#30 - Existe segurança para IaC? com Eduardo Nogueira

Bom dia, boa tarde, boa noite! Sejam bem-vindos a mais um A Culpa É de SEC. Fala, Taleco, tudo certo, cara?

Rapaz, vamos que vamos, né, Botino?

Dia meio triste hoje.

Pois é, né? Pois é, é, você tá ouvindo isso aqui bem depois, mas ontem foi o jogo do Brasil, está gravando aqui hoje. E é a vida que segue, né?

Vida que segue.

Eu tinha, eu tinha um professor que quando o pessoal tirava nota baixa na faculdade falava: se preocupa não, é que nem carnaval, tem todo ano essa aula, né? Copa do Mundo é quase igual carnaval, só de 24 aí, né? Cada 4 anos tem outro, daqui 4 anos a gente resolve.

É, vamos ver, né? Falou isso do Copa passada e assim vamos indo. Não temos pressa, né? Não dá para ter pressa hoje em dia.

Não, pelo menos o Flamengo vai ser campeão da Libertadores para nos manter animados até lá.

É, então tem a volta do futebol aí.

Bom, mas isso não é um podcast de futebol. A culpa é de CEC, é um podcast sobre segurança e formação. De aplicações, de IA, de nuvem, ou qualquer coisa que a segurança, claro, possa ser a culpada. A nossa ideia é compartilhar aprendizado, gerar discussões, reflexões e ideias, sem obviamente intenção nenhuma de esgotar o tema, né, que é mais uma introdução, bate-papo. E como todo bate-papo, eu tenho um pouquinho de abobrinha aqui e ali também, como vocês já ouviram.

É importante lembrar que Tudo que a gente quer falar daqui não necessariamente representa a posição dos nossos empregadores, inclusive a do convidado, tá? Que hoje temos convidado especial que a gente vai anunciar já já. E lembrando também que se você tá ouvindo aí, tiver de bobeira, puder pegar o celular, der aquela estrelinha, aquele like, deixar um comentário, compartilhar com amiguinho. Se não gostou, compartilhar com inimigo, não tem problema também.

Mas vamos ajudar aí o podcast, que aliás, Taleco, eu vi ali que você fez uma anotação interessante sobre o podcast que você queria comentar.

É, chegamos no episódio 30, né?

30 anos, hein?

É, quem diria, né?

Mais de um ano, 30 episódios. Acho que foi tanto tempo falando, né, e fazer o Cupa de Sec, e nasceu, e tá aí, ó, 30 episódios, firme e forte. Cada vez melhor. E a prova disso é que temos um convidado super especial, né, Taleco?

Super especial. Mas só assim, eu sei que o pessoal tá triste, eu tenho que falar, eu tenho que falar duas coisas. O Léo Dias falou que para cada derrota do Brasil ele ia soltar uma bomba da mídia brasileira. Então quando o Brasil, quando o Brasil perdesse ou empatasse, então com Marrocos ele soltou uma. Falando de escândalo, agora deve soltar outro. Eu não tive tempo para ver, tá corrido, não tem mais tempo para ver essas coisas.

Só me lembrei disso. E o Brasil e México seguem firme na Copa do Mundo de largados e pelados.

Então, que é a Copa do Mundo que importa, né?

Que agora é o que importa.

Foi a vitória de domingo, né? O Brasil e México passar. É, ai, ai, tá, né? Com só você mesmo, pelo amor de Deus. Quem foi, caiu domingo aí na Copa que importa?

Não, esse não caiu ninguém. Teve uma prova, esse não caiu ninguém. Vai ser no próximo episódio de eliminação. Os cara tiveram que fazer uma canoa, canoa fazer antigamente lá, e com remo tudo. Então tiveram que fazer isso.

Aí tu não conseguiu, ele foi eliminado.

Ainda não, ainda não.

Ok. E falando aí que a gente tá trintão aí, número de episódios, é falar também sobre nossa página no LinkedIn, no YouTube. A gente tá com quase 100 seguidores em cada um. Então se puder dar aquela ajuda, se você não tá seguindo ainda, puder dar aquela ajuda ali para chegar nos 3 dígitos, ajudaria bastante. Os links estão aí na descrição do episódios, tá? Então só abrir seu player de podcast, ou se já estiver no YouTube, vai estar lá o link para você poder seguir a gente na, tanto no LinkedIn quanto no YouTube.

É isso. Mas agora fala, Eduardo, tudo certo? Grande Eduardo!

E aí, pessoal, boa noite! Tudo ótimo?

Boa noite, tudo certo, Eduardo? Eduardo Nogueira, prazer tê-lo aqui, cara.

Cara, prazer é tudo meu, viu? Uma honra tá participando desse podcast. Eu agradeço muito aí pela oportunidade dos senhores, viu?

Que isso, senhores!

Olha só, é que ele fala formal porque ele tem um histórico de formalidade, né?

Ah, sim! Que história que é isso aí, Teneco?

A gente tava dando risada antes nos bastidores aqui, mas Bom, o Eduardo trabalha com tecnologia, né, mas tem uma história militar. Então, para que não cometa nenhum erro, né, Eduardo, fala um pouquinho aí da história do teu background. Se puder, claro, contar alguma história das antigas aí, fica à vontade.

O pessoal Então, né, vamos lá. A minha carreira, né, começou como o Thales disse anteriormente. Se eu não chamasse de senhor, eu estaria preso, né? Então, por default, você pega já esse comando aí que se faltasse um senhor numa frase, você já levava uma. Então você acaba pegando esse costume. Então quando eu vim aqui para o mundo corporativo, inclusive eu chamava algumas pessoas de senhores, dava um conflitinho porque o pessoal achava que você tava, né, ou com um jeito irônico, alguma coisa, principalmente.

É sério, eu já tive isso daí, principalmente quando eu vim, né, meu primeiro emprego. Ou se tio vinha falar comigo, eu: não, senhor, vou fazer. E o senhor: não, Eduardo, caramba, que não sei o quê. Pô, cara, me chama pelo nome, tô chamando a gente de senhor todo para lá e para cá. Fala: pô, mas o senhor tá acima de mim, você é meu chefe, você é líder da empresa, né? E depois, hoje em dia eu já perdi um pouco esse costume, né? Mas bom, é que eu vim do mundo militar, tá?

Eu com 20 anos eu passei na prova da polícia, fui policial militar quase 8 anos. Ano antes eu tava no exército e pô, vim para o mundo da tecnologia nos meus últimos 3, 4 anos de polícia. Eu já era meio nerdola de computador, pô. Sabe quando você para, falta alguns meses do colegial na escola, pode ir, Tibe, Acesse, Lan House.

Aquela época também, eu já fiquei doente, entre aspas, aqui por uma semana só jogando Tibia. Eu lembro, parei de jogar que eu fiquei p da vida que eu morri, perdi todos os meus itens, mano. Nossa, nossa, fiquei p da vida.

Quando você caça 8 horas para conseguir um level, aí vai dar o SS, né, o servidor vai dar o restart, alguém te mata e você perde tudo que você e o cara ele se safa, né? É, velho, já tive meus momentos, né? Pois é. E bom, a historinha da polícia, cara, eu não tenho assim, tem bastante, né? Mas assim, a gente tem nossas restrições. Tem uma que eu contei anteriormente, né, para o Thales aqui, sobre uma manifestação lá para 2015. Tava tendo bastante manifestação da Paulista, galera, que Centro, né?

E nós estávamos dividido em dois pelotões, né? Pelotão, eu tava no da frente, a força tática tava logo atrás, e tinha uns manifestantes vindo para cima. A gente precisava fazer eles descer ali para Consolação, né? Eu lembro que o quebra-pau começou ali, os caras cantando para nós, né? Minha mãe mandou eu estudar para eu não virar polícia militar, e fazia assim para nós, né? Aí do nada os cara foram lançar bomba de gás assim, a gente tava bem debaixo daquele cruzamento, né, que tem aquela fiação danada.

Os cara lançaram bomba de gás, bateu no fio, caiu na gente aqui, velho. Nossa, cara, foi sufoco, foi tentando chutar bomba de gás, nego chorando, tossindo. Você não sabia quem xingava, né? Xingava manifestante. Manifestante ou pelotão de trás.

Nossa mãe, que situação!

E teve uma vez, né, vou roubar um minutinho a mais, cara, que essa daqui eu nunca esqueci, tá? Na polícia tem uma função chamada estafeta, quando eles mandam você entregar intimação, né? E você tem que pegar o que tem lá de moto. Eu tava na Força Tática na época e o pessoal: pô, Eduardo, pega a moto que tem lá e vai fazer uma entrega de uma intimação lá em Diadema. E cara, quando eu fui pegar, era uma, lembro até hoje, uma XRE 300, e ela não tinha bateria.

Na verdade tinha uma bateriazinha pequenininha de uma adaptada, devia ser de bis, não lembro que moto. O cara falou assim, ó, o segredo é não parar de acelerar. E se for estacionar, estaciona na descida que ela só pega no tranco porque não tem bateria.

Nossa mãe, eu, nossa!

Aí eu, beleza, né? E na época não tinha suportezinho para celular, eu dirigindo, tinha que sacar o celular do colete, olhava. Eu entrei lá em Diadema, do nada eu virei numa comunidade, né, para não falar outro nome, uma favela. Eu virei assim, ó, no que eu virei, falei, putz, é aqui. No que eu virei era uma subidinha meio, era meio que uma subidinha, sabe? No que eu virei, eu entrei, pô, bem na entrada da comunidade, uma galera sentada na esquina.

Fiquei puto, falei, puta que pariu, não é aqui. No que eu fui virar, aquela acelerada frouxa, a moto afogou no meio da—

meu Deus!

Aí eu na hora falei assim, fodeu. A galera toda levantou na esquina assim, ó. Falei, fodeu. Falei, agora, falei, humildade, né, sapatinho? Bora lá. Falei, aí, rapaziada, bora ajudar o seu guarda. Moto pifou aí. Aí os cara olharam para mim e falou assim, bora lá, gente, dá uma mãozinha para o seu guarda. Aí os cara, não, bora lá, senhor, bora lá, bora lá. E todo mundo levantou, os cara empurrando a minha motinha. Aí pegou no tranco, os cara, vamos, senhor.

Aí a motinha pegou, aí eu fui tipo assim, graças a Deus. Aí os cara, aí eu arrei, tipo assim. Eu acho que é a única vez que numa situação dessa a polícia e os caras comemoraram junto, né?

Nossa, mãe, que foco!

É, eu comemorei que eu me saí de lá vivo, os cara comemorou que eu não enchi o saco, né, velho?

Bem provável.

Aí foi essa união. Mas, cara, tem muita história, velho. Se eu deixar, bicho, ó.

Bom, mas não é só isso que a gente veio falar aqui hoje, né, Eduardo? E antes de chegar aí no tema principal, vamos fazer aquele giro rapidinho aí nas notícias, tá, Leco?

É isso aí, vamos lá, cara. E hoje a gente tem mais um patrocinador, mais um oferecimento aí.

Lá vem bomba!

E hoje a gente tá com militar, né? Então a bomba vai ser largada. Hoje a gente conta com o apoio de Erva Mate CloudSec, protegendo sua cuia da borda nuvem.

Aí, ó.

Meu Deus do céu, muito bom, né, cara?

Muito bom, muito bom.

Ai, tá leco, tá leco, você é muito criativo, meu, meu.

Eu tenho um ajudante. Na verdade, isso aí tem um programa na região sul do Brasil chamado Pretinho Básico, e aí tinha um cara, Maurício Amaral, ele fazia oferecimento Só que era com uma conotação pesada. E aí eu tava essa semana, semana passada, ouvindo episódio das antigas assim, e caramba, acho que vai ficar legal fazer com analogia de segurança e nome de empresa para dar uma descontraída. Então acho que talvez foi uma coisa engraçada aí. Mas é isso.

Então, o que temos? A primeira notícia aqui é que a, cara, até hoje eu não sei como é que fala essa empresa. Você me corrija aí, tá, Leco? Que eu só li até hoje. Aikido, Aikido, Aikido adquiriu a empresa chamada Root para ajudar na segurança de supply chain, né? Eu confesso que eu não conhecia a Root, a Aikido eu já conhecia. E a Aikido ela tá mais focada ali no código, nuvem, ambiente, em execução, né? Enquanto é que, como a gente já conversamos aqui, tem um ou dois episódios, né, que o supply chain, né, o pipeline é igualmente importante, é um lugar muito vulnerável.

E a ideia da aquisição é justamente eles expandirem isso aí um pouco mais para o famoso shift left, que a gente Tenho certeza vai acabar falando um pouquinho de shift left hoje, mas falando da segurança ali, da proteção do supply chain.

Boa! E eu vi que eles já, a Aikido chegou a 300 funcionários também, passou da, e no LinkedIn lá, é, estão crescendo bastante, cara.

Eu gosto que eles são bem pegam moradas ali no LinkedIn deles também. É uma pegada mais leve, acho legal.

E bom, saiu um relatório também da Docker, State of Agentic AI Report, e é um relatório aí com quem conversou, né, entrevistou mais de 800 desenvolvedores, engenheiros de plataforma para entender, né, o que tá acontecendo com o mundo de AI. O link do relatório e também de todas as notícias vão estar na descrição do episódio. Mas duas coisas aqui que tem no relatório é que a gente já falou e não é novidade para ninguém, né, adoção rápida, né.

Então 60% das empresas já possuem agentes de AI, então em produção. E segurança e complexidade são as principais barreiras. 40% dos entrevistados citam que a segurança como principal desafio na escalabilidade de um agente de AI. É muito bom relatório, vale a pena dar uma lida aí.

Não é só olhar o gráfico e ver quem tá mais para cima, para direita, não, Tadeu? Ah, tá, beleza.

Nem olhar os desenhos.

Outra notícia aqui é que eu não conhecia esse site. O Tadeu devia conhecer já, não sei, mas ele que trouxe essa notícia que é a Pathfinding.cloud, agora tem laboratórios. Aí eu, o que que é Pathfinding.cloud, né? Fui dar uma pesquisada, é um site bem legal, cara, que é tipo basicamente não importa se é engenheiro de segurança, engenheiro de DevOps ou um pentester, né, aquele cara que tá fazendo teste ali de invasão. Esse site ele oferece ferramentas para entender e detectar ataques de escalonamento de privilégios baseado em IAM, né, que é parte da identidade da AWS, permitindo que você corrija configurações incorretas antes que elas sejam exploradas.

Ou seja, é basicamente uma biblioteca bem grande aí de que ataques são comuns nesse tipo de ambiente de cloud, de AWS, na parte de IAM, estatísticas aí de como eles são usados em ataques aí que acontecem no mundo real. Mas agora eles trouxeram os laboratórios para que você possa praticar esses cenários. Achei bem da hora e parece ser 0800, né, gratuito. No máximo é que alguns laboratórios eles vão ter custo para rodar no seu ambiente, né, que você tem que fazer o deploy no seu ambiente.

Mas mesmo assim a maioria deles eles fazem os laboratórios dentro do free tier da AWS, então o custo é zero para você poder testar. Achei bem legal, bem da hora. Então tá algo aí para o pessoal, acabou aqui o podcast, dá uma olhada, acho que vale a pena.

E eu vou fazer isso, dá o joinha, clica no link, já tá ali, né?

Já tá ali. Mas isso aí, chegamos. Agora chega de notícia, agora prometo que eu não vou fazer nenhuma piada sem graça, não pensei em nenhuma.

Você não pensou nenhuma, até acredito, mas que você vai fazer algumas ainda, você vai fazer, Thaleca.

É, é, às vezes eu tô tentando bolar algumas coisas, mas acho que é mais melhor natural assim quando surge. Mas é isso.

Bom, fala aí, qual é o nosso assunto de hoje, Thaleca?

Hoje vamos falar um pouquinho de segurança e infra como código.

Olha só, acho que é por isso que a gente trouxe o Eduardo aqui, né? Só para contar a história de quando ele era policial.

Não, não é só para contar a história. E aí, Eduardo, o que que esse tal de AC, o que que é uma infra como código? É de comer, de passar no pão?

Legal, é que antes de falar, né, para o pessoal entender o assunto É, galera, eu falei muito da polícia, mas não me apresentei, tá? Então eu venho do mundo de infraestrutura, assim como o Thales, tá? Então trabalhei bastante com desenvolvimento de microserviços já durante minha carreira, depois até mesmo na polícia, tá? Brincadeiras à parte. E aí eu vim, trabalhei fortemente na área de infraestrutura, fiquei um bom tempo e vim migrando para a área de SRE, né?

Fiz até uma pós-graduação em SRE, me especializei em observabilidade. E hoje, né, eu tô trabalhando na HashCorp, na IBM, e eu tô 100% aí Deep Dive nessa questão de infraestrutura como código, né, segurança de infraestrutura em geral, né, principalmente utilizando IaC. Então por isso aí eu agradeço o convite dos senhores, tá? E quando a gente vem tratar na questão de infraestrutura como código, Thales, Eu sempre gosto de voltar alguns passos atrás, lá para 2015, 2013, que no boom, né, do boom de cloud, multicloud, que nós tínhamos infraestruturas muito simplórias, muito simples, né?

Então era muito fácil a gente gerenciar, necessidade de skill, você podia entrar numa infraestrutura, configurar e etc., fazer seus provisionamentos. Mas aí quando começou a surgir multicloud, ambientes híbridos, você precisar de escalabilidade, coisas dinâmicas, mudanças repentinas, o pessoal foi sentindo falta de uma praticidade, de velocidade, né, de confiabilidade. Então infraestrutura como código, ele começou a ganhar força, tá?

Então seria uma infraestrutura como código. Então imagina você precisar montar uma sala de servidores, por exemplo, vai precisar de acessos diferentes, cada cloud, cada lugar que você for acessar, credenciais expostas, skills diferentes você vai precisar. Então você tem que ter assim um conhecimento muito grande e essa tarefa repetitiva, né, ela pode, cara, ela pode criar um montão de problema de configuração, porque a gente não consegue fazer a mesma configuração diversas vezes de modo idêntico.

Nós temos os problemas aí de erro humano, tá? É mais lento, o sujeito a nossos erros, é impossível ter a repetição, como eu falei, de algo preciso. Então a infraestrutura como código, ela é exatamente o oposto disso, tá? Então você escreve literalmente, tá, em um arquivo de texto que você quer que exista na sua infraestrutura, e a ferramenta ela vai lá e cria, ela modifica E até mesmo ela destrói tudo de forma automática. Então é como você ter uma receita de bolo e qualquer um conseguir seguir essa mesma receita, tá?

Então se precisar fazer vários provisionamentos, mudanças, destrói, etc., você tem tudo dentro de um código. Então você tem um controle maior, você passa a ter uma rastreabilidade do que foi feito, do que você tem. E nisso daí você reduz, né, credenciais, e na mão de inúmeros tipos de desenvolvedores, pessoas cuidando de, criando cada tipo de recurso sem regras, sem políticas, tá? Então quando a gente entra em infraestrutura como código, a gente fala de ter uma infraestrutura resiliente, com alta rastreabilidade e auditoria, principalmente uma governança, né, uma palavra mais correta. E entra mais nesse aspecto, viu, Taleco?

E aí, Botino, e você comentou sobre criação de uma infraestrutura, mas é, por exemplo, quando eu tô criando, usei um comando para criar uma infraestrutura, vou provisionar um EC2 lá, ou serviço provedor de nuvem. Quando eu quero deletar, existe alguma memória nos comandos que eu tô digitando ou eu tenho que especificar aquilo que eu quero deletar? Como que o IAC sabe o que que ele tem que apagar? Ele vai apagar tudo? Ele apaga parcialmente? Como que eu evito destruir algo que talvez não poderia ser destruído?

Bom, é uma boa pergunta, tá? Então isso daí, né, essa questão aí consigo explicar bem quando a gente se trata do Terraform, tá? Diferente do Ansible. A gente tem hoje inúmeras ferramentas de IaC, tá? IaC não é uma ferramenta nova, não é uma nomenclatura nova. Essa cultura de infraescold ela vem desde 2004. Então nós temos hoje Puppet, nós temos Pulumi que tá voltando forte no mercado, nós temos o Terraform, né, que é a ferramenta na qual eu trabalho.

Tenho a Ansible também, mas quando a gente vem falar de destroy, né, de uma gestão de infraestrutura, eu trago o Terraform principalmente, que eu acho que é uma ferramenta padrão, todo mundo usa. Então quando a gente cria uma infraestrutura através do Terraform, ele vai registrar no seu arquivo de estado todos os recursos que foram criados. Ou seja, você tem, vamos dizer que seria em palavras fáceis, um recibo do que você criou.

Tá? Então quando você quiser destruir alguma coisa na qual você criou e tá sendo gerenciado pelo Terraform, você consegue ou destruir toda a sua aplicação passada, ou você consegue, né, selecionar o recurso específico e dar um destroy nele, porque esse recurso ele tá gravado no arquivo de estado, porque você tem rastreabilidade do que você tem no seu, no seu IaC. Então você consegue realmente, pô, criei uma EC2 assim assado, consigo selecionar ela e dar um destroy, né, diretamente nela. Aí ele vai acabar com esse recurso.

Muito bom. Você comentou do Ansible também, qual que seria o papel do Ansible para uma infra como código?

Então Ansible é uma ferramenta também, ela é padrão de mercado, tá. A gente geralmente sempre falou, né, utilizar o um bem casado. Até quando eu trabalhava em outras empresas, a gente sempre utilizou os dois, porque, né, o Terraform é uma ferramenta ideal, como eu falei para vocês, para provisionamento. É muito fácil documentação, tem todos os provedores. Então você consegue criar o provisionamento, você consegue gerir essa infraestrutura, você consegue deletar, né, como a gente falou, fazer mudanças.

E o Ansible, onde que o Ansible ele vai brilhar, tá? O Ansible, ele é um executor de tarefas excelente, ele não é uma ferramenta de provisionamento. Se alguém me perguntar, pô, Eduardo, mas eu já provisionei com Ansible, funciona, funciona excelente, só que ele não vai te dar rastreabilidade, não vai te dar visibilidade, um arquivo de estado, por exemplo. Você não vai saber o que que você fez no passado com Ansible, tá? Entretanto, ele cobre um gap que o Terraform não tem, que é literalmente execução de tarefas, né?

Que que seria Os casos bacanas para Ansible, por exemplo, configuração de software dentro dos servidores já existentes, né? Por exemplo, o Terraform foi lá e criou EC2 que você deu como exemplo. O Ansible vai entrar lá para rodar dentro dela, instalar o NGINX, configurar um Java, aplicar patch de segurança, né? Ajustar arquivo de configuração. Isso daí é o trabalho que o Ansible ele vai fazer com excelência, tá? Automação de tarefas operacionais recorrentes.

Né, como reiniciar serviços em dezenas de servidores ao mesmo tempo, rodar scripts de manutenção, aplicar mudança de configuração em toda a frota de produção com um único comando. Então a gente não pode tirar o mérito, né, de cada ferramenta. Uma faz isso, a outra não faz isso. Eu acredito que cada ferramenta ela tem seu grande potencial e elas trabalham muito bem juntas, tá, cada um no seu segmento. E quando a gente fala de provisionamento, tem algumas questões que o Ansible também atende, principalmente ambientes mais legados sem um suporte para IaC moderno, tá?

Que o Ansible, ele tem muitas empresas com servidores físicos, equipamentos de redes, né, em sistemas antigos que não tem API, daí não são gerenciáveis pelo Terraform ou por uma Pulumi. Aí o Ansible ele consegue se conectar via SSH, né, nesses ambientes e automatizar algumas configurações. Então todos têm o seu momento.

E eu tinha uma pergunta que eu ia fazer, se existia aí a C sem nuvem, né? Você acabou de mostrar que de fato existe sistema legado, acabou de usar de exemplo aí para como o Expo funciona muito bem para esse tipo de ambiente. A minha dúvida então fica, independente se legado, se cloud, o que for, eu comentei antes da gente começar a gravar, né, quando eu trabalhei numa uma empresa de AppSec, né? Então falava muito com o desenvolvedor.

E um dos produtos que a gente tinha era a parte de segurança de IaC, que eu vou ter perguntas sobre isso daqui a pouco também. Mas um desafio muito grande que eu tinha era que nem sempre o código da aplicação tava ali versionado junto com a infraestrutura que suporta aquela aplicação. Aí alguém que é especialista nessa área como você, como você vê isso? Você vê que o código da aplicação tem que estar versionado junto com o código da infraestrutura?

É comum que seja um repositório diferente? Tem um repositório só para infra da empresa toda? Como é que você vê isso, Duda?

Cara, é assim, uma opinião minha, tá, pessoal?

Sim, claro.

Como nós, né, como vocês também, nós trabalhando, nós vamos em diversas empresas, tá, pessoal? É muito comum que cliente vira para mim e fala assim: você tava em tal banco, você tava em tal lugar que teve um caso de sucesso, qual é o jeito certo? O que que eu devo fazer? E essa pergunta é uma resposta que eu não costumo dar, porque é o seguinte: cada empresa, ô Botino, ela tem uma cultura, cara. Cada empresa tem o seu jeito de funcionar.

E eu já percebi que não adianta você trazer uma cultura de outra empresa e oferecer para ela que não vai funcionar, sabe? Então assim, você pode dar caminhos. O que que é tendência? Como, qual é as melhores práticas que as ferramentas elas indicam, né? Então quando fala em melhores práticas, é minha opinião, código, aplicação, aplicação, infraestrutura, infraestrutura. É cada um no seu repositório, é cada um no seu quadrado. Então assim, cara, obviamente a Todo serviço precisa de uma infra, mas tem que ter times separados.

Geralmente não é o mesmo time de desenvolvimento que vai fazer o código de time de desenvolvimento da infraestrutura, tá? Inclusive, cada um tem que dar foco para o seu melhor e também não pode sobrecarregar muitas vezes uma pipeline, você misturar dois tipos, você misturar variáveis numa pipeline, você misturar credenciais numa pipeline. Então acho que sim, tem que ser separados, tá? Cada repositório, o seu versionamento individual, código, código, infraestrutura, infraestrutura, tá?

Times separados. Embora nós aplicamos sempre a quebra de silos, né, para que times possam utilizar. Mas aí o pessoal confunde um pouco, porque eu vejo a quebra de silos para o pessoal trabalhar junto numa mesma ferramenta. Mas essa ferramenta ela tem que ter sua segregação, onde cada um tem sua respectiva funcionalidade, né?

Saquei, faz sentido. E como é que é quando trabalhas com repositórios separados, né? A dificuldade para mim é tipo, se algo na infra muda e a aplicação cai, Como que você consegue? Porque quem vai ser responsável por isso, quem vai estar olhando ali, é como você falou lá no começo, é a SRE, né? Como é que a SRE que tá olhando para aplicação consegue saber que foi uma mudança na infra que impactou a aplicação?

Cara, é aí a gente entra numa questão que eu acho que a gente sai um pouco de infra as code ou botina, a gente vai entrar em processos, tá? Gestão de mudanças, acordos, reuniões, que que vai ser alterado, que horas vai ser alterado, como será alterado, por que que será alterado, tá? Eu acho que toda mudança, tanto de infra quanto aplicação, por exemplo, você subir novo serviço numa infra que não tá preparada também, uma sobrecarga aí você causa uma lentidão, uma latência no sistema.

Numa Black Friday, por exemplo, aí que era bem famosa, você perde milhões em vendas. Porque você tinha uma infra não escalável para um 5 vezes mais de requisição que o pessoal às vezes preparou. Então eu acho que assim, os times têm que trabalhar juntos, tá? E toda mudança tem que ter uma gestão de mudança, porque que vai ter, o horário que vai ter e que time vai realizar essa mudança. Tem que estar todos preparados para isso, tá?

Então, ó, vamos fazer uma mudança de infraestrutura, uma modernização, ou vamos mudar algum tipo de configuração, alguma migração para isso, né? Aplicação tá preparada, o horário tá ok, já fizemos, já simulamos em algum ambiente de dev, de QA, né? Fizemos um teste de engenharia do caos, né? Uma engenharia do caos, por exemplo, você pega um litmus caos, calmante, e você testa nessa nova versão sobrecarga de requisição, zona de disponibilidade, sabe, uma CDN para ver se as localizações não estão gerando uma latência.

Então eu acho que a gente vai entrar mais numa questão de gestão de mudanças do que realmente assim uma infraestrutura ou versionamento aí de VCS.

E já que você tá falando em gestão de mudança, você acha que o IaC colabora com o trabalho da gestão de mudança, que você tem a prova ali do entre o que estava e o que vai ser?

Obviamente, tá? A gente tem o as-is e o to-be, porque quando a gente tá trabalhando numa infra as code, você tem uma rastreabilidade do que você tem na sua infraestrutura real, tá? Porque assim, existe o problema do drift. O que que é drift, né? É o conflito de quando você vai aplicar uma infraestrutura e ela dá conflito do que que tá na sua infraestrutura real e do que tá no arquivo de estado do Terraform. Então assim, quando a gente fala de adotar literalmente a infraestrutura como código, a gente tá falando, tá pensando em segurança, confiabilidade, performance, velocidade, tá?

E uma governança aqui que a gente não tem uma visibilidade. Por exemplo, se a gente não tem infraestrutura como código, a gente não sabe o que que foi criado. Então vou te dar um exemplo. Quando eu trabalhava numa consultoria, né, nós entregávamos projetos da GCP, de infraestrutura da Google, né, da Google Cloud. E uma, e tudo que o cliente falava a gente fazia tal e entregávamos a infraestrutura pronta para ele. E uma vez um cliente confrontou nós, falou assim, bom, não foi entregue o que foi combinado.

Caramba, hein?

Aconteceu um projeto bem alto. Aí entrou o caso assim: e aí, como que vocês, time, prova que vocês entregaram o que foi combinado? Como que você vai pôr? E aí vai precisar acessar recurso por recurso, cada recurso tá em tal zona de disponibilidade, cada um tá na sua VPC, na sua subnet, a regra de firewall para cada coisa, para cada comunicação, Kubernetes. Gerou um desconforto tão grande que tornamos como padrão na empresa a partir de hoje É Terraform para tudo, porque a gente entregava o projeto e o código para o cliente.

Então aí sim, hein?

Aqui, ó, foi pedido, que foi acordado, está entregue. Se tiver alguma mudança, por favor, pede para o nosso gerente de projeto que vai vir até nós. Acabou nosso problema, entendeu?

E essa resolvendo muito mais do que eu imaginava. Interessante.

Nunca tinha pensado num cenário de ter um confronto, tipo, cara, tá, e aí, é isso mesmo? Imagina você ter que abrir, sei lá quantas horas você ia gastar no Google Cloud. Isso falando de uma, sei lá, de um projeto, sei lá, se o cara tem um monte de projeto, como Como é que o cara vê todos, né? É impossível ficar, sei lá, mês fazendo.

Exato. Põe uma outra questão simples aí que a gente vê empresa. Quem acessou a cloud, foi fazer um teste, criou um cenário lá com máquina grande, com um montão de recursos e esqueceu final de semana. Pessoal vai ver na outra quarta-feira, já gerou $300 de custo. E aí, quem foi? Vai ter que abrir logs por log? Vai ter que ter toda essa busca de auditoria para poder saber quem foi o, não o culpado, né, mas a pessoa que fez essa engenharia.

Então quando a gente traz para infraestrutura como código, a gente já vai automaticamente também trazer as melhores práticas de credenciais de acesso, na qual para você aplicar, a sua ferramenta de AC ela vai bater num cofre de senhas, ela vai fazer essa requisição, então você vai ter uma rastreabilidade de quem fez, que momento que fez e o que fez. Então, pô, se surgiu uma máquina lá criada, a gente vai saber quem criou, que hora foi, quando, entendeu?

E se você tiver ainda políticas de guardrails, essa máquina não vai ser criada ou ela vai ser autodestruída dentro do prazo. Por exemplo, eu crio um guardrails lá, por exemplo, você pode usar Open Policy Agent, que é chamado de OPA, né, o Sentinel da Terraform, enorme que você fala assim, ó, ambiente de teste, a máquina ela tem 3 dias de vida, ou qualquer tipo de recurso ela tem que ser deletada todo dia 15 do mês. Então se eu criar, eu sei que automaticamente minha ferramenta vai deletar esse recurso que ela criou, provisionou um recurso efêmero.

Ela tá baseada em política. Então a gente também entra em questão de segurança, que a gente vai começando a contornar com guardrails, tá? E vai entrar a questão de políticas, assertions, padrões de nomenclatura e um montão de credenciais e gestão de credenciais também para não ficar nada exposto na mão de pessoas aí na empresa.

E bom, tá me parecendo que é bastante coisa, né, que tem que fazer, né? Guardrail, configurar arquivo de Terraform. Como você vê que há tipo uma jornada de maturidade para você chegar a estado da arte de IAC? Como que começa, né, usando IAC? O que que você, no dia a dia, o que que você vê que é mais comum?

É que eu vejo mais comum usar IAC é para casos pequenos, tá? Então vamos supor, a gente tá numa empresa que tá fazendo uma migração para infraestrutura, como mudança de cultura, tá? Vamos entrar a partir de hoje a IAC, pum, acabou. Não, não tem como, pessoal. Não tem como. Tanto que eu costumo dar um timeline para uma empresa que quer fazer a migração aí para IAC completo, dou um timeline para o pessoal de no mínimo 6 meses. Então, como que eles começam, tá?

Eles começam a partir de hoje, novos projetos serão feitos através do Terraform e automação das tarefas pelo Ansible. Então você cria padrão de novos projetos e de pouco em pouco, no seu tempo livre, você vai fazer na migração de recursos já existentes. Tá? Aí você vai trazendo para dentro da sua ferramenta de infraestrutura como código. E de pouco em pouco essa adoção aí automaticamente ela vai, ela vai ocorrendo pelo time, tá?

Porque nada é do dia para noite. E eu falo assim, Terraform eu super recomendo, pessoal. Não é porque eu trabalho na HashiCorp, é porque utiliza HCL, né? Que é HashiCorp Configuration Language, é uma linguagem declarativa. Tá, então a curva de aprendizado é muito alta, tipo assim, é uma ferramenta muito fácil de se manejar, tá. E agora a gente, pô, mas você me recomenda outras? Pô, tem, tem Pulumi, tem. Qual a diferença do Pulumi?

Você vai ter que utilizar a linguagem baseada em programação. Pô, eu para criar infraestrutura baseada em Python, TypeScript, Golang, para mim não dá, tá. Ainda mais eu que, pô, por mais que eu tenha trabalhado com código um tempo atrás, para mim, pô, é uma curva de aprendizado um pouco complexa no meu momento atual. Então a gente sempre busca a praticidade, eu acho, até para ganhar tempo dos profissionais, tá? Mas assim, começar de pouco em pouco, cria um projeto, tá?

Cria um projeto legal, já começa, criei uma rede, dentro dessa rede vou criar uma VPC, ela já tem uma dependência dessa rede, regra de firewall, já vou lá e mudo minha Minha subnet, começo, né, criar umas regras dentro dela, aplico, funcionou, show de bola, vamos replicar. E assim você vai. Quando você vê, você tá com uma infraestrutura já 50% gerenciada pelo seu código, seu arquivo de estado já tá no bucket criptografado, sem chance aí de ser alterado.

Você consegue usar um locking lá só para você trabalhar no código e não ter conflito de duas pessoas aplicando o mesmo código em tempo real. Então Quando você vê, o time inteiro já tá trabalhando legal, bem alinhado, tá? Então é uma questão de passo a passo, tá? Minha recomendação, e funciona.

Que bom.

E alguns episódios a gente comentou muito de IDE, né? Plugins em IDE. Então, tipo, existe hoje algum plugin na IDE que dá pra gente começar, que vai ajudar a checar parametrizar, né? Tem um engenheiro de email, o cara precisa ser engenheiro de HCL também, ou tem algum plugin aí que pode ajudar aí a começar a escrever artigo, vai verificar se tá dentro da santa correta, ou se existe esse tipo de problema também, né?

Cara, é uma boa pergunta, e eu até gosto de falar isso daí porque facilita a vida das pessoas, tá? Hoje em dia, tanto para programação quanto para qualquer coisa, tem muitos plugins nativos. Até mesmo a ajuda da inteligência artificial, ela te corrige, ele identifica sozinho, ela dá sugestões de mudança. Então quando a gente vai falar, por exemplo, Terraform, nós temos um plugin oficial no VS Code. Então você vai lá, instala o plugin, você começa a escrever um recurso, se tiver mal identificado ele já te corrige.

Se você declarou já uma variável, você vai declarar um recurso, ele te dá as opções. Qual é o nome que você quer? Qual a dependência que você quer desse recurso? É desse? É desse? Sabe? Então hoje em dia ele te autocompleta. Então assim, ele habilita uma syntax highlighting, te mostra o que tiver errado, o que tiver fora de acordo. O que que tinha muito problema antigamente? O que acontecia comigo? Pô, eu criei lá, pô, declarei as variáveis, às vezes a variável não existia no meu variables.tf.

E ela tava lá e pô, toda hora dava erro na hora de aplicar. Então hoje você, se você já colocou um valor lá inexistente, ele já joga já a listrinha colorida, né, que eu chamo highlight, já mostra erro de sintaxe, tá, formatação automática do código, ele já vai formatando e te ajuda, você vai dando umas tabzinhas. Então o editor já, ele em si, ele sublinha erros, né, ele sugere argumentos disponíveis já em cada recurso para autocomplete.

Então hoje eu acho que a vida facilitou muito, viu, Thales e Botino? A vida até do desenvolvedor mesmo, tanto para nós de infra quanto para galera de código, a vida facilitou bastante, tá? E para Terraform também, se o pessoal precisar, pô, eu não uso VS Code, uso PyCharm, sou rei do Python. Já vi muito disso, só uso Linux. Beleza, a gente tem um LSP, né, que é o Language Server Protocol, que ele é adaptável para qualquer tipo de editor de código, tá?

Tipo Vim, Emacs, NeoVim, etc. E também a Ansible tem, a Pulumi também, só que a Pulumi vai utilizar de código para te ajudar com Python, com tudo. OpenTUFU ela vai utilizar o do Terraform. Mas hoje em dia tem muito plugin, tá? Muito.

Tu falou aí de AI. Como que a AI mudou o trabalho do cara que tá desenvolvendo o código de infraestrutura?

Cara, assim, é igual o álcool, para quem usa com moderação você dá bem aí.

Cara, toma cuidado que você vai falar, ó, gente, bebidas para maiores de 18 anos, é isso, tá?

Não é, não tão Não tem um dinheiro para advogado.

É, não tem.

É muito bom, cara.

AI é muito bom, mas se você não souber usar, ela vai te dar uma complicação no futuro, que você vai ter que refazer um trabalho, você vai ter que, assim, tem uns prós e contras, tá? E aí eu vou dizer de experiência de Eduardo, tá? Eduardo, vou te dizer meu caso. Eu pago uma AI aqui de consulta, tá? E, cara, Eu configurei ela com guardrails, que todas as pesquisas que eu faço elas estão limitadas, tá, nos endpoints da minha empresa.

Tem tudo assim, toda a minha documentação pura tá dentro dessa AI. Então às vezes eu chego num cliente, o cara me tem uma pergunta bem específica, eu falo: só me retorna referente a esse tema, ou como que opções de que se aplique. Cara, pô, você tá vendo na AI, você tá usando inteligência artificial, eu falo, cara, aqui é minha documentação. Eu sei navegar página por página, só que até a gente achar isso daqui, eu puxo, ele já te traz a informação e já te traz o link.

Então assim, eu acho que aí ela veio para ajudar a gente ganhar tempo, tá? Eduardo, você usa aí hoje para fazer seus projetos? Eu uso, cara, eu uso assim 100%, não sei, é 100%, por exemplo, Porque eu não preciso mais criar recurso por recurso, bloco por bloco na mão. Eu descrevo o que eu preciso, ele cria. Só que tem um porém: eu criei guardrails, eu criei regras, eu criei políticas, eu criei um montão de exceptions. Ou seja, tudo que aí ela cria está alinhado de acordo com o que eu coloquei para ela fazer, porque aí ela alucina, tá?

Então por isso que eu falei para vocês, Se você não souber usar AI, que é normal, tá? É algo novo chegando no mercado, tá todo mundo na onda. Então se você não tiver aquele controle de uso ou souber como usar nas melhores práticas, o que que eu costumo falar, tá? A ferramenta AI, ela é feita para criar um código para fazer funcionar e não para aplicar segurança. Então quando eu falo para ela, ah, cria para mim recursos em Terraform, ela vai criar e vai aplicar.

Só que ela não prestou atenção em guardrail, não prestou atenção em segurança, melhores práticas. Ela garantiu que ela ia criar um código para funcionar. Você vai criar e vai aplicar, ele vai subir.

Ou até mesmo às vezes tem guias internos, né, de como um recurso tem que ser criado, tem que ter tags obrigatórias. Ela não tá sabendo de nada disso, né?

Exatamente. É onde você vai ter que criar assertions, guardrails, tá? Você vai ter que trabalhar com todos esse ecossistema para que aí ela esteja alinhada com você. E digo uma coisa mais importante, que algumas pessoas já discordaram de mim, e tá tudo bem, tá? Porque é um jeito de eu pensar. Eu acho que você tem que saber fazer o trabalho primeiro antes de usar AI, porque uma vez que eu peço para ela criar, eu consigo revisar o código.

Eu olho, eu bater o olho eu sei que tá errado, eu bater o olho eu sei uma vulnerabilidade, eu bater um olho eu vou, mas essa daqui não tá de acordo, tem nada a ver. Até mesmo output às vezes que a gente recebe, fala não, essa configuração não bate. Então acho que aí a gente ler a documentação, a gente estudar, a gente saber o que a gente tá fazendo, aí simplesmente vai ser um atalho. Em vez de você gastar 3 horas botando a mão em código, ela vai fazer para você, você vai só dar uma revisada E aí você sobe para o seu destino final, tá?

Que é a falta disso que gerou aí grande problema que a gente tem na atualidade, que posso estar citando aí nos riscos de AI com o freio.

Agora, você falou, falou de segurança, foi você, não fui eu. Parece que o assunto já vai falar. Como que a IaC, né, a infraestrutura como código, pode ser usada como um Qual a palavra que eu tô procurando? Tipo, algo que ajude a aumentar a barra aí quando o assunto é segurança. Como que é o IaC como código de infraestrutura pode ajudar uma organização a aprimorar a segurança da organização?

Cara, é como eu disse anteriormente, saber criar guardrails, usar políticas Em primeiro lugar, tá, políticas. Você usa políticas que você vai criar guardrails, que vai estar tudo dentro dos padrões da empresa ou do time de Sec, tá? Porque assim, vou ser meio chato aqui, galera, eu sinto uma grande ausência do time de segurança quando a gente vai falar de time com DevOps, SRE, time de infra, tá? Time de segurança só vem na hora que deu BO, fala, pô, mas vocês não tá?

Mas assim, eu acho muito legal quando eu chego numa empresa, eu vejo o time time de Sec trabalhando junto com o time de código, de infraestrutura, que antes de fazer qualquer deploy eles se alinham, eles veem que eles estão trabalhando alinhados, tá? Eu acho isso daí muito válido. Tipo assim, o time de Sec opinar das sugestões ou até impor mesmo algumas regras é muito válido, porque às vezes a gente como DevOps ou como SRE, a gente não tem uma mesma visão que o Thales ou que o Botino tem.

Eu pelo menos não tenho. Eu entendo de segurança porque eu uso, mas fora desse aspecto, gente, não é minha área. Às vezes eu posso estar causando um gap aí que vai gerar uma culpa de SEC, né?

Você comentou, né, do seu arquivo, né, de guardrails, e acho que à medida que você vai se provisionando uma infraestrutura, seja no provedor de nuvem ou no Kubernetes, uma ferramenta de CSPM ela vai gritar se tá mal configurado, né, ou controle nativo do provedor de nuvem. E aí talvez pode ser tarde demais, né. E aí você citou o exemplo da, de que usar IA também já usei para escrever arquivo de Terraform. Você fala, ó, quero esse security group, quero isso, quero isso, funciona perfeito.

Eu acho que daí você comentou também, né, de o cara de segurança tá junto com o pessoal de infra, de DevOps. Acho que quanto sempre a gente fala de shift left, né, mas quanto mais se aproximar ali da esquerda e tiver quebra de silos, né, tipo os times, cara, Beleza, vamos lá, gente, a gente vai adotar IaC, mas tem algum controle que tem que usar ou o que é aceitável de se ficar exposto? Qual que é a configuração, minha baseline de segurança que tem que ter?

Eu acho que usando IA você consegue pedir para seguir um benchmark de segurança que siga a melhor prática, né? E também não ao ponto de impossibilitar o uso, né? Então, mas é uma jornada.

Exatamente. Eu até não comentei uma coisa que eu acho essencial, tá, pessoal que tá utilizando em cloud, cara, usar cofre de senhas. Usem cofre de senhas. Nós temos o Vault, cara, você acha aí versão community, atende maravilhosamente também, os casos mais simples, ou casos necessários aí para uma empresa, tira credenciais, tira service account, tira qualquer tipo de segurança de hard-coded que a gente fala, né, declarado em código.

Você subir credencial para repositório é um dos maiores erros que você pode cometer, tá? E isso daí é um dos problemas que a AI veio sofrendo, tá? E teve até um estudo em cima do GitHub Copilot que eu li ontem tempo atrás, mas que eu posso estar comentando aqui. Mas assim, pô, traz um cofre de senhas para vocês, começa a fazer toda consulta, toda aplicação, ele vai lá, ele se autentica no cofre de senhas, pega credencial e faz o acesso de on-time, né?

Ele faz o acesso na hora. Evita deixar qualquer tipo de credencial, porque todo tipo de credencial em tanto em aplicação quanto infraestrutura como código, é o nível de vulnerabilidade, pode trazer aí um prejuízo sem precedentes, tá bom, pessoal? Eu já vi problemas de empresa aí, de pessoal sem querer subir repositório público com código errado, com uma credencial de uma cloud de cliente, e gerar alertas no scan do pessoal lá da própria empresa.

Pô, vamos para sala aí de Vamos para sala de guerra, quem que foi, por que que fez. Então minha recomendação também é o cofre de senhas, tá, para todo mundo, e evita aí qualquer tipo de dado hardcoded. Grande dica de SEC.

Boa.

É, acho que isso ainda é um problema, né, você guardar uma chave PEM ali no na máquina, usar um arquivo TXT, né, cara? Credencial, deixar exposta é B.O., né?

E eu digo mais porque é o seguinte: quando eu vim para a área de gestão de credenciais, eu sempre tive a impressão que, pô, vou num grande banco, vou numa grande empresa, os caras são bons. É tipo, não dizendo, tá, pessoal, desculpa aí o jeito que eu me posicionei, o pessoal ele tem senso das melhores práticas. O que eu mais venho me deparado é, e até empresas grandes mesmo, que eles não têm gestão de credenciais, de API key, access key, qualquer coisa.

Então, cara, é muito comum senha de banco de dados diretamente no código de aplicação, sabe? O pessoal usando Kubernetes nem ao menos armazena no Kubernetes Secrets, que é nativo dele, embora, né, não seja o melhor dos mundos, mas já é uma uma barreira de segurança já bacana. Então assim, é evitar isso daí. É código no Git, tá? Segredos no Vault. Tem a forma, ele busca credencial dinâmica de curta duração no momento que precisa, usa, descarta.

Nada aí de chave estática. Então boas práticas aí é excelente e a gente vai evitar aí problema, viu, pessoal? É, parece que não, tá? Mas é um caso muito comum nas empresas, a falta de gestão de credenciais. Muito comum, viu, Thales? Rotina, muito comum mesmo.

Eu sei, eu sei que é. Já vi muito isso aí também, cara. E você pensa que é algo, você falou, né, esperado, básico, comum. Você não precisa gastar uma grana com isso. Tem projetos open source, como você falou, o próprio Vault open source. Pelo menos para aquilo que é mais crítico, que vão ter realmente assusta um pouco, assusta um pouco, assusta. Porque por mais que não esteja hardcoded, você botou ali, passou uma variável de ambiente, sei lá, como é que você vai rotacionar isso?

Isso mostra que não tá sendo rotacionado com a frequência que algo crítico como esse demanda, se não tá num cofre.

Cara, eu vou falar uma coisa aqui, que eu fui numa empresa pública, tá, de, né, grande severidade, e o problema dos caras era o quê? Todas as senhas do Brasil inteiro num arquivo .config, que ele era restartado junto toda a configuração, tudo em clear text. Senha banco de dados usuário X, senha 12345. Cara, até hoje, tipo assim, credenciais do Brasil inteiro, de todo o sistema, tinha senha. Eu falei, pô, né? Aí lógico, começamos a trabalhar nisso, já começamos, já implementamos a mudança, apagamos esse incêndio.

Mas é para ver, às vezes a gente acha que uma coisa óbvia, né, não, às vezes, mas é mais comum do que é raro, mas acontece todo dia.

Teve já vários memes na internet, né, de entrevista e de atrás do cara que tá sendo entrevistado, tipo, colado uma senha ali. É de que a gente fala da jornada, você comentou, né, da jornada, da cultura. Acho que essa jornada, essa cultura Ela é muito longa, né? Eu pelo menos falo, escuto isso já, sei lá, não sei, 8, mais de 10, não sei, uns 8 anos aí. Parece que ela nunca chega, né? Não, vamos começar. Tipo, a todo momento a gente tá sempre começando, tá todo mundo sempre começando a fazer.

E isso tem compliance, standards, cara, que exigem isso no momento zero. E todo tempo tá todo mundo começando, vamos ver. Eu tenho uma curiosidade de saber por que que isso a gente já não marca ali o checkbox de, cara, resolvemos isso, próximo.

Então não sei, é talvez falta de gestão, né? É porque A gente vê isso daí em todo tipo de projeto, tá? Não é somente de segurança não. Começou a funcionar, a pessoa para.

É porque o tamanho de empresa, né?

Isso é muito verdade, né? Não, fazer um teste aqui, ver se dá certo. Ô, deu certo, não toca, tá funcionando. E do jeito que tava, fica.

Deu certo, bora para a próxima, já resolvemos esse problema.

É, volta aquilo que você tava falando do baby code. Criou aqui a infraestrutura, criou aqui uma aplicação, criou aqui meu site, pronto. E todo o resto, né, complicado.

Exatamente como a gente é. É isso aí mesmo, cara.

Triste.

É alguma— e sobre AI, que que, né, tem alguma O que que tem causado? O que que vocês acham aí, vocês que estão no mundo de SEC? E aí vem interferir na questão de segurança?

Com certeza, cara, com certeza. Talvez eu acabe sem querer puxando sardinha para o meu lado, já que eu trabalho hoje numa empresa de segurança de identidade, mas é, cara, Vamos lá, tipo, requisição batendo num serviço, é o Rafael que tá fazendo. Até outro dia era o Rafael que tava fazendo, Rafael fazia de vez em quando. Agora tem 1 milhão de requisições vindo do Rafael. É o Rafael? São os agentes do Rafael? O que que a gente pode fazer que o Rafael não pode?

Mas a gente não pode, é muito difícil Primeiro lugar é que tem mais coisa acontecendo ao mesmo tempo, né? Então você fica mais perdido ali no meio do tiroteio, né? Não é um tiro só saindo, é o tiro tá comendo. Então você olha, o que que tu faz? Segundo, que você não sabe de onde está vindo, você não sabe se é realmente o Rafael, se é um agente do Rafael, como eu falei antes. Aí tu pega o cara ali que, como você falou, né, tá aprendendo ali ainda o que que é o IAC, Mandei aqui minha IA fazer, fazer um negócio super complexo ali, legal.

E aí? Ou seja, o cara tá fazendo não só o que ele fazia mais rápido, mas já foram coisas que ele não fazia graças à IA. E porque ele não entende o que tá fazendo, ele também não tem a capacidade de validar se aquilo tá certo ou não. Então assim, o risco tá aumentando de uma forma exponencial, cara.

O Botino Você vai falar, Thales?

É, eu ia comentar, ele tem IA em tudo que a gente for fazer, né, cara? Qualquer site aí xing-ling tem IA para você fazer alguma coisa, para automatizar, para você, sei lá, editar, criar documento. E fora modelos aí que dá para usar, né? Acho que o problema só vai aumentar, né? Daqui para frente, só para trás.

Sim, cara, é que vocês comentaram, né? Eu gostaria até de trazer para o pessoal que trabalha com infraescude ou tem essa curiosidade, né? Eu recomendo mesmo utilizar uma AI, ajuda bastante, tá? Mas teve uma pesquisa, cara, eu acho uns pesquisadores de Nova, do Centro de Cybersegurança de Nova York, Universidade de Nova York, pode pesquisar, tá, que com o uso da AI eles encontraram aí, que eu até falei anteriormente, GitHub Copilot, ele gerando código encontrou tipo aproximadamente 40% dos programas gerados aí continha um alto índice de vulnerabilidade, tá.

E o pessoal até comentou, pô, o problema não é da AI, né? O problema é do comportamento humano que é falho, de não validar e confiar de olho fechado em tudo que aí entregou, tá perfeito, né? Então tem a nossa parcelinha de culpa lá de não validar.

Cara, eu já comentei essa estatística aqui, eu não lembro certinho qual ela é agora, mas eu lembro que eu usava muito no numa apresentação que eu fazia antigamente, que era o número de pessoas que estão no desenvolvimento, né? Vamos supor que fosse 100, vai. A cada 100 devs tinha 20 ops e meio segurança, saca? Uma meia pessoa para lidar com 100 desenvolvedores. Não tô lembrando o número certo, mas era algo assim bem gritante, Saca?

E é um desafio muito grande, né, que esse cara, o pessoal de dev, foi o primeiro audiência a adotar AI. Então o throughput desses caras, né, o quanto eles estão entregando, tá 10 vezes o que era antes. Vai, tô aqui chutando o número também, mas duvido que não seja muito diferente disso. Como é que o cara, o dev, o cara de SEC vai olhar para isso tudo? Vai falar, não, mas o cara agora vai ter o o, como é que era lá, o modelo que foi proibido lá, o Mythos, né?

O cara tem Mythos agora para usar. Quem vai pagar sua conta? Que é muito fácil. A realidade é que só você ver aqui os números de quantos devs tem para conta de segurança. A empresa tá muito mais disposta a pagar pelo código ali que vai gerar, que vai dar, vai dar uma feature nova para o cliente dela, do que para o cara de segurança. Então não é porque o cara de segurança meteu AI que agora ficou mais fácil.

Tem saído várias notícias aí que empresas já gastaram o budget de AI ou consumo que não se esperava, né? A gente saiu um pouco do custo exagerado de nuvem, né, que o Eduardo comentou. Poxa, deixar o recurso ligado lá agora para o consumo de de tokens aí das ferramentas, né? Tá se gerando novos problemas, novas soluções para outros problemas.

Falando aí do token, né, que queimou, tô tentando aqui achar o número, mas o Uber foi uma dessas empresas, né, que queimou o número dos tokens que eles precisavam, que eles tinham separado a grana para pagar por um ano em Lá em março, se eu não me engano, de milhões. E agora eles botaram limite de $1.500 aí por cada dev.

É, cara, é tanto que tem um antigo CEO, não sei se vocês leram, o antigo CEO da GitHub, né, chama Donkey, não sei, Donkey, não lembro. Ele saiu em 2025 e ele veio para fundar uma empresa para resolver o problema que ele estava tendo, né?

Sim.

E pelo que eu lembro, mais ou menos, ele estava tendo, é tipo assim, o problema, ele até falou num podcast que eu tava ouvindo já faz, já faz um tempo, que ele tava sofrendo um problema de boom de agentes, que os códigos agora tipo tava massivo, tá ligado? Tava sendo gerado mais rápido que qualquer humano e até sobrecarregando aí os VCS, né? Então, na verdade, que nosso sistema manual de produção de software aí e tal, de repositórios, né, de pull request, deployment, nunca foi projetado para era de AI, né.

Ele foi fundar uma empresa para, propriamente, para resolver esse problema que ele tava tendo, né, de volume massivo de código sendo gerado.

Essa empresa, inclusive, é a Entire.io, tem lá o site. Achei bem legal o que eles estão fazendo, mas o resumo do resumo é que as sessões dos agentes são versionadas no Git, né? Achei uma ideia muito louca, que aí você tem o contexto todo ali de da onde surgiu esse código, por que que surgiu esse código, né? Não é mais só o ticket do Jira, mas sim todo o contexto da AI que levou até aquele código. Achei bem relevante. Aí, até estava batendo papo antes aí, o Eduardo, até veio um pouco disso a minha pergunta daquele bate-papo de antes, se o contexto tá sendo guardado, se o porquê daquela aquisição tá sendo guardado também, né? Porque conta muita história, né, o reasoning.

Deixa eu usar terraforma assim, por padrão, tá? Ferramenta foi arquitetada para isso. Não tô fazendo propaganda, tô falando da ferramenta em si. Então assim, ele foi arquitetado para isso mesmo, para governança de infraestrutura. Então tudo que é criado lá, tanto que hoje tem um MCP Server que ele mesmo vai criar uma IA e você declara o que você quer. Só que ele é focado somente em documentação atualizada, que também tem a questão da IA alucinar e pegar versionamentos com recursos já não existentes, né?

Então tem todos esses problemas. Então eu acho que todas as ferramentas, eu vi também a Purum, eles estão também com uma nova funcionalidade de AI que você escreve de forma declarativa e humano o que que você quer, ele vai lá e te cria o código. Então assim, eu acho que a tendência daí, a C tá sendo cada vez mais de uso facilitado humano, né, para pessoas não extremamente técnicas. E no fundo, no fundo, TI pode chegar isso daí, né, para cada vez quebrar, vamos dizer, abrir mais as portas para pessoas menos técnicas. Técnicas poder trabalhar nesse ramo.

É, acho que pode abrir a porteira para galera menos técnica, mas ao mesmo tempo aí acaba criando uma barreira, né? Você pode criar agentes para tarefas mais básicas, mas Talvez que uma pessoa não fosse, não fosse necessária, mas ajuda muito.

Eu acho que o mano jamais vai ser substituível, tá?

Meu pai, sim, com certeza.

A gente tem que ser adaptável.

É, tem uma jornada aí, acho, ainda. Acho que até, acho que talvez ajustando minha colocação, né, acho que acaba criando uma dificuldade, mas até o ser humano se adaptar, se ajeitar aí. Eu comento isso porque eu vejo que no LinkedIn uma galera buscando vaga de dev júnior, cara, que tá aí pegando a estatística de Feed, mas, e do mano Davi lá, que da live do Chorume lá, galera reclamando que não tem, porque, cara, IA tá tomando conta e vocês se sobrecarrega, sênior, pleno.

Acho que tem-se uma discussão aí muito, mas ao mesmo tempo que a gente falou aqui, né, precisa de alguém para conferir, para criar processo. Para promover a cultura. Então acho que a área ela dá possibilidades, mas talvez tá se reinventando algumas coisas aí. Acho que nem ficou melhor, não sei.

É, hoje até a tendência de SRE de DevOps já tá mudando para engenharia de plataforma, né? E a gente tá vendo essa mudança drástica, times já estão trabalhando com engenharia de plataforma, eles estão criando principalmente com IaC, né, que eu vejo bastante projetos de grandes empresas mais avançados, com nível de maturidade maior, desenvolveram sua própria IDP. Então eles criam módulos e já deixa inúmeros tipos de infraestrutura disponibilizados para uso como produto, né, para o pessoal.

Pô, eu quero uma infraestrutura para isso, vai lá e seleciona sem código, sem nada. No-code, já criou uma infraestrutura disponibilizada na IDP deles. Vem mudando bastante, cara. Eu acho que a gente conheceu como júnior, de passar aquele perrenguezinho lá de fazer tudo na mão, de pouco em pouco vai acabar.

Você comentou isso, eu lembrei ali, o Mercado Livre criou um desse, né? E até é um case, né?

Furry.

Os cara tem uma plataforma dessa que você vai lá, ah, você quer um Kubernetes, você quer uma infraestrutura, pelo próprio IDP deles, bem legal.

Tem, é assim, alguns bancos, né, aqui no Brasil, principalmente um vermelhinho, né, do BED, os amarelinhos, uns bancos já mais evoluídos, os times de plataforma já estão disponibilizando infraestrutura, tudo completo. Cara, mas assim, os lugares mais bem desenvolvidos, que eu falo assim, mais uma maturidade melhor, maior, né, melhor não, já estão disponibilizando infraestrutura como produto em IDP. Tipo assim, já tem uma IDP da empresa inteira e galera tudo consumindo como produto.

Eles montaram um time somente para desenvolver módulos. Então chega tudo, cara, é, pô, o botino precisa de uma infraestrutura com todas as regras de segurança assim, assassado, com todos os detalhes. Abre um ticket, envia, o time de módulo tem o SLA deles, disponibiliza, pum, entrega, já o módulo já aparece disponibilizado para você, versionado dentro do IDP, você vai lá e provisiona.

Maneiro mesmo, eu vi várias empresas atuando assim também. É, aí, Talé, não sei se você já viu, mas é, o desenvolvedor chega num uma lojinha no App Store, vai falar, ah, eu preciso criar aqui um microserviço, esse microserviço vai ser em Go, vai rodar em AWS, vai falar com esses serviços aqui, pum. Aí, pum, vai lá, cria já o repositório com esqueleto do básico ali, tudo que vai precisar, vai criar já o projeto no Jira, o que for, vai criar já o canal no Slack para poder, o que for, né, tudo que é o que é necessário para aquilo vai ser criado da forma correta e as regras necessárias para aquilo possa não ser só um projetinho interno, mas algo que possa ir para produção, saca? Bem maneiro.

Que da hora!

Tem uma ferramenta que eu tava falando com um cara de um— foi fora de trabalho, tá? Falou, pô, a gente adquiriu para nossa empresa, da hora. Mas funciona como assim, o cara tem todos os recursos dele e tudo, e você vai ligando, pô, quero uma aplicação, clica na aplicação, quero banco de dados tal tipo, clica nele, e já tem um código em background que já vai criando, vai fazendo toda, você vai selecionando tudo que você quer no ClickOps e dá um apply.

E mas é uma ferramenta que você contrata já pronta, eu não tenho o nome dela de cabeça. O cara falou, cara, minha empresa tá usando isso. O cara que nunca mexeu em código, ele cria uma aplicação com a infraestrutura que ele quiser em tempo real.

E nossa, tem um botãozinho do lado para fazer download como Terraform, o cara subir na nuvem depois.

Tem uns negócio avançado.

Você deve hoje é diferente de você deve na minha época.

Então vamos lá então.

Muito. Não, é só comentar que eu codava ainda quando eu não trabalhava como desenvolvedor, ainda codava de vez em quando para fazer coisas para mim mesmo, né? Eu gosto de falar que eu sou preguiçoso e isso para mim é uma vantagem, porque coisas que eu tenho que fazer repetida, repetida, repetida— eita, meu Deus do céu— repetidas vezes, saiu. Eu costumo codar para automatizar aquilo para mim, né? E mas até isso agora faço mais, né? Tipo, vou lá para IA para me ajudar a automatizar isso.

Cria um batch assim, vai.

Então, até quando eu vou criar, eu acho que eu já tenho usado muito a IA também para me ajudar. Tipo, ah não, essa parte aqui tudo bem, eu vou lá e mexo um pouco, edito, mas tô usando muito, cara.

É, para quem nunca estudou não vai aprender tão fácil, mas para a gente também, se a gente não, se a gente perder a cultura de ler linha por linha e validar o que foi escrito, a gente também desaprende, tá?

Com toda certeza, com toda certeza. Tenho certeza sobre que o meu best code for programar uma coisa do zero Pode demorar um bocado, demora um bocado.

Acho que até a pressa para ler é tipo assim, ah, vou dar uma validadinha por cima aqui, bate o olho, não, não, pô, isso aqui tá bom. Depois quando tu para para ler com calma, puta, sei lá, o texto ficou mal escrito, código não ficou gerado da maneira correta, tem problema de biblioteca com dependência. É esse mundo novo, né?

Vamos nos adaptando, pessoal, e vem coisa por aí, né?

Mas Eduardo, o que que está faltando? Que está— que caraca, acho que eu tô cansado, hein? Mas vamos lá, o que falta falar de AC aqui que tu sempre conversa aí com teus clientes? Seus amigos? Que que tá faltando aí que a gente não falou ainda hoje, seria importante compartilhar com a audiência?

Cara, é assim, melhores práticas, né? Foi que eu falei aqui, eu acho que meio que abordei tudo, né? Então vamos falar um pouco assim, melhores práticas, tá? Gestão de credencial através de um cofre, tá? E tira de variáveis, tira de tudo isso. Tendência de mercado, pessoal vem bastante focado em engenharia de plataforma, tá? É uma grande tendência que eu venho vendo e clientes de alto nível de maturidade. Automação em tudo, padronização, tá?

Guardrails e o Ansible aí para você automatizar em todos os testes de segurança, tudo que você precisa de arquivo de configuração, cara, playbookzinho de Ansible. E hoje tem o Terraform, ele já tem uma funcionalidade chamada Terraform Actions que você já cria um recurso, output parte dele já é, já é uma dependência para o seu end se conseguir aplicar os recursos nesse, aplicar as configurações desse recurso recém-criado. Então assim, com o tempo eu acho que todas as ferramentas elas irão se comunicar, não só da minha área, tá?

Então a tendência é tudo ser interligado, tudo fica muito mais prático, tá? Então evitar riscos aí específicos gerados pela AI, que seria configurações seguras, tá, pessoal? Por que que eu falo isso? Tá, subir um código vai te gerar um problema no bucket, é, não vai gerar um bug, né? Então, pô, a minha AI gerou um probleminha ali, deu um bugzinho ali, pô, bacana, a gente vai fazer um bug fix, etc. Mas quando a gente vem tratar de AI, a gente pode subir configurações da IA errada, a gente pode criar um bucket aí público com dados sensíveis de inúmeros clientes, milhares de pessoas.

Então, pô, muito foco aí na questão de segurança. AI alucina, tá bom? Cria coisas aí que não existe. Ela dá ideias aí de busca em blogs, tá? Então fala, pessoal que vai usar, às vezes ele busca em blogs aí, ponto blog, ponto blog esporte, e te traz como se fosse uma fonte da verdade. Escala erro, tá bom? Então a gente com AI, ele pode ter acesso a repositório, API, pipeline, pode replicar aí pôr um montão de erros aí de forma rápida e depois para corrigir um problemaço.

Mas é isso, pessoal, guardrails, automação, credenciais fora da mão da galera. E vamos lá, beba com moderação, AI, e bola para frente. E deixa eu É, pode falar, pode falar. Não, não, deixar aquela frase de podcast, né, igual o pessoal fala: AI acelera a escrita do código, seja infraestrutura, aplicação, né, de forma impressionante, né, de forma rápida. Mas velocidade sem governança é o maior risco de segurança que existe hoje no mundo.

Então, igual repetindo, beba AI com moderação, souber usar, bola para frente, vamos para cima.

Gostei, gostei desse resumo aí e essa frase aí no final. Mas é, e o Eduardo Nogueira, o que que tu pode compartilhar com a gente? Onde é que o pessoal pode te encontrar? Se você tem, vai palestrar algum evento, se você tem um canal no YouTube, onde é que o pessoal pode ouvir mais de você?

Cara, eu já fui mais ativo, tá, pessoal? Você até, se você quiser me encontrar, amor, que não é brincadeira.

Deve saber atirar, gente. Tome cuidado aí.

Eu vim aqui, endereço tal. É, hoje vocês podem me encontrar no LinkedIn, é Du Nogueira, tá? Trabalha no HashCorp IBM. Pô, se alguém tiver dúvida, quiser falar comigo, pode mandar mensagem lá no direct. No Instagram também é Du Nogueira, só Du Nogueira, tá?

De Eduardo.

E pô, tem meus emails aí. Eu já fui mais ativo na comunidade, já palestrei bastante, já fui em DevOps Day, já fui bastante em eventos aí de comunidade. Hoje você vai trabalhando em fabricante, nossas palestras geralmente é em cliente, né, galera? Eu acho que vocês sabem bem disso. Sim, tô bem ativo em palestra, em eventos, em clientes, tá? Fui IBM Day aí no Monterrey, lá no México, falei sobre HashCorp, sobre Terraforme, automação e AC.

Então tô sempre publicando aí os eventos que eu vou, tá? E profissionalmente, mais no LinkedIn mesmo, viu, galera? E agora no podcast aí da Cupetsec. É isso, vocês me acham.

Valeu demais, foi um prazerzão ter você por aqui, cara. Aprendi demais, obrigado.

Que isso, prazer foi todo meu de estar aqui com vocês aí compartilhando alguma coisinha que a gente tá aprendendo.

Boa.

É, o Eduardo, ele gravou ano passado, quando eu tava, eu fui no Summit, entrevistei algumas pessoas. O Eduardo tava ali num dos áudios, é do Eduardo ali, quando perguntei o que era segurança de nuvem, ele gravou lá. Agradeço aí publicamente ter topado gravar. Eu vou me ensaiar não, grava aí, já era, áudio e baixo.

Segurança compartilhada, né, os 50/50, né. Hoje, cara, eu sempre admirei o Thales, desde sempre foi uma pessoa muito, uma, um bom profissional, sempre tive elogios dele em todos os lugares que eu fui, tá. Botino eu tô conhecendo recentemente, mas me parece também tá na mesma onda, sempre Sempre um prazer ter pessoas assim perto de mim, tá? Eu agradeço aí até pela amizade fora do trabalho. Obrigadão.

Junto.

As portas estão abertas aí. Você falou de engenharia de plataforma, você conhece alguém também que manja de engenharia de plataforma para a gente falar um pouco disso, com segurança também? É isso.

Conheço uns caras fera, viu? Só sei, eu acho que eles vão cobrar, mas eu tento negociar com eles aí para vir aqui. Pague em cerveja, pague em cerveja, pague em gratidão, gratiluz. O Thales é o rei do cinza, né? Não sei se ainda é. Não, do café. Mentira, até rei do café. E agora do pinhão, que eu descobri.

Tô esperando o pinhão, tá, Leco? Leva um daqui um para mim.

Quando se encontrar aí, eu vou congelar e vou levar.

Beleza. Tem, então me fala se eu tenho que esperar até o verão, até o inverno para comer, que tá fazendo 37 graus aqui, mas todo dia. Não sei se é permitido comer pinhão 37 graus.

Oi, eu moro no Texas.

Nesse calor é difícil falar isso, mas sim, é bom, eu gosto de morar aqui.

E meu parceiro trabalha aí, tá? Nós trabalhamos em par, né? Eu sou um comercial e um SE. Meu parceiro mora em Austin, tá?

Pô, é isso, mora bem! Eu moro em Fort Worth, que aqui pertinho de Dallas. Austin é meu lugar favorito aqui no Texas.

Maravilha, acho legal. Parabéns!

Depois eu passo contato aí, vou dar um pingo para ele. Chique!

Falamos, show de bola.

E bom, galera, obrigado Eduardo de novo. E não se esqueçam aí de deixar seu comentário, seu like aí, compartilhar. Vamos ajudar a fazer a nossa meta aí. E é isso, né? Culpa de SEC, responsabilidade de todos. É de quem provisionar, de quem evoluir.

Tchau, pessoal!

Valeu, valeu, abraço!