Desenvolvimento Seguro (DES) | AcadiTI

Formação Prática

Desenvolvimento Seguro (DES)

Integre segurança ao ciclo de vida do desenvolvimento (SDLC). Domine contramedidas para vulnerabilidades clássicas como SQL Injection, XSS e CSRF, metodologias SAST, DAST, Threat Modeling e frameworks de referência.

Foco em código real

SAST & DAST na prática

DevSecOps integrado

Saiba Mais Ver grade curricular

labs@acaditi:~/secure-dev$

Ambiente AppSec Labs

Metodologia Mão na Massa

Garantia Incondicional de 7 dias

Análise de Mercado

O mercado exige desenvolvedores que pensam em segurança.

A crescente sofisticação dos ataques a aplicações web tornou o Desenvolvimento Seguro uma competência essencial. Em 2026, integrar AppSec ao pipeline de desenvolvimento — o modelo DevSecOps — deixou de ser diferencial e passou a ser requisito obrigatório nas contratações do setor de tecnologia.

Vulnerabilidades em Alta

82%

das organizações reportaram ao menos um incidente de segurança causado por falha no código de aplicações nos últimos 12 meses, segundo levantamento do setor de segurança em 2026.

Volume de Oportunidades

vagas ativas mapeadas em portais de tecnologia para AppSec Engineers, DevSecOps, Secure Code Reviewers e Pentesters de aplicações web.

Os números variam diariamente conforme novas oportunidades são abertas.

Destaque Salarial

R$ 18.500

é a mediana salarial projetada para um AppSec Engineer / DevSecOps Sênior. Profissionais que integram segurança ao SDLC e conduzem revisões de código e testes estão entre os mais valorizados do mercado.

Quanto ganha um profissional de Desenvolvimento Seguro / AppSec?

Faixas salariais nacionais projetadas para 2026.

Evolução de Carreira Típica em AppSec / Desenvolvimento Seguro

JÚNIOR (AppSec/Dev)

R$ 5.500 — R$ 8.500

PLENO (AppSec)

R$ 8.500 — R$ 13.000

SÊNIOR / DEVSECOPS

R$ 13.000 — R$ 20.000

LIDERANÇA / ARQUITETURA

R$ 20.000 — R$ 30.000

Capacidade técnica em segurança de aplicações e mentalidade de "Security by Design" determinam a aceleração de carreira na área.

"Segurança não é uma funcionalidade a ser adicionada.
É um requisito a ser projetado desde o início."

Organizações que adotam práticas de Desenvolvimento Seguro reduzem em até 6x o custo de correção de vulnerabilidades. Seja o profissional que constrói essa diferença.

Quero Me Especializar em AppSec

Perfil do Aluno

Para quem é a formação DES?

A disciplina é projetada para desenvolvedores, analistas de segurança e estudantes de tecnologia que desejam integrar práticas de segurança ao processo de criação de software e entender as vulnerabilidades mais exploradas em aplicações web.

Se você quer construir software que resiste a ataques reais e implementar pipelines DevSecOps, esta formação é para você.

Desenvolvedores que querem aplicar codificação segura e eliminar vulnerabilidades no próprio código.
Analistas de Segurança que precisam revisar código, conduzir SAST/DAST e modelar ameaças em projetos reais.
Arquitetos e Líderes Técnicos que necessitam incorporar princípios de Security by Design ao SDLC da equipe.

O que você vai dominar:

SQL Injection XSS & CSRF OWASP Top 10 SAST & DAST Threat Modeling STRIDE & DREAD SDLC Seguro DevSecOps SQUARE & OCTAVE Revisão de Código SAMM & BSIMM Requisitos de Segurança

Objetivos Práticos

O que você será capaz de fazer

Desenvolva competências para identificar, explorar e mitigar vulnerabilidades em aplicações web, integrando segurança a cada fase do ciclo de desenvolvimento de software.

Reconhecer e explorar vulnerabilidades típicas de aplicações web como SQL Injection, XSS, CSRF e Directory Traversal, avaliando seus impactos reais no negócio.

Aplicar contramedidas para mitigar falhas como injeções, sequestro de sessão, cookie poisoning e falhas de autenticação em aplicações web.

Integrar práticas de codificação segura ao ciclo de vida do software (SDLC), desde os requisitos até a manutenção em produção com monitoramento ativo.

Avaliar frameworks e padrões de segurança aplicáveis ao desenvolvimento: OWASP Top 10, WASC, SAMM e BSIMM, comparando modelos de maturidade.

Elaborar requisitos de segurança claros e verificáveis utilizando metodologias SQUARE e OCTAVE para elicitação estruturada em projetos reais.

Construir casos de uso e abuso, realizar modelagem de ameaças com STRIDE e DREAD, e desenvolver histórias de segurança e perfis de ataque.

Executar testes estáticos (SAST) com Checkmarx e Fortify e testes dinâmicos (DAST) com OWASP ZAP e HCL AppScan para identificar vulnerabilidades.

Revisar código manualmente com checklists de conformidade incluindo PCI DSS requisito 6.5, tratamento de exceções e controles de autenticação.

Saiba Mais

A Diferença

Por que a DES é completa?

Uma grade estruturada para formar profissionais capazes de integrar segurança a todo o ciclo de vida do software, da concepção ao monitoramento em produção.

Cobertura Ampla de Vulnerabilidades

Do SQL Injection ao DoS/DDoS, passando por XSS, CSRF, LFI e sequestro de sessão — você entende como cada vulnerabilidade funciona e como mitigá-la na raiz do código.

SDLC Seguro Passo a Passo

Aprenda a inserir controles de segurança em cada fase do ciclo de desenvolvimento: requisitos, arquitetura, codificação, testes e manutenção com monitoramento ativo.

Frameworks e Padrões Internacionais

Domine OWASP Top 10, WASC, SAMM, BSIMM e compare modelos de maturidade para aplicar o mais adequado ao contexto da sua organização.

Modelagem de Ameaças Estruturada

Construa DFDs, aplique STRIDE para categorizar ameaças e priorize riscos com DREAD em cenários reais, formando a base de um programa sólido de AppSec.

SAST e DAST Integrados ao Pipeline

Implemente testes de segurança estáticos e dinâmicos em pipelines DevSecOps, correlacionando resultados para cobertura ampliada de vulnerabilidades em CI/CD.

Defesa em Profundidade Aplicada

Princípio do menor privilégio, segurança por padrão, segurança em camadas com WAF, proxies e IDS/IPS, e contramedidas mapeadas às ameaças.

Falar com o Consultor

Ementa Oficial

A Grade Curricular

Conteúdo estruturado em 5 domínios fundamentais para você dominar o Desenvolvimento Seguro de aplicações, totalizando 20% de peso por domínio.

1.0 Fundamentos de Segurança em Aplicações

Este domínio introduz conceitos essenciais sobre segurança de aplicações, destacando a operação de sistemas web, a importância da infraestrutura de TI e as principais razões pelas quais softwares se tornam vulneráveis. Também abrange os impactos de ataques bem-sucedidos em termos de negócio e reputação.

1.1 Explicar fundamentos de segurança em aplicações

Confidencialidade, integridade e disponibilidade (CIA Triad).
Autenticação, autorização e gerenciamento de sessões de usuário.
Função dos recursos restritos e controles de acesso nas aplicações.

1.2 Identificar ameaças comuns em aplicações web

SQL Injection e variantes (Blind, Error-based, Time-based).
Cross-Site Scripting (XSS): Reflected, Stored e DOM-based.
Cross-Site Request Forgery (CSRF) e ataques de forjamento de requisição.
Directory Traversal e Local File Inclusion (LFI).
Cookie Poisoning e Sequestro de Sessão.
Negação de Serviço (DoS/DDoS) e amplificação de requisições.

1.3 Explicar por que aplicações se tornam vulneráveis

Falta de integração da segurança no SDLC desde as fases iniciais.
Codificação insegura e ausência de validação de entradas.
Armazenamento criptográfico inadequado de dados sensíveis.
Configurações incorretas e exposição indevida de objetos e APIs.
Gestão deficiente de erros, logs e sessões de usuário.

1.4 Avaliar impacto de ataques bem-sucedidos

Perda financeira direta e custos de remediação e recuperação.
Exposição de dados sensíveis de clientes e da organização.
Danos à reputação e perda de confiança do mercado.
Continuidade de negócios comprometida e paralisação de serviços.
Fraudes e interrupção de serviços críticos da organização.

2.0 Integração da Segurança ao Ciclo de Vida do Software

Este domínio trata da importância de inserir controles desde a fase de requisitos até a manutenção do sistema. Discute atividades funcionais vs. de segurança, vantagens da integração, frameworks de apoio e custos relativos de correções em cada fase.

2.1 Integrar segurança ao SDLC

Levantamento de requisitos de segurança desde o início do projeto.
Arquitetura segura e modelagem de ameaças na fase de design.
Desenvolvimento com padrões de codificação segura e revisão de pares.
Testes de segurança contínuos integrados ao pipeline CI/CD.
Publicação e manutenção com monitoramento ativo e resposta a incidentes.

2.2 Comparar atividades funcionais e de segurança no SDLC

Requisitos funcionais vs. requisitos não funcionais de segurança.
Inclusão de requisitos de segurança no backlog do produto ágil.
Diferença entre testes funcionais (QA) e testes de segurança (AppSec).

2.3 Analisar custo relativo de correções no SDLC

Correções na fase de design: custo mínimo e impacto controlado.
Correções em produção: custo exponencial e risco elevado de exposição.
Importância estratégica da prevenção em contraste à remediação reativa.

2.4 Aplicar frameworks de referência

OWASP Top 10: as 10 vulnerabilidades mais críticas em aplicações web.
Web Application Security Consortium (WASC): taxonomia de ameaças.
SAMM (Software Assurance Maturity Model) e modelo de maturidade.
BSIMM (Building Security in Maturity Model) e suas métricas de adoção.
Comparação prática entre BSIMM vs. OpenSAMM para adoção organizacional.

3.0 Requisitos, Casos de Uso e Modelagem de Ameaças

Este domínio aborda técnicas para levantamento de requisitos de segurança, engenharia de requisitos (SRE), modelagem de casos de uso e abuso, histórias de segurança, metodologias SQUARE/OCTAVE e frameworks STRIDE e DREAD.

3.1 Elaborar requisitos de segurança

Diferença entre requisitos funcionais e de segurança no contexto do projeto.
Técnica SMART para clareza, mensurabilidade e verificabilidade dos requisitos.
Tipos de requisitos: funcionais e drivers de conformidade regulatória.

3.2 Aplicar Engenharia de Requisitos de Segurança (SRE)

Fases: elicitação, análise, especificação e gerenciamento contínuo dos requisitos.
Erros comuns em SRE e como evitá-los em projetos ágeis e waterfall.
Abordagens derivada (a partir de riscos) e dedicada (criação direta) de requisitos.

3.3 Construir casos de uso e abuso

Identificação de cenários de abuso e agentes maliciosos no contexto da aplicação.
Vantagens e desvantagens da técnica de casos de abuso na prática de equipes.
Modelagem de mitigação entre abuso e uso seguro para cada cenário identificado.

3.4 Desenvolver histórias de abuso e segurança

Histórias narrativas de atacantes e defensores para contextos reais de sistemas.
Exemplos de histórias aplicadas em comércio eletrônico e sistemas financeiros.
Benefícios e limitações da abordagem narrativa de segurança em equipes ágeis.

3.5 Aplicar metodologias SQUARE e OCTAVE

SQUARE: elicitação estruturada de requisitos de segurança com 9 etapas definidas.
OCTAVE: análise de riscos operacionais e definição de planos de mitigação.
Comparação de vantagens, desvantagens e etapas entre SQUARE e OCTAVE.

3.6 Executar modelagem de ameaças

Identificação de objetivos de segurança e escopo da modelagem na aplicação.
Criação da visão geral da aplicação e mapeamento de todos os componentes.
Decomposição de aplicações, pontos de entrada e identificação de ativos críticos.
Aplicação de DFDs (Diagramas de Fluxo de Dados) para representar o sistema visualmente.
Uso de STRIDE (Spoofing, Tampering, Repudiation, Info Disclosure, DoS, Elevation) para categorizar ameaças.
Uso de DREAD (Damage, Reproducibility, Exploitability, Affected, Discoverability) para priorização por risco.

4.0 Princípios de Design e Arquitetura Segura

Este domínio apresenta boas práticas e princípios fundamentais de design seguro. Discute segurança em camadas, mitigação de vulnerabilidades comuns, contramedidas, checklists de conformidade e guidelines de frameworks internacionais.

4.1 Definir princípios de design seguro

Defesa em profundidade: múltiplas camadas independentes de controle.
Princípio do menor privilégio para usuários, processos e serviços.
Falhar de forma segura: garantindo estado seguro em caso de erro ou exceção.
Segurança por padrão (Secure by Default) nas configurações do sistema e framework.
Segregação de funções e responsabilidades entre camadas distintas do sistema.

4.2 Aplicar princípios para evitar vulnerabilidades

Proteção contra injeções: prepared statements, ORMs e validação de entradas rigorosa.
Controles de autenticação e gerenciamento seguro de sessões e tokens.
Gerenciamento seguro de chaves e uso correto de criptografia moderna (AES, bcrypt).
Tratamento de erros, logging seguro e ocultação de informações sensíveis nas respostas.
Validação robusta de parâmetros na entrada (whitelist) e saída (encoding) de dados.

4.3 Implementar segurança em camadas

Camada de apresentação: sanitização de saída, CSP headers e controles de interface.
Camada de aplicação: lógica de negócio segura e controles de autorização granulares.
Camada de dados: criptografia em repouso, controles de acesso ao banco e mascaramento.
Proteções adicionais: WAF, proxies reversos, firewalls de rede e sistemas IDS/IPS.

4.4 Relacionar contramedidas a ameaças específicas

Autenticação multifator e tokens CSRF contra spoofing e forjamento de identidade.
Criptografia TLS em trânsito e AES em repouso contra divulgação não autorizada.
Rate limiting, CAPTCHA e CDN contra DoS/DDoS e abuso automatizado de APIs.
Monitoramento de privilégios, alertas em tempo real e auditoria contra abuso de acesso.

5.0 Testes de Segurança em Aplicações

Este domínio encerra a disciplina com as práticas de teste estático e dinâmico. Explora ferramentas, metodologias, relatórios e integração ao ciclo de desenvolvimento em pipelines DevSecOps.

5.1 Explicar SAST (Static Application Security Testing)

Conceito e objetivos: análise do código-fonte sem executar a aplicação.
O que buscar: fluxos de dados não validados, funções perigosas e configurações inseguras.
Tipos: análise automatizada por ferramentas e revisão manual estruturada por especialistas.
Etapas e fluxogramas de atividades em um processo SAST completo integrado ao CI/CD.
Ferramentas de referência: Checkmarx, Fortify SCA e Visual Code Grepper (VCG).
Produção de relatórios SAST e aplicação de checklists de revisão de código seguro.

5.2 Explicar DAST (Dynamic Application Security Testing)

Conceito e funcionamento: testes em tempo de execução sobre a aplicação em execução.
Tipos: verificação automatizada com scanners web e testes manuais guiados pelo analista.
Ferramentas de referência: OWASP ZAP, HCL AppScan e Outpost24 para varredura dinâmica.
Comparação estruturada entre SAST e DAST: cobertura, fases no SDLC e limitações de cada um.

5.3 Integrar SAST e DAST em pipelines DevSecOps

Papel do SAST e DAST no SDLC e nos pipelines CI/CD de DevSecOps modernos.
Correlação e deduplicação de resultados complementares entre as duas abordagens.
Cobertura ampliada de vulnerabilidades pela combinação estratégica de SAST e DAST.
Automação de quality gates de segurança e bloqueio de builds inseguros no pipeline.

5.4 Executar revisão manual de código seguro

Conformidade com PCI DSS (requisito 6.5) para revisão formal de código seguro.
Validação de entradas: sanitização, encoding e rejeição de dados maliciosos pelo servidor.
Tratamento seguro de exceções e gestão de mensagens de erro ao usuário final.
Uso seguro de senhas, tokens de sessão e strings de conexão a banco de dados.
Checklist completo de autenticação, autorização, criptografia e trilhas de auditoria.

Saiba Mais sobre a Grade

Dúvidas Frequentes

Perguntas Comuns

Encontre rapidamente as respostas sobre a formação Desenvolvimento Seguro.

Preciso ser um desenvolvedor para fazer este curso?

Não necessariamente. O curso é indicado tanto para desenvolvedores que querem escrever código mais seguro quanto para analistas de segurança que precisam entender vulnerabilidades para conduzir revisões de código e testes SAST/DAST. Conhecimentos básicos de programação web são recomendados.

Para quem exatamente é essa formação?

É destinada a desenvolvedores que querem aplicar codificação segura, analistas de segurança que precisam conduzir SAST/DAST e revisões de código, arquitetos de software que desejam adotar Security by Design, além de líderes técnicos e estudantes que buscam especialização em AppSec e DevSecOps.

Como funciona a Garantia Incondicional?

Você tem 7 dias corridos a partir da data de matrícula para avaliar o curso. Se por qualquer motivo a formação não atender às suas expectativas, basta enviar um e-mail para nós e devolveremos 100% do seu investimento de forma ágil, sem burocracia.

Qual é a duração do curso?

O curso possui carga horária de 20 horas, distribuídas em módulos práticos e teóricos que cobrem os 5 domínios da ementa: fundamentos, SDLC seguro, requisitos e modelagem de ameaças, arquitetura segura e testes SAST/DAST.

Receberei um certificado ao concluir o curso?

Sim, todos os alunos que concluírem as atividades do curso receberão o certificado oficial de conclusão emitido pela AcadiTI.