AppSec, DevSecOps, IA e CTI com foco prático. Veja as trilhas.
Sou Analista Sênior de Segurança na Pravaler, com atuação em AppSec, DevSecOps, CTI, Cloud Security e automação.
Criei este espaço para compartilhar aprendizados práticos sobre como reduzir riscos, fortalecer aplicações e aproximar segurança da engenharia.
Stack & Automação
Snyk Checkmarx MS Defender Axur MISP n8n GitHub GCP Cloudflare
TL;DR: A campanha InstallFix mostra um padrão perigoso: o atacante não precisa explorar uma CVE no seu ambiente se conseguir convencer alguém a copiar um comando de instalação falso. No caso analisado pela Trend Micro, páginas falsas de Claude Code ... read more →
TL;DR: Configurei um script em Python para aplicar uma linha de base de segurança em uma zona Cloudflare: Always Use HTTPS, TLS mínimo 1.2, Cloudflare Managed Ruleset e regras customizadas simples no WAF. Automação de segurança não precisa começar ... read more →
TL;DR: O OWASP Top 10:2025 mostra que segurança de aplicação não é só corrigir bug no código. Os principais riscos agora passam por controle de acesso, configuração de nuvem, supply chain, autenticação, logging e como o sistema se comporta quando al ... read more →
TL;DR: O caso iFood x Keeta mostra uma superfície de ataque que muita empresa ainda trata como problema de RH: abordagem de funcionários, entrevistas remuneradas, vazamento de contexto operacional e metadados de reunião. Para segurança, isso é insid ... read more →
TL;DR: Em maio de 2026, a TanStack sofreu um ataque sofisticado via GitHub Actions e OIDC. Se você instalou pacotes @tanstack/* no dia 11 de maio, sua máquina ou CI pode estar comprometida. Veja abaixo como auditar, remediar e configurar seu ambient ... read more →
TL;DR: O desenvolvimento entrou na fase Agentic, onde a IA não apenas sugere código, mas opera ferramentas e fluxos inteiros. Isso cria novos vetores de ataque que o AppSec tradicional não consegue detectar. Aprenda como blindar seus agentes de IA. ... read more →
TL;DR: DevSecOps não é sobre colocar um "gate" de segurança no final do processo. É sobre integrar segurança, cultura e automação desde o primeiro commit para garantir que a velocidade da IA não se transforme em uma velocidade de falhas. ... read more →
TL;DR: Application Security (AppSec) não é mais apenas sobre rodar scanners no final do ciclo. Em 2026, o desafio é proteger o código escrito por humanos e o gerado por IA, garantindo que a velocidade do desenvolvimento não sacrifique a integridade ... read more →
TL;DR: Cyber Threat Intelligence (CTI) não é apenas coletar dados sobre ataques. É a capacidade de transformar informações brutas em decisões estratégicas para priorizar o que realmente importa e antecipar o próximo passo do atacante. No mar infini ... read more →