Segurançaצֹפֶה
Cibersegurança com IA: o vigia que vê precisa tocar o shofar
A cadeia de detecção de ponta a ponta, onde a IA acelera a triagem, o que o atacante já faz com modelo e como medir o vigia com precisão e recall.
יְשֹׁטְטוּ רַבִּים וְתִרְבֶּה הַדָּעַת
yeshotetu rabim vetirbeh hada'at · muitos percorrerão de um lado a outro, e o conhecimento se multiplicará · Daniel 12:4
Beit Midrash: o blog de Juliano Vince de Campos
Beit midrash é a casa de estudo: o lugar onde o texto é lido em voz alta, discutido em dupla e questionado até sobrar só o que se sustenta. Este blog segue a mesma regra. Cada artigo parte de um problema que eu opero, mostra a estrutura em diagrama e termina no ponto exato em que a IA ajuda, com o controle que ela exige para chegar em produção.
O estudo aqui sempre termina em prática. A página Sobre cita Pirkei Avot 1:17, que diz que o principal é a ação. Por isso quase todo artigo aponta para um projeto que roda com um comando e prova o que o texto afirma.
Segurança 13 artigos
Segurançaחוֹמָה
DevSecOps com IA: com uma mão se constrói, com a outra se guarda
A esteira de segurança que todo repositório meu recebe, como decidir o que bloqueia o merge, onde a IA explica e corrige achado e como proteger a cadeia de suprimentos.
Segurançaצֹאנֶךָ
IAM: conhece bem o rosto do teu rebanho
O que é identidade, a diferença entre provar quem você é e decidir o que você pode, o ciclo joiner-mover-leaver, por que o acesso acumula e como sustentar IAM por código com trilha.
Segurançaדִּגְלוֹ
RBAC: cada um junto à sua bandeira
Como o acesso por papel organiza o acampamento, por que os papéis explodem, como minerá-los do uso real e quando RBAC sozinho não basta.
Segurançaשְׁעָרֶיךָ
ABAC: juízes e oficiais em todas as tuas portas
Como o acesso por atributo julga cada requisição pelo contexto, o modelo de ponto de decisão e de aplicação, política declarativa testável e por que ABAC e RBAC andam juntos.
Segurançaמִפְקָד
IGA: o recenseamento que a auditoria exige e ninguém sabe responder
A pergunta que trava toda auditoria é quem tem acesso a quê e por quê. IGA responde: catálogo, recertificação, segregação de deveres e provisionamento, com as plataformas que o mercado usa.
Segurançaמַפְתֵּחַ
PAM: quem segura a chave da casa abre e ninguém mais fecha
A conta de administrador é a chave que abre tudo. PAM tira essa chave das mãos erradas: cofre, acesso temporário, gravação e menor privilégio no privilégio, com as plataformas do mercado.
Segurançaשָׁלִיחַ
OAuth 2.0 e OIDC: o enviado tem a autoridade de quem o enviou
OAuth delega acesso sem entregar a senha; OIDC prova quem é. Entenda o token como carta de autoridade, o fluxo com PKCE e os erros que viram brecha, com as plataformas do mercado.
Segurançaבְּרִית
SAML e federação: a aliança que faz um confiar no juramento do outro
Federar identidade é uma aliança: um sistema confia na afirmação de quem o outro é. Entenda IdP e SP, a asserção assinada, o SSO que isso destrava e onde SAML ainda vence o OIDC.
Segurançaלַלֵּבָב
Zero Trust: o homem vê a aparência, mas o perímetro real é a identidade
A rede interna parou de ser segura no dia em que o dado saiu dela. Zero Trust troca a confiança por endereço pela verificação de cada requisição, com o modelo do NIST e a experiência do BeyondCorp.
Segurançaהַנּוֹלָד
Threat modeling: sábio é quem enxerga o dano antes de ele nascer
Corrigir vulnerabilidade em produção é caro; prevê-la no desenho é barato. Threat modeling é o exercício de antecipar o ataque antes do código, com STRIDE, árvores de ataque e o método de Adam Shostack.
Segurançaסְיָג
OWASP e AppSec: faça uma cerca ao redor daquilo que você construiu
A maioria dos ataques entra pela aplicação, não pela rede. AppSec constrói a cerca no código: Top 10 para conhecer o inimigo, ASVS para exigir o controle e SAMM para amadurecer o programa, com a Conviso na operação.
Segurançaצְרַפְתַּנִי
SSDLC: o código provado no fogo em cada etapa, não só no fim
Segurança testada só no fim é cara e tardia. O SSDLC prova o código em cada etapa: análise estática, dinâmica, de dependências e de IaC, com gate na pipeline e as ferramentas que o mercado usa.
Operações 10 artigos
Operaçõesנֵר תָּמִיד
Operações de tecnologia com IA: a luz contínua tem orçamento
Por que AIOps sem SLO vira mais ruído, como o burn rate decide quando acordar alguém e onde o modelo entra na correlação e no diagnóstico.
Operaçõesסֵבֶר פָּנִים
ITIL 4 com IA no atendimento: receber cada pessoa com rosto bom
Como a cadeia de valor do ITIL 4 organiza o atendimento, onde a IA classifica, sugere e aprende, e quais métricas o usuário realmente sente.
Operaçõesגּוֹלֶם
n8n e agentes de IA: o golem acorda com emet e dorme com met
Como montar agente de IA no n8n com guardrail, aprovação humana e workflow de erro, e quando um workflow determinístico resolve melhor que qualquer agente.
Operaçõesמִשְׁקָלֶת
SLI: o prumo que diz se a parede está reta, medido do lado do usuário
Não se governa o que não se mede, e quase todo mundo mede a coisa errada. O SLI é a métrica que reflete a experiência real do usuário, com os quatro sinais de ouro, RED e USE.
Operaçõesקָו
SLO: a linha que separa confiável de perfeito, e o orçamento de errar
Buscar 100% de disponibilidade é caro e inútil. O SLO define quanto de confiabilidade basta, e o error budget transforma isso em decisão: quando inovar e quando frear.
Operaçõesנֶדֶר
SLA: a promessa que você assina e não pode quebrar sem pagar
O SLA é o compromisso externo com penalidade; o SLO é a meta interna mais dura que o protege. Entenda a hierarquia, a conta dos noves e por que o SLO sempre vem antes do SLA.
Operaçõesעַמִּיקָתָא
Observabilidade: revelar o profundo e o oculto do sistema em produção
Monitoramento responde o que você já sabia perguntar; observabilidade deixa você perguntar o que ainda não sabia. Os três pilares, OpenTelemetry e por que cardinalidade é tudo.
Operaçõesחֲצֹצְרֹת
Gestão de incidentes: toque a trombeta, reúna o comando, restaure primeiro
No incidente, a prioridade é restaurar, não achar culpado. Papéis claros, severidade objetiva, comando único e postmortem blameless são o que transformam o caos em processo.
Operaçõesשֹׁרֶשׁ
Gestão de problemas: achar a raiz para o incidente não brotar de novo
Incidente apaga o fogo; problema tira a lenha. Sem gestão de problemas, o mesmo incidente volta todo mês. RCA, cinco porquês, Ishikawa e KEDB, com o método do ITIL 4.
Operaçõesגֶּשֶׁר
GMUD: a ponte estreita que se atravessa com controle, sem medo e sem freio
Toda mudança é uma travessia de risco, e a maioria dos incidentes graves nasce de uma. GMUD controla a travessia sem matar a velocidade: tipos de mudança, aprovação proporcional e a métrica que importa.
Engenharia 13 artigos
Engenhariaכֵּלִים
Ferramentas de IA para engenharia: sabedoria, entendimento e ofício
As quatro camadas de uma ferramenta de IA séria, o MCP como contrato de acesso, RAG que cita a fonte e avaliação que reprova o pull request.
Engenhariaתַּבְנִית
Desenvolvimento orientado a especificação: a planta do Mishkan antes da madeira
Por que a IA escreve código melhor a partir de especificação, como EARS torna o requisito testável e como rastrear cada linha até o critério de aceite.
Engenhariaעֲבוֹדָה
SOLID: cada um em seu próprio trabalho, para o código não apodrecer
Código sem princípio apodrece: cada mudança quebra três coisas e o medo trava a evolução. SOLID são cinco princípios que mantêm o código maleável, e o coração de todos é o mesmo: cada peça com uma responsabilidade só, uma razão só para mudar.
Engenhariaאֵין חָדָשׁ
Design Patterns: nada há de novo, o problema recorrente tem forma conhecida
O problema de projeto que você enfrenta hoje já foi resolvido mil vezes. Design patterns são as formas conhecidas dessas soluções recorrentes, catalogadas pela Gang of Four, e seu maior valor não é o código, é o vocabulário que faz o time inteiro entender uma ideia dizendo uma palavra.
Engenhariaבְּחִינָה
Testes automatizados: provai-me nisto, e mude o código sem medo
Sem teste, toda mudança é uma aposta no escuro e o medo trava a evolução. Teste automatizado é a rede que devolve a coragem de mexer. A pirâmide diz onde investir, o TDD usa o teste como pressão de design, e a lição dura é que cobertura não é confiança.
Engenhariaבֶּדֶק הַבַּיִת
Refatoração e dívida técnica: reparar a casa sem derrubá-la
Código apodrece a cada atalho, e a dívida técnica cobra juros que travam a entrega. Refatorar é reparar a casa continuamente, mudando a estrutura sem mudar o comportamento, em passos pequenos sob a rede de testes. Não é reescrever, é a manutenção que evita a reescrita.
Engenhariaפָּרֹכֶת
Clean Architecture: a cortina que separa o núcleo do que é só detalhe
Banco, framework e interface mudam o tempo todo; a regra de negócio deveria mudar só quando o negócio muda. Clean Architecture põe uma cortina entre o núcleo e o exterior: as dependências apontam só para dentro, e o detalhe fica de fora, trocável sem tocar no que importa.
Engenhariaשֵׁמוֹת
Domain-Driven Design: dar nomes certos ao domínio, para todos falarem a mesma língua
A maior distância num projeto não é técnica, é entre o que o negócio diz e o que o código faz. DDD fecha essa distância nomeando o domínio com precisão: uma linguagem única entre quem entende o negócio e quem escreve o código, e fronteiras claras entre contextos onde a mesma palavra significa coisas diferentes.
Engenhariaשָׂפָה אֶחָת
Monólito e microsserviços: uma só língua, ou o preço de espalhar
O mercado oscilou do monólito para microsserviços e de volta para o monólito modular. Espalhar em serviços dá autonomia e cobra um imposto pesado de rede, consistência e operação. A pergunta madura não é qual está na moda, é quando o preço de espalhar se paga.
Engenhariaסֵפֶר זִכָּרוֹן
Arquitetura orientada a eventos: o livro de memória que registra tudo que aconteceu
Em vez de um serviço mandar no outro, cada um anuncia o que aconteceu, e quem se interessa reage. O evento é um fato registrado, como um livro de memória, e daí nascem o desacoplamento, o CQRS e o event sourcing, com o preço da consistência eventual e da depuração difícil.
Engenhariaפֶּה אֶל פֶּה
Design de API: boca a boca, o contrato claro entre quem serve e quem consome
Uma API é uma promessa entre quem serve e quem consome, e uma promessa vaga gera integração sofrida. Bom design de API é fala clara: contrato explícito, semântica coerente e evolução que não quebra quem confiou em você. REST, GraphQL e gRPC servem a necessidades diferentes.
Engenhariaמִשְׁכָּן אֶחָד
Microfrontends: muitas cortinas unidas por colchetes, e o tabernáculo é um
O frontend monolítico vira gargalo quando muitos times disputam o mesmo código. Microfrontends dividem a interface em pedaços que times independentes constroem e entregam sozinhos, compostos numa só aplicação. O desafio é que as muitas cortinas, unidas, ainda pareçam um só tabernáculo.
Engenhariaתּוֹרָה אַחַת
Design System: uma só lei para toda a interface, dos átomos às páginas
Sem padrão, cada time reinventa o botão, e o produto vira uma babel visual. Design system é uma só lei para toda a interface: tokens e componentes reutilizáveis, montados dos átomos às páginas, numa fonte única da verdade que dá consistência, acessibilidade e velocidade de uma vez.
Governança 8 artigos
Governançaעֲצַת יִתְרוֹ
COBIT com IA no desenvolvimento: o conselho de Yitro para a TI
Por que governança e gestão precisam ficar separadas, como os domínios do COBIT 2019 se distribuem e como aplicar IA no desenvolvimento sob BAI com trilha auditável.
Governançaפְקוּדֵי
FinOps com IA: estas são as contas do Mishkan
O ciclo do FinOps, por que custo por transação importa mais que a fatura total, onde o dinheiro escorre e como a IA detecta e explica anomalia de custo.
Governançaמִגְדָּל
NIST CSF 2.0: a torre de onde se governa a segurança, agora com Govern
Segurança sem governança é heroísmo que não escala. O NIST CSF 2.0 organiza a defesa em seis funções e coloca Govern no centro, virando a ponte entre o técnico e a diretoria.
Governançaחוֹתָם
ISO 27001: o selo que só vale quando o sistema por trás dele é vivo
Certificado ISO 27001 na parede não significa segurança; significa que existe um sistema de gestão vivo por trás. Entenda o ISMS, o risco no centro, a SoA e os 93 controles do Anexo A.
Governançaסֵתֶר
LGPD: o abrigo do dado pessoal, com base legal para cada uso
Dado pessoal não é ativo livre; é algo confiado à sua guarda. A LGPD exige base legal para cada uso, direitos ao titular e privacidade no desenho. Entenda o mapa que evita a multa e o vazamento.
Governançaאוֹצָר
PCI-DSS: o tesouro do cartão guardado, e a arte de guardar menos
Dado de cartão é tesouro que atrai ataque. PCI-DSS define como guardá-lo, mas a jogada de mestre é guardar menos: tokenizar e reduzir o escopo para diminuir o que precisa ser protegido.
Governançaצִנָּה
Gestão de riscos e GRC: o escudo e o broquel de quem governa
Risco sem método é opinião com gravata. GRC transforma incerteza em decisão registrada: ISO 31000 dá o processo, as três linhas definem quem responde, o apetite define a linha, e os quatro Ts definem a jogada.
Governançaמְקוֹר
Governança de dados: a fonte de águas vivas e os poços quebrados
Dado sem governança é poço quebrado: não segura água e ninguém confia. Governança de dados mantém a fonte viva, catálogo, linhagem, qualidade e papéis claros, para que relatório e modelo de IA bebam da mesma água limpa.
Cloud e Plataforma 16 artigos
Cloud e Plataformaמַעֲקֶה
Cloud security com IA: farás um parapeito para o teu telhado
O que é seu e o que é do provedor, como montar guardrails em camadas, por que identidade é onde o ataque acontece e como a IA prioriza e corrige postura.
Cloud e Plataformaמַעֲלוֹת
Maturidade de cloud com IA: de força em força, degrau por degrau
Um modelo de cinco níveis para maturidade de cloud, como medir pelos seis pilares, onde a IA encurta a subida e o que fazer nos primeiros 90 dias.
Cloud e Plataformaעַמּוּדִים
AWS Well-Architected: a casa que a sabedoria constrói sobre pilares
Nuvem não perdoa arquitetura improvisada. O Well-Architected dá seis pilares e um método de perguntas para tornar a decisão explícita, e a maturidade está em admitir que os pilares se contradizem e escolher a compensação de olhos abertos.
Cloud e Plataformaמְסִלָּה
Platform Engineering: aplainar a estrada para o time andar sozinho
Quando cada time reinventa a infra, o gargalo é a carga cognitiva. Platform Engineering aplaina uma estrada pavimentada: um caminho de autosserviço opinativo que o desenvolvedor percorre sozinho, tratado como produto interno, não como favor do time de ops.
Cloud e Plataformaכְּתָב
Infraestrutura como código: o que está escrito se cumpre igual toda vez
Infra criada no clique não se reproduz e ninguém sabe explicar. IaC escreve a infraestrutura como código versionado e revisável, e o que está escrito se materializa igual toda vez. O perigo mora no state, e a maturidade em tratar servidor como gado, não como bicho de estimação.
Cloud e Plataformaשׁוּב
GitOps: o sistema volta sozinho ao estado que está escrito no Git
GitOps faz do Git a única fonte de verdade do que roda, e um controlador puxa a realidade de volta ao que está escrito, sem parar. Deploy vira commit, rollback vira reverter, e o drift se corrige sozinho. O repositório declara, o laço reconcilia.
Cloud e Plataformaחֹק
Policy as Code: o decreto que não se ultrapassa, escrito em código
Política em PDF ninguém lê e todo mundo contorna. Policy as Code escreve a regra em código que barra a violação antes de ela existir, no commit, no plan e na admissão do cluster. O decreto deixa de ser texto e vira gate automático.
Cloud e Plataformaחוֹבֵל
Kubernetes: o timoneiro que conduz mil contêineres pelo estado desejado
Kubernetes é grego para timoneiro, e é isso que ele faz: você declara o estado desejado e ele conduz a frota de contêineres até lá, corrigindo sozinho o que sai da rota. O poder é real, e a complexidade também, e a maturidade começa em saber quando não içar essa vela.
Cloud e Plataformaמְעַט מְעַט
Progressive delivery: pouco a pouco, para a falha nunca chegar inteira
Deploy de uma vez é falha de uma vez. Progressive delivery libera pouco a pouco: a mudança chega a poucos usuários, é medida, e só avança se os números aguentam. Feature flag separa subir código de ligar recurso, e o rollback vira automático quando a métrica quebra.
Cloud e Plataformaצַלְמָוֶת
Chaos Engineering: atravessar o vale da sombra de propósito, sem temer
Você não sabe se o sistema é resiliente até quebrá-lo de propósito. Chaos Engineering injeta a falha de forma controlada, com hipótese e raio de dano limitado, para descobrir a fraqueza num experimento tranquilo, e não numa madrugada de incidente real.
Cloud e Plataformaיְסוֹד
Landing Zone: a fundação que se lança antes de erguer a nuvem
Quem começa na nuvem com uma conta só constrói na areia e paga depois. Landing Zone é a fundação lançada antes: múltiplas contas que isolam o dano, guardrails no nível da organização e um baseline que toda conta nova herda pronto.
Cloud e Plataformaמַסְעֵי
Migração para a nuvem: as jornadas, etapa por etapa, e os seis Rs
Migrar para a nuvem sem método é trocar de casa jogando tudo na mudança. Os 6 Rs dão uma decisão consciente para cada carga, e a jornada acontece em ondas, com descoberta e mapa de dependência antes de mover o primeiro servidor.
Cloud e Plataformaמִדָּה
Métricas DORA: com a medida que se mede a entrega, ela é medida
As quatro métricas DORA medem a saúde da entrega de software: frequência de deploy e lead time do lado da velocidade, taxa de falha e tempo de recuperação do lado da estabilidade. O Accelerate provou que as duas andam juntas, e a armadilha é transformar medida em meta.
Cloud e Plataformaרֶשֶׁת
Service Mesh: a rede de bronze que liga cada serviço a todos
Quando os serviços se multiplicam, a comunicação entre eles vira o problema. Service Mesh tece uma rede que resolve por fora do código o que todo serviço precisa: mTLS, retry, timeout e observabilidade. O poder é real, e a complexidade também.
Cloud e Plataformaתֵּבָה
Disaster Recovery na nuvem: a arca construída antes do dilúvio
O desastre vem, e a arca se constrói antes dele, não durante. RTO e RPO definem quanto tempo e quanto dado você aceita perder, e daí saem quatro estratégias, de backup barato a multi-site caro. O plano de DR nunca testado não é plano, é esperança.
Cloud e Plataformaהַרְחָבָה
Autoscaling: alargar a tenda conforme a demanda, e recolhê-la depois
Capacidade fixa erra dos dois lados: desperdiça no vale e satura no pico. Autoscaling alarga a tenda quando a demanda cresce e a recolhe quando ela cai, pagando pelo que se usa. O segredo está em escalar na hora certa, nem tarde a ponto de saturar, nem cedo a ponto de desperdiçar.
Escrito e mantido por Juliano Vince de Campos. #julianovincedecampos
