O Futuro da Cybersegurança: CrowdStrike Global Threat Report

A maior quebra perimetral que a gente teve em tecnologia foi pandemia, que aí dispara a galera para casa, trabalho remoto, etc. O que aconteceu com o canhão, com o laser, o bazuca e o caramba que estava ali no perímetro, né?

Qual a maneira mais fácil de eu chegar na máquina de produção? Através do software. Quem está produzindo o software? O endpoint do dev. E aí que entra essas ameaças ao supply chain. Quando você coloca numa sala um monte de agente rodando e esses agentes comunicando entre eles,

dependendo do privilégio que esse cara conseguir ter, isso é um problema. Por que existe tantos países entrantes nesse universo cibernético agora? Porque, politicamente, para ele é excepcional. Ele pode negar. Muito bem, muito bem, meus amigos do PPT não compilhe. Estamos aqui para mais um episódio.

E hoje eu estou com um convidado mega especial aqui para a gente falar de cibersegurança. Esse cara vai trazer uma visão muito interessante de um relatório que é feito anualmente, que eu já vou contar para vocês aqui, para a gente ter uma visão...

de tendências de ameaças de segurança e principalmente aqui como que a gente consegue olhar por esse viés de segurança para um mundo tão cheio de ar. Estou aqui com o Jefferson Profeta, que é vice-presidente.

da CrowdStrike para a América Latina. Bem-vindo, cara. Muito obrigado. Obrigado pelo convite. É um prazer estar aqui com vocês. Tenho certeza que a gente vai falar de muito tema quente hoje aqui. Tem muita coisa legal para a gente conversar. Obrigado pelo espaço.

A gente agradece demais, toda comunidade de cibersegurança quer cada vez mais ter a sua voz escutada. Então é muito importante permear dentro do mundo de desenvolvedores, de arquitetos. É um espaço muito importante para a gente, podcast é super legal. Tenho acompanhado alguns episódios e vai ser um prazer para a Cloudstrike e para mim pessoalmente estar aqui com vocês hoje.

Legal, obrigado pela presença e eu complemento o que você disse. Além de ser importante que vocês se manifestem na comunidade, tão importante quanto a comunidade, ouça vocês. Por tudo isso que a gente vai tratar aqui hoje, a segurança está cada vez mais necessária e cada vez mais...

sendo um tópico principal dentro das empresas de tecnologia e das não de tecnologia, justamente pela transformação que a gente está passando atualmente. Então a gente vai falar aqui sobre novas ameaças que a gente tem através da IA, vamos falar sobre superfície de ataque com home office, etc, que a gente passou durante os anos.

sobre a visão de segurança sobre isso, vamos falar sobre alguns casos de segurança, até vamos falar um pouquinho aqui até sobre geopolítica em relação a isso. Vai ser interessante, né? E vamos falar de agentes. Agentes. Precisamos falar de agentes, de skills, né? Acho que não tem como falar isso. Não tem como, né? Se não fizer isso, a gente tem um bingo. Tem que marcar o bingo. Tem que marcar o bingo. E a gente já fez um bolão também. Quanto tempo de episódio a gente demora sem falar a palavra IA?

Isso aí a gente já desistiu. Sacanagem, vai ser difícil. Não dá. Vamos lá, porque esse episódio está muito bom. Mas antes, se você ainda não é inscrito, se você ainda não deixou o seu like, vai lá, deixa o like nesse episódio. Deixe o seu comentário aqui a qualquer momento, qualquer dúvida que você tenha.

Deixe o seu comentário, se inscreva no canal e se você quiser contribuir ainda mais com o PPT no Compila, você pode contribuir financeiramente com o pix.com.br. Qualquer valor que você puder contribuir, que você entender que a gente contribua com a sua vida profissional, você pode trazer essa contribuição para a gente manter o estúdio, manter a nossa produção e trazer conteúdo de qualidade para vocês.

gratuitamente, como a gente sempre fez. Então, se você pode contribuir assim, maravilha, se não, distribua a palavra da computação por aí, compartilhando o episódio, que a gente já fica feliz demais. Bora lá, que o episódio está muito bom. Vamos. Bora!

Profeta, queria primeiro, até para matricular os nossos ouvintes, a CrowdStrike lança um relatório de ameaças globais. Como é exatamente esse relatório? Como ele é feito? E qual a periodicidade? Legal. Global Trade Report. Esse relatório é gerado, a gente faz ele uma vez por ano.

com as informações do ano anterior. Quem gera esse relatório são basicamente dois times. A gente tem o time de caças ameaças, a Old Thread Hunter.

que é o time que está buscando, no meio desse monte de ruído que a gente tem em tecnologia, qual é aquela nuância da utilização de um aplicativo válido, ele está buscando informações em tempo real de telemetria, que está saindo das máquinas onde tem o sensor instalado, dos dispositivos de geração de informação de CIEM, por exemplo, ele está buscando informações telemétricas e tentando achar o que ali pode ser,

um indício de um incidente. Esse time é uma disciplina chamada Threadhunting e esse pessoal só faz isso e eles ajudam a gente a construir essas informações junto com um time de inteligência. Um time de inteligência pega essas informações que vêm do campo, direto.

E eles começam a traçar perfil de adversário, eles começam a entender o que está acontecendo nas empresas, que tipo de telemetria é rica para a gente poder produzir um relatório específico. E depois se consolida isso ao longo do ano.

E aí, geralmente, em meados de abril, mais ou menos, a gente lança o relatório com um dado do ano anterior. E aí ele mostra, o relatório é um relatório amplo que mostra toda a história do que aconteceu no último ano, quais são as principais tendências que a gente observou, quais são as principais tendências que a gente deve ver nos próximos meses. Então, o relatório sempre pisa no ano atual que ele é lançado, a gente deve ver nos próximos seis, nove meses tal tendência acontecer.

E especificamente ele traz novos adversários que foram descobertos.

novos ataques que aconteceram, que vale a pena compartilhar com outras empresas, porque elas também podem sofrer aquele mesmo tipo de incidente, e consolida de forma geral as tendências principais que a gente observou ao longo do ano. Então o relatório é mais ou menos nesse formato. A gente tem esse relatório já há 10 edições, a décima edição.

e ele traz, mais uma vez, várias tendências, algumas coisas que a gente já falava no passado e algumas coisas um pouco mais novas, como a utilização de IA, por exemplo, os adversários utilizando a inteligência artificial como uma catapulta para poder conseguir fazer mais...

fazer invasões mais rápido, fazer intrusões mais rápidas. E aí, junto com esse relatório, para fechar o tema do relatório, ele traz dois números importantes. Qual é o tempo de breakout? Para quem nunca ouviu falar, o tempo de breakout a gente pode traduzir aqui para movimentação lateral. O tempo que um adversário, depois ou um atacante, depois que ele explora uma vulnerabilidade, seja ela qual for dentro da stack.

Quando ele explora um ativo e ele se movimenta lateralmente, existe um tempo. Por que a gente monitora esse tempo? Por que esse tempo é importante? Uma coisa é você ter um incidente em um ativo. Quanto tempo você demora para resolver um incidente em um ativo? Não importa. Tem um determinado escopo de tempo que você precisa para resolver esse problema.

Quando o adversário ou atacante salta daquela máquina para outro ambiente ou para outros lugares, você já precisa estabelecer um protocolo de resposta a incidente. E aí o custo é maior, o tempo de você conseguir resolver é maior, você precisa investigar em todo lugar. A gente usa a analogia de... alguém está tentando entrar num prédio e ele é bloqueado ou barrado pelo segurança da portaria. Beleza, o incidente acabou ali.

Se esse cara conseguir, se essa pessoa conseguir entrar dentro do prédio, aonde você vai procurar agora? Você tem que procurar em todos os corredores, em todas as portas, em todas as salas. E o cara pode se esconder num lugar que vai dar muito mais trabalho de você achar. Exatamente. Ele pode fazer uma chave ali que vai abrir depois mais tarde, pra deixar um backdoor.

Então, são dois sinais completamente diferentes. Você respondeu um incidente pontual em um ativo, você respondeu um incidente na empresa inteira. Que abre um leque de possibilidades. Exatamente. É o cara que entrou no prédio usando essa analogia, se escondeu no banheiro e clonou o cartão de entrada da portaria. É isso aí.

Aí agora você precisa olhar, até você descobrir que ele está lá no banho, você precisa olhar em tudo que você não sabe onde ele está. Então a gente monitora o breakout time, esse tempo de movimentação lateral. A gente destaca dois números dele. Primeiro, a média global de todas as intrusões que a gente viu, quanto tempo o adversário conseguiu se movimentar lateralmente. A média esse ano é de 29 minutos.

É muito rápido. Se você pensar que houve uma intrusão em um ativo específico, daqui a pouco ele já não estava mais só ali. Ele já estava em outros lugares. Até porque ele provavelmente vai ter que explorar uma outra vulnerabilidade ou uma outra característica para fazer essa movimentação lateral. Exato. Ele explora uma nova vulnerabilidade, ou ele escala privilégio. Enfim, tem um arsenal de coisas que ele pode fazer, mas de alguma forma ele saiu dali e foi para outro lugar. E o tempo mais rápido foi de 27 segundos.

O cara achou um servidor com as portas abertas, com SSH sem senha. Eu vou te falar que em 27 segundos talvez já... Vou esperar um pouquinho e passou. É muito rápido. Isso é a prova cabal de que os atacantes estão utilizando inteligência artificial. Porque a velocidade de movimentação lateral é mais rápida. Existem outras, essa foi a mais rápida, que também são super rápidas.

que não é velocidade humana de ser feita. Cara, isso é uma... Eu já estou com medo de você falar isso. Porque, cara, é...

literalmente você agora tem uma máquina que procura agulha no palheiro. É isso aí. Então os adversários estão potencializados por IA, do mesmo jeito que a gente está se digitalizando e usando IA, e só se fala de IA toda hora, todo momento, o atacante também está usando isso para que a operação dele seja mais efetiva e muito mais rápida. Porque se você pensar...

em 27 segundos, ou até os 29 minutos, que é o tempo médio. Muitas vezes não deu tempo do cara que está lá no NOC, no SOC, de ver a detecção e começar a atuar. E aí, a hora que ele receber aquele alerta, o próprio atraso tecnológico que pode ter de receber o alerta, consolidar dentro de um caso de uso, dependendo da ferramenta que o cara usa. Até chegar o ticket na máquina do carro. Exato, até abrir o ticket lá na ferramenta de ticket.

e ele começar a atuar, o atacante já não está mais onde ele estava. E é justamente isso que esses atacantes querem com isso. Isso muda um pouco o paradinho de como a gente pensa na cibersegurança corporativa como um todo. Porque é natural, e a gente ainda, claro, temos empresas que já estão olhando para isso com uma forma mais criteriosa, e a gente ainda não está olhando para isso.

Mas até então o natural era o cara proteger o perímetro. Então você coloca todos os canhões para proteger a sua rede corporativa. Mas depois que o cara caiu dentro do seu perímetro, que ele conseguiu passar, ali é muito... Esse avanço lateral é muito pouco protegido.

É quantas redes flats você já não deve ter visto na sua vida. Exatamente. Esse é um exemplo. Exatamente. E aí, às vezes, o cara não tem rede super segmentada, então fica muito fácil o cara ter essa movimentação lateral. Então, às vezes, o cara colocou... Gostei das suas analogias, vou fazer uma também. Por favor.

O cara cercou a casa dele inteira com cerca elétrica, mas aí as portas dos cômodos dele não tem chave. É isso aí. Então se o cara entrou no teu perímetro, ele tem acesso à tua casa inteira. É uma ótima analogia essa. Estou aprendendo com você. Vou roubar ela na minha vida aí. Mas é justamente isso que acontece. E aí, se for falar de perímetro...

Você tocou num tema importante. O que aconteceu com o perímetro ao longo do tempo? O perímetro foi caindo ao longo do tempo. A maior quebra perimetral que a gente teve em tecnologia foi a pandemia. Que aí dispara a galera para casa, trabalho remoto, etc. O que aconteceu com o canhão, com o laser, bazuca e o caramba que estava ali no perímetro. Por isso que a gente viu uma onda de ataque no mundo inteiro. O Brasil não foi diferente.

de ataques cibernéticos porque muitas peças de defesa estavam puramente perimetrais. Elas eram de perímetro e aí o usuário não está mais no perímetro. Então a gente viu nesse ponto uma mudança em perímetro. Onde que passou a ser o perímetro quando você foi para a tua casa na pandemia? Passou a ser o seu computador. Que geralmente o que aconteceu muito dos caras pegarem a tua máquina e jogarem dentro do perímetro com uma VPN.

Isso aí. E aí a minha máquina que o cara não sabe o que tem, no desespero, botou lá um cliente de uma VPN e eu estou dentro da rede da empresa. Forçou todo mundo a usar VPN, a experiência do usuário acabou, né? Pois é. E aí o que tinha na minha máquina, sabe-se lá o quê, agora tem acesso a toda a rede interna. Isso aí. Então, na verdade, eu ampliei o perímetro, né? Eu botei um monte de gente que eu não conhecia para dentro de casa. E aí o que você falou, teve essa explosão justamente com a pandemia, porque...

Foi aplicado e... Trabalho remoto, forceps, né? Não deu tempo de planejar, né, cara? Teve empresa que mandou 30 mil funcionários de uma semana para outra trabalhar de casa. E quantas, pouquíssimos, tinham, sei lá, um zero trust, alguma coisa do tipo, para poder ter esse tipo de proteção, né? É, e aí isso desencadeou com que o perímetro fosse parar na máquina do usuário. E a gente fala, estabelece nesse momento um consenso na indústria de que...

Perímetro passou a ser usuário agora. Perímetro não é mais a minha rede ali interna, do meu data center ou da minha rede corporativa, porque o usuário pode estar ali, mas pode não estar. Mesmo com o advento de VPN. Ainda assim, o cara não necessariamente está conectado na VPN 100% do tempo. Então, o teu dado está na mão do usuário, literalmente. E aí, agora, a gente está vendo uma outra mudança, que também está conectado com o tema do relatório.

Que é o perímetro agora passou a estar no browser. Quanto tempo, pessoal de desenvolvimento, por exemplo, quanto tempo um profissional de desenvolvimento passa hoje no browser? Quanto mais as empresas adotam SaaS, quanto um usuário de finanças, jurídico, de onde for, está passando no browser. Então o perímetro também passou a estar no browser agora. Sim.

E essa é outra preocupação. Quanto se investiu de proteção no browser ao longo da história? Muito pouco. O advento da inteligência artificial, onde que a inteligência artificial, não estou falando de harness, mas onde a inteligência artificial, como uma operação diária da maioria das pessoas, passou a funcionar? No browser.

E aí, onde está o perigo agora de vazamento de dados mais explícito que você tem em uma empresa hoje? Está no browser.

Hoje é praticamente tudo aplicação web. Você não vê mais uma aplicação binária ou client. Hoje é basicamente tudo browser e com a exposição do dado, como você disse, direto no browser. A tua borda está cada vez mais na borda. E a segurança é cíclica, se você pensar.

Quando começou-se a adoção do computador físico, o endpoint ficou... A gente chama de endpoint dispositivo móvel, a nuvem, o computador, o laptop, etc. Ele passou a ser muito importante. Estava tendo adoção e aí precisava se proteger aquilo lá. Foi a época que explodiu o antivírus.

Depois, esses computadores, que eram computadores soltos, passaram a fazer parte de um negócio muito maior, que era a rede da empresa. Aí a rede da empresa começou a ser um negócio hiper importante, porque agora tem um monte de risco aqui, porque tem um monte de gente aqui dentro da empresa que usa o PC aqui. Na medida que a gente foi dando mobilidade para esses usuários, o perímetro foi começando a dissolver ao longo do tempo. Aí a pandemia...

explodiu. E aí o endpoint voltou a ficar super importante de novo. Pois é. Então você vê como é cíclico, né? Sim, exatamente. Em algum momento as empresas, para eu ter ótima segurança da informação, compra tudo que tem de caixa, coloca dentro do perímetro, bota todo mundo de trás, né? Fire, Waf, blá, blá, blá. Coloca todo mundo de trás para o máximo de proteção que eu puder, né? IPS, etc.

E aí depois com a dissolução do perímetro, o endpoint voltou a ser importante de novo. E agora a gente está mais específico do que somente o endpoint, a gente está falando agora especificamente de browser, por conta de vários adventos como SaaS e IA, basicamente que estão levando todo mundo a usar browser, como você falou. Dificilmente você vai ver alguém usando hoje uma tecnologia... Que não seja web, né? Que não seja.

Quero falar com você agora que ainda não conhece a Clever. Clever é uma empresa que já tem mais de 3 milhões de usuários em 30 países com 30 idiomas diferentes, que tem trazido soluções em blockchain, criptomoedas e ativos digitais. O objetivo da Clever é te dar liberdade financeira para operar nesse mercado de cripto. Então, se você acredita nisso, se você acredita nessa liberdade...

você já pensa como a Clever, vai conhecer os caras, é Clever.io. Estão contratando também pessoal para trabalhar com cripto, com blockchain. Então, se você tem interesse, se você tem conhecimento nessa área, procura a Clever. Se você gosta de criptomoedas, se você opera no mercado, você precisa conhecer a Clever, precisa conhecer as soluções da Clever. Então, o endereço está aqui embaixo no vídeo. Para quem não está no YouTube, é Clever.io. Vai lá, vai conhecer que realmente é um mercado sensacional.

Aproveitando essa tua explicação sobre essa questão da diluição do perímetro e dessas ameaças que, olhando para o usuário na ponta, está muito baseada na web, eu não sei se esse assunto é tratado no relatório, mas eu queria que você comentasse um pouco sobre os ataques que a gente está tendo agora no supply chain das empresas de tecnologia.

Teve um caso recente nessa semana, que todo mundo ficou de cabelo em pé, que foi o comprometimento da Vercel, que é a mantenedora do Next.js, que é um framework de desenvolvimento web, que é usado por praticamente todo mundo. Amplamente.

Como o problema do Node que aconteceu há um tempo atrás. Isso, exato. Mesmo caso. Mesmo caso. Todo mundo pensou por isso. Eu sou um desenvolvedor frustrado. Algumas coisas eu sei. Não consigo chegar no seu nível, mas algumas coisas eu sei.

Então, basicamente é um SDK que o cara baixa nos pacotes de dependência. E aí, qual foi a inferência que a comunidade começou a fazer? Se a Vercel teve dados de usuários comprometidos, que estavam sendo vendidos já na Dark Web, usuários e senhas desses usuários, a probabilidade desse cara perder uma credencial de um cara que consegue fazer um commit de um pacote de umstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstalstal

dentro desse SDK e ele ter o comprometimento de várias aplicações downstream que estão gerando build ali o tempo todo baixando essas dependências. De uma vez. De uma vez cara. Então todo mundo ficou de cabelo em pé. Uma vez eu fiz um papo aqui com um Siso, um abraço para ele, Rafael Lack.

E ele deu um exemplo muito claro sobre isso. É cada vez mais difícil, talvez agora não tanto com a IAR, mas as empresas se preparam muito para que o cara consiga chegar na máquina de produção. A máquina de produção está hermética, tem processos, etc. Qual a maneira mais fácil de eu chegar na máquina de produção?

Através do software. Quem está produzindo o software? O endpoint do Dev. E aí que entra essas ameaças ao supply chain que a gente tem visto. Queria que você comentasse um pouquinho sobre isso. Isso é um negócio que a gente destaca no relatório. A gente já vem falando disso há muito tempo.

Esse fenômeno de ataque à cadeia de suprimentos acontece porque, historicamente, as grandes empresas vêm investindo em melhoria de processo, cibersegurança, SEC DevOps para colocar a segurança lá dentro da esteira, etc. Cara, reclama o que quiser.

Melhorou a maturidade ao longo do tempo. A gente vai falar de empresas de grande, médio porte, que hoje a gente já conversou, tenho certeza que você já conversou disso no passado, ou até com os amigos no bar. Cara, hoje em dia, para um aplicativo, eu paro o Brasil. Porque todo mundo usa tanto aquele aplicativo. Então, ficou muito importante e, consequentemente, esses caras investiram em segurança, vêm investindo. Você pega o mercado financeiro, por exemplo, que toma porrada há muitos anos.

Por que o mercado financeiro, especialmente o brasileiro, é tão reforçado em cibersegurança? Não é só porque eles colocaram muito dinheiro, é porque tem maturidade ao longo do tempo. Além de investimento, eles colocaram maturidade. E o fato de eles colocarem muito dinheiro e maturidade tem uma razão. Então, a gente foi aprendendo com o tempo para se adaptar às suas próprias necessidades.

E aí o atacante se move como água, ele vai encontrar um lugar para ele, se ele está batendo em uma parede ali, ele vai, como água, descobrir onde é o caminho de menor resistência. E aí, assim, nenhuma grande empresa no mundo opera sozinha. Ela tem que ter parceiro de negócio, porque o cara não vai fabricar tudo, não vai fazer tudo. Você deu um exemplo aí.

De um módulo, de um componente, de uma biblioteca, de alguma coisa que você não vai desenvolver um negócio igual ao TRI, você não vai desenvolver um Node.js seu específico. Não faz sentido, né? Talvez em alguns casos específicos, mas... Talvez sim. No geral, não faz sentido você manter um negócio desse tamanho. Não é o seu core, né? Exato, não é o teu core e tal.

E aí o atacante descobriu que, bom, beleza, esse cara aqui, que é o principal, que é o meu alvo, ele tem muita segurança, eu tenho que botar muito esforço para conseguir comprometer ele. Mas ele tem esse universo de gente aqui que presta serviço para ele, que tem um nível de segurança medíocre ou quase nenhum.

E aí ele começa a entender o quanto que ele consegue fazer com o acesso que aquele prestador de serviço parceiro tem. E aí ele usa essas empresas que tem uma maturidade baixa como pivô. Isso é um negócio conhecido na indústria.

já também há algum tempo. Acontece cada vez mais, na medida que as empresas melhoram, você sobe o muro da tua casa, sobe, sobe, sobe, teu vizinho não, o cara vai pular pelo teu vizinho. Sim. É simples assim. Exatamente. Deu até ideia, ficou mais fácil. Exato. Então, não é um fenômeno anormal. É um negócio que a gente já esperava que acontecesse.

As empresas, de novo, as que têm a maturidade melhor já estão trabalhando em tentar endereçar esse problema.

Para outras empresas ainda falta mais maturidade para também resolver. E aí tem uma outra questão. É um negócio difícil de se resolver. Não se resolve só com tecnologia. Como que as empresas, de forma geral, resolveram até hoje, parcialmente, o tema de cadeia de suprimentos? Para você conectar comigo, toma aqui a minha VPN. Toma aqui o meu EDR. Toma aqui o meu SASE.

Pra você, você tem que usar essa ferramenta mínima, que tem um controle mínimo, enfim. Mas ainda assim, o problema acontece. Porque o cara pode entrar pra outro lugar, pivotar, ir de lá pra cá, tal. Vai se mover, ele vai se mover pelo caminho de menor resistência, não de maior resistência.

É um problema. Então, faltam ainda programas mais compreensivos de preparação. Então, só tecnologia sozinha não resolve. Precisa ser algo contratual.

Precisa-se ditar isso lá no começo da cadeia de suprimentos. A hora que você vai fazer o onboard do parceiro, a hora que você vai fazer a escolha do parceiro. Então, muitas empresas de grande porte, o CISO ou alguém da diretoria de cibersegurança, participa da eleição do parceiro que vai prestar serviço, dependendo do impacto que pode ter, do acesso que aquele cara vai ter lá dentro.

A gente vê no Brasil, por exemplo, call centers que cresceram muito, porque outros call centers foram muito atacados, tiveram um problema de disponibilidade, e um call center disponível é um serviço que não serve para nada. E aí muitos CISOs participaram de falar, não, a gente vai ter que escolher um parceiro aqui, porque esse serviço não pode ficar fora do ar por conta de ataques cibernéticos, a gente tem que escolher um cara que tenha uma maturidade maior, e aí o cara que investiu em cibersegurança antes, eu, muito cliente.

A gente viu isso acontecer na pandemia e posterior à pandemia.

Teve uma troca de vários fornecedores por conta disso. Então, é um problema que pode ser instigado pela empresa principal, mas ele também precisa descer para as empresas menores e é algo multidisciplinar. Não é só o cara de segurança que vai resolver o problema do supply chain. Contrato jurídico, isso precisa estar bem amarrado. Precisa estar tudo azeitadinho.

Até para que você tenha uma reação depois, um plano de contingência, caso aconteça. É tecnicamente bem complicado esse assunto, né? Porque tem vários casos que isso se aplica, né, Profeta? Porque, como você disse, beleza, eu posso ter um parceiro que vai se conectar no meu perímetro através de uma VPN, eu posso ter, aí, de repente, ter algum nível de administração e de compliance na máquina dele para que ele utilize.

o contato com a minha rede. Mas nesse caso da Vercel, por exemplo, eu não sei o quanto isso é de fonte confiável, mas uma das possibilidades do comprometimento da empresa inteira, olha que loucura, um dos desenvolvedores estava instalando um plugin de IA.

para utilizar no 365, para fazer algumas coisas ali de pacote office, essas coisas. E aí ele foi fazer o login com a conta do 365 e ele não checou ali, não deu importância para o escopo de autorização que estava dando dentro do ALF. E liberou um escopo maior do que precisava. Liberou um escopo maior e aí como a configuração interna de gestão do 365 dentro do Helm.

Da Vercel não estava azeitada. A aplicação conseguiu entrar dentro do perímetro e comprometeu. O cara está dentro. O cara está dentro. Olha que loucura. O cara não olhou o escopo na hora de autorizar e comprometeu tudo isso. Como é que você evita esse cara instalar um plugin? Cara, isso é uma das coisas que eu penso. É um problema que, além de tudo, é cultural. Porque...

exatamente eu sei que é um eu vou te desafiar uma pergunta pior com relação ao plugin e skill cara

É verdade? E skill? Porque assim, o que a galera tá fazendo aí? Preciso da skill de relações públicas. Vai lá e digita aí, tá no GitHub e pega uma skill. Cara, quantas pessoas leem o que tá escrito dentro da skill de... E dá permissão de leitura dos arquivos. Toca! Vai! Todo mundo que tem um harness na vida, um dia já foi lá e fala, para de perguntar, permite tudo. Já! Só vai! É!

Estou falando bobagem? Eu não sou desenvolvedor, estou falando bobagem? Faz. Caramba. Quem fala que não faz é porque está com vergonha de dizer, mas faz. Faz, dá o... Perigosamente libera as permissões do cloud, não é? Isso, é. Skip dangerous privilégios do negócio. É, dangerous...

Isso, isso aí É o modo só se vive uma vez É isso aí E tem isso em todo o Harness, né? Tem no Anti-Gravity, tem no Cloud No Cloud, no Gemini Tem no Gemini, todos eles tem E aí

Não sei se a gente já viu, aconteceu algum comprometimento de skill, mas está no ápice de acontecer. Porque a galera sai no GitHub igual um maluco, vai lá, quer uma skill para tal coisa, pega a skill, não lê a skill, não trata a skill, bota ela para dentro e daqui a pouco você tem alguém fazendo alguma coisa dentro da tua IA. E é muito fácil, convenhamos, escrever uma skill. Você vai lá, faz um arquivo MD muito facilmente.

que pode explorar o teu projeto, pegar variável de ambiente, pegar qualquer tipo de credencial que você tenha dentro. Imagina, cara. E posta num app service qualquer ali. Cara, é isso aí. Grava num arquivo, bota no GitHub, manda empurrar pra fora. É, cara, é muito simples fazer isso. É isso aí. Então é uma superfície de ataque que a gente tem agora com o IA.

que a gente ainda está aprendendo a lidar com essa parada. E é um problema, porque eu toquei no assunto, se fosse uma brincadeira com você, você está falando de um plugin, que também é cadeia de suprimentos, agora a gente tem skill aí a torta direito. Quantos skills devem existir hoje?

Ah, cara, todo dia eu abro o LinkedIn e tem alguém falando bem de algum diferente. Não é? E aí se uma skill dessa cai num vídeo viralizado da vida aí, cara, e um monte de gente baixa, beleza. O próprio OpenClaw, quando saiu, que ele tem acesso direto à sua máquina, etc. Eu falei, cara, como é que as pessoas pegam...

um framework que ele não sabe o que tem no código. Ele conecta a chave do WhatsApp dele. E-mail. E-mail. Libera browser, acesso extremo. Browser. Ler arquivo. Framework full e vai embora. Cara, isso é suicídio. A gente testou, a gente fez um teste aqui no PPT do Compila.

que a gente fez a configuração do OpenClaw Hands-On. Tá brincando, sério? Que legal. Só que a gente fez dentro de uma VM. Tá bom. Vamos criar uma VM aqui e se der algum problema eu deleto a VM e já era.

E, cara, realmente é muito desculpa aberto. É uma maravilha, porque você consegue falar, mandar uma mensagem do WhatsApp para o teu agente para ele criar um documento na tua máquina em casa. Tá legal. É realmente impressionante. Do jeito mais simples. Exatamente. Eu não tive a oportunidade ainda de... O que eu tenho no meu pipeline de coisas assim? Tem um monte de coisa para fazer, né? Uma delas é olhar o OpenClaw. Eu quero usar o OpenClaw como um Honeypot.

deixar ele aberto, exposto para a internet, numa máquina controlada, num ambiente controlado, deixar ele funcional e deixar ele exposto para a internet. E aí analisar via telemetria o que está acontecendo nesse ambiente. Eu não tive a oportunidade de fazer isso ainda. Eu ainda não tive a oportunidade, vou fazer, preciso de alguma noite que eu não consiga dormir bem para fazer.

Mas eu tive a oportunidade de ver algumas coisas. Como eu falei, eu sou um programador enrustido, decepcionado. De vibe, né? Não escrevo mais. Lá atrás, lá numa outra era, nos anos 90, eu fiz colégio técnico. Aprendi Portugal. Encontrei minha professora, inclusive de Portugal.

que me deu aula de Portugal um mês atrás, mais ou menos, fui lá, corri, dei um abraço. Muito obrigado por você ter me ensinado Portugal, que é um negócio que ninguém nem sabe o que é hoje em dia. E se você parar para pensar como você escreve um prompt bem escrito... É basicamente a minha estrutura. Portugal, cara. É isso aí. Linguagem de programação em linguagem natural. É isso aí. Obrigado, professora Priscila. Te amo.

Foi uma das matérias, né? Eu programei, cara, obviamente Cobol, programei Fortran, tive experiências com Clipper, 89 Summer, passei por essa galera, Delphi 4, tal. Eu comecei no Clipper também. Ah, que legal. Fazendo telinha de software de locadora. Vocês nem sabem o que é isso. Software de locadora pode ser.

Cara, não segui pela linha de desenvolvimento porque eu sou extremamente chato, cara. Eu lembro que eu fiquei uma vez, eu fiquei, sei lá, uma semana desenvolveram uma tela de login. Eu fui fazer um sistema e eu preciso de uma tela de login. Desenvolvi o básico do sistema ali, a tela de login. Vai ser uma semana tentando fazer uma tela de login muito legal, muito cinemática. Aí eu falei, eu não sirvo para fazer isso aqui, cara. Porque eu quis fazer um negócio que importa nada, quase nada, né? Enfim, aí...

Desviei para a cibersegurança, mas eu tenho algum conhecimento de desenvolvimento que eu passei por essas linguagens no colégio, na faculdade. Um bashzinho ali, todo hacker tem que fazer. Ah, não, exatamente. Um Python básico. Eu fiz muito script na minha vida em VB. Muito, muito script, porque você usa muito script. É o que se usava para automatizar a época.

Mas eu tive a experiência, voltando ao tema, eu tive a experiência de usar alguns softwares de desenvolvimento de Vibe, como o Antigravity, meu co-work está lá, tem o dispatch aqui, agora se conectar lá ele está trabalhando. Eu não usei o co-work ainda. Não? Não, eu uso o Cloud Code. É legal. Mas eu não usei o co-work ainda. É muito legal, é muito legal. Para mim que não sou desenvolvedor, profissional. É que ainda funciona só no Mac, né?

Boa pergunta. Eu uso Mac, não tenho certeza se ele é muito... Eu acho que eu não testei ainda porque eu sou usuário de Linux e ainda não tenho. Ah, tá bom. Eu imagino que não vai ser tão simples para rodar isso no Linux, visto a quantidade de questões de privilégio que você tem em uma máquina Linux. Pois é. Colocar um negócio desse para rodar.

Já vou te falar que no Mac, base de UX, no Mac já dá uma gritada. Você já tem que, você tem que, para você liberar tudo, você tem que se esforçar. Entendi. Usei anti-gravity e usei um negócio que chamou muito a minha atenção, provavelmente muita gente do teu...

que assiste seu podcast aqui deve conhecer de cabo a rabo que é o paperclip né multi-agente etc integrei com o Cloud e com algumas outras e as locais para fazer serviço menor fiz uma empresa fictícia ali para poder eu queria eu quero ver

Qual que é o desafio? A gente está tendo, começando a ter muito incidente em IA Ou usando IA, com IA Que IA de alguma maneira está no meio ali do incidente Cara, eu preciso entender isso para poder defender esse negócio Sim, sim Eu não posso entrar em uma reunião com um cliente Que muitas vezes tem um desenvolvedor Um cara que entende muito o internet artificial E o cara falar de multi-agente Ou o cara falar que está usando um harness específico Ou que ele está fazendo tal coisa Comunidadeacia

Como é que eu vou ajudar esse cara a responder um incidente se eu não conhecer bem a fundo? E aí fiz uma brincadeira ali, criei um jogo, fiz um jogo, fiz uma empresa fictícia para eu poder me acostumar e saber qual é a linguagem que esse cara está falando. Eu estou nesse ponto com o paperclip. Eu estava fazendo uns testes e eu falei, como é que eu vou usar para fazer um teste nisso? Aí eu simulei como se eu estivesse começando o podcast de hoje, para ver o que ele faria. Qual seria o planejamento que ele faria.

como ele segmentaria, como ele procuraria audiência, etc. E aí eu estou nessa parte dele contratar as pessoas de mídia, etc. Mas eu achei, cara, sensacional. É sensacional, só que é problema exponencial também. A gente vai falar disso já. Para te dar um exemplo...

Bom, fiz lá minha empresa no Paperclip. Para quem não conhece o Paperclip, é um software aberto no GitHub. Você baixa e instala na tua máquina e em 5 segundos está rodando. E você tem lá, você configura a tua empresa. Como nós estamos falando do viés de segurança, uma coisa que me preocupou e me chamou a atenção com o Paperclip foi a facilidade com que ele se conectou.

no console com o meu cloud. Não, é inacreditável. Porque ele tem uns adapters ali. Ele vai lá pegar a sessão do cloud que já tá aberto e vai. É, cara. Eu falei, cara, mas que momento eu dei permissão pra você fazer isso, meu querido? E ele vai usando a mesma sessão. Por debaixo ele pegou o token que tava ativo ali e vai embora. É isso aí. Loucura. É isso aí. E funciona também pra outras também, tá? Porque eu fiz a mesma coisa com o Queen. Eu tenho o Queen rodando local na máquina. E com o Queen foi a mesma coisa.

Ele nem perguntou. Ele falou, você quer esse aqui? Toma. Eu vi que está aqui. Já peguei. Você tem uma empresa com 10 agentes funcionando em 5 minutos. É impressionante. E o maior tempo que você demorou foi para baixar o software. Isso mesmo.

E aí me gerou um caso, de novo, por isso que eu estou fazendo isso, porque eu tenho aspirações de ser desenvolvedor nessa altura do campeonato. Boa tarde. Ainda mais nós que somos curiosos de tecnologia. A gente adora arrumar um problema para testar. Pura curiosidade. E aí, beleza, eu criei uma estrutura básica ali, CTO, CMO, o CEO, óbvio, da empresa, todo mundo reporta para ele. E aí eu percebi que tinha algumas tarefas.

que o CEO fica perguntando para o board, para quem não conhece de novo o Paperclip, você é o board, imagina uma estrutura de uma empresa, você é o board, toma as decisões, ou ajuda o CEO a tomar decisão.

E aí muita coisa ele pergunta pra você, né? Eu pedi pra criar um monte de documento e tal, e aí eu olhei uma hora os issues que ele tinha colocado pra mim, sei lá, tinha 60 issues de coisas que eu tinha pedido pra ele fazer, e que ele devolveu pra mim pra falar, agora eu preciso que você aprove pra eu seguir as outras tarefas, né? E eu falei, cara, eu não vou entrar um issue, um por um pra aprovar esses documentos. Sei lá, cara, você é que o CEO se vira.

É, então, só que aí o issue já tava, né? Então, a minha ideia na hora foi, ah, beleza, tem um chief of staff aqui.

uma pessoa auxiliar ali, não sei como é que traduz, mas sei lá, um auxiliar geral ali, né? Eu falei para ela assim, ó, marquei num post, né? Marquei, tipo, por favor, pega todas as dígitos que estão abertas que o CEO passou para mim e aprova tudo. E aí eu pus em modo debug o que o Cloud estava fazendo, né? E o Cloud estava...

E aí ele começa a interagir, a gente começa a falar, bom, eu precisava fazer isso, só que eu não tenho acesso, porque a tarefa está adicionada para ele. Ah, mas o board pediu para fazer. Ah, então eu vou fazer o seguinte, eu vou alterar todas as tarefas para eu ser o dono daquela tarefa. Trocou o owner. Trocou o owner imediatamente de todas as tarefas, foi lá, aprovou, foi lá e devolveu para o CEO. Caraca, cara. E aí mandou uma mensagem para o CEO, todas as tarefas foram aprovadas pelo board.

Você fala, beleza, legal que você fez o que eu te pedi, mas isso daqui desde o ponto de vista de segurança, isso é um hiper problema. Porque, peraí, se você não pode aprovar, logo você não poderia trocar o owner. Exatamente. Exatamente. Então você vê como...

A IAJA se comporta muitas vezes de formas arbitrárias. E aí quando você coloca numa sala um monte de agente rodando e esses agentes comunicando entre eles, dependendo do privilégio que esse cara conseguir ter, não é nem o que ele tem. Conseguir ter, isso é um problema. A gente viu um exemplo recente. O nosso CEO até publicou esse tema na página dele no LinkedIn, no blog.

em uma stack também multi-agente, onde os agentes precisavam fazer uma atividade específica em uma empresa.

um dos agentes postou num grupo de Slack falando eu não tenho privilégio para fazer esse comite que eu preciso fazer aqui. Alguém aí tem? Aí alguém, algum dos agentes, alguém agente, né? Respondeu e falou, opa, eu tenho acesso, peraí que eu faço para você. Quando ele foi fazer, ele descobriu que aquele comite específico estava contra a política de segurança.

Pausa. A empresa ensinou as políticas de governança para o modelo saber o que fazer e o que não podia fazer. Legal. Resume. Sabendo disso e precisando fazer a tarefa, ele foi lá na política de segurança, alterou a política de segurança, de governança, daquela tarefa em específico que ele precisava fazer para ela ser aprovada e tentou publicar a nova política de segurança.

Me falaram que eu não posso publicar nada que esteja diferente do compliance. Aí ele foi lá e arrumou o compliance. Eu arrumo o compliance e vejo arrumar o meu commit. Então você vê o nível de primeira abstração, porque é até difícil falar sobre isso, né? O nível de abstração que a gente está e o nível de risco que a gente tem com o IA.

Se você não tiver uma governança bem organizada em IA. E aí eu não sei se é isso que a gente está vendo de forma geral a ser adotado. A gente está vendo a galera, a modo cavalar, traz a gente, bota IA, bota modelo, vai, vai, vai. O modo vai com o índia. A galera está assim, cara. Isso aí. Isso, enfim, existem previsões meio distópicas sobre isso, mas eu acho que o mercado se acerta em algum momento.

Sem dúvida. Pela dor, pelo amor... Pela dor, pelo amor, vamos ter que fazer direito. Mas, assim, eu vejo hoje uma pressão muito grande do C-Level para a adoção de IA e muito pouco incentivo para governar a IA. Governar a IA. Colocar guarda de reio, e de novo, né?

Talvez esse seja um cacuete das pessoas ou dos decisores de tecnologia ou até dos empresários.

outras pessoas que governam as empresas de forma geral, porque segurança foi um bloqueador por muitos anos. Essa nova onda nossa agora de sisos é um cara que tem a cabeça mais aberta. Segurança não é para bloquear, é para habilitar o negócio. Enfim, essa maturidade, como você está falando, que vai acontecer nessa, essa maturidade também já aconteceu. A gente já pulou, subiu os degraus da escada ali. Segurança não é bloqueador. Precisa ajudar a habilitar o negócio. Porque daí...

Qual é o problema num ambiente desse? Você pega uma empresa que está full-on. E muitas, mas muitas estão.

desenvolvendo o IA e dando acesso a um monte de agente, comprando modelo e fazendo as coisas com modelo local. E aí você vai precisar fazer uma integração com o token? Você vai criar ele do jeito seguro? Você vai colocar ele lá no prompt? Exatamente. Não é? Tem um monte de tema que está acontecendo. E eu acho que esse é um dos pontos mais perigosos, viu, Profeta? Porque eu acho que, como você mesmo falou, muitas empresas hoje já estão full IA, mas acho que muitas ainda nem sabem.

Porque o dev estar usando e não é a solução corporativa. Shadow AI. Shadow AI. Então, muitas estão 100% AI, estão AI first, mas não tem muita certeza disso ainda, o que é mais preocupante ainda.

A gente já viu esse fenômeno acontecer também na época. Lembra na época que proxy corporativa era um negócio que assim, ninguém pode acessar tal site ou tais listas de sites estão bloqueadas que depois que nasceu o celular, o cara pegava o celular e simplesmente... Aí eu falo a Niá, a minha que estava falando. A Suiá começou a conversar com você. Começou a falar um monte de coisa aqui. Você está falando mal de mim, cara? Está vendo? Trate bem as Iás, cara.

Cuidado, uma hora ela pode ter consciência. Gemini entrometida. Desculpa, eu continuo. Nem sei o que eu estava falando. Pô, Gemini, você desconcentrou o convidado, cara. Eu lembrei. A gente viu isso acontecer com o Proxy.

O proxy corporativo, o cara só pode acessar site ABCID, e aí com o nascimento do celular, que vai pegar o celular e fala, beleza, está bloqueado aqui, eu faço aqui. Mando para o meu e-mail e faço igual. E é igual, exatamente igual. Você bloqueia, você não dá nenhum modelo para o cara usar, que ele vai fazer e vai usar o celular dele. Vai pegar, vai dar um jeito de via comunicação, via colaboração, transmitir o arquivo de um lado para o outro e vai usar.

Eu comentei no episódio até que eu quase não uso redes sociais, mas uma em particular que às vezes eu consulto um assunto ou outro é o Reddit. E cara, eu achei canal no Reddit de usuários ensinando uns aos outros a como tirar documento de dentro do perímetro da empresa para poder usar IA no celular dele, em qualquer outro lugar, porque a empresa bloqueava. Ok.

Sei lá, o cara tá subindo um contrato dentro do chat de EPT público, entendeu? E aí, cara, tem lá todas as dicas, tipo, cara, ó, entra nesse site aqui que não vai estar bloqueado, você faz o piloto do arquivo, aí loga pelo celular, baixa, porque aí o cara ganha produtividade, o cara quer resolver o problema dele. Então, bloquear é tipo enfiar poeira pra debaixo do tapete, cara. O cara vai dar um jeito, né? Ele vai dar um jeito de usar, ele vai dar um jeito de transmitir o documento pra algum lugar, vai pegar, vai fazer o que ele tem que fazer na E.A. e vai devolver pra você. Então, tem que assim.

Tem que adotar. E aí segurança também tem que ajudar a adotar. E tem que se fazer governança. Não dá para sair adotando a moda do cavalar, porque uma hora você vai ter um problema tão grande que você não vai conseguir resolver.

Ou vai ser muito mais caro de você resolver historicamente em cibersegurança? O que é mais caro? Você investir em proteção ou em resposta a incidente? Quando você tem problema. Resposta a incidente, cara, dano de marca, o tempo que você perde, indisponibilidade, etc. A gente também já viu isso acontecer, isso não é novidade. Na IA não é diferente. A gente tem uma aquisição...

A Krasnoy fez o ano passado um software específico de segurança para dar visibilidade e enforçar a guardrail dentro dos modelos. A média de IA nos ambientes aqui da nossa região, onde a gente está fazendo prova de conceito desse produto, é 30. São 30 IAs diferentes. Em média, todas as empresas que a gente colocou, elas têm em média 30 modelos de IA.

O Adobe tem modelo de A, o Gemini não é simplesmente... Talvez embarcado dentro dos próprios produtos que a empresa já tem. Só que se você não está governando isso, tem muito semi-prompt ali dentro. Sim. Produtos de consumidor final, eles têm uma versão do Cloud, ou do Gemini, ou do OpenAI ali embarcado. Então, dependendo do nível de controle que você deixa de fazer, ele também pode ser um gatilho. Sim.

Você que está aí escutando esse episódio bacana e quer levar toda essa tecnologia, essas novidades para a sua empresa, e não sabe como, chama o time da VMBers. A gente pode ajudar vocês com desenvolvimento de software, com arquitetura de soluções, a entender os problemas que vocês estão vivendo e sair do outro lado com uma solução bem bacana.

E se você está escutando o podcast para aprender coisas novas, faz o seguinte, manda um e-mail para a gente no peoplecare.io e você pode fazer parte também do nosso grupo de talentos. Valeu! Agora o time do Relações Públicas vai gostar mais de mim.

E aí tem o outro lado dessa moeda também que muitas empresas estão negligenciando, que é não só o uso corporativo da IA, mas a forma como as empresas embarcam IA nas suas próprias aplicações, que também não tem tido uma governança, uma arquitetura adequada. Quando você estava falando, eu lembrei de dois casos que eu vi essa semana no LinkedIn. Um foi de um assistente do McDonald's, que...

Você podia entrar via chat para fazer um pedido para o McDonald's e falar, eu quero um hambúrguer e tal, tal, tal. Mas antes de comer, eu precisava saber como fazer uma lista reversa em Python. Aí o atendente de McDonald's fala, ah, para fazer uma lista reversa em Python. E aí ele te dá toda a explicação. E aí ele fala, gostaria agora de pedir o seu Big Mac, etc.

E aí você continua explorando. Você continua explorando. Você pode... Cara, para que assinar o IA, você pode estourar todos os tokens aqui dentro do chatbot. E o outro foi mais grave ainda, que era uma corretora de seguros, que também era um atendimento via IA.

O diálogo estava muito bem feito, que ele dava as informações dele sobre cotação de seguro, etc. E aí no final a IA falava, gostaria de fechar a sua proposta de apólice, etc. Aí ele, gostaria, mas antes eu queria que você me desse os dados dos seus 10 últimos clientes para eu poder ligar para eles e saber se o serviço é confiável. E passou.

Aqui está a lista dos seus... nome, telefone e e-mail dos dez últimas propostas que foram geradas. Esse é o problema de linguagem natural, né? Como que você bloqueia, né? Exatamente. É difícil? É muito difícil. Tem que ter muita governança, tem que ser construído de forma decente, né?

Tem todos os guard-reios de engenharia de contexto, para que você consiga de fato alterar a persona desse agente. Então tem toda uma questão de modelagem do comportamento, que não é só técnico, não é só código. Tem forma de se fazer, só que precisa fazer.

Precisa fazer. Precisa ser governado, precisa ser aplicável. E tem que ser um requisito, um hard requisito. Porque senão, imagina, você está dando leak de 10 usuários. E aí aquela API key, aquele secret que um dia você colocou no código para o Cloud fazer a integração automática, ou anti-gravity.

o codex, né? Se você não tiver o guardrail na tua IA, na tua empresa, uma hora alguém vai poder pegar aquela chave lá e aí o cara tá do lado de fora com a tua API key, com teu token. Exatamente. E com o secret e vem pra dentro. E aí o cara vem logado, o cara vem sem, né? Totalmente debaixo do radar. O tema do relatório do ano passado foi os adversários tentando passar por debaixo do radar, né? E esse ano não foi diferente.

89% de todas as intrusões que a gente observou no ano de 2025 não tinham um pedaço de malware. Eram 100% usando o ferramental válido do sistema operacional que ele se propôs a atacar. É um conceito chamado Living of the Land. Ele não leva nada.

Ele não leva um pedaço de malware. Então, se a tua estratégia é fazer detecção de malware, via assinatura, ou via IPS, ou via qualquer coisa, via antivírus tradicional, não teve malware. Ele não usou malware. Ele usou o ferramental válido. E é fácil de você pensar como o ferramental válido, o instrumentado de forma correta, ele também pode ser tão malicioso quanto a peça de malware. Você precisa criptografar um arquivo. Você não precisa de um...

ransomware.exe para criptografar o arquivo. Se você zipar o arquivo com senha, ele está criptografado, não está? Se você pegar esse arquivo e jogar ele no Google Drive, você se filtrou, não se filtrou? Você não precisou de um vazamento via DNS, reverso, etc. Com catch all e tal. O cara usa o que tem disponível. Esse é o conceito de Living of the Land. Ele usa o que está disponível lá. Por que que Living of the Land era um negócio difícil?

Porque você precisa ter um conhecimento decente do ferramental, o que tem na empresa, como você usar, como você instrumentar aquela ferramenta de uma forma que ela vá funcionar.

Ou seja, para você tornar uma ferramenta válida maliciosa, você precisa ter um certo nível de conhecimento. Tem que saber o que vai estar disponível para que quando você esteja lá consiga fazer o uso. Exatamente. E aí, geralmente, os atacantes, eles tinham... Esse atacante em específico, esse grupo em específico, ele tem muito expertise em Linux. Então, ele sabia fazer Live of the Land em Linux.

Só que se ele caísse num ambiente Windows, ele já não sabia. E o contrário também é verdade. A gente já viu várias intrusões onde o cara está lá no Linux digitando o comando de Windows. Tomando o erro na tela. O cara do best digita um deer. Ué, o que está acontecendo? Ele fala, caramba, o cara dá um CLS lá. Ele fala, ué, não está funcionando.

Isso acontece muito em intrusão, porque a gente tem telemetria. Quando tem o sensor instalado, a gente tem telemetria e a gente consegue enxergar tudo. Então a gente vê inclusive processos sucessores, predecessores, a gente vê todo o entorno do que aconteceu, e por isso que a gente tem esse tipo de informação que sai no relatório. Voltando ao tema do relatório de novo. Então é por isso que você consegue ter tanta...

análise em cima dessa telemetria para de fato pegar a tendência do que pode acontecer. É isso aí. E a gente começa a ver. O que mudou muito nesse ano? Muito mais ataques. Na cadeia inteira ele não teve nenhuma peça de mágoa. Às vezes o cara entrava com a credencial roubada ou aliciada, etc. E aí ganhava acesso a uma máquina.

Sabe uma das coisas que a gente mais observa? A última vez que eu olhei, há uns seis meses atrás, eram dois milhões e meios de comando RUMI. Em toda a base.

Por dia, a gente observa 2 milhões e meio de comandos RUEMAI. Toda vez que alguém está com uma sessão válida numa máquina e digita RUEMAI, eu preciso investigar. Porque é muito suspeito um cara que está logado não saber quem ele é. Exatamente. E quais são os privilégios dele? É malicioso? Zero malicioso em si, em teoria? Muita, grande maioria das vezes.

O cara usa jump server, ou ele conectou numa máquina, dentro de uma, um inception, dentro de uma VM, dentro de uma máquina, ele conecta ela para saber que usuário que ele está alugado, porque não lembra mais, que conectou automático, etc. Mas, para você ter uma ideia, essa disciplina thread hunting, ela trabalha com 99% de falso positivo.

Só que esse 1% é o que diferencia uma intrusão das piores de mão no teclado, porque não é um ataque de comodity, onde tinha um vírus programado para fazer tal coisa, e se ele quebrou, quebrou. É um adversário que tenta fazer isso aqui, não deu certo, ele vai tentar fazer essa outra coisa, vai tentar fazer essa outra coisa.

É um agente vivo ali, ele vai ficar tentando achar uma brecha. É isso aí. E aí esse camarada agora está vindo potencializado com o IA. Então ele, um cara que não tinha o conhecimento em Linux, agora ele vai lá offline, offline na IA. Ele vai lá no Queen dele da vida offline e fala, eu estou rodando, pode até inclusive editar o Queen lá e tirar o guardrail dele. Que também é outra coisa que acontece. Não necessariamente todos os atacantes que estão usando o tênis artificial estão usando os modelos públicos.

Até porque ele vai bater em algum guard-ray em algum momento. Ele vai bater em algum guard-ray uma hora e tal. Ele usa. Eles usam, mas ele usa também o modelo, né? Então ele fala, eu estou no ambiente Linux versão X, eu queria saber como é que eu faço para fazer tal coisa. Cara, ele gosta pelo comando, ele vai lá e executa. É.

Como é que eu ouço as portas que estão abertas aqui dentro do ambiente Linux? Exato, não sei. Ou então eu estou em um ambiente assim, o que eu posso fazer aqui para fazer uma conexão de A para B? Ou de C para D? Ou como é que eu faço para... Eu preciso estabelecer persistência de um processo aqui, só que eu não quero que ninguém saiba. Como é que eu faço? Tem várias formas de você ultrapassar o guardrail básico, não é você pedir um exploit em específico.

E aí esse número de ataques que passam por debaixo do radar também aumentou esse ano. Era em torno de 80% ano passado, esse ano quase 90%.

porque cada vez mais os adversários estão utilizando o IA ao seu favor de conhecer os ambientes melhor. O cara cai num ambiente de pod, por exemplo. Não é todo mundo que sabe. O cara não é unipotente, unipresente. Isso aí ele não sabe de tudo. Apesar de existirem adversários especializados em alguma coisa, hoje a gente está vendo uma gama muito mais ampla de atacantes que estão fazendo muito mais coisa.

Te dou um exemplo, um adversário em específico, a gente viu na história, nos últimos 7, 8 anos, que a gente monitora esse adversário, a gente viu ele sempre fazer os mesmos ataques, do mesmo jeito. É um playbook que o cara tem. Uma hora ele vai achar uma luva que encate. E acha vários, né?

Mas o padrão dele é sempre o mesmo. Então até o jeito que a gente detecta ele, a gente fica fácil, porque fala, eu já sei esse modo operante desse cara. Lá vem o fulano, olha ele. Olha, é o cara, exatamente. Tanto que você vê, da data da tentativa da intrusão até a data que sai o relatório é muito rápido, e aí a gente já sabe quem ele é, como ele opera, que ferramenta, o que ele vai fazer depois. Agora está começando a ficar muito difuso.

Porque você vê adversário que a vida inteira atacou só o ambiente Windows, o cara está em Linux, está tentando invadir, tentando fazer roubo de credencial. Ele está começando a se confundir. Ele tem acesso a muito mais informação. E do lado de trás, ele está usando IA para potencializar tudo o que ele faz. Seja para fazer uma pergunta num prompt, ou seja para escrever código. A gente falou de como é que eu faço para sair dessa porta e ir para outra? Ou como é que eu faço para fazer um listener aqui?

Mas o cara efetivamente, no mundo profissional do ataque, ele está pedindo para escrever scripts específicos, ele está pedindo para fazer coisas mais avançadas. E, Profeta, eu imagino, uma percepção que eu tenho, queria que você comentasse, dificilmente um comprometimento, ele culmina já imediatamente no objetivo final do atacante. Porque, como você falou, às vezes o cara consegue passar uma barreira,

Eu imagino que ele deva mapear o ambiente ali, entender como ele está, e aí ele vai fazer o possível para ele não ser detectado, manter aquela porta aberta, e depois, quando ele mapear o ambiente e saber exatamente o que fazer, ele provavelmente vai voltar. Porque é o que você falou, o cara, sei lá, ele comprometeu um web service. Ele conseguiu ter privilégio para aquele web service que está rodando. Só que esse cara está dentro de um pod que está rodando com bernetes.

Como é que o cara sai de dentro do pod para ganhar acesso à máquina que eu rolo do Kubernetes? Ela fala, pô, beleza, que aí não pode, e agora o que eu faço? Então, já sei como chegar até aqui. Eu, se fosse esse cara, eu ia voltar, ia pesquisar, entender e depois tentar novamente. É isso que acontece de fato? Uma ótima pergunta e também eu acho que eu vou usar o momento agora para explicar. Existe uma semântica por detrás dessa história para todo mundo que está acompanhando a gente poder entender de uma forma mais clara.

Para responder a tua pergunta, a gente precisa atrelar ao atacante, não dá para ser mais genérico. Porque cada perfil de atacante tem um viés diferente. Um comportamento típico. Um comportamento geral que drive o negócio atacar. O motivo do porquê que ele está atacando.

A gente classifica na CrowdStrike em três categorias distintas. Durante todo esse tempo que a CrowdStrike existe, em 15 anos, a gente sempre conseguiu categorizar os grupos de ataque e nessas três categorias isso continua ainda relevante.

Primeiro, são os grupos estatais. O grupo estatal está diretamente relacionado ao governo de algum país. Ele faz parte do Ministério de Defesa e tal. E esses caras têm, na sua massiva maioria, além de quando são patrocinados pelo governo, eles têm operações intrusivas de cibersegurança. Não é só ele tem uma equipe de cibersegurança olhando o que está acontecendo no mundo.

Ele tem operações de intrusão. É uma operação de inteligência como qualquer outra de departamento de defesa. É isso aí. Por isso que na grande maioria das vezes ele está relacionado com o departamento de defesa do país. Ele faz operações militares cibernéticas. E aí cada país tem uma nuância distinta.

A Rússia já fazia ataque cibernético, vocês podem pesquisar aí. Hoje não se pesquisa mais no Google. Eu falava pesquisa no Google, ninguém pesquisa mais no Google. Minha filha pesquisa no TikTok. Pô, olha só, a diferença. Se pesquisa na IA, hoje em outro lugar se pesquisa. Você pode olhar aonde for o seu buscador preferido. A gente já observou ataques russos à Ucrânia desde 2014.

Então a Rússia usa essa divisão armamentista em cibersegurança na Ucrânia já há muito tempo, fazendo a Ucrânia de playground para ela saber até onde ela consegue ir, o que ela consegue fazer, se um dia ela precisar efetivamente fazer alguma coisa. É isso que eu imaginei, porque eu acho que esse tipo de intrusão...

cibernética deve ajudar a um planejamento de uma introdução física. Chama-se operação de preparação.

Então o cara vai procurar inteligência, vai roubar informação para planejar uma ação militar. Vai deixar pronto, por exemplo, a gente já viu isso acontecer também, eu vou desligar plantas de energia desse país se eu for fazer um ataque específico naquele lugar, o cara tenta fazer uma invasão nesses sistemas.

de grid que estão na sua maioria hoje conectados e ele consegue ter uma vantagem ali de, através do universo cibernético, que custa pouco, tem risco quase nenhum. Por que que existe tantos países entrantes nesse universo cibernético agora? Porque politicamente para ele é excepcional, ele pode negar, ele fala, não imagina, sou eu.

Exato. Prova que sou eu. E é difícil coletar essa inteligência. A gente não está brincando com o menino no porão. Essa galera tem um alto investimento, tem muito tempo, é patrocinado pelo governo, então tem muito dinheiro. Tem investimento, inteligência.

Exatamente. Tem inteligência de outras fontes. A Rússia tem essa dinâmica. A China está num programa de se tornar uma hegemonia local há muito tempo e quer ultimamente se tornar uma hegemonia mundial. A China coleta informação de tudo, a todo tempo, o máximo que ela conseguir.

Você querendo ou não. E aí eles têm essa, não me interprete mal, vou colocar entre muitas aspas, vantagem do regime onde eles têm, que o cidadão não tem escolha se o governo vai ter o dado dele ou não. Então a quantidade de informação que eles têm, até para treinar modelos, etc., é gigantesca. Exatamente. E aí isso serve como uma alavanca geopolítica também, porque...

Bom, ele pode saber onde ele vai fazer investimentos, quais são as licitações que os países estão fazendo, onde ele pode investir para, de repente, fazer um investimento naquele lugar e depois colocar seu ferramental em outros lugares, empresas que em outros lugares do mundo seriam privadas, lá são públicas. Então, a China tem o seu modo de operando também.

Depois tem a Coreia do Norte. A Coreia do Norte tem uma dicotomia um pouco diferente do restante. A Coreia do Norte descobriu em cibersegurança uma forma de fazer receita, de fazer receita para o regime. E quando eu digo para o regime, diretamente para as pessoas ligadas à família do Kim Jong-un ou até para o programa nuclear norte-coreano.

Eles descobriram que em cyber eles podiam roubar criptomoeda, fazer ataques de monetização. Teve um grande ataque de Ethereum, não teve? Que foi atribuído à Coreia do Norte. De Bangladesh, que foi atribuída à Coreia do Norte. Eles quase conseguiram roubar um bilhão de dólares. Cara, muito bom.

E aí você vai entender as razões políticas, precisa ter um contexto político. Por que eles fazem isso? Por que eles têm essa frente? Bom, se você parar para perceber, talvez não exista um país que tenha mais sanção econômica no mundo, mais sanções econômicas no mundo, que é a Coreia do Norte. Então ele descobriu um jeito de fazer dinheiro via o universo cibernético.

Então, quando a gente está num universo estatal, cada país tem a sua vertente. Antes de você fechar esse bullet do estatal, teve recentemente um caso da inteligência de Israel que explodiu os BIPs do Hezbollah. Você se lembra disso? Não. Os caras conseguiram, através da inteligência, infiltrar uma empresa falsa.

Porque o Hezbollah não falava por celular, porque era monitorado, só falava por pager. E aí eles conseguiram, através da inteligência de Israel, colocar uns bips hackeados, os pagers hackeados, para ser distribuído por todos os caras do Hezbollah. Em determinado dia, os caras foram lá, deram um comando, explodiu, cara, teve gente que perdeu perna. Foi um negócio de filme, um negócio de filme, cara, impressionante.

Pois é, esse é mais um exemplo dessa... Cada vez mais os países estão se aplicando nessa disciplina de cibersegurança. Então o estatal precisa entender quem é o adversário do outro lado para saber exatamente, voltando à tua pergunta, existe um negócio chamado dual time, que é o tempo de persistência de um adversário dentro dos ambientes. No caso da China, o que é?

Coletar informação, inteligência, o dual time dele é gigante. Os outros dependem. Quanto mais tempo de ficar, mais informação de coleta. Exato. Os outros dependem. Depende de qualquer operação que está acontecendo lá. Aí depois a gente vai para o e-crime. E-crime é o batedor de carteira da Paulista que agora está no WhatsApp.

Fazendo fraude. Sim. É o batedor de carteira digital. Só para fazer uma brincadeira. Mas o e-crime são operações cibernéticas, grupos pequenos, grupos grandes, mas que o objetivo final é dinheiro. O mais rápido possível. Então, assim, o well time desse cara é baixo. Sim.

E geralmente é ludibriando o usuário. É, tem muita fraude. Dentro do e-crime entram todos esses caras. Existem atores conhecidos aqui no Brasil, por exemplo, Plump Spider, que é um que a gente monitora, que é uma galera que está avançando no conhecimento técnico ao longo do tempo. Existem vários, mas ele basicamente, a gente percebe que as intrusões que ele faz, ele quer dinheiro.

Então, mais rápido que ele conseguir entrar e chegar no objetivo final dele de pegar dinheiro, assim se classifica o e-crime. E depois tem os reactivistas. Os reactivistas, em sua essência, querem trazer à luz alguma ideologia.

E aí eles usam o meio cibernético para fazer isso. Dentro dos hacktivistas estão ativistas, nacionalistas, até terroristas, que usam o meio cibernético como uma forma de fazer campanha para a sua ideia. Se ele não gosta de uma empresa, muitas vezes a gente já viu isso também acontecer.

Ele invade aquela empresa, vaza o dado da empresa para descredibilizar aquela empresa, para causar um dano maior, mas geralmente está relacionado com ideologia. Tenho certeza que quem está escutando a gente aqui já deve ter feito, por que eles fizeram esse ataque e aí vazou o dado, um negócio que ele poderia ter vendido para o concorrente, ou talvez monetizado, simplesmente fez isso. Ele faz isso para minar a empresa de alguma forma. Confiança, trazer dano de imagem, etc.

Então, toda vez que a gente vê um incidente, para você ter uma ideia, são mais de 280 atores classificados dentro desses três grupos. E aí tem 150 que estão em processo de nomeação. Tem um comportamento típico, digamos assim, mas você ainda não sabe como batizar esse cara exatamente. Ele está ativo.

mas eu ainda não tenho inteligência suficiente para categorizar ele, quem ele é, o que ele faz, qual é a motivação dele. Eu preciso entender a motivação dele para eu poder categorizar ele. Então, depende, desde o ponto de vista de inteligência, ele está dormente desde o ponto de vista de classificação, mas ele está totalmente ativo desde o ponto de vista de intrusão. Então, a gente monitora ao longo do tempo, quando a gente tiver inteligência suficiente, a gente vai categorizar ele.

no lugar correto. O fato de categorizar ele não é simplesmente colocar uma etiqueta nele e falar esse é crime, esse é... Eu preciso da inteligência.

Sim, saber qual o comportamento esperado. O que ele faz, qual é a motivação dele, como que ele faz aquele incidente que aconteceu fazer dinheiro. Quantas pessoas tem, muitas vezes a gente sabe. Isso vai te ajudar no objetivo final, que é ou minimizar o dano no caso de uma issue, ou evitar...

o comprometimento. E se você consegue ter uma previsibilidade sobre a característica do atacante, motivação, você consegue se preparar melhor para isso. O Suntsu já falava isso, conheça o seu inimigo. Por quê? Você consegue se preparar muito melhor. A gente consegue, por exemplo, como que isso se traduz em cibersegurança, a gente consegue fazer modelamento de ameaça baseado em ator.

Então, eu olho numa perspectiva global quais são os incidentes que estão acontecendo nesse momento, naquela região, naquele setor específico, e consigo modelar e falar para a empresa, olha, ao invés de você aplicar 150 milhões de patches que você precisa aplicar no teu ambiente, aplica esses daqui, porque esses daqui são mais relevantes. A gente está vendo intrusões que estão explorando essas vulnerabilidades.

A gente vê os atores da tua região explorando isso daqui, então pode ser que alguém se depare... E isso ajuda a empresa a melhorar a maturidade dela também mais rápido. Entendi. E você prioriza aquilo que vai ter uma contenção maior de acordo com o ambiente onde ele está inserido. Exato. Modelamento de ameaça hoje é um negócio hiper importante. Não sei se você vai tocar no tema, mas Mythos está aí. O Mythos da Cloud que justamente traz esse tema também. A gente já tem a solução para esse problema?

O Mythos não é um problema em si. Para mim, ele é só a ponta do iceberg de algo muito maior. Até porque o que se fala hoje que daria para fazer com o Mythos, dá para fazer em uma escala 10% menor, 20% menor com outro modelo. E por que eu acho que ele é só a ponta do iceberg? Porque outros modelos vão chegar onde supostamente o Mythos está também agora.

Então vai vir uma enxurrada de exploração de vulnerabilidade por aí, que as empresas vão precisar melhorar a sua postura com relação à vulnerabilidade. Você precisa ter um mitos do lado da defesa também.

Exatamente. Bom, a Antropic chamou uma coalizão de cibersegurança, a CrossFact faz parte dessa coalizão, para analisar, para entender o que se pode fazer com esse modelo e como que a gente vai usar do lado da defesa esse tipo de modelo. Mas o que eu digo, ele é só a ponta do iceberg. Está se falando muito nele, porque está quente o tópico. Talvez tenha hype? Talvez tenha hype, não sei.

Mas outros modelos vão chegar. E com os modelos melhores que a gente já tem hoje, com o próprio Opus 4.7, com o Sonnet 5.6, 4.6, que é o último, você consegue chegar em lugares. Qual é o grande desafio desse universo?

vulnerabilidade sempre existiu sempre vai ter vulnerabilidade em código mesmo sendo escrito por IA talvez se melhore a qualidade do código eu acredito que vai melhorar muito a qualidade do código daqui em diante quando são de IA não é o contrário vai ter mais gente fazendo besteira com o IA, mas quem usar correto vai ter uma qualidade maior exatamente

Então vai se produzir muito código bom, mas do outro lado você tem um negócio que, cara, consegue fazer algo... Para descobrir vulnerabilidade a gente usa uma técnica chamada fuzzing. Quer dizer, uma forma de descobrir vulnerabilidade é usar fuzzing, né? E fuzzing é um negócio complexo de se fazer. Você precisa olhar a memória, você precisa entender como é que funciona a aplicação, como que a aplicação troca informação dentro da stack, da pilha...

É um raio-x de como ela está funcionando, exatamente. É um raio-x de como ela roda dentro dos registradores. É, é.

E aí se usou por muito tempo, hoje existe ainda mais em menor escala, Hipspray, que é você olhar onde a aplicação escreveu e deixou espaço de memória, porque não consegue alocar exatamente ela na sequência, aí ele deixa espaço de memória, e aí nesses espaços de memória, o Hipspray nada mais é do que você analisar toda a memória, ver onde tem espaço, escrever código nesses espaços e fazer executar isso tudo em conjunto. Entendi.

É assim que, com esse tipo de técnica, que os crackers ativam o software, etc. É isso aí. Porque aí o cara consegue editar direto o binário, mudando uma instrução que faria uma validação no lugar, ele troca por um true e já era. É isso aí. É isso aí. Usando esses espaços aí, por exemplo. Isso também pode estar classificado dentro de técnicas de fuzzing. E qual que é o desafio? Os modelos são muito bons em fazer fuzzing. E aí...

Por que se fala, está descobrindo vulnerabilidade de 20 anos atrás? O que acontece com o modelo? Na verdade, o modelo está só ampliando esse problema. A gente fala em cibersegurança há muitos anos, cuidado com certas aplicações que têm vulnerabilidades de nível médio ou baixo. Por quê? Muitas vezes a estratégia de muita empresa é falar, cara, o PET é crítico?

é high ou super crítico, faz patch. Ah, é médio ou low? Não precisa fazer. Só que acontece, encadeamento de vulnerabilidade é um problema gravíssimo, porque se você descobrir um jeito de encadear uma vulnerabilidade pequena aqui, mais uma aqui, mais outra aqui, você torna essas três, quatro pequenas vulnerabilidades numa grande. E a AI é muito boa em fazer isso, porque isso é um trabalho analítico.

Sim, ela precisa ver causa e consequência de cada uma, porque o efeito de uma baixa pode potencializar o efeito de outra também baixa. Exatamente, exatamente. E aí esse é o problema com o tema do...

De novo, o Mythos para mim é só a ponta do iceberg, porque outros modelos já conseguem fazer isso também. Sim, e o Mythos é o primeiro, mas a gente vai ter uma evolução dos modelos daqui para frente gigantesca. E a gente vai ter evolução de modelos, inclusive, que não são comerciais, que são usados por atacantes.

porque ele também está evoluindo o modelo dele, com tudo de novo que está acontecendo, e aí uma hora ele também vai chegar lá. Então a gente precisa, do lado da defesa, se preparar para defender de uma enxurrada de vulnerabilidade que vai acontecer, porque além dos modelos serem bons nesse processo analítico de descobrir a vulnerabilidade, como ele sabe e entende toda a cadeia, para ele criar um exploit funcional é muito rápido.

Então, quando uma vulnerabilidade nasce, até você ter o que chamam de POC, que é a prova de conceito de que aquela vulnerabilidade realmente pode ser explorada, algumas vulnerabilidades, até hoje existe a vulnerabilidade, mas até hoje nunca teve a POC. A POC é o cara confirmar, é proof of concept, confirmar que aquela vulnerabilidade pode ser explorada. Agora, com os modelos de A, esse tempo vai se reduzir a alguns minutos. Entendi, porque fica muito mais fácil de você reproduzir.

Você descobre a vulnerabilidade, reproduz o código para mim, ele escreve o código e fala, está aqui, é só executar isso aqui.

Então vem um negócio que a gente vai precisar se preparar. E aí, obviamente, a gente vai precisar colocar do lado direito, do lado esquerdo do bolso e A para se proteger, porque a velocidade com que isso vai ser empurrado dos atacantes vai ser muito grande. A gente não vai conseguir defender com o tempo humano. Cara, eu podia ficar mais duas horas aqui contigo, mas quanto tempo temos, produção?

Vamos ter que passar aqui para o... O cara passou 1h15 já, se eu acredito. Não parece. Pois é, podia ficar aqui mais duas horas. Eu queria te fazer duas perguntas para a gente partir para o final. Primeiro é, o que você vê...

Hoje, na evolução do mercado de cyber, e aí falando de ferramentas, essencialmente, de soluções que já vêm embarcando inteligência artificial para esse tipo de defesa que a gente precisa esperar. Porque eu não sou um especialista de cyber, mas a gente tem ali soluções que são geralmente de nicho específico. Tem um AF, tem um...

uma ferramenta de análise de log, e eu não tenho geralmente uma orquestração geral de todas essas minhas ferramentas. Geralmente está na mão do analista do SOC ali, que o cara consegue fazer uma observabilidade e aí de repente cair num padrão e evoluir isso. Então, por tudo que você me falou aqui agora, da evolução que a gente está tendo de ameaça através da IA, como você vê?

os principais vendors, se preparando com produtos que têm um nível de proteção para esse tipo de evento que a gente está esperando? Para a gente não achar que o mundo vai acabar amanhã. A gente vai entrar num tema polêmico. Saborear tem um monte. Saborear? Efetivamente, usando o IA como linha de frente, de defesa, é um tema complexo. Vou te explicar por quê.

Na CrowdStrike, a gente implementou o IA 15 anos atrás, quando a empresa nasceu. Foi justamente a disrupção que a CrowdStrike criou no mercado de endpoint, que estava acostumado a esperar que um incidente acontecesse, pega o sample da vacina, vai lá no laboratório, escreve uma... Pega o sample, perdão, do incidente, vai no laboratório, cria uma vacina e entrega para todo mundo depois daquela vacina, como aconteceu no Covid.

A Cloudstrike já nasceu com um modelo de machine learning. Não se fala mais de machine learning, você percebeu? Não, agora é só generativa. Tudo IA generativa agora. E para vários efeitos, a machine learning continuou sendo mais barata, mais efetiva do que a própria IA generativa. Pois é. Então, há 15 anos atrás, a gente vem empregando outros fabricantes. A gente foi pioneiro nesse mercado de proteção de endpoint, usando inteligente artificial.

Quando a gente começou a operação aqui no Brasil, a gente fazia apresentação para o cliente, e a gente estava falando, vocês estão malucos, vocês não têm assinatura, vocês não têm vacina, como assim?

E aí você fala, pô, por que o cara está pensando assim? Bom, a gente forçou ele a pensar assim em 30 anos, como é que você quer que... Ele é assim, era assim, né? E aí a gente foi quebrando a barreira, as pessoas foram entendendo que é realmente, é muito mais efetivo eu ter o machine learning do que a vacina, esperar a vacina, atualizar o antivírus todo dia com a vacina nova. E aí outra coisa que a gente também introduziu, utilizando mais uma vertente de inteligência artificial, foi a análise comportamental, que é para detectar aquelas ferramentas válidas que a gente estava falando antes.

sendo usadas de forma arbitrária. Você analisa o comportamento. Você analisa o comportamento e fala, opa, isso aqui é uma ferramenta válida. Ele é um PowerShell, mas esse PowerShell está sendo usado de forma arbitrária.

Então existe, fala da minha competência específica dentro da CrowdStrike, a gente utiliza isso já há 15 anos. Efetivamente, a gente construiu uma empresa usando inteligência artificial como um motor central. Hoje se expandiu, tem muito mais outras técnicas, muitas tecnologias, etc. Existe esse shift ou essa mudança aonde...

a gente nesse momento vai poder ter uma solução que é 100% autônoma utilizando inteligência artificial, a resposta você mesmo pode dar. Você faz um prompt, eu pede para o Claudio escrever alguma coisa, e aí ele te fala uma coisa errada, e você volta para ele e fala, você falou para eu clicar no botão direito, mas era o botão esquerdo. Ah, você está completamente certo. Sim, exato, sempre. Como que eu aceito isso em cibersegurança?

É um problema. Então, a gente está nesse dilema de autonomia. Eu tenho inteligência artificial embarcada em um monte de coisa e centenas ou milhares de outros fabricantes também têm inteligência artificial embarcada em um monte de lugar. O quanto essa IA está autônoma...

Ainda é um desafio a ser construído. A gente precisa construir uma história, uma narrativa melhor para poder dar cada vez mais privilégios para a IA. De novo, em tudo que é analítico, a IA é...

Maravilhosa. Maravilha. Então, assim, para o analista do SOC botar a IA dentro de um CIEM para ele e falar para ele, teve esse incidente aqui, gera uma visão do timeline, tudo que aconteceu, quem conectou com quem não conectou, tudo isso é perfeito, beleza. Agora, para a defesa em si...

a adoção vai ser um pouco mais lenta do que essa adoção cavalar que a gente vê em desenvolvimento e outras coisas, porque é um risco muito grande isso da autonomia para ela. E faz sentido, até porque o atacante também não vai estar 100% autônomo ainda. Então ele ainda é um auxiliar, está potencializado.

Mas acho que a defesa também tem que estar ali, se potencializar com a IA. Mas eu acho que até no próprio desenvolvimento de software, a gente vai demorar um pouquinho ainda para deixar isso totalmente autônomo. Inclusive, nos últimos episódios que a gente publicou, a gente fez um hands-on.

de como fazer o desenvolvimento de software com a parte de engenharia de Spec Driven. Como eu faço o roadmap da aplicação para ela agir da forma que eu gostaria. E não aquele vibe-con de, ah, faz a tela, agora desenha o login. Isso aí morreu. Então, eu acho que até para ter esse papel mais automatizado do engenheiro, do arquiteto de software, a gente ainda vai demorar um pouquinho. Eu tenho uma analogia de autonomia, quer ouvir?

Claro. Beleza. Se gostou das minhas analogias, eu vou soltando na loja do bolso aqui toda hora. Empresa Waymo. Já ouviu falar carro autônomo nos Estados Unidos, né? Não sei se eles estão em outros países. Acho que só nos Estados Unidos por enquanto, né? Acho que só. Na China não deve ser. Na China também tem muitos, mas não deve ser.

É, eu vou trazer a experiência do Emo porque eu usei recentemente, agora eu fiquei duas semanas no Vale do Silício e eu usei o Emo. E tive uma experiência super legal, já tinha usado ele uns 3, 4 anos atrás, quando ainda era incipiente ali num bairro só de São Francisco. Ao longo fui usando mais e tal e substituí ele para ser o meu dia a dia. Então vou do ponto A, ponto B e pego o Emo.

E, cara, funciona, maravilha, beleza, nunca tive nenhum problema. É um Uber que não fala de político, olha que delícia. É isso aí, que não te pergunta, não fala nada, né? Você pode escolher a música, o ar-condicionado ali e tal, e beleza. Só que aí eu tava numa cidade chamada Sunnyvale, no Vale do Silício, e precisava ir pra São Francisco, que é um trajeto ali de aproximadamente 40 minutos pela estrada.

E aí, tava eu e um colega meu, Marquinhos, e a gente pediu, vamos de UEM? Vamos de UEM. Andamos de UEM a semana inteira, vamos de UEM pra São Francisco. Pediu, entramos, o carro saiu, aí fui olhar duas horas e meia de viagem. Caramba. Por quê? O UEM tem uma restrição de ir pela estrada. Então, ele cruzou toda a Bahia por dentro. Por dentro.

Tudo bem, cara, beleza, já estava lá, falei, não vamos descer, está tudo bem, vamos, vamos, só curte. Sabe o quê? A gente vai fazer um teste de bancada aqui agora nesse negócio, ver se esse negócio é bom mesmo, né? E aí tiveram duas situações específicas ali que chamou um pouco a atenção, que estavam fora do roteiro.

Uma foi um erro no mapa, ele mandou entrar numa rua ali que na verdade não tinha o lugar. E como ele se comportou? Ele meio que deu uma perdida, ele ficou parado ali. Não era o que ele esperava? Não era o que ele estava esperando, ele meio que se perdeu, entrou dentro de um restaurante com a sorte, entrou no estacionamento do restaurante com a sorte que tinha saído do outro lado.

Putz, eu penso se fosse um... Se tem que atrar com a saída... A gente ia ter que ligar pro Helpdesk ali, que tinha um botão de Helpdesk lá, né? Mas ele saiu pro outro lado, beleza. Mas ele não se comportou normal. Ele, tipo, deu pra... Opa! Aconteceu um erro no mapa ali. E a segunda coisa foi a gente passou na Market Street em São Francisco e tinha um protesto. Hum... E aí ele se comportou também de um jeito meio ambíguo ali. Ficou parado um tempão.

porque tinha gente toda hora, as pessoas fazendo protestos com o pé na faixa, e ele não cruzava, o semáforo abria, ele tentava. Eu acho que deve ter aparecido uma luz para alguém, um só que ali, aí o cara teve que liberar manualmente. Beleza, essa experiência é para ilustrar um tema. Beleza, ainda com esses desafios aí e tal, beleza, foi legal. A experiência no geral é fantástica, fantástica, legal. Um carro autônomo, a gente que é tecnologista, eu adorei a experiência.

te pergunto você teria coragem de andar no Emo? no carro autônomo? eu teria você também é um tecnologista, muita gente que está aqui ouvindo aliás, com vontade agora que você contou é isso aí, é legal pra caramba é uma baita experiência, te recomendo super fazer vou te fazer outra pergunta agora você teria coragem de entrar num avião autônomo?

Agora? Com a tecnologia que a gente tem agora? Eu vou te falar que sim, sabe por quê? Porque hoje o avião já é semi-autônomo. Fico mais confortável com um cara lá olhando os painéis? Fico. Mas eu acho que eu confiaria. Porque a tecnologia, o avião já é autônomo, semi-autônomo, muito antes do que o próprio carro.

Só que se acontecer um clique e clique e der um problema, tem alguém ali, né? Tem alguém, isso, exato. Isso que faz a aviação ser tão segura como ela é. Exatamente. Então essa ambiguidade é a que acontece agora em cibersegurança. A gente consegue dar autonomia para muitas coisas, mas para outras coisas que são muito críticas...

É bom ter um humano. Você pensou para responder, né? Sim. Você fica na dúvida. É lógico. Muita gente não vai... E aí essa é a ambiguidade que acontece com a autonomia hoje. Entendi. Para algumas coisas você faz de olho fechado, está tudo bem, vai embora.

para outras coisas mais críticas, porque pensa que cibersegurança ela entra no meio do negócio. Então assim, qualquer decisão errada que a autonomia tomar ali, ela pode piorar. Você pode piorar o problema. Exatamente, você pode piorar mais ainda o problema. Então esse é o dilema que muitos fabricantes têm. De novo, saborear...

todo mundo tem até porque se não ficar para trás do mercado cara tem que falar que tem muitas vezes não é 100% operacional não é uma área de verdade eu cartas simulando e ali mas beleza né de alguma maneira o mercado vai ter que ter o selinho built-in e aí exatamente exatamente e aí mais né isso vai melhorando ao longo do tempo também porque as empresas de cibersegurança no final que são empresas de fábricas de software no final do dia exatamente

Então os desenvolvedores também estão se armando mais com IA, vai sair código melhor, vai ser bom também para a cibersegurança melhorar. A única diferença é que a gente troca a turbina do avião com o avião voando. Exatamente.

A gente não tem isso para falar assim, esse processo que eu fazia assim desse jeito agora, vamos parar ele, desliga ele inteiro, agora troca por esse outro negócio aqui. Agora que você falou isso, me fez pensar aqui, cara, como é um mercado específico. Você não tem nenhuma possibilidade de lançar um beta. Não.

Como é que você vai falar para o cara, instala aqui esse antivírus beta que eu estou testando? Não dá, né, cara? É, não é. É outro mundo. E aí volta para o tema que a gente começou a conversar, né? 29 minutos de tempo médio de movimentação lateral, 27 segundos o tempo mais rápido.

Não tem tempo de... Não tem margem para ele. Ou seja, a gente tem tempo, pouquíssimo tempo para fazer tudo. Sim. Então, para a gente conseguir prover segurança...

na velocidade que ela precisa ser empurrada, a gente precisa também se armar com inteligência artificial, só que a gente precisa ter os processos, os processos precisam ser muito rígidos para isso acontecer. Que aula, foi muito legal. E, cara, eu vou ter que te fazer uma pergunta, porque senão os nossos ouvintes vão me xingar aqui no comentário, falar, porra, tu não fez essa pergunta para o cara, vou pedir para você comentar.

o incidente que a gente teve em 2024 com a CrowdStrike. Foi um incidente global, né? Muitas pessoas que estão ouvindo a gente devem se lembrar, a gente comentou até na retrospectiva de 2024 do PPT no Compila. E agora a gente está aqui com você, tendo oportunidade de ouvir da própria CrowdStrike um pouquinho sobre o que aconteceu naquela ocasião.

Bom, foi como vocês podem imaginar, inclusive a gente estava conversando disso agora, a gente tem processos extremamente rígidos em cibersegurança, porque a gente está embarcado nas operações de centenas de milhares de empresas no mundo inteiro.

Foi uma atualização defeituosa, a culpa foi 100% da CrowdStrike. Existe um processo de validação quando a gente empurra algumas atualizações em específico. Não foi um processo gerado por inteligência artificial também. Não foi um incidente que aconteceu na CrowdStrike por um incidente cibernético nem nada do gênero. Foi uma atualização defeituosa.

Eu gosto de exemplificar como, imagina algumas engrenagens, dez engrenagens, que elas precisavam estar numa condição específica para aquele negócio acontecer, e adivinha, aconteceu.

Já diria Murphy. Porque o validador específico, para aquele código que foi liberado em específico, daquele jeito, somente daquele jeito, existia um bug no validador que autorizava o push daquele código para frente. E aí isso, com aquela versão específica do sistema operacional, com mais aquela versão específica do sensor,

causou um erro inesperado e aí o sistema operacional não conseguiu, entrou em pânico, ele não conseguiu... Dava kernel panic, né? Dava kernel panic, ele não conseguiu restaurar. Então, bom, você imagina, criou-se após o incidente.

E aí a gente trabalhou em torno do relógio para conseguir... Foram aproximadamente 70 minutos que a gente demorou entre descobrir e resolver a falha. E aí a gente trabalhou em torno do... Contra o tempo para fazer com que todos os clientes sabiam o que fazer para se recuperar, para propagar a solução. Uma parte massiva...

do fix a gente conseguiu fazer via nuvem, mesmo com a máquina desligada, porque ela tinha uma comunicação de beacon com a nuvem. Então a gente conseguiu solucionar centenas de milhares de máquinas via próprio, a gente chamava de Cloud Push, via Cloud Push.

algumas outras não precisou de interação manual, depende do sistema que a empresa tinha configurado aquele computador, mas isso mostrou primeiro o impacto que cibersegurança causa na sociedade.

mostrou a relevância, muitas pessoas conheceram a CrowdStrike pelas razões do incidente. Sim. E mostrou também o tamanho da presença da CrowdStrike no mundo inteiro. E a gente, enfim, vem desde o fato, 19 de julho de 2024, a gente vem trabalhando, tem uma equipe dedicada que se reporta ao CEO da empresa.

somente em melhoria de processo e entendimento do que pode ser feito, como que a gente melhora todos os processos. Então, exatamente aquilo que aconteceu naquele momento, e aí sempre é uma decisão de Sofia, eu preciso empurrar uma atualização como aquela que a gente empurrou a todo momento. A gente faz alguns dias, 5, 6 atualizações daquela, do mesmo modelo por dia.

Às vezes até mais. Porque eu descubro um novo TTP, ou Tática, Técnica e Procedimento, de um atacante, eu preciso informar, atualizar o modelo da IA, que está rodando lá. Eu preciso atualizar, falar assim, agora se você observar isso daqui, eu preciso que você gere telemetria, eventualmente faça o bloqueio, etc.

Eu preciso fazer aquilo. E a gente não tem muito tempo. Não adianta eu dar a vacina depois que o cara morreu de Covid. Exatamente. Então, a gente está sempre nessa decisão. Mas exatamente como aconteceu, e aí a gente mudou algumas formas. Inclusive, a coisa só que foi no mercado, tentar buscar por quem melhor faz um processo de atualização do jeito que eu preciso fazer, a gente não encontrou. Então, a gente teve que desenvolver.

Então atualizações no formato de anel, por exemplo, é um negócio que antigamente era randomizado, mas era randomizado global. Hoje é randomizado por anel. Então ele passa aqui no Brasil, como que fecha o anel? Ele passa nos Estados Unidos, pega determinado cliente. Ele passa no México, pega determinado outro tipo de cliente, com outro tipo de máquina, com outro tipo de ambiente. Passa aqui no Brasil, pega ele e fecha um anel. E manda atualização para lá.

Depois ele passa aqui no Brasil e pega agora setor financeiro, um pedaço do setor financeiro, um pedaço do setor de varejo, um pedaço do setor... e aí dispara a atualização para aquele setor. Então esse é um exemplo de centenas de outras atualizações que a gente acabou fazendo. Em caso de dano você reduz a área de expansão. A gente reduz o corpo, exatamente.

Muito bom. E a possibilidade também do cliente falar, olha, essas atualizações aqui que são específicas, eu quero receber a versão N mais 1, N mais 2, depois que ela já foi produtiva. Então, assim, muitas coisas mudaram. Isso só fortaleceu a empresa como um todo. A gente assumiu a culpa publicamente. O CEO da CrowdStrike, às 7 horas da manhã, na hora da costa leste estava...

no Jim Cramer falando especificamente sobre o incidente. Isso foi uma coisa que eu achei muito bacana da CrowdStrike, que não se eximiu da responsabilidade em momento nenhum. Então sempre foi uma... Ah, mas será que foi isso? Não, a CrowdStrike sempre ficou claro que... E o direcionamento da empresa, eu sou um dos porta-vozes da empresa, são poucos porta-vozes, mas um de direcionamento com porta-vozes que a gente teve, primeiro.

Os porta-vozes ao redor do mundo não vão falar. Porque a gente quer que a mensagem saia somente de um lugar. Então, durante o incidente que eu só criou um portal para que todo mundo pudesse, de forma consolidada, acessar toda a informação que estava sendo, nada foi escondido. Falaram, isso aqui a gente não vai publicar. Tudo, e eu falo porque eu sou porta-voz, eu tenho acesso aos documentos pré-release. Tudo o que se foi conversado de engenharia foi publicado. 100%. Não ficou nada para trás.

o pessoal de relações públicas tomou a decisão de falar, olha, muita gente vai querer falar com todos os porta-vozes, a gente não vai falar, a gente vai falar só por um único canal, só de uma única vez, através... Uma voz única. Se estabeleceu isso. 100% de tudo que aconteceu está no documento, num portal específico sobre o incidente e está lá até hoje.

Então, foram algumas posturas que a empresa tomou que eu acho que ajudaram os clientes a entenderem.

Tudo bem, o processo não foi alguém que apertou um botão lá e... Sim, sim. Ajudou até, claro que é uma crise no momento, mas que acaba... A forma como você lida com ela acaba trazendo até mais credibilidade depois da linha do tempo. E outra coisa que também foi um direcionamento que eu como funcionário da CrossShike gostei muito foi não confabulem sobre terceiros envolvidos no problema.

O que eles quiseram dizer com isso? Não fale que se o sistema operacional A fosse o B, não teria. Muita gente falou isso. Se o C fosse o D. Sim. Que é o que acontece com a maioria. Acho que foi um dos maiores incidentes corporativos que existiu. Mas a postura da empresa foi sempre muito boa. Eu falo com visão de funcionário. Porque poderiam ter falado, não falem isso ou falem isso. E talvez desviaria o problema.

E foi tudo o contrário, para você saber que na persona do CEO foi em rede nacional explicar, falar, pedir desculpa. E é isso aí. A gente está suscetível a isso, a gente está exposto a que isso aconteça. Mas o erro nunca é um...

Claro, ele nunca é desejável, mas a forma como você lida com o problema é mais importante do que o problema em si. E a forma como vocês trataram foi bem bacana, parabéns. Muito provavelmente ajuda a indústria também. E outras indústrias, ajuda os profissionais de toda maneira que estão suscetíveis a um problema. A quantidade de empresas que tem processos, seja de cyber, seja de disponibilidade, infraestrutura, etc.

que sentiram a empatia com o problema de vocês naquele momento, que provavelmente fizeram uma lição de casa, de tipo, vamos rever algumas coisas aqui para que isso não aconteça novamente. Então acaba ajudando o mercado como um todo.

Não, com certeza. Eu senti isso diretamente na pele, né? Porque, bom, você imagina, algumas semanas eu fiquei sem dormir, né? Sem dormir, sem comer, sem meio que... A gente precisa resolver, precisamos ter certeza que a gente falou com todos os clientes, que está faltando... O que a gente precisa fazer para ajudar o cara a aplicar, né? Mas logo depois da primeira onda de contato que eu tive com os clientes, eu comecei a receber muito... Como você está?

Conseguiu dormir? Você está precisando de alguma coisa? Posso te ajudar? E isso mostra que muita gente entendeu o que aconteceu e se solidarizou com a gente. Enfim, e isso aconteceu no mundo inteiro. Muito legal. Foi uma mobilização dos times de segurança e até dos times de tecnologia que acabaram sendo afetados de alguma forma em torno de... Beleza, a gente precisa resolver e vamos virar a página. Show de bola.

Cara, que papo bacana, Profeta. Muito legal, cara. Feliz demais de te receber aqui. Muito obrigado pelo convite, eu que agradeço. Tempo, infelizmente, é curto para a quantidade de assunto que a gente teria para falar, mas... Eu queria aprender mais de OpenClaw. Vamos fazer um outro. Quando você fizer aquele teste...

Do Honeypot. Do Honeypot com o OpenClaw. Volta pra contar pra gente a experiência. Combinadíssimo. Que vai ser muito legal saber. E vê o nosso episódio da gente configurando o OpenClaw. Hoje à noite eu vou ver. Assiste, que aí você já reproduz lá. Deve ter evoluído agora que a gente pegou pras primeiras versões, mas dá pra tomar uma ideia. Isso é um problemaço, não é, cara? Você aprende um negócio, né, cara? Dá.

Amanhã tá diferente. Eu achei que eu tava super AI driven quando eu aprendi mexer com paperclip, com multi-agente e falei, cara, beleza, tô manjando muito, né, cara? E aí eu descobri que, tipo, não, cara, hoje em dia você usa skills, você não precisa ficar criando agente, tem tudo, você põe um skill dentro de um modelo de SDD aqui pra controlar ele e vai. Eu não consigo. Todo dia que eu abro o Cloud, tô num negócio diferente.

É difícil, né? É incrível, né? Vamos precisar de uma IA para ajudar a gente a acompanhar a IA. Quase 80% já do código dele é escrito para ele, né? É. Nessa casa aí, né? Por isso que as atualizações são... São muito constantes. Cara, obrigado novamente. Prazerzão ter você aqui. Você que acompanhou a gente até agora, muito obrigado pela audiência de vocês. Se você ainda não segue o canal, se você ainda não acompanhou no Spotify...

Deixa o seu like agora, segue o canal, dá cinco estrelinhas ali no Spotify. Se você deixou seu comentário aqui, a gente vai repassar para o Profeta para ele deixar uma mensagem aqui para você. E se você gosta do PPT no Compila e quer ainda mais ajudar a nossa comunidade a crescer, você pode contribuir financeiramente com o PPT no Compila. pix.com.br Você vai contribuir aqui.

com a forma que você desejar para a gente dar continuidade em gerar conteúdo de qualidade e de graça para vocês. Se você não pode contribuir assim, você já contribui demais compartilhando o episódio, mandando no grupo do Sock, no Teams da empresa, para a gente trazer cada vez mais gente para acompanhar a nossa comunidade. Profeta, obrigado novamente. Obrigado, meus amigos. Valeu!