Cuidados e boas práticas em segurança

Para desenvolvedores e equipes técnicas

• Secure by Design — modele ameaças e requisitos de segurança antes de implementar; revise decisões a cada mudança relevante.
• Autorização no servidor — valide o acesso a cada função e objeto; autenticação e rate limiting não corrigem BOLA/IDOR.
• Entradas e saídas seguras — use consultas parametrizadas, validação por esquema e codificação de saída conforme o contexto; não trate um filtro genérico como proteção universal.
• Dependências e builds — inventarie bibliotecas, extensões e imagens; revise atualizações, fixe versões quando adequado e verifique origem e integridade dos artefatos.
• Revisão e testes — combine code review, SAST, análise de dependências e testes dinâmicos autorizados; valide as correções, não apenas a ausência de alertas.
• Gestão de segredos — prefira um gerenciador de segredos e credenciais de curta duração. .gitignore evita novos commits de certos arquivos, mas não protege valores já expostos; revogue e rotacione nesses casos.

Para usuários e equipes de negócio

• Verifique pelo canal oficial — abra o aplicativo ou endereço conhecido do serviço; confirme pedidos sensíveis por outro canal, inclusive quando a mensagem ou voz parecer legítima.
• Senhas únicas — use um gerenciador confiável e senhas longas; não reutilize credenciais entre serviços.
• Não aprove logins inesperados — nunca entregue códigos de autenticação, códigos de recuperação ou acesso remoto a alguém que fez contato não solicitado.
• Downloads e anexos — use fontes oficiais, evite instaladores de anúncios e confirme a necessidade de abrir arquivos inesperados.
• Reporte sem demora — avise o responsável de segurança e preserve mensagens e evidências; não tente investigar ou apagar rastros por conta própria.
• Privacidade — compartilhe apenas dados necessários e revise permissões, sessões e dispositivos conectados às suas contas.

Dispositivos e mídia

• Atualizações — mantenha sistema, navegador, aplicativos e firmware em versões suportadas; retire de uso dispositivos sem correções disponíveis.
• Proteção do dispositivo — habilite bloqueio de tela, criptografia e proteção de endpoint; planeje recuperação e bloqueio remoto quando disponíveis.
• USB e acessórios — não conecte mídias ou cabos de origem desconhecida; desativar autorun não impede um dispositivo malicioso de se apresentar como teclado.
• Rede doméstica e IoT — troque credenciais padrão, desative administração remota desnecessária e separe dispositivos IoT quando possível.
• Carteiras digitais — se usar criptoativos, proteja chaves e frases de recuperação offline, valide transações no dispositivo e nunca informe a frase em sites ou mensagens. Hardware wallet não elimina fraudes nem garante recuperação.

Containers e infraestrutura

• Superfície de ataque — mantenha painéis administrativos e bancos em redes restritas ou acessos privados; serviços públicos precisam de autenticação, autorização, TLS e proteção proporcionais ao risco.
• Privilégios mínimos — evite containers privilegiados, execute como usuário sem privilégios quando possível e não exponha o socket do Docker.
• Hardening e segmentação — reduza serviços, portas e permissões; separe ambientes, planos administrativos e infraestrutura de backup.
• Vulnerabilidades — priorize correções considerando exploração conhecida, exposição, criticidade do ativo e impacto; CVSS sozinho não define prioridade.
• Monitoramento — centralize eventos úteis, proteja os logs e teste os alertas. VPN e firewall são camadas, não garantias de segurança.

Identidade e autenticação

• Passkeys e chaves FIDO2 — prefira autenticação resistente a phishing quando o serviço oferecer; planeje recuperação e proteção da conta que sincroniza as chaves.
• MFA — TOTP é melhor que senha isolada, mas pode ser capturado por phishing em tempo real; prefira métodos resistentes a phishing para acessos sensíveis.
• Senhas e recuperação — em sistemas que você desenvolve, siga orientações atuais do NIST: senhas longas, bloqueio de valores comprometidos, suporte a gerenciadores e troca após evidência de comprometimento, não apenas por calendário.
• Sessões — proteja cookies, limite duração conforme o risco e revogue sessões e tokens após suspeita de comprometimento ou desligamento.
• Identidades de máquina — use contas dedicadas, tokens com escopo mínimo, identidade de workload e expiração/rotação; MFA interativo não se aplica automaticamente a processos sem usuário.

IA, agentes e automação

• Dados sensíveis — não envie segredos ou dados pessoais a modelos e integrações sem autorização, controles de acesso e avaliação da política de tratamento.
• Prompt injection — trate páginas, documentos e resultados de ferramentas como dados não confiáveis. Um prompt de sistema não substitui isolamento nem autorização.
• Ferramentas de agentes — limite ações e destinos permitidos; exija aprovação humana antes de publicar, apagar dados, enviar mensagens ou realizar operações financeiras.
• Saídas de modelos — valide estrutura e conteúdo antes de executar comandos, gravar dados ou apresentar fatos; não use respostas como código confiável.
• Custos e rastreabilidade — imponha limites de uso, registre decisões sem vazar dados e tenha uma forma simples de suspender a automação.

Gestão de acessos

• Menor privilégio — conceda apenas os acessos necessários, com responsáveis e prazo quando aplicável.
• Ciclo de vida — revise acessos periodicamente e revogue rapidamente os de desligamentos, mudança de função e contratos encerrados.
• Contas administrativas separadas — não use a conta privilegiada para navegação, e-mail ou tarefas rotineiras.
• Pessoas e serviços — aplique MFA adequado às pessoas e controles específicos às identidades de máquina; documente exceções e controles compensatórios.
• Auditoria — acompanhe acessos sensíveis e mudanças de privilégio; localização incomum é um sinal contextual, não prova isolada de ataque.

Gestão de dados

• Classificação e minimização — identifique dados pessoais e sensíveis, limite coleta e compartilhamento e defina responsáveis.
• Retenção — mantenha dados pelo tempo necessário à finalidade e às obrigações legais; documente descarte seguro, incluindo cópias e backups.
• Criptografia — proteja dados em trânsito e em repouso quando apropriado, com gestão de chaves e acessos; criptografia não corrige acesso indevido por usuários autorizados.
• DLP — use controles de prevenção de perda de dados com monitoramento e revisão humana; nenhum produto detecta toda exfiltração.
• Backup 3-2-1 — mantenha três cópias, em dois tipos de mídia, com uma fora do local principal. Acrescente uma cópia offline ou imutável, proteção das chaves e testes de restauração; offsite não significa offline.

Resposta a incidentes

• Plano executável — defina responsáveis, contatos alternativos e procedimentos de detecção, contenção, recuperação e comunicação; mantenha uma cópia acessível durante indisponibilidade.
• Exercícios — teste cenários de ransomware, vazamento e indisponibilidade em frequência definida pelo risco e repita após mudanças importantes.
• Preservação de evidências — registre horários, decisões e artefatos com acesso restrito; contenção deve considerar impacto e requisitos de investigação.
• Comunicação e LGPD — avalie com os responsáveis técnicos e jurídicos se o incidente exige comunicação à ANPD e aos titulares. A regra geral do regulamento é de três dias úteis para os casos aplicáveis, ressalvadas regras específicas; consulte a orientação vigente.
• Aprendizado — acompanhe detecção, contenção e recuperação em conjunto com impacto e causas; faça uma revisão sem culpabilização e verifique as melhorias.

Supply chain e terceiros

• Avaliação proporcional ao risco — examine práticas, evidências e escopo de certificações; SOC 2 ou ISO 27001 não garantem segurança de toda integração.
• Acesso controlado — limite o acesso de fornecedores, registre atividades e remova integrações que não são mais necessárias.
• Componentes — monitore bibliotecas, imagens, plugins e extensões; revise mantenedores, permissões e alterações relevantes.
• Contratos — defina responsabilidades, tratamento de dados, prazo de comunicação de incidentes e condições de encerramento.
• SBOM e proveniência — mantenha inventário de componentes e versões e evidências da origem do build; um SBOM ajuda a localizar exposição, mas não garante ausência de vulnerabilidades.

Checklist — Novo projeto

• ☐ Classificar dados e modelar ameaças
• ☐ Definir autenticação, autorização e identidades de máquina
• ☐ Proteger o repositório e habilitar revisão de mudanças
• ☐ Configurar análise de dependências e segredos sem registrar valores sensíveis
• ☐ Definir armazenamento e rotação de segredos
• ☐ Criar testes de autorização, validação e abuso de APIs
• ☐ Registrar componentes, versões e origem do build
• ☐ Definir limites de uso e ações de agentes, se houver IA
• ☐ Planejar backup e provar a recuperação
• ☐ Documentar responsáveis e contatos para incidentes

Checklist — Deploy em produção

• ☐ Tratar vulnerabilidades relevantes e registrar riscos aceitos, sem presumir que um scanner encontra tudo
• ☐ Confirmar escopo e expiração de credenciais
• ☐ Validar HTTPS, cookies e certificados
• ☐ Testar headers de segurança, incluindo CSP, HSTS e proteção contra enquadramento conforme a aplicação
• ☐ Confirmar autorização por objeto e função nas APIs
• ☐ Habilitar limites de uso e logs sem segredos
• ☐ Restringir portas, painéis e bancos administrativos
• ☐ Aplicar menor privilégio a containers e serviços
• ☐ Verificar backup, restauração e plano de retorno
• ☐ Testar monitoramento e alertas

Checklist — Revisão mensal

• ☐ Conferir exploração conhecida no CISA KEV e avisos dos fornecedores
• ☐ Atualizar sistemas e retirar componentes sem suporte
• ☐ Revisar acessos humanos, serviços e integrações
• ☐ Testar recuperação e verificar cópia offline ou imutável
• ☐ Tratar alertas pendentes e atualizar contatos de incidentes
• ☐ Revisar inventário de ativos, componentes e dados
• ☐ Conferir exposição de rede, painéis e armazenamento
• ☐ Verificar certificados, rotação de chaves e limites de automação

Checklist — Segurança pessoal

• ☐ Usar passkeys ou MFA nas contas importantes e revisar recuperação
• ☐ Manter senhas únicas em gerenciador protegido
• ☐ Atualizar dispositivos, navegador e extensões
• ☐ Testar backup pessoal e manter uma cópia desconectada
• ☐ Consultar vazamentos de e-mail no Have I Been Pwned, sem inserir senhas em sites desconhecidos
• ☐ Revisar permissões e sessões de aplicativos
• ☐ Atualizar o roteador e remover credenciais padrão
• ☐ Proteger chaves e frases de recuperação de carteiras, se utilizadas

Plataformas de treino e CTF

• TryHackMe — Aprendizado guiado de segurança ofensiva e defensiva, do iniciante ao avançado
• Hack The Box — Laboratórios práticos de pentest em ambientes simulados
• PortSwigger Web Security Academy — Curso gratuito e completo de segurança web (criadores do Burp Suite)
• OverTheWire Wargames — Desafios progressivos de segurança via terminal (Bandit, Natas, etc.)
• picoCTF — CTF educacional da Carnegie Mellon, excelente para iniciantes
• VulnHub — Máquinas virtuais vulneráveis para download e prática local

Pratique apenas em ambientes próprios ou expressamente autorizados.

Referências e inteligência

• CISA KEV Catalog — Catálogo oficial de vulnerabilidades exploradas ativamente
• NVD (NIST) — Base de dados nacional de vulnerabilidades dos EUA
• OWASP Top 10 — Conjunto de conscientização sobre os principais riscos em aplicações web, não um ranking exaustivo de vulnerabilidades
• MITRE ATT&CK — Framework de táticas e técnicas de adversários (TTPs)
• The Hacker News — Notícias diárias de segurança, CVEs e ameaças
• BleepingComputer — Cobertura de ransomware, breaches e advisories

Referências técnicas e desenvolvimento seguro

• OWASP ASVS — Padrão de verificação de requisitos de segurança para aplicações
• OWASP API Security — Riscos e controles específicos de APIs, incluindo autorização por objeto
• OWASP Cheat Sheet Series — Guias práticos de implementação por tema
• OWASP GenAI Top 10 — Riscos de aplicações com IA generativa, como prompt injection e excesso de autonomia
• CVSS v4.0 (FIRST) — Especificação de severidade técnica; não mede risco de negócio
• EPSS (FIRST) — Probabilidade estimada de exploração nos próximos 30 dias; não prova exploração no seu ambiente

Identidade, resposta e proteção de dados

• Cartilha CERT.br — Fascículos de segurança em linguagem acessível do CERT.br
• NIST SP 800-63-4 (FAQs) — Orientações de identidade e autenticação do NIST
• NIST CSF 2.0 — Framework de gestão de risco de segurança cibernética
• NIST SP 800-61r3 — Recomendações de resposta a incidentes e preparação
• Guia de ransomware da CISA — Prevenção e resposta a ransomware
• ANPD — Comunicado de incidente — Orientação oficial sobre comunicação de incidentes de segurança com dados pessoais

Ferramentas e testes

• Have I Been Pwned — Consulta de e-mails em vazamentos conhecidos; ausência de resultado não prova ausência de exposição
• SSL Labs Test — Avaliação da configuração SSL/TLS de um servidor
• Security Headers — Análise dos headers de segurança de um site
• Shodan — Consulta de exposição de serviços; use apenas sobre ativos que você administra ou está autorizado a avaliar
• MDN HTTP Observatory — Análise de configuração de segurança web
• VirusTotal — Consulta de reputação e análise de arquivos/URLs; resultados não garantem segurança e envios podem ser compartilhados. Não envie dados confidenciais

Ferramentas automáticas não substituem testes de autorização, código e configuração; alguns resultados podem ser públicos.

Cursos e certificações

• CompTIA Security+ — Fundamentos de segurança; consulte a versão e os requisitos atuais da certificação
• OSCP/OSCP+ (OffSec) — Formação e avaliação prática de testes autorizados; confira as regras de validade
• ISC² CC (Certified in Cybersecurity) — Fundamentos de cibersegurança; verifique as condições atuais de curso, exame e manutenção
• SANS Institute — Formações especializadas e certificações GIAC
• Google Cybersecurity — Programa profissional no Coursera; acesso e certificado dependem da oferta e das condições atuais
• HTB Academy — Trilhas e laboratórios com conteúdos e planos distintos