DevSecOps Podcast

A maioria dos programas de AppSec está afogada em findings, dashboards, scanners, CVEs, SLAs e relatórios que ninguém aguenta mais ler. O problema não é falta de ferramenta. O problema é falta de contexto, correlação e inteligência para entender o que realmente importa. Neste episódio, eu apresento o M.A.R.I.A., o Management Application Risk Integrated Analysis, uma plataforma criada para atuar como uma camada de inteligência de risco em Segurança de Aplicações. O M.A.R.I.A. não nasceu para ser mais um scanner. Ele nasceu para responder perguntas que ferramentas tradicionais normalmente ignoram: qual aplicação está realmente em risco? Qual vulnerabilidade merece atenção agora? Qual time precisa de ajuda? Qual mudança aumentou o risco do ambiente? A proposta é simples e ambiciosa: conectar dados de SAST, DAST, SCA, IaC, Secret Scan, pipelines, repositórios, contexto de negócio e exposição real para transformar ruído em decisão. Porque no fim do dia, AppSec não deveria ser uma fábrica de tickets. Deveria ser um sistema de priorização inteligente para proteger o que importa. Neste episódio, falo sobre:Por que scanners sozinhos não resolvem AppSecO problema real por trás do excesso de vulnerabilidadesA diferença entre dashboard, ASPM e inteligência de riscoComo o M.A.R.I.A. pretende correlacionar contexto técnico e contexto de negócioOnde entram risco, exposição, criticidade, SLA, dívida de segurança e Security ChampionsPor que AppSec precisa sair do modo “lista de problemas” e entrar no modo “tomada de decisão”Um episódio para quem está cansado de medir segurança por quantidade de findings e quer começar a discutir risco de verdade.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Todo mundo fala de DevSecOps. Todo mundo fala de IA. Mas quase ninguém conectou os pontos do jeito certo ainda. Neste episódio, a gente entra em um território que está começando a separar quem só usa ferramenta de quem realmente entende o jogo: SpecOps com IA. E não, isso não é sobre mais um YAML bonito ou documentação que ninguém lê. É sobre transformar especificações em algo vivo. Algo que define o sistema antes do código existir… e impede que ele saia da linha depois. A conversa passa por:por que “finding-based security” já não escala maiscomo a IA pode validar intenção, não só códigoo conflito direto entre vibe coding e governança realcomo specs podem virar enforcement automático no pipelinee o que muda quando segurança deixa de ser checklist e vira contratoA gente também traz isso para o mundo real:como integrar isso com pipelines atuaisonde ferramentas como SAST e SCA entram (e onde deixam de ser suficientes)e como esse modelo pode evoluir para algo muito mais próximo de risk-driven securitySe você ainda está medindo segurança só por quantidade de vulnerabilidades, esse episódio vai te incomodar. Do jeito certo.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Episódio 200. Não é só número redondo, é checkpoint de uma jornada que saiu de conversa técnica entre amigos e virou referência em AppSec e DevSecOps. Nesse especial, a mesa está completa. Desde a formação raiz com Balbino e Vini, passando pela evolução com Marcos e Ben-Hur, até chegar no comando firme do host de sempre, Cássio Pereira. É história, bastidores, opiniões afiadas e, claro, muita discussão que mistura experiência real com aquelas verdades que nem sempre agradam, mas todo mundo precisa ouvir. Não espere retrospectiva bonitinha. Aqui tem:o que deu certo e o que foi puro aprendizado na marracomo o AppSec mudou ao longo dos episódiosonde a galera errou feio e o que faria diferente hojeo que ninguém está falando sobre o futuro de segurançaE sim, tem zoeira. Porque depois de 200 episódios, se não tiver isso, tem algo errado. Dá o play. Porque se você chegou até aqui com a gente, esse episódio também é seu.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

No episódio de hoje, recebemos o time da CarameloSec para uma conversa sem firula sobre segurança de aplicações na vida real. Nada de teoria bonita que não sobrevive ao deploy. Falamos de como segurança é construída no dia a dia, os desafios de levar AppSec para dentro dos times e onde muita gente ainda está se enganando feio. Entramos em temas como cultura de segurança, o abismo entre ferramenta e resultado, e como iniciativas independentes como a CarameloSec estão ajudando a elevar o nível da comunidade. Tem provocação, tem experiência prática e tem alguns tapas de realidade que você provavelmente precisa ouvir. Se você trabalha com desenvolvimento, segurança ou está tentando não virar estatística no próximo incidente, esse episódio é obrigatório.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

A IA não vai “impactar” AppSec. Vai engolir quem estiver parado. Neste episódio, a conversa é direta: o que sobra para quem trabalha com Segurança de Aplicações quando a IA começa a escrever código, revisar pull request, gerar arquitetura e até corrigir vulnerabilidade sozinha? Spoiler: o jogo muda completamente. Falamos sobre o fim do AppSec operacional baseado em checklist e o nascimento de um novo perfil. Menos executor, mais estrategista. Menos ferramenta, mais contexto. Você vai entender como SAST, DAST e SCA perdem protagonismo isolados e passam a ser só sinais dentro de um sistema maior, orientado por risco real e decisão automatizada. Também exploramos o lado desconfortável: IA gerando vulnerabilidades em escala, pipelines cada vez mais opacos e o risco de confiar cegamente em “correções inteligentes” que ninguém revisou de verdade. Se você ainda está focado em rodar ferramenta e abrir ticket, esse episódio vai doer. E é exatamente por isso que você precisa ouvir. Você vai sair com uma visão clara de para onde a profissão está indo:O AppSec Engineer vira um “Risk Engineer”Modelagem de ameaças deixa de ser evento e vira fluxo contínuoSegurança passa a ser código, contexto e decisão em tempo realIA deixa de ser ferramenta e vira parte do problema e da soluçãoO futuro não precisa de mais gente rodando scan. Precisa de gente que entende o que realmente importa quando tudo começa a rodar sozinho.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Supply Chain Security deixou de ser teoria e virou problema real. Neste episódio, destrinchamos os casos recentes envolvendo ferramentas amplamente utilizadas como Trivy, KICS e a biblioteca Axios e o que eles expõem sobre a fragilidade da cadeia de dependências.Falamos sobre o risco invisível que roda dentro do seu pipeline, como ataques em ferramentas “confiáveis” mudam completamente o jogo e por que confiar cegamente em scanners e bibliotecas populares pode ser um erro caro. Não é só sobre vulnerabilidades conhecidas, é sobre confiança quebrada. Você vai sair com uma visão prática de como esses incidentes acontecem, onde estão os pontos cegos no seu processo e o que precisa mudar agora para não virar o próximo case.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Neste episódio do DevSecOps Podcast, mergulhamos em um tema frequentemente subestimado, mas absolutamente crítico para a segurança moderna: Log Modeling.Enquanto muita gente trata logs apenas como registros para troubleshooting, a realidade é outra. Logs bem pensados são sensores de segurança dentro da aplicação.Eles contam a história do que aconteceu, quem fez o quê e quando algo saiu do normal. Durante a conversa exploramos como o Log Modeling pode ser tratado como uma prática de Application Security, não apenas de observabilidade.Falamos sobre como modelar eventos relevantes de segurança desde o design da aplicação, quais tipos de ações precisam obrigatoriamente ser registradas, e como evitar logs inúteis que só geram ruído enquanto deixam passar atividades críticas sem rastreabilidade.Neste episódio você vai entender:• O que é Log Modeling e por que ele deveria fazer parte do seu AppSec Program• A diferença entre logs operacionais e logs de segurança• Quais eventos realmente precisam ser registrados em uma aplicação• Como logs ajudam em investigação de incidentes e detecção de ataques• Erros comuns que tornam logs inúteis quando mais precisamos delesSe segurança é sobre visibilidade, então logs bem projetados são uma das ferramentas mais poderosas para entender o comportamento real das suas aplicações em produção.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Neste episódio do DevSecOps Podcast, o papo gira em torno de um tema que muita gente na área de tecnologia sente na pele: a falta de formação realmente sólida em Application Security. Em vez de cursos superficiais ou conteúdos soltos pela internet, discutimos a ideia de uma Pós-graduação focada em AppSec e DevSecOps, pensada para quem quer sair da teoria genérica e mergulhar no que realmente acontece dentro das empresas. Ao longo do episódio, exploramos por que segurança de aplicações exige uma visão ampla que vai além de ferramentas. Falamos sobre arquitetura segura, modelagem de ameaças, revisão de código, segurança em pipelines de CI/CD, cloud, gestão de vulnerabilidades e cultura de segurança no desenvolvimento. A proposta da pós é justamente conectar esses pontos e formar profissionais capazes de pensar segurança dentro do ciclo completo de desenvolvimento. Se você é desenvolvedor, engenheiro de segurança, arquiteto ou líder técnico e quer entender como estruturar um aprendizado sério em AppSec, este episódio traz uma visão clara do que esperar de uma formação avançada na área. Neste episódio você vai encontrar: • Por que o mercado precisa de especialistas em Application Security• A diferença entre aprender ferramentas e aprender segurança de verdade• Os pilares de uma formação sólida em AppSec e DevSecOps• Como conectar desenvolvimento, cloud e segurança no mesmo modelo mental• O tipo de profissional que o mercado realmente está procurando hojeBecome a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Neste episódio do DevSecOps Podcast, fomos direto no ponto: SCA não é sinônimo de caçar CVE em biblioteca open source. Durante anos, muita empresa reduziu Software Composition Analysis a “rodar ferramenta e ver se tem vulnerabilidade no npm ou no Maven”. Só que o jogo ficou mais complexo. Hoje falamos de dependências transitivas invisíveis, pacotes abandonados, licenças incompatíveis, ataques à cadeia de suprimentos e componentes proprietários que ninguém inventaria no SBOM porque “não é open source”. Spoiler: risco não pergunta licença. Discutimos:Por que SCA precisa olhar além do GitHub e entender o ecossistema inteiro da aplicaçãoO papel real do SBOM e onde ele falha na práticaSupply chain attacks e o que mudou depois de casos como Log4ShellDependências internas, pacotes privados e artefatos binários esquecidosLicenciamento como risco jurídico, não só técnicoComo integrar SCA de forma estratégica no pipeline e não virar mais um relatório ignoradoSe AppSec é armadura, SCA é o exame de sangue do software. E não adianta medir só colesterol quando o problema pode estar no fígado. Esse episódio é para quem já rodou ferramenta, já viu dashboard bonito e percebeu que ainda assim algo está faltando. Porque está mesmo.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

IA é ferramenta. Poderosa. Rápida. Escalável. E completamente indiferente ao que é certo ou errado. Neste episódio do DevSecOps Podcast, mergulhamos nos perigos reais da Inteligência Artificial além do hype e além do medo irracional. Falamos sobre modelos que aprendem vieses humanos, automação de desinformação em escala industrial, geração de código vulnerável com confiança absurda e a falsa sensação de segurança quando “a IA revisou”. IA não é ética. Não é moral. Não é consciente. É estatística com GPU. Discutimos também o impacto prático no desenvolvimento de software e na segurança de aplicações. Devs usando copilots sem validar saída. Times confiando em respostas geradas como se fossem verdade revelada. Ataques potencializados por modelos generativos. Engenharia social turbinada. Deepfakes cada vez mais convincentes. A IA amplia o melhor e o pior de nós. No fim, a pergunta não é se a IA é perigosa. Toda tecnologia poderosa é. A pergunta é: estamos usando com criticidade ou com preguiça intelectual? Porque quando a máquina erra, ela erra em escala. E quando o humano delega o pensamento, ele terceiriza a responsabilidade. E responsabilidade, meu amigo, não dá para fazer deploy automático.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Nesse episódio a conversa foi direta e sem anestesia. Falamos sobre como empresas e profissionais de AppSec realmente evoluíram nos últimos anos, o que mudou de verdade e o que é só discurso bonito em slide corporativo. Spoiler: muita coisa avançou, mas muita gente ainda está brigando com problemas que já deveriam estar resolvidos há uma década. Também discutimos o descompasso clássico do mercado. Enquanto algumas organizações já deveriam estar olhando para o próximo nível de maturidade, automação real, decisões baseadas em risco e integração profunda com engenharia, outras ainda estão “começando AppSec” do zero. E aí vem a pergunta incômoda: isso é falta de tempo, de prioridade, de competência ou de coragem? Um episódio para quem quer entender onde estamos, onde deveríamos estar e por que maturidade em AppSec não é checklist, não é ferramenta e definitivamente não é cargo no LinkedIn.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Neste episódio do DevSecOps Podcast, usamos a armadura do Homem de Ferro como desculpa elegante para falar de coisa séria: como montar um programa de AppSec que funciona no mundo real. Aqui não tem magia, tem engenharia. Assim como Tony Stark não começa salvando o mundo no Mark L, um programa de AppSec não nasce maduro. Falamos de fundamentos, evolução incremental, decisões técnicas difíceis e da diferença brutal entre ter ferramentas… e ter capacidade real. Jarvis vira métrica, sensores viram telemetria, armaduras viram processos. Tudo com pé no chão e código na mesa. Você vai ouvir sobre:por onde começar sem travar o timecomo alinhar AppSec com negócio, produto e Devmaturidade progressiva, não big bang corporativoporque cultura pesa mais que ferramentae o erro clássico de tentar “comprar” segurançaSe o seu AppSec hoje parece mais cosplay do que armadura funcional, esse episódio é pra você. Menos marketing, mais engenharia. Segurança que voa porque foi bem montada, não porque alguém prometeu.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Neste episódio do DevSecOps Podcast, Cássio Batista Pereira explora o monitoramento de aplicações através da analogia com o Homem de Ferro. Ele discute o quaão crítico é ter um monitoramento inteligente e ativo para identificar o quanto antes uma ameaça ou mesmo um incidente, apresentando um ciclo de vida simples de log que inclui geração, centralização e visualização. O episódio enfatiza que é trabalhoso mas não impossível de centralizar informações sobre sua aplicação em um único lugar.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Neste episódio, colocamos a armadura do Tony Stark e abrimos o HUD para olhar a segurança de software por outro ângulo: modelagem de ameaças. Sem enrolação, discutimos como pensar como o herói e antecipar ataques antes que eles aconteçam é a verdadeira fonte de poder no desenvolvimento seguro. De STRIDE a cenários reais, mostramos como transformar sua aplicação em uma Mark 50: elegante, eficiente e preparada para pancadaria digital. Exploramos exemplos práticos, padrões mentais e decisões arquiteturais que separam o código blindado do código “vamos torcer para não explodir”. É AppSec com estilo, estratégia e um toque Stark de ironia. Se você quer elevar seu nível de defesa sem travar a inovação, este episódio é o seu laboratório.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Neste episódio, recebemos um desenvolvedor. Sim, um dev de verdade, código na veia . Para encarar a conversa que muita empresa ignora e muita carreira demora para descobrir: dominar AppSec não é “um plus”, é o diferencial competitivo. Falamos sobre o impacto real de segurança no dia a dia do desenvolvimento, como pensar como atacante muda a forma de construir software, e por que devs que entendem AppSec aceleram times, evitam retrabalho e se tornam profissionais praticamente à prova de recessão. Uma conversa franca, prática e sem romantização: o futuro do desenvolvimento pertence a quem escreve código que não vira manchete. Comportamentos, mindset e skills que transformam um dev comum em um profissional completo. Ao final, fica claro: aprender AppSec não é sobre a empresa, é sobre você apostar na própria carreira.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

SecOps é aquele território onde infraestrutura, segurança e caos se encontram para ver quem cai primeiro. Nesse episódio, sentamos com Rafael Frizani — um SRE que já viu mais servidores pegando fogo do que gostaria de admitir — para destrinchar os desafios reais de segurança em ambientes modernos. Falamos de incidentes que começam pequenos e viram bola de neve, pipelines que precisam ser blindados sem travar o time, automações que salvam o dia (e o sono) e a eterna briga entre velocidade e controle. O papo ficou prático, cheio de histórias de guerra e com aquela pitada de filosofia operacional que só quem vive o front conhece. Se você trabalha com infraestrutura, DevOps, SecOps ou simplesmente quer entender como proteger sistemas que nunca dormem, este episódio encaixa como luva. É para ouvir e já sair repensando seus clusters, seus alertas e talvez sua vida.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Neste episódio, recebemos o pesquisador C4ng4c3ir0, um verdadeiro veterano do mundo dos Bug Bounties e atualmente #.1 no Ranking Brasileiro. Ele abriu o jogo sobre como é a rotina de quem caça vulnerabilidades, os desafios de lidar com triagens demoradas e programas mal estruturados, e o que separa um bom caçador de um simples “report spammer”. Discutimos o equilíbrio entre reconhecimento, ética e técnica, e como as empresas podem aprender com quem vive na linha de frente da segurança.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

O lançamento do Aardvark marcou mais um passo na integração entre Application Security e Inteligência Artificial. Mas o que isso realmente significa para o futuro da segurança de software? Neste episódio, exploramos como soluções baseadas em IA estão transformando a forma como detectamos, priorizamos e corrigimos vulnerabilidades — e o que muda no papel do profissional de AppSec diante dessa automação crescente. Conversamos sobre riscos, oportunidades e limites éticos dessa evolução: da triagem automatizada à geração de código seguro, passando por frameworks que prometem “segurança autônoma”. No fim, a pergunta permanece: estamos prontos para confiar à IA a defesa das nossas aplicações?Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

Neste episódio, exploramos o que realmente faz um programa de Bug Bounty funcionar — além dos prêmios em dinheiro. Conversamos sobre como alinhar a iniciativa às demandas de Application Security, desde o desenho das políticas até o processo de triagem dos relatórios recebidos. Discutimos como priorizar vulnerabilidades, evitar ruído e transformar descobertas da comunidade em melhorias reais de segurança. Um papo direto sobre maturidade, cultura e eficiência em programas de Bug Bounty.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.

A era quântica deixou de ser ficção científica e já começa a mexer com a segurança digital de empresas no mundo todo. No novo episódio, recebemos Leonardo Carissimi, líder de Cibersegurança e Privacidade da Capgemini Brasil, para falar sobre criptografia pós-quântica e criptoagilidade, trazendo dados e insights do estudo global “Futuro Criptografado”. Conversamos sobre como organizações brasileiras e globais estão se preparando para o “Dia Q”, quando computadores quânticos poderão quebrar a criptografia atual, e quais tendências devem moldar a cibersegurança em 2025 e além. Descubra por que 70% das empresas já planejam adotar soluções de segurança quântica, como diretrizes regulatórias estão guiando essa transição e o que você precisa saber para enfrentar os próximos desafios digitais.Become a supporter of this podcast: https://www.spreaker.com/podcast/devsecops-podcast--4179006/support.Apoio: Nova8, Snyk, Conviso, Gold Security, Digitalwolk e PurpleBird Security.