Problema de Pesquisa

Como modelar e preservar propriedades técnicas de segurança em infraestruturas cloud dinâmicas, permitindo exceções controladas (escape hatches) sem perda de governança, rastreabilidade e mensuração de risco?

Hipótese Principal

A incorporação preventiva de propriedades técnicas de segurança via Compliance-as-Code, combinada com um mecanismo formal de governança de exceções temporárias, reduz:

• A variabilidade arquitetural
• O tempo de exposição a estados inseguros
• O custo operacional da conformidade
• O esforço de geração de evidências auditáveis

Modelo Conceitual do Sistema

Espaço de Estados

Definir explicitamente:

• S_nominal: Estados que satisfazem todas as propriedades de segurança
• S_exception: Estados que violam propriedades primárias, mas possuem metacondição válida
• S_invalid: Estados não rastreados ou fora do modelo

Objetivo do sistema:

• Maximizar permanência em S_nominal
• Minimizar tempo em S_exception
• Evitar entrada em S_invalid

Propriedades de Segurança

• Cada propriedade é um predicado verificável sobre recursos cloud.
• Exemplo:
  • “Recursos não devem permitir acesso irrestrito em portas sensíveis.”
  • “Armazenamento deve estar criptografado.”
  • “Identidades não devem possuir privilégios administrativos globais.”
• Essas propriedades são extraídas de normas como ISO/IEC 27002 e ISO/IEC 27017, mas formalizadas apenas no subconjunto tecnicamente operacionalizável.

Escape Hatches como Elemento Formal

Definição

• Escape hatch é uma transição excepcional que:
  • Permite violação controlada de propriedade
  • É temporalmente limitada
  • É auditável
  • É automaticamente revertida

Metacondição Formal

• Se:
  • P₁(s) = propriedade primária
  • P₂(s) = metacondição de exceção válida
• Então:
  • Estado em exceção é válido somente se: ¬P₁(s) ∧ P₂(s)
• Onde P₂(s) inclui:
  • Justificativa vinculada a ticket
  • Prazo de expiração
  • Aprovação multi-nível
  • Registro automático

Fluxo Formal de Exceção

1. Solicitação de exceção
2. Aprovação de segurança
3. Emissão de credencial/token temporário
4. Policy permite desvio durante janela definida
5. Log automático
6. Reversão automática ao expirar

Salvaguardas para evitar “bypass oficial”

• Exceções devem ser raras (taxa máxima por equipe)
• Devem possuir TTL obrigatório
• Devem gerar evento de auditoria automático
• Devem ser monitoradas por métrica de exposição acumulada

Arquitetura em Camadas

Camada 1 - Infraestrutura Segura por Design

• Provisionamento via Terraform/CDKTF (Python)
• Objetivo: Reduzir probabilidade inicial de violação.

Camada 2 - Policy-as-Code (Preservação Preventiva)

• Ferramentas possíveis:
  • OPA
  • Conftest
  • Sentinel
• Função: Impedir transições que levariam a estados fora de S_nominal, exceto quando há metacondição válida.

Camada 3 - Governança de Escape Hatches

• Componente específico para:
  • Solicitação formal
  • Emissão de exceção temporária
  • Aplicação dinâmica de política
  • Revogação automática

Camada 4 - Drift Detection Contínuo

• Detecta:
  • Alterações fora do pipeline
  • Uso indevido de privilégios
  • Estados em S_exception além do prazo
• Objetivo: Evitar permanência silenciosa fora do modelo.

Camada 5 - Evidência Automatizada

• Geração automática de:
  • Relatórios de propriedades atendidas
  • Histórico de exceções
  • Métricas de exposição
• Aqui conecta diretamente com redução de custo de auditoria.

Camada 6 - Segurança de Código e Artefatos

• Scan de dependências
• Scan de container
• Assinatura de imagem
• Essas medidas ampliam o conjunto de propriedades preservadas.

Métricas Cientificamente Defensáveis

Eficiência Operacional

• Tempo médio de geração de evidência (antes vs depois)
• Redução de esforço manual de auditoria

Segurança Estrutural

• Número de violações bloqueadas preventivamente
• Número de violações detectadas em runtime
• Taxa de configurações inseguras evitadas

Governança de Exceção

• Número de exceções solicitadas
• Frequência por equipe
• Tempo médio em S_exception
• Percentual de exceções revertidas automaticamente
• Exposição acumulada (tempo total fora de S_nominal)

Resiliência

• MTTR após exceção
• Tempo médio até detecção de drift
• Percentual de estados inválidos evitados

Como limitar, governar e mensurar desvios em infraestruturas cloud dinâmicas.

Diferencial

• O que te diferencia de um projeto DevOps comum é:
  • Modelagem explícita de estados
  • Formalização de metacondição
  • Tratamento de exceção como parte do sistema
  • Métrica de exposição temporal