
Codificação de requisitos de conformidade regulatória e organizacional como verificações automatizadas, monitoramento contínuo de conformidade e automação de coleta de evidências
Objetivos
- Converter uma checklist de conformidade manual em políticas de código automatizadas e continuamente aplicadas
- Projetar um pipeline de coleta de evidências que satisfaça requisitos de auditores automaticamente
Conceitos-chave
- frameworks de conformidade
- coleta automatizada de evidências
- conformidade contínua
- mapeamento de controles
- detecção de drift de conformidade
- InSpec
- Chef Compliance
Automação de Trilha de Auditoria
Logging automatizado, trilhas de auditoria imutáveis, rastreamento de mudanças e preservação de evidências à prova de adulteração para conformidade e investigações forenses
Objetivos
- Arquitetar um sistema de trilha de auditoria imutável que atenda requisitos de evidência SOC 2
- Projetar uma estratégia de retenção de logs e armazenamento à prova de adulteração para conformidade regulatória
Conceitos-chave
- logs imutáveis
- CloudTrail
- agregação de logs de auditoria
- armazenamento à prova de adulteração
- rastreamento de mudanças
- políticas de retenção de logs
- prontidão forense
Integração de SOC 2 / ISO 27001 em Pipelines
Incorporação de verificações de controles SOC 2 Tipo II e ISO 27001 diretamente em pipelines de CI/CD, evidência automatizada de controles e prontidão contínua para auditoria
Objetivos
- Mapear critérios de serviço de confiança SOC 2 para verificações automatizadas em pipeline
- Projetar um dashboard de prontidão contínua para auditoria de conformidade ISO 27001
Conceitos-chave
- SOC 2 Tipo II
- controles ISO 27001
- automação de evidências de controles
- prontidão contínua para auditoria
- gates de conformidade em pipeline
- mapeamento de controles para CI/CD
- comunicação com auditores
Automação de Relatórios Regulatórios
Automação de relatórios de conformidade regulatória para frameworks como GDPR, HIPAA, PCI-DSS e SOX através de pipelines de dados e monitoramento contínuo
Objetivos
- Projetar relatórios regulatórios automatizados que abranjam GDPR, HIPAA e PCI-DSS simultaneamente
- Construir um mapeamento de controles cross-framework que reduza esforço duplicado de conformidade
Conceitos-chave
- relatórios GDPR
- automação de conformidade HIPAA
- evidências PCI-DSS
- controles SOX
- pipelines automatizados de relatórios
- mapeamento cross-framework
- rastreamento de mudanças regulatórias
6 · Estratégia e Cultura4 tópicos
Programa de Security Champions
Construção e escalabilidade de um programa de security champions, treinamento de desenvolvedores como defensores de segurança e incorporação de propriedade de segurança entre equipes de engenharia
Objetivos
- Projetar um programa de security champions que escale em uma organização de engenharia de 200 pessoas
- Criar um currículo de treinamento que transforme desenvolvedores em defensores eficazes de segurança
Conceitos-chave
- security champions
- treinamento de segurança para desenvolvedores
- cultura de segurança
- gamificação de segurança
- guildas de segurança
- compartilhamento de conhecimento
- reconhecimento de champions
Integração de Modelagem de Ameaças
Integração de modelagem de ameaças no SDLC, uso de metodologias STRIDE e PASTA, automação de atualizações de modelos de ameaça e tornar a modelagem uma prática amigável para desenvolvedores
Objetivos
- Integrar modelagem de ameaças leve no planejamento de sprint sem desacelerar a entrega
- Automatizar atualizações de modelos de ameaça conforme a arquitetura evolui através de integração com CI/CD
Conceitos-chave
- STRIDE
- PASTA
- árvores de ataque
- diagramas de fluxo de dados
- automação de modelo de ameaça
- modelagem de ameaças amigável ao desenvolvedor
- modelo de ameaça como código
Métricas e KPIs de Segurança
Definição, medição e reporte de KPIs de segurança como tempo médio de remediação, taxa de escape de vulnerabilidades e dívida de segurança, para públicos executivos e de engenharia
Objetivos
- Projetar um programa de métricas de segurança que demonstre ROI para a diretoria executiva
- Construir um dashboard de segurança de engenharia que impulsione mudança comportamental entre equipes
Conceitos-chave
- MTTR
- taxa de escape de vulnerabilidades
- dívida de segurança
- pontuação de postura de risco
- dashboards executivos
- métricas de segurança de engenharia
- ROI de segurança
Segurança da Cadeia de Suprimentos (SBOM)
Gerenciamento de lista de materiais de software, verificação de integridade de componentes de terceiros, resposta a comprometimentos da cadeia de suprimentos e atendimento a regulações emergentes de SBOM
Objetivos
- Implementar um pipeline de SBOM de ponta a ponta desde a geração até a verificação pelo consumidor
- Responder a um comprometimento importante da cadeia de suprimentos usando dados de SBOM para avaliar o raio de impacto
Conceitos-chave
- geração de SBOM
- SPDX
- CycloneDX
- documentos VEX
- atestações da cadeia de suprimentos
- risco de terceiros
- regulações de SBOM
Níveis: Júnior, Pleno, Sênior e Especialista
Explique com suas palavras
Corrigido por IA · sem cadastro · 1 perguntaSem alternativas para chutar: você escreve, a IA corrige com a rubrica do tópico e diz em que nível sua resposta está.
Já estuda Engenheiro DevSecOps?
A avaliação mede tópico por tópico, e o plano pula o que você já sabe.
Aberto para ler. A conta só é necessária para ser medido.
Perguntas frequentes
Por onde começar a estudar Engenheiro DevSecOps?
Comece por Desenvolvimento Seguro: Práticas de Codificação Segura, Conscientização sobre OWASP Top 10 e Varredura de Código (SAST). O mapa ordena os tópicos pelo que depende de quê, então cada um prepara o seguinte.
Quanto tempo leva uma avaliação completa de Engenheiro DevSecOps?
Uma avaliação completa desta trilha leva cerca de 50 minutos. O tempo de estudo depende de onde você começa; o diagnóstico mostra quais tópicos você pode pular.
Preciso de conta para usar esta página?
Não. O mapa, os objetivos e os conceitos-chave são abertos. A conta só é necessária para ser medido, ver seu gap por tópico e receber um plano.