Como construir uma cultura de DevSecOps bem-sucedida

A principal característica do DevSecOps é melhorar os resultados de negócio e o valor entregue de um software e isso só é possível automatizando, monitorando e aplicando a segurança em todas as fases de seu ciclo de vida.

Otoniel Ribeiro, gerente sênior de TI da Agility

  O DevSecOps é uma cultura e prática organizacional de engenharia de software que visa unificar o desenvolvimento de software (Dev), a segurança (Sec) e as operações (Ops), de modo que uma ideia de negócio seja de fato materializada em um produto ou serviço, promovendo a melhor experiência para o usuário consumidor.

  A principal característica do DevSecOps é melhorar os resultados de negócio e o valor entregue de um software e isso só é possível automatizando, monitorando e aplicando a segurança em todas as fases de seu ciclo de vida.

  Além disso, a prática ainda permite:

•  Caracterização, monitoramento e mitigação de riscos totalmente automatizados ao longo do ciclo de vida do aplicativo.

• Número de atualizações e correções de software necessários para tratamento de vulnerabilidades de segurança e fraquezas de código.

  No DevSecOps, testes e segurança são tratados de forma proativa, o que conceitualmente chamamos de “shift-left security”. Por meio de testes automatizados de código Estático (SAST), Dinâmico (DAST) e Integrado (IAST), adicionados aos testes de componentes como imagens de containers e os já tradicionais de qualidade de código, garante-se um importante diferenciador do processo, pois recursos funcionais e de segurança são testados e construídos simultaneamente.

  A adoção do DevSecOps em todas as fases em um ciclo de vida de software tem o objetivo de reduzir ao máximo o esforço necessário de correção, testando e corrigindo as falhas encontradas na ordem em que o código é produzido.

  Esta abordagem gera economia de tempo, evitando o retrabalho de toda a cadeia do ciclo de desenvolvimento e produção, além de trazer maior tranquilidade ao negócio, com um software seguro e eficiente aos seus clientes.

Inteligência artificial nas operações de TI

Simone Rodrigues, Editora da Infra News Telecom

  Cada vez mais empresas lançam mão da IA – Inteligência artificial para automatizar e agilizar a análise de seus processos, e esse movimento também vem alcançando as equipes de TI.

  No ano passado, o mercado de IA na América Latina faturou US$ 448 milhões com hardware, software e serviços, segundo Pietro Delai, gerente do programa de soluções de software e cloud na América Latina da IDC, especializada em inteligência de mercado, serviços e consultoria para os mercados de TI, telecom e tecnologia de consumo.

  Ferramentas de IA já são usadas para analisar e rastrear dados de monitoramento, ajudando as equipes de TI a entenderem com muito mais precisão e agilidade toda a infinidade de alertas emitidos nas redes corporativas, eliminando falsos positivos e identificando quais problemas precisam ser priorizados.

 

Inteligência artificial na segurança da informação

 

  As plataformas de IA também podem ser uma arma eficaz para proteger as empresas contra ataques cibernéticos, ao agir proativamente a uma invasão, por exemplo. “A IA pode automatizar inúmeras tarefas, ajudando os departamentos de segurança com falta de pessoal a preencher a lacuna de habilidades especializadas e melhorar a eficiência de seus profissionais humanos. Protegendo contra muitas ameaças existentes, a IA pode colocar os defensores um passo à frente”, diz Longinus Timochenco, CISO – Chief Information Security Officer e diretor de governança corporativa na KaBuM!, num artigo publicado nesta edição.

  Ele também alerta que a inteligência artificial é uma ferramenta poderosa que pode ser usada para aprimorar técnicas de ataque ou até mesmo criar novas. “Por isso, as organizações devem estar prontas para adaptar as suas defesas para lidar com a escala e a sofisticação dos ataques cibernéticos habilitados para IA”.

  Boa leitura!

Inteligência artificial nas redes corporativas

A inteligência artificial já é usada para analisar e rastrear dados de monitoramento, ajudando a equipe de TI a entender com muito mais precisão e agilidade toda a infinidade de alertas emitidos nas redes corporativas, eliminando falsos positivos e identificando quais problemas precisam ser priorizados.

Michael Allen, VP worldwide partners da Dynatrace

  Em busca de estruturas mais flexíveis e ajustáveis, é cada vez mais comum ver empresas adotando ambientes baseados em nuvens híbridas. Mas, embora a nuvem ofereça a agilidade que as empresas desejam atualmente, é preciso dizer que a natureza em constante mudança desse modelo de tecnologia também tem provocado suas consequências. A maior delas, sem dúvida, é o aumento sem precedente dos níveis de complexidade para a gestão das redes de TI – o que tem feito com que as estratégias tradicionais de monitoramento de redes sejam quase sempre incapazes de fornecer as respostas práticas sobre o que realmente está acontecendo dentro das operações.

  Para reverter esse cenário, nos últimos dois anos, as equipes de TI identificaram uma nova oportunidade de gerenciamento de performance por meio das ferramentas de AIOps – Inteligência Artificial para Operações de TI. Essas soluções usam IA – inteligência artificial para analisar e rastrear dados de monitoramento, ajudando as equipes de TI a entenderem com muito mais precisão e agilidade toda a infinidade de alertas emitidos por uma rede, eliminando falsos positivos e identificando quais problemas precisam ser priorizados.

  De acordo com levantamentos recentes, o mercado global de plataformas de AIOps deverá crescer de US$ 2,5 bilhões em 2018 para US$ 11 bilhões até 2023. No entanto, vale dizer que o uso da inteligência artificial não deve ser a única medida a ser tomada para garantir o sucesso das ações de monitoramento e análise de performance. Para obter o real potencial dessas ferramentas, as organizações não podem ver a IA como apenas mais uma engrenagem “na máquina” da operação da infraestrutura de tecnologia da empresa. É preciso criar condições e desenvolvê-las ao ponto de gerar benefícios práticos para a operação como um todo.

  As ferramentas de AIOps devem ser capazes de fornecer a determinação precisa da raiz dos problemas, em vez de apenas exibir alertas que precisam ser examinados. Portanto, é essencial que a AIOps tenha uma visão holística do ambiente de TI. Somente assim será possível receber dados pertinentes e contextualizar alertas usando métricas de performance de toda a pilha de TI.

  A integração com outros recursos de monitoramento, desse modo, é parte fundamental para o sucesso na adoção de ferramentas AIOps, garantindo que não haja lacunas na visibilidade e que os problemas possam ser entendidos e resolvidos mais rapidamente. Vale lembrar, nesse caso, que as ferramentas de AIOps são tão boas quanto os dados que são alimentados e a maximização do acesso às informações é vital para o sucesso dessas aplicações.

  Para que as soluções AIOps sejam soluções efetivas que facilitem a vida das equipes de TI, essas ferramentas precisam fazer parte de uma abordagem completa de gerenciamento de performance. A adoção dessa abordagem mais integrada permitirá que as equipes de TI não apenas encontrem e rastreiem problemas automaticamente, mas também criem uma verdadeira inteligência de software que possa apresentar respostas a esses problemas em tempo real.

  Alcançar esse potencial e simplificar as operações de TI, fornecendo uma organização mais eficiente, deve ser a meta final das aplicações de AIOps para as organizações. Quando bem feito, a inteligência de software ativada por essas soluções pode ser usada para gerar maior eficiência no controle de negócios automatizados, correção automática de processos e autocorreção de falhas de rede. Por fim, a utilização dessas ferramentas pode permitir a transição para operações autônomas, nas quais os ambientes de nuvem híbrida podem se adaptar dinamicamente, e em tempo real, para otimizar a performance dos usuários finais, sem a necessidade de intervenção humana. Como resultado, os problemas podem ser resolvidos antes que os usuários percebam que houve uma falha.

  Essa automação baseada em inteligência artificial alimentará a próxima onda de digitalização e transformará verdadeiramente as operações de TI. No entanto, não é possível alcançar esse real sucesso juntando um conjunto misto de ferramentas de monitoramento e uma solução de AIOps em uma rede de TI montada como Frankenstein, com diversas tecnologias, linguagens e processos. As empresas precisam de uma nova abordagem holística do gerenciamento de performance, com opções que combinem a apresentação de insights e total visibilidade da infraestrutura de Nuvem, com gerenciamento de experiência digital e recursos de AIOps.

  A adoção dessa abordagem ajudará a cumprir a verdadeira promessa da AIOps, fornecendo respostas à TI em vez de apenas mais dados. Como resultado, as equipes de TI serão liberadas para investir mais tempo em projetos de inovação que diferenciam os negócios dos concorrentes, em vez de concentrar seus esforços em manter as luzes acesas.

Redes FTTx preparadas para o futuro. Será?

O artigo analisa alguns aspectos críticos de uma rede passiva óptica eficiente para atender às novas aplicações, e mostra a importância de implantar componentes de qualidade na infraestrutura FTTx.

Eduardo Venturini, especialista em redes FTTx na R&M para América Latina

  Quando falamos de futuro da tecnologia, invariavelmente, surgem discussões a respeito de carros autônomos, inteligência artificial, realidade virtual e aumentada, 8K e muito mais. Tudo isso será possível, sim, com a adoção de novas tecnologias como 5G, WiFi-6 e IoT – Internet das coisas em ambientes inteligentes e conectados, sejam eles smart buiding ou smart cities.

  Isso não é uma visão tirada de um filme de ficção, mas uma realidade bem próxima. Porém, será preciso que uma série de dispositivos estejam conectados, gerando e transmitindo uma grande quantidade de dados, que somente as redes de fibras ópticas poderão suportar.

  Então, a forma mais fácil de se chegar a este futuro é utilizar as redes das operadoras de telecomunicações e dos ISP – provedores de serviços de Internet que já estão presentes em vários municípios do Brasil.

  Basicamente, as redes dos diversos ISPs do país são baseadas em fibras ópticas e utilizam a tecnologia G-PON, e suas evoluções XG-PON e NG-PON2. Esta tecnologia foi padronizada no ano de 2003, sob a denominação ITU-T G984, sendo bastante difundida e utilizada no mundo para as redes de acesso. Além da utilização em larga escala e disponibilidade de equipamentos, há outro ponto que favorece a adoção da tecnologia: a grande oferta de componentes de rede, permitindo que a rede seja implantada nos mais diversos ambientes, subterrâneo, aéreo, clima seco, neve, chuvoso.

  Mas quando pensamos em utilizar a infraestrutura dos ISPs para implantar estas novas tecnologias será que estas redes estão preparadas para o futuro?

  Vamos analisar alguns aspectos críticos para uma rede passiva óptica eficiente. Primeiro, é necessário um processo de elaboração correta de projeto, onde são definidos a topologia, tecnologia adotada, redes do tipo P2P ou P2MP, taxa de penetração, etc. Porém, isto não será analisado neste artigo.

  Para garantir a eficiência da rede também é preciso olhar para qualidade de cada componente que compõe a infraestrutura.

  Uma rede passiva óptica PON está sujeita a intempéries como sol, chuva, névoa salina, ataque químico, entre outros agentes agressores. Desta forma, a disponibilidade e o desempenho da rede dependem da qualidade de cada um dos seus componentes. Assim como a tecnologia de transmissão evolui, os componentes também passam por um processo de aperfeiçoamento ao longo do tempo.

  Embora muita vezes não seja notado, os fabricantes de infraestrutura investem milhões de dólares em pesquisa e desenvolvimentos para que os produtos sejam mais compactos e mais fáceis e rápidos de serem instalados. Com isso, as redes podem ser ativadas rapidamente, com padronização e menos erros, impactando positivamente na confiabilidade.

  Abaixo veja alguns pontos críticos de uma rede que são altamente impactados pelos componentes.

Conectores e mão de obra na construção da rede externa

 

  Em uma rede G-PON, cabos e splitter são os elementos que apresentam as maiores perdas absolutas da rede. Mas se olharmos com mais atenção, vamos perceber que as perdas máximas por quilometro do cabo, especificado por normas, e as perdas reais são muito próximas. O mesmo acontece com os valores dos splitters.

  Caixas de emendas e CTO devem garantir a integridades dos componentes, suportando a variação térmica, radiação UV, ingresso de umidade e impacto.

  Vamos analisar dois componentes que devemos estar atentos durante a construção da rede e o impacto no seu funcionamento eficiente, dos conectores óticos e emenda por fusão.

 

 

  No exemplo abaixo vemos quão crítico é o impacto da qualidade da conexão e da mão de obra.

 

Valores padrão de norma de FTTH		Valores desempenho melhorado
SMF @ 1310 nm	0,5 db	SMF @ 1310 nm	0,35 db
6 x emenda	0.6 db (0,1dB)	6 x emenda	0.30 db (0,05dB)
1 Splitter 1:32	18.3 db	1 Splitter 1:32	17,5 db
4 conectores SC APC	3.0 db (0,75dB)	4 x SC APC Grade B	1 db (0,25dB)
Margem de manutenção	1db	Margem de manutenção	1db
Potência disponivel	5,1 dbm	Potência disponivel	8,2dbm
Comp max. da rede	10,2 km	Comp max. da rede	23 km

 

  Se optarmos por conector com perda de inserção (IL) Classe 1, definido pelo NBR 14433, teremos uma perda máxima de 0,8 db por conexão. No exemplo utilizamos um valor de 0,75dB/ conexão. São valores normalizados e certificados por entidades regulatórias, como a Anatel, porém na prática conectores com perdas altas diminuem o alcance da rede. Então, especificar um conector que atenda classe III definido, pela NBR 14433, garantirá o alcance total da tecnologia (20 km).

  A emenda por fusão também se apresenta como ponto crítico e depende muito da mão de obra e recursos disponíveis, pois em um enlace de 20 km temos diversas fusões que podem reduzir o alcance da rede como no exemplo acima 01 dB/ fusão contra 0,5 dB/fusão – ao final de seis fusão perdemos 1 km de rede.

  Podemos concluir que para ter uma rede à prova de futuro precisamos olhar não somente para as tecnologias, mas também para os componentes que instalamos hoje na rede. É preciso procurar produtos de qualidade de fontes confiáveis e mão de obra qualificada, pois são eles que suportarão esta migração e deverão funcionar por décadas.

A importância de um OTDR

Ronaldo Couto, Fundador da Primori

  Diferente de um medidor de potência (power meter), estas medições são apresentadas graficamente pelo OTDR de forma que podemos avaliar a distância de cada evento apontado pelo equipamento, facilitando a identificação e a localização de problemas na rede.

  Com a grande oferta de modelos de OTDR disponíveis no mercado, considero importante que sejam avaliadas as seguintes características antes de eleger qual modelo comprar:

• Range dinâmico de 36 dB ou mais, importante para medir fibras com “splitagem” 1×64 ou 1×128.
• Zona morta de atenuação e evento de 10 metros ou menos, para medir eventos próximos ao OTDR.
• Comprimentos de onda 1310/1550 e 1625 ou 1650 nm com porta filtrada, para medição de fibras ativas.
• Facilidade de uso, preferencialmente com menu em português.
• Suporte, manutenção e garantia no Brasil.
• Treinamento operacional.

Inteligência artificial na segurança da informação

Longinus Timochenco, CISO – Chief Information Security Officer e diretor de governança corporativa na KaBuM!

Oportunidades defensivas fornecidas pela IA

 

  Os profissionais de segurança estão sempre lutando para acompanhar os métodos usados pelos atacantes, e os sistemas de inteligência artificial podem fornecer pelo menos um impulso a curto prazo, aprimorando significativamente uma variedade de mecanismos defensivos. A IA pode automatizar inúmeras tarefas, ajudando os departamentos de segurança com falta de pessoal a preencher a lacuna de habilidades especializadas e melhorar a eficiência de seus profissionais humanos. Protegendo contra muitas ameaças existentes, a IA pode colocar os defensores um passo à frente. No entanto, os adversários não estão parados – à medida que as ameaças ativadas pela inteligência artificial se tornam mais sofisticadas, os profissionais de segurança precisarão usar as defesas suportadas pela tecnologia simplesmente para acompanhar.

  O benefício da IA em termos de resposta a ameaças é que ela pode agir de forma independente, tomando medidas responsivas sem a necessidade de supervisão humana e a uma velocidade muito maior do que um humano poderia. Dada a presença de malware, que pode comprometer sistemas inteiros quase instantaneamente, esse é um recurso altamente valioso.

  O número de maneiras pelas quais os mecanismos defensivos podem ser significativamente aprimorados pela IA fornece motivos para otimismo, mas, como em qualquer novo tipo de tecnologia, não é uma cura milagrosa. Os profissionais de segurança devem estar cientes dos desafios práticos envolvidos ao implantar a IA defensiva. Ela nos coloca um passo a frente e mais fortes e rápidos com inteligência, mas não podemos esquecer que ainda a “Sabedoria/ Governança/Estratégia” deverão ser sempre a sua responsabilidade e de seu negócio, caso contrário seu oponente vencerá a batalha de forma arrasadora.

  A inteligência artificial não substituirá a necessidade de profissionais de segurança qualificados com conhecimento técnico e um nariz intuitivo para riscos. Os profissionais de segurança precisam equilibrar a supervisão humana com a confiança necessária para permitir que os controles suportados pela IA atuem de forma autônoma e eficaz. Essa confiança levará tempo para se desenvolver, especialmente quando as histórias continuarem surgindo, mostrando que a IA não é confiável ou toma decisões ruins ou inesperadas.

Os sistemas de inteligência artificial cometerão erros – um aspecto benéfico da supervisão humana é que os profissionais humanos podem fornecer feedback quando as coisas dão errado e incorporá-lo ao processo de tomada de decisão da IA. É claro que os humanos cometem erros também – organizações que adotam inteligência artificial defensiva precisam dedicar tempo, treinamento e suporte para ajudar os profissionais de segurança a aprender a trabalhar com sistemas inteligentes.

  Com tempo para desenvolver e aprender juntos, a combinação de inteligência Humana e Artificial deve se tornar um componente valioso das defesas cibernéticas de uma organização.

Criando uma área de análise de dados na sua empresa parte 4 – Tangibilizando resultados

Thoran Rodrigues, BigData Corp

Saiba como a neuroplasticidade pode ajudar na sua carreira

Edgar Amorim, Analista comportamental e coach, da Amorim & Pimentel