E Novo Ação! Segura
programa de tecnologia!
Começa aqui,
o seu podcast de segurança em tecnologia.
Fala pessoal, tudo bem com vocês?
Sejam muito bemvindos a mais episódio
deve ser copy do podcast.
Eu sou o Cássio Pereira.
E eu sou o Marcos Santos.
Muito bom!
Tá de volta o menino, né?
Mãe, tamo aí.
No episódio cheio de gripe, cheio de vírus e tudo
mais, faz parte, a partir de que o principal vírus
não está aqui hoje, que é o Rodrigo Balpin.
Graças a Deus, cara.
Dá pra gravar aqui.
E eu tô todo mundo cagado agora.
É que ele não está aqui presente nessa gravação.
Boa, boa, boa.
Bom, antes de começar o episódio de hoje, pessoal,
vale lembrar que o DevSecoth Podcast tem o apoio
da Checkermans e da nova 8 que são especializadas
em segurança de sistemas e código seguro.
Link da Lavoished que é distribuidor da Checkmates do
Brasil e está abaixo na descrição do episódio no
YouTube e também no nosso website, deve sercopspotcash.com.br.
Você está buscando soluções e Application Security?
Fale com a Digital Walker.
Ele tem portfólio completo para atender vocês.
E a Gold Security que
é especializada em Application Security.
Que assim, vou ver só porque eu seguro, fale com
alguns aqui, eu fiz os melhores processos pra atender e
auxiliar vocês aí no dia a dia, beleza?
Então, aquela dúvida de como é que eu faço a
segue, o que eu faço pra onde eu vou, acabou.
Fala aí com os nossos parceiros que
vão ajudar você nesse contexto, beleza?
E para você que tá procurando trampo também
não se esqueça que tá no ar o
apsek.jobs é tanto para procurar trampo na área
tanto quanto para anunciar vagas Mano, e aí?
O fato é que hoje eu sei o que a gente já falou hoje.
Deixa eu falar de treinamento de segurança, amiguinho.
Pra explorar pouquinho sobre o que é, como
que faz, se ajuda mesmo não ajuda, a
importância disso e mais algumas coisinhas que a
gente vai desenvolvendo aí no meio da conversa.
Boa, eu trouxe umas Eu sempre tenho polêmica em
mente, porque às vezes a galera acha que De
certo modo, é muito fácil implementar muita coisa.
Por outro lado, a gente sempre
vê uma certa resistência das empresas.
E a gente quer de segurança, a gente
sempre pensa assim, pô, mas isso aqui tem
que fazer, isso aqui tem que ser feito.
Que sempre tem essa resistência, essa fricção, dependendo
de algumas coisas, e treinamento é uma delas.
Treinamento é uma delas.
Eu vou tocar lendo ponto
de tentar entender pouquinho disso.
Eu queria começar aí com uma pergunta, Marcos.
Tem parceiro, algum conhecido, tem alguma solução que
possa ajudar nessa questão de treinamento de segurança.
Você conhece alguma?
Cara, conheço uma muito bem.
A gente trabalha com ela, que é o Code Bastion.
A ferramenta muito boa, é da checkmax, pessoal que
está ouvindo aí, é uma ferramenta muito legal ali,
tem treinamento de segurança, Você pode filtrar ou por
linguagem ou por vulnerabilidades no geral, então ele tem
alguns módulos ali dentro onde você consegue treinar ali,
SQL Injection para Java, como que ele faz C,
como que é Python.
Você consegue entender com SQL Injection
vai funcionar dependendo da linguagem, com
o Cruciscript, em SSRF, entre outras.
A plataforma boa. Muito boa mesmo.
Para você evitar na versão nova e 10.0 atualizado.
3.3,
né?
Ah, é verdade, lançaram a 2.5. Isso. É verdade.
E pra quem não entendeu ainda, né?
Uma ferramenta focada no aprendizado, né?
No treinamento, vamos dizer assim, todo desenvolvedor como é
que uma vulnerabilidade acontece, como é que você trata
ela, como é que você corrige ela acerca do
seu dia a dia de código.
Porque eu sempre digo, melhor dos mundos, não
é você ficar corrigindo, achando, fazendo scan e
corrigindo vulnerabilidade, é você parar de criálas. Né?
Quando você compra
uma chance
de segurança de fato na sua empresa.
Então esse tipo de solução, vamos dizer assim.
Ah, lógico, a solução ajuda a gente escalar, traz ali
uns elementos como gamification, competição, você tem lá os dashboards
que você visualiza seu time, se tá fazendo os cursos
e não tá, dá uma saia e mexer pra alguém,
fazer curso específico, etc, etc, etc.
E tantas outras soluções do mercado com relação a
isso, mas Meu ponto, eu queria trazer essa discussão
aqui agora, pra gente trocar ideia, Marcos.
Por que será que muitas empresas não fazem isso?
Independente da solução.
Ah, a solução tem que pagar, tem
que comprar beleza, mas vamos lá.
Como é que a gente treina os desenvolvedores?
Por que as empresas não investem nisso?
Eu não preocupam com isso.
O que você acha que é uma barreira
de entrada para esse tema nas empresas?
Para não fazer isso.
Cara, acho que para mim tem dois pontos, vou
tentar explicar pouquinho deles, é que as empresas muitas
elas ainda vêm segurança, essa parte treinamento como custo,
não como investimento, então por ver isso como custo
acaba deixando de lado e dando prioridade para outros
itens, Então, esse é dos pontos da minha visão.
E o outro ponto é a questão de rotation, então
a empresa está sempre trocando de funcionar ali, então você
monta vídeo treinar o cara, já tá trocando outro e
outro em cima, então quando você vai ver o turno
novo da empresa tá lá embaixo e você não consegue,
você não tem tempo hábil de treinar a pessoa para
ela ficar boa o suficiente e manter ela na empresa.
Durante o treinamento a pessoa já sai e
normalmente esses cursos ali para os onde que
esse plataforma é licenciado por usuário, né?
Então, às vezes, vou comprar pacote sem licenças eu troco
40 funcionários por mês eu me quebrei eu não vou
conseguir pegar essas 40 de volta vou ficar ali parada
Então acho que esses dois pontos é o que faz
o pessoal pensar, o custo né, que hoje é custo
não é investimento para as empresas, e essa rotação hoje
profissionais saindo muito das empresas muito rápido, né?
Previsecops! Previsecops!
Bons pontos pra gente começar a falar.
Eu acho que essa questão você colocou a primeira
aí da Aliás, essa questão da rotatividade, né?
É problema.
Não só por licença, por essa questão do custo,
mas por uma preocupação da empresa do tipo, porra,
eu vou treinar o cara, vou investir esse cara,
e daqui três meses, seis meses, até ano, ou
seja, ele vai me deixar, ele vai sair.
Então tem que ter pouco dessa promoção, porque
a empresa sabe que acaba sendo gasto.
Putz, o investimento é conectando
pouco dos dois pontos, né?
É gasto se ela investiu naquele cara, aquele
cara saiu fora, porque aquele aquele investimento que
ela fez, ela não vai ter retorno, aquele
cara vai aproveitar, aquele conhecimento fora dali.
Vai depender
de uma forma bem grosseira.
Do pro outro lado, enquanto esse cara está lá,
ele está produzindo o código lá, pensando no desenvolvedor.
Então acaba sendo benefício, certo?
Mesmo que ele não tenha terminado o treinamento, que
tenha ficado pouco tempo, acho que o tempo que
ele esteve ali acaba sendo útil para a empresa.
Então Não sei, é difícil usar.
Essa fórmula é isso.
É só que a gente vê, por exemplo, as
empresas não só para de treinamento, falou segurança como
todo, tudo aquilo envolve segurança hoje para as empresas,
ainda penso como custo ali, como gasto, a mentalidade
está mudando, mas você vê isso, você vai falar
ferramenta, mas tudo isso cara para caramba, consigo fazer
isso com open source, você vai ter 30 vezes
mais trabalho, ou às vezes não tem uma pessoa
capacitada para gerir ali software de segurança porque não
quer despender ali o investimento ali pelo menos inicial
para você poder equalizar todo mundo.
Então eu acho que esse ponto de ter custo ali, acho que
é na minha visão que mais deixa o pessoal de fora.
Eles investem em treinamento de outras coisas, treinamento corporativo,
você vai ter treinamento comportamental, mas quando a gente
fala de segurança hoje, o booster da área de
segurança é booster mais baixo né então você tem
booster da TI você separa uma fatiazinha ali para
segurança e nem segura você ter que separar para
o treinamento o pessoal não prefere investir em outras
coisas na minha visão.
Outro ponto que eu queria trazer para essa
esse debate é o seguinte, eu tenho conversado
pouco com algumas empresas nos últimos meses em
relação a isso, as questões de treinamento de
desenvolvedores, treinamento de segurança para desenvolvedor.
Com foco mesmo em upsec, tanto para o cara
parar de criar vulnerabilidade, famosa codificação segura, aquela coisa
toda, best pratiques e tal, tanto quanto pro cara
corrigiu a sonoridade de resistência, da vazão ali num
backlog e coisas do tipo.
E eu tenho visto uma certa resistência das empresas
muito grande até com ponto específico que o tempo
que essa galera precisa pra fazer o treinamento.
É, então se você parar pra pensar as coisas,
Tem curso, eu não curso aqui, o curso tem
começo, meio e fim, de 40 horas, 80 horas,
sei lá, cara vai perder ali e perder, né?
Investir ali duas, três horas por dia, uma hora por
dia, duas, três semanas, tal, mês vai, mais ou menos
o tempo que ele vai vai gastar pra fazer isso,
parando pra pensar de modo bem grosseiro.
E quando eu vejo algumas empresas, eu falei, né?
Falei com algumas recentemente relações.
Meu, eu não consigo tirar o meu dev nem a
hora por dia pra ele fazer curso, por exemplo, online.
Né?
Que você já deu exercício que nem o
code bash, que você deu exemplo ali.
Método Super Simples, você faz exercício de
7 minutos, 8 minutos, 12 minutos, 5
minutos, aí tem cada lição tem.
Inclusive, tem uma versão free, faz
parênteses, tem uma versão free, free.com.
A galera pode testar aí, vem cá, tem umas lições
lá que dá pra você avaliar essa noção muito bacana.
Então as soluções elas já sabem disso, né?
A galera que é o Fernando Mercado Livre, sabe?
O cara vai parar duas horas, dez horas pra ver vídeo.
Ele vai parar quinze minutos, uma meia hora e tal.
E a resistência que eu tenho contado é muito essa.
O cara falou meu, eu não consigo parar o meu dev.
15 minutos, meia hora por dia, uma
hora por dia pra fazer treinamento.
Se você parar pra pensar uma horinha
por dia, o cara gasta Instagram.
É, isso que eu falei.
Gasinha. Noeiro.
Então assim, pra pegar esse tempo, o ponto de vista
da empresa e falar pra galera é o seguinte, você
tem que fazer uma vez por dia, então o suporte
pros caras, no sentido de, meu, podem fazer.
Você tem que fazer e podem fazer.
Não é que você tem que trabalhar oito
horas, uma hora de treinamento, você tem que
trabalhar nove, uma hora a mais pra compensar
que vá atrasar o trabalho e tal, não.
Mas encaixar dentro ali dos planejamentos e tudo mais.
Porque o que eu tenho visto é, as empresas estão
muito focadas na entrega, desenvolver, feat, entregar, entregar e tudo
isso ao redor vai sendo deixado de lado.
E Essa é uma outra pergunta que eu
queria trazer, o que você enxerga isso, Marcos? Por quê?
Que é tão difícil a galera olhar pra
isso e falar meu, realmente eu preciso capacitar
as minhas pessoas, os meus profissionais.
Ah, investe em outros treinamentos, através de de
compliance, antifraude, campanha de antifiches, tem lá os
vídeos para assistir, tem outras questões de segurança
também que acaba caindo no topdown e acontece.
Mas essa é uma das mais críticas, eu diria.
Por que você acha que as
empresas têm resistência do tempo.
Não, não, não, é que nem você vá.
Tem pouco do que você falou, né?
Investimento, vai desgastar, aquela coisa toda.
Mas, porra, Não dá, né mano?
A gente tá no século 40 já e O que você acha?
Assim, eu vou falar agora pouquinho até do que
eu vejo aqui tá na empresa que eu trabalho
aqui na Alemanha logo que eu entrei em eu
tive uma semana focada em treinamentos.
Logo que eu entrei eu não fazia nada.
Tinha treinamentos ali tanto voltado para parte da
linguagem que a gente usa aqui, que é
uma linguagem específica, o treinamento voltado ali para
as políticas da empresa, no geral, Só que
eu não tive treinamento nenhuma vez em segurança.
Vocês me deram treinamento para isso.
E eu vou perguntar.
Uma das justificativas que eu tive aqui eu acredito que
é válido para o Brasil também é que entendese que
o desenvolvedor está ali para fazer o trabalho dele e
quando você tira ele em uma hora você atrasando uma
entrega lá na frente, então você atrasa uma hora aqui,
é como se eu atrasar 4, 5 ou 6 ali
na frente no momento de uma entrega pensando que vai
passar todo aquele processo de SLC.
A empresa pensa desse jeito, não acredito que seja assim, a
minha visão acho que é mais pensando pô se eu tirar
o desenvolvedor ele vai perder o foco então vamos ver uma
hora que ele vai parar ali e vai tirar meia hora
antes e meia hora depois, pra se preparar, eu ir pra
voltar e ter o ritmo dele, então em vez de uma
hora eu tô perdendo duas ali, de trabalho desenvolvedor.
Porque a gente sabe que o cara parou de
fazer ali, o cara vai fazer outras coisas também.
Não vai só usar a thumbnail para voltar a codar.
Ele vai tomar café, ele vai mexer
no Tinder, vai mexer no Instagram,
mas essas coisas argumentando, compra isso, né?
Essas coisas já são naturais, a gente já
não fez oito horas ali trabalhando, né? A gente
eu não tenho certeza que mostra que a
gente fica seis, de oito horas até 6,
até menos.
E quando você falou, quando você fala, quando você para
pra ler email, aí você tinha que fazer uma tarefa,
aí chega email, aí você se perde naquele email que
você tem que responder, que você tem que buscar ajuda,
pedir não sei quem, a sua tarefa mesmo já ficou.
Você já está fazendo outra coisa
por mais que seja do trabalho.
Então acho que a questão é todo planejamento.
Os times, incluir como parte do produto que
você vai desenvolver você precisa de ano para
desenvolver o produto é mês é duas sprints
considere que haverá tempo de treinamento naquilo.
Tanto para.
O próprio deve aprender sobre o negócio, Se o Brasil
fizer a linguagem, tem treinamento mais do time, coisas ali
que ele precisa fazer, inclua a segurança junto.
Que seja 15 minutos por dia, meia hora por dia.
Porque sem esse planejamento, aí eu concordo pouco com as
empresas de meu, não dá pra encaixar isso agora.
Eu tenho planejamento aqui de entregas, de desenvolvimento, produtos
que eu vou fazer, tética e tal, beleza?
Então, eu tenho seis meses aqui de planejamento.
Uma hora por dia você fazer as contas, eu
vou estar traçando, eu vou estar perdendo coisa.
É porque já tá muito bem estruturado, beleza?
Mas vamos começar a incluir agora daqui pra
frente esse tempo de treinamento, considerar esse tempo
de treinamento no planejamento porque vai fazer parte
da própria evolução do profissional e inclusive isso
entra puxando até gancho ali do que você
falou antes do turnover o turnover azar.
Ele acontece por diversos motivos.
Às vezes, até pela falta
de capacitação do profissional.
O cara sente que ele não deu uma certificação, apoio,
patrocínio pra eventos, coisas do tipo, o cara, a empresa
aqui tem uma ferramenta legal que ajuda treinar com relação
à segurança, cada mês tem uma lição nova, por exemplo,
tem gamification aqui, coisas que incentivam, vai estimulando a galera
a participar, mas com certeza tem que ter o suporte
de gestão, vamos dizer assim de falar galera, tem que
estar planejado uma hora por dia, vocês tem que fazer
os treinamentos.
Ah, mas o treinamento não é boa, mas
ah, o treinamento não é legal, cara.
Você já fez o básico, entendeu? Já.
Aí, ferramenta, é outra discussão.
A qualidade daquilo é outra discussão, mas que tem
que ter, né, entrar no planejamento, fala aí.
Não, e até pegar o gancho aí que você tá
falando, Aqui na Europa eu percebi que o tempo de
experiência de frente do Brasil que são 3 meses é
que são 6, justamente por isso, porque tem uma troca
ali muito rápida, tem turnover ali de pessoas muito rápido
e então esse acabam pegando ali e aumentando o tempo
de experiência é engraçado isso eu não tinha passado por
isso até chegar aqui de experimentar ali, então eu não,
durante seis meses, boa parte do equipamento, blush eles reteram,
eles não mandaram tudo, só mandaram depois que acabou a
experiência.
Então acabou a experiência, recebi mesa, recebi monitor, recebeu
uma porrada de coisa, eles não mandam para quem
iniciou agora justamente para o outro novo.
E agora também recebi acesso a outras ferramentas,
recebi acesso a Há outras coisas que somente
após a experiência teria acesso, então acho que
cabe muito recurso com treinamento.
Se você tem medo do turnover,
Você sabe o que vai trocar?
Então deixe para depois da experiência Não precisa
aplicar aquele treinamento, disponibilizar uma licença para pro
Devil ali no momento que ele entra.
Espero passar a experiência, passar a primeira avaliação, sentir
o quanto ele está enquadrado ali com a empresa
se ele se a empresa quer ficar com ele
e se ele quer ficar com a empresa para
você começar a disponibilizar também esse treinamento e focar
mais no desenvolvimento desse profissional porque é o capaz
de você focando nele ali, dando incentivos para ele,
com treinamento de segurança, mandar ele para evento, fazer
ele realmente sentir parte da empresa e ter o
crachá da empresa e ter orgulho disso vai diminuir
esse turno, vai ajudar bastante.
Você pode tomar primeiro tecnologia.
Deve ser copos.
Boa, sente parte da família.
Eu queria dividir isso que você
falou em duas partes, né?
Você considerou uma olhando para cara que
comprou o call de basting da vida.
Putz, ele vai perder uma licença, vai esperar o
cara passar a experiência e dar acesso para ele. Beleza?
Outra é, a gente tem que considerar a empresa que está
mesmo preparando segurança e o cara chegou hoje, ele vai passar
por que a gente chama de banho de loja.
Vai tomar banho ali então vai ter documento de
boas práticas, vai ter portalzinho da empresa que dá
o cara é assim, a codificação segura que é
assim, é assim que a gente faz escanta, Então
tem ali onboarding daquele funcionário.
Até como, né, que seja pequenos
treinamentos ali, coisas simples, do mínimo
que aquela empresa espera daquele profissional.
Até abrindo a venda, tem uma coisa para esse público,
que é o nova 8K da Emilia e o seu
curso também, porque esse curso é justamente para isso.
Já tem ali você pode disponibilizar para o pessoal
assistir então já tem para esse pessoal pô vamos
fazer aquele onboard da galera pega essas videoaulas ali,
já dá banho pro cara pra ele começar a
entender o conceito, começar a se programar pra ele
ter treinamento daqui dois meses.
Já tem essa informação legal, tem que ficar
atento que a empresa preza por segurança.
Aproveitando o momento merchan do Marcos, em breve
terão inscrições aí pro application chickr shekt spears.
É evento aí onde eu faço o lançamento do
meu curso explicando o application chickr de breve aguarde
até o fim do ano aí no seu fim
eu não tenho ter lançamento bacaninha.
E pra você que não quer esperar, você não quer esperar.
Você não quer correr o risco de chegar numa
empresa hoje, ter que faz a treinamento, ou não
tem treinamento, você vai ter que se virar.
Não quer passar por isso?
Acesse agora OnlySect Things.
Ponto com ponto br vou até falar com a voz
sensual OnlySect.com.br é o programa de assinatura mas não é
mais barato porque deve ter outros mais baratos por aí,
mas não tem nada igual pra fake news.
Conteúdo semanal diversos conteúdos, tem comunidade
exclusiva, tem mano, livro, PDF, revista.
Com essa ideia, inclusive. Muito boa.
Tem tanta coisa lá que nem eu sei mais o que tem,
mas cara, vai lá, 2990 no plano anual, você paga por mês.
Onlysacfense.com.br tá da hora, não é porque eu
fiz não, mas realmente o conteúdo tá da
hora, E a ideia do Odisseia que fez
é ter esse treinamento contínuo dos profissionais.
Óbvio, não é não?
Não vai entrar no bagulho e virar o outro especialista.
Obviamente são conteúdos semanais, conteúdos mais curtos,
conteúdos pequenos, curso de 80 horas você
tem começo, meio e fim, não.
É aprendizado contínuo onde você vai ter
diversos aspectos de aprendizagem e security.
Sabe security, mas com foco é
porque Chico de uma maneira geral.
É, e até abre adendo.
O Onis é que fãs ali, é por cara que tem
15 minutinhos ali, tá indo no banheiro, tá tá dirigindo, tá
no Uber, tá no transporte ali Cara pega ali 15 minutinhos,
dá uma lida ali e já consegue entender pequeno tema ali
até gosto de falar que apareceu aquele livro lá para leigos
né então é uma coisa rápida ali a pessoa já começa
a ter uma noção depois consegue se aprofundar no tema nos
livros que tem lá dentro.
Então isso é bem legal.
O tempo que a galera gasta no cocô é
o tempo que você consome conteúdo da semana.
É, eu não queria falar isso, mas já te falou.
Eu paro na saúde, nada. Tecnologia.
Deve ser cóccix.
Tá fazendo aquela cagada, já aproveita e
leia pra não fazer cagada no trabalho.
É isso aí, acessa onde você que fez pouco do
PR, que tá, mano, realmente tá, é programa ali por
assinatura, né, clube de assinatura, que tem conteúdo bacana e
ajuda vocês com relação a tudo isso daí.
E para empresas também, acho
que funcionam no mesmo contexto.
Voltando pouco, por nossa treta,
essa relação de treinamento.
Agora eu tenho recebido também
uma certa resistência dos desenvolvedores.
Com relação aí, né?
Plataformas em específico.
Cold bashing, security journey, o que
não falta é plataforma, né?
O contra Tem o da Vera Code lá, o security
Labs mano, que não falta a plataforma que faça isso.
E os feedbacks são os mais variados.
Desde Desde Ah, o conteúdo é mais pra Júnior.
Sim, isso é muito novo.
As plataformas têm muito bug.
As lições são repetitivas ah mas putz mês aqui eu
fiquei fazendo mês e esgotei a plataforma não tenho coisa
nova já zerei, zerei o game, não tem conteúdo novo.
Outro que eu ouvi também de várias
plataformas, não só de uma, de várias.
Ah, na rede da empresa não funciona, porque
tem proxy, então monte de coisa não carrega.
Ou a plataforma A eu não deixo mexer no código,
eu sou do next, next, fim, se eu vou vendo.
A plataforma B eu consigo mexer no código, Mas a ideia é
uma bosta, não é uma ideia no browser, não é legal.
Então assim, é monte de coisinha, que se você passou a
gente tem uma Tá foda, desculpa, é o pessoal que?
Gripe não dá, não dá,
não dá.
É monte de coisinha que se você
for querer agradar todo mundo, não dá.
Você não vai deixar a
plataforma perfeita, não tem como.
O que eu vejo são as fichas dessas
plataformas entregam bastante coisa e ajudam o pessoal
a engajar, a participar, aquela coisa toda.
Mas tem muita coisinha ali que não sei mas uma
em comum que eu vi bastante é muito conteúdo para
Júnior muito conteúdo para quem é iniciante para quem é
desenvolvedor mais experiente Conteúdo deixa pouco a desejar.
Você chegou?
É a mesma coisa que tem ouvido?
O que você tem pra falar sobre isso aí?
Do feedback dos devs, né? Vamos lá.
Isso aí a gente já escutei bastante, teve
até uma implantação que eu estava fazendo, que
era fã não, É coisa pra Júnior.
Eu fiz aqui cinco, seis cursos já. Caraca.
Só que aí, quando a gente foi ver,
não é que só tenha conteúdo pra Júnior.
Se o cara pesquisar lá tem .NET por exemplo Só que
você tem .NET Advanced e você tem .NET Advanced 2 Então
tem conteúdo para quem já tem uma experiência maior.
Então já tem ali vamos supor que pleno.
Com cada cena, insiders caraja, que já tem
uma experiência em desenvolvimento seguro, eu acredito que
vai estar no nível para ele fácil.
Mas para quem está iniciando ou para quem é
pleno ali, os conteúdos do Advanced 2 são bem
complicados e fora isso tem o Challengers.
O Challengers são desafios pessoais que você tem.
Então, por exemplo, você escolheu
a linguagem do .NET ali.
Ele vai ter o Easy e o Heart As
perguntas mudam todas as vezes que você vai fazer
e você consegue ali entender pouquinho mais.
E se mesmo assim estiver muito fácil, tem treinamentos ali, que
você mesmo faz, que é os wargames ali, que aí sim,
é uma coisa ali para nível sênior para cima,
Se tiver muito fácil, stop, pega o repórter do
SAST e fala pros caras, tá tão fácil?
Custa, por que vocês estão querendo vulnerabilidade aí?
Simples assim.
Eu tive não cliente, né?
Não vou chamar de cliente que não era cliente,
mas era uma teve debate aí com prospect.
E Cara, fala, as lições são muito fáceis.
E a gente tava rodando o SAST no sistema dos caras.
E aí, mano, a segunda era habilidade é dar com pau.
E coisa idiota, SQL Injection.
Mano, Tá tão fácil o curso?
Então por que que vocês
continuam criando o Vindana R$1000? Olha o tanto!
Tipo, depois já do curso, né?
Aí, tipo, os caras ficam meio que
sem Porque assim, ninguém tava fazendo
sem reação.
Foi só que ela fala ah, vou navegar aqui, ver
qual é e tal, pra falar que não quer.
Obviamente, pra uma plataforma específica.
Então, acho que tem uma pegando esse ponto, né?
Tem uma combinação.
Acho que as plataformas ajudam a escalar, você
consegue deixar todo mundo no mesmo nível.
Ah, tá fácil, pra tá difícil pra outro beleza.
Mas não precisa
fazer emoji, né?
E você garante que todo mundo vai
participar, as plataformas te ajudam a coletar
métricas, equipiais, enfim, então você tem isso.
E aí você tem conteúdos extras ou exclusivos,
vamos falar assim, pra quem é de segurança.
O cara que vai trabalhar com o epicet, o
cara que é devops, você tem conteúdos estratégicos.
Agora, parar de criar uma nanaridade, corrigir
uma nanaridade é bem que padrão os
devs, você pega o ASP da vida.
É fácil ASPTOPTEN? É!
Mas tamo aí, mostra então como é
que corrigi uma falha de criptografia.
Escrito a graffiti.
Ah, o Brook é o take question.
Explica aí então pra mim.
É fácil na teoria, mas você vê na prática
do código, às vezes, Então, por isso que esse
treinamento, esses plataformas ajudam nessa questão da constância.
Fazer repetidas vezes, o mesmo conteúdo
às vezes, outros, né, inclusive variados,
mas estar sempre olhando pra isso.
Porque aí você vai fixar na sua
cabeça e parar de criar vulnerabilidade.
É esse o objetivo de treinamento de segurança para
desenvolvedor, que o cara pare de criar vulnerabilidades, e
corrige o backlog, porque já tem algumas coisas ali
e essa empresa já se preocupa.
Mas não necessariamente, ah tá
fácil, ah tá difícil, ótimo.
Então, vai fazendo, vai que
é praticamente, mas tá fácil.
Aí você fala, o que eu falei, mano, faz scanner
e SAST e vê se tá fácil mesmo, porque se
tiver muito problema no código, isso não tá se refletindo.
É uma forma de você cruzar o
aprendizado versus o que está produzindo.
Estão fazendo o curso? Estão.
Legal, mas estão introduzindo.
Vou dar uma novidade nova no no código.
Então peraí, então eu tô fazendo o curso
lá dando next e next finish, eu tô
fazendo o curso mesmo e aprendendo.
Então tem essa jogada falamos de apsec de uma
maneira geral, tanto estrategicamente das empresas investirem na plataforma
de treinamento, ou em qualquer treinamento que seja, necessariamente
na plataforma, o que for, mas também medir isso
com os times, se eles estão fazendo ou não
estão fazendo a efetividade disso.
Não vai dar pra agradar a questão,
não dá pra agradar todo mundo, né?
Mas acho que disponibilizar e ter isso é bom começo.
Sim?
É, eu falo que você falou o curso de plataforma é
nivelador, então ele vai nivelar, vai deixar todo mundo ali no
mesmo nível, no mesmo critério, então todo mundo vai ter start
ali, monte de partir, beleza, conhecimento médio ali da empresa, dos
squads é esse, e a partir dali você vai filtrando ali
quem são os melhores e piores.
Essa plataforma você vai até para
te ajudar a escolher security champions.
Então se você teve pessoas que estão indo
bem nos cursos e geram poucas vulnerabilidades ou
nenhuma, essa pessoa tem uma tendência a ser
secret champions e passar esse conhecimento para frente,
fazer treinamentos mais elaborados para esses squads.
Então, o pessoal está com mais dificuldade no
CruelSight Scripting, Se a pessoa vai elaborar curso
de cross site scripting E vai dar curso
dedicado para esse pessoal Acho que a plataforma
forma ajuda nisso também nesses treinamentos fazer esses
filtros e ajudar essa galera que já tem
essa tendência a passar informação para frente
boa e eu acho tem pouco do Pera aí, deixa eu fazer uma
Kevin Secoffs.
É uma quebra aqui.
Eu acho que tem pouco também Você
até perdeu a raciocina onde quer falar.
Mas acho tão pouco também do sentido assim.
Galera, tem uma certa
popularidade de algumas vulnerabilidades.
Então quando você fala SQL Injection, CrossFit Script, já
como é que todo mundo já ouviu falar?
Então todo mundo até falando de desenvolvedor.
Então tem pouco dessa falsa sensação, ai eu sei
o que é, eu sei resolver, ou eu sei
criar código não vulnerável a essas rentabilidades.
Por que tem essa, talvez, falsa sensação.
Aí quando você roda SAST no código
do cara, tem lá SQL Injection, ou
Blider SQL Injection, ou Secondorder SQL Injection.
Que tem várias SQL Injection.
Aí você traz para o cara de
uma Putz cara, realmente nessa vulnerabilidade.
Então você vai ver que ele sabe o que é SQL Injection.
Mas as variações, as formas como aquela modalidade de poda
acontecer, que as plataformas trazem isso no curso no treinamento,
Esse é o valor de plataforma porque facilita a vida
de todo mundo, mas você quer criar o seu custo
na unha, na mão, também não tem problema.
Então, às vezes é essa falsa sensação ação de que eu
sei o que é ou até sei, mas não em nível
que eu deveria, eu sei o que é mais candidato, eu
sei beleza, mas pô eu não sei o que é, cada
categoria de SQL Injection, como é que eu trato cada deles,
se quando a gente está falando de banco não relacional de
jeito, no banco relacional de outro, né?
Pois minha aplicação já usa ORM, por que eu
tô com SQL Injection aqui no meu código?
Será que é o falso positivo?
Aí entra essa questão que eu queria trazer
aqui agora, o Senhor Marcos, Vinícius Silva Santos
Souza Prado esses treinamentos ajudam inclusive nessa parte
de análise de falso positivo.
A verdade é mentira, o falso positivo. Legal.
É verdade, ajuda.
Ajuda pra caramba ali na hora que
você está fazendo avaliação de vulnerabilidade.
Tem ferramentas, vou até usar o exemplo da Checkmarks,
onde ele é linkado com o code bastion, para
isso, para você aprender a filtrar a vulnerabilidade ali
e fazer a modificação de falso positivo.
Então dentro do check const tem botãozinho lá
para o code basting justamente por isso.
Você tem uma plataforma ou criando seu
próprio curso, ele ajuda o desenvolvedor a
hora que está ali a vulnerabilidade.
Pô, o Sasha retorna a vulnerabilidade.
Deixa eu conferir essa vulnerabilidade.
Então ele consegue ter o
discernimento sem verdadeiro ou não.
Dependendo do parâmetro, como está
vencendo o fita chamada.
Então é bem legal por isso também né, é
uma coisa que a gente fala, não adianta só
corrigir as vulnerabilidades, você não pode girar novamente,
essa é a ideia, né?
E essa é a questão do análise de falsopositivo, independente
da solução da ferramenta que a gente tá falando.
Se você sabe como a vulnerabilidade funciona, no sentido de
como explorála, como ela é explorada, como você se defende,
como é que você codifica seguro para se proteger daquilo,
para evitar que aquilo aconteça, naturalmente você é hábil, é
capaz de hábil não, você é habilitado, é capaz capacitado
fazer uma análise de falso positivo, porque é parte integral,
quando a gente está falando de pequeno ciclo de disco
de código, ou tira tudo isso do meio, tira tudo
de segurança do meio.
Processo simples de code review que
as empresas usam hoje em dia.
Code review, ó, fiz pull request
aqui, alguém tem que revisar.
Até esse processo da revisão do Pull Request,
code review do dia a dia, vai ganhar
força, vai ganhar mais corpo, porque aquele cara
tá fazendo review também de segurança.
Ele também sabe, opa, tá fazendo review do cara
que era método novo, esse método é sem vantagem.
Pode ter SQL Injection aqui.
Aí pode usar o SAST como suporte e tal, mas
o fato de ele ter feito esse treinamento enriquece né,
o conteúdo dele que você falou Spandyum, eu acho que
não usa essa palavra Spandyum, o conhecimento do cara, você
fala, fala palavrão e eu perdi, mas enfim, que, mano,
até nisso a empresa ganha.
Então não só, independente de segurança, SAST, independente
disso, Esse cara que é treinado, ele é
habilitado a fazer uma revisão de código melhor.
Ah, caso, mas eu não tenho
código review na minha empresa. Mano, fecha.
Fecha a porra.
Certeza aberta que não
tem o código review que você não usa pelo menos kit
hub ali você não bota uma verificaçãozinha que se quer.
E não, você põe o Equest, pode fechar.
Vai fazer igual.
Vai fazer costura, vai comprar a máquina de costura e
vai fazer meia touca, porque você não merece análise.
Ou vender a
caixa.
Deve ser copys.
Cresce e CCOPs.
Então a gente viu que essa questão de
treinamento de segurança é boa no sentido de
enriquecer o desenvolvedor, porque está capacitando aquele cara.
Enriquecer no desenvolvedor até, inclusive, porque o
cara que sabe código de segurança tem
que ganhar mais, então enriquece ele também.
Mas no sentido de parar de criar problemas,
ter o mindset problemas no sentido de bunda
na verdade, ter esse mindset de codificação segura
eu chamo de programação defensiva porque é literalmente
você programar se defendendo que você sabe que
pode acontecer ataques ali né ou expor vulnerabilidade.
Vimos que é importante essa questão do gamification,
coisas que vão ajudar os caras engajar varem
e tudo mais, mas com o suporte de
management porque a galera precisa planejar esse tempo.
Ninguém vai te perder uma hora por dia,
do desenvolvedor pra fazer treinamento que não tá
planejado, blábláblá e o cara vai deixar de
entregar alguma coisa no futuro.
Então tem que ter planejamento envolvido.
E vimos agora essa questão do falso positivo.
O falso positivo, qual de review, O
cara ganha super poder a mais, né?
O desenvolvedor separava o PC ali como o Batman, né?
É uma ferramenta nova ali, uma arma nova ali
que ele ganha no cinturão dele ali, que é
esse poder de segurança de fazer code review melhor
e uma análise melhor do dia a dia.
Posso até abrir adendo?
Ah, vindo muito adendo hoje.
Vai abrir, velho.
Além de ajudar no falso
positivo, ajuda no falso negativo.
Porque o cara ali, conforme eu vou fazendo
code review, está se habilitando em invulnerabilidades, pode
ser que ele pegue uma vulnerabilidade que uma
ferramenta de Sasha não pegou.
Ele bateu ali e ele fopou esse método
aqui e eu acho que tem vulnerabilidade.
O Sasha não está pegando por N motivos ali
ou com uma configuração que quer que seja.
Ele pode identificar essas vulnerabilidades que a ferramenta não
está buscando, justamente por estar sempre treinando ali, estar
sempre estudando ali e fazendo essa parte de code
review focado em segurança né então tem esse lado
também que o pessoal menos preza
eu quero fazer episódio dia O famoso
episódio vai fechar o podcast, que a
gente vai ser processado e vai fechar.
Pra falar do Vera Code, não, desculpa, do do Sonar.
Que eu queria falar dessa comunidade.
Eu queria falar exatamente isso.
Especialmente se você usa o sonar.
Ah, nossa, o sonar não pegou a mão na verdade.
E o cara fez review de Vip que
tem na máscara em Jet, por exemplo falando,
é óbvio que o funcionário não é
uma ferramenta de segurança.
Ele tem algumas regras de segurança,
mas é uma ferramenta de qualidade.
Lançar aí agora o Deep Sart dentro do SolarCube.
Na empresa que eu trabalho a gente usa o
Solar como qualidade, ver como que é esse GYPSAST
aí, ver se tem mesmo, tal, tal, tal.
Vamos ver se realmente vai virar a ferramenta de
segurança agora, porque essa é uma popularidade tão grande.
E todo mundo fala com desastre com o seu lar.
Mas, cara, não é segurança, não adianta.
É comparar o médico privado com o médico público.
O sonar não é nem
médico público, mano. Não é.
Não é, cara.
Ele é o técnico de informar
a Geni, que tá aprendendo pouquinho.
Ah, eu quis te falou, toma isso, toma aquilo, sabe?
Não é de todo ruim, não é de todo ruim, mas
não pode ser você é cara do BOPE e vai subir
o morro pra pra pra pro combate, sei lá, você não
vai pelado, você vai de escudo, você vai de caberão, você
vai de colete a prova de bala, blábláblá, você vai preparado.
O sonar não é essa ferramenta de que a
gente tem que confiar com relação à segurança.
Então, esse ponto você falou, falso negativo. Por quê?
Você rodou skill no Sasha, o Sasha
falou pra você, olha, 0 vulnerabilidade.
Opa, tô limpo? Não estourei.
Não tem problema nenhum.
Aí você lê o código que você
vê que você tem a vulnerabilidade. Tá claro.
Cara, caramba, por que que o Sasha não pegou?
N motivos, tá?
N motivos, sash, e quando a gente fala que o
sash, qualquer sash, n motivos ele pode não ter pego.
Mas essa questão do treinamento do cara, o seu
desenvolvedor está mais preparado pra olhar pra código e
falar que ele tem problema ou não, né?
Revisar aquele problema não?
Cara, só por isso, só por esse ponto
Java Ali pra você investir em treinamento de
É, tem até uma frase que eu
usei para cliente cis, peraí, peraí,
peraí, peraí.
Deixa eu preparar o terreno segurança
tecnologia deve ser copos
e eu cheguei para estar discutindo ali e
tal sobre vários processos e chega Cara, quando
você negligencia o treinamento, não é só erro.
É convite para o desastre.
Se sua empresa não investe em treinamento adequada,
você está destinado a não ter somente perca
financeira mas reputação também dos argumentos que eu
usei ali tudo com o cliente.
Fazer minuto de silêncio aqui porque
é esse convite para o desastre.
Cara, sem sensacional.
Eu tô procurando efeito de vídeo aqui pra rodar isso
aqui, mas não tem, mas fica aí minhas palavras.
Convite pro desastre são os seus
treinadores, os seus treinadores não desenvolvidos.
São sendo treinados.
Não sou sensível medo.
São seus desenvolvedores não treinados. Né? Exatamente.
É o convite pro desastre quando a
gente fala aí de desenvolvimento seguro, né?
E quando a gente fala, cara, pra finalizar aqui,
Tem se falado muito aí do shift shift e
blá blá blá mano, mais shift do que o
cara que senta para criar o seu código.
A partir do momento que ele começa a digitar
a primeira linha de código, aquele cara, aquele Senna,
aquela pessoa, ela já tem o seu DNA, na
sua expertise, na sua experiência, conhecimento suficiente para codar
de forma defensiva, codar de forma segura.
Isso é melhor do que sempre eu faço analogia do médico.
A gente vai no médico quando tem problema.
Depois quer dizer meio que a gente não
gosta, porque a gente sabe que tem problema,
vai ter aí tem tratamento, algum tratamento que
vai doer, é remédio, é injeção, beleza.
Então o que a gente tem que fazer?
Se alimentar bem, esporte, bla bla bla bla bla.
É isso que a gente faz.
Então se o desenvolvedor sabe desenvolver seguro, é esse
cara que se alimenta bem, que não fuma, que
não tem excesso de álcool, essas coisas, porque ele
já está criando aquele código da melhor forma possível.
O seu SAST e tudo mais, são ferramentas ali
de double checking, de teste mesmo pra garantir que
não tem problema pra que passou alguma coisa.
Mas aquele cara que tá querendo, aquele
já sabe o que ele tá fazendo.
É diferente do desenvolvedor novo,
que não conhece isso.
Por exemplo, ele está criando código
funcional, não necessariamente código seguro.
Então pensar nesse contexto aí do shift shift né cara
mais leve possível é aquele cara que chega e a
gente já sabe que é né codar de forma segura,
olhar para o requisito de segurança, fazer o code review
e validar, saber que está certo ou que não está.
Recusar o code review, recusar o código tá?
Sem segurança, vamos chamar assim, ou
que expõe uma vulnerabilidade, né?
Enfim, e até esse cara pode fazer parte do dia a
dia do Epsec, o cara que revisa o próprio resultado do
Sasha, o cara que endereça para o time e tal.
Enfim, isso é para fazer fechamento. Quer comentar?
Comentários finais, mandar falar.
Alô bonito.
Eu quero comentar, que até tem aí terceira
temporada a gente gravou ali, foi na quarta
temporada a gente falou sobre o Microsoft SDL,
O primeiro item é Provised Training.
Primeiro!
Se a Microsoft fala que precisa de treinamento,
não ache ter uma empresa de tecnologia maior
que ela que fale o contrário.
Nem adianta, mano, né?
É O topas dl, né?
Referência, modelo da referência da Microsoft,
há anos aí no mercado.
O que é que cê falou?
A primeira etapa lá é Provite Training.
E ali ele fala, né? Treinamento. Sim.
No contexto mais amplo, não
necessariamente só para o desenvolvedor.
A gente está falando que só o desenvolvedor, mas
É isso aí, você foi cirúrgico nesse comentário.
Não, o convite pro desastre é sensacional, cara.
O podcast tá cada vez, você vê que o Rodrigo sai, chega
a coisa boa, cada vez mais Como é que eu posso dizer?
Cada vez mais formal, cada vez
mais polido a linguagem nesse podcast.
Eu vou até me policiar para estar estando
falando da melhor forma daqui pra frente.
Vamos nos policiais falar da
maneira adequada dos nossos espectadores.
Creio que nossos espectadores odiarão.
Visto que são pessoas como nós que gostam
de falar da forma mais popular possível.
Portanto, solicituou que faltemos ao normal.
Precisar de audiência aqui, né?
Os caras só pra passar pra aula o dia, 15 palavras.
O que que tem que fazer?
Acabou já.
Bom, é isso, né?
Não, não é isso não.
Ah
lá, quem ouviu até aqui?
Aproveitou o conteúdo?
Compartilha, clica no gostei e se inscreve no canal
aí porque a gente tá trazendo sempre conteúdos aí
relevantes que vão te ajudar aí com sua vida
profissional então por favor compartilha seus amiguinhos aí, quem
tem interesse, clica no curtir e se inscreve no
canal aí pra dar uma força.
E entre a nossa comunidade do discord que cada
vez mais tem pessoas entrando, mas participar, que é
bom, a galera tá tanta tímida ainda.
Então, começar a engajar mais, fazer algumas coisas
ali, de qualquer forma tem bastante gente já
acho que cria networking bem bacana.
Com certeza.
E tem o OnlySect
Only sexy.
Não vai, mano.
Não me erra essa URL, que você erra essa URL.
Você vai ter uma dor de cabeça.
Only sexy.
Será que faz?
Não é sexy.
Não vai digitar OnlyFans ou só
OnlyFans não, não digita errado mano.
OnlyFans.com.br, entendeu?
Isso aí.
Fechou a gente? Fechou. Então
a gente se vê semana que vem.
Eu sou o Carlos Pereira.
Eu sou o Marcos Santos. Beijos.
Beijos de luz.
Termina aqui.
Deve ser copos.
O seu podcast de segurança em tecnologia.
O que