☕ Um Café no Bellacosa Mainframe
Gostou do conteúdo? Ajude a manter o café quente, o COBOL compilando e o mainframe acordado. 😄
☕ Pague um café ao Bellacosa

Translate

Mostrar mensagens com a etiqueta DevSecOps. Mostrar todas as mensagens
Mostrar mensagens com a etiqueta DevSecOps. Mostrar todas as mensagens

quinta-feira, 2 de abril de 2026

🔥💀 VOCÊ APRENDEU SEGURANÇA… MAS JÁ TESTOU SEU SISTEMA SOB ATAQUE?

 

Bellacosa Mainframe teste seu sistema sob ataque

🔥💀 VOCÊ APRENDEU SEGURANÇA… MAS JÁ TESTOU SEU SISTEMA SOB ATAQUE?

10 atividades práticas para sair da teoria e começar a proteger sistemas de verdade


☕ INTRODUÇÃO — A VERDADE QUE DÓI

Segurança não se aprende lendo.
👉 Se aprende quebrando sistema… e depois corrigindo.

Se você não praticar:

💣 você só vai descobrir o problema… quando o atacante descobrir primeiro.


🧪 ATIVIDADE 1 — ENCONTRE UM SQL INJECTION NO SEU PRÓPRIO SISTEMA

🎯 Objetivo

Pensar como atacante


💻 Faça isso

  • Pegue um input (API, tela, CICS, batch input)
  • Teste:
' OR 1=1 --

💥 Resultado esperado

👉 Se algo estranho acontecer… você tem vulnerabilidade


🧠 Versão COBOL

  • validar WS-FIELD
  • nunca confiar em input externo

💬 Comentário

“Se você não testar… alguém vai testar por você.”


🧪 ATIVIDADE 2 — REMOVA TODOS OS HARDCODED SECRETS

🎯 Objetivo

Eliminar o erro mais comum do mundo


💻 Procure no seu código

password
token
key
secret

💥 Se encontrar:

👉 você tem risco crítico


✅ Solução

  • usar Vault / RACF
  • variáveis externas

💬 Easter egg

👉 80% dos vazamentos começam assim


🧪 ATIVIDADE 3 — RODE UM SCAN DE SEGURANÇA

🎯 Objetivo

Ver o que você não vê


💻 Ferramentas

  • Snyk
  • SonarQube

💥 Resultado

👉 lista de vulnerabilidades reais


💬 Comentário

“Scanner não cria problema… só revela.”


🧪 ATIVIDADE 4 — EXPLORE UM XSS NA PRÁTICA

🎯 Objetivo

Ver o ataque funcionando


💻 Teste

<script>alert('XSS')</script>

💥 Resultado

👉 se executar → vulnerável


🧠 Versão real

  • portais corporativos
  • front-end conectado ao mainframe

🧪 ATIVIDADE 5 — ATUALIZE UMA DEPENDÊNCIA VULNERÁVEL

🎯 Objetivo

Entender SCA na prática


💻 Faça

  • rode scan
  • escolha uma lib vulnerável
  • atualize

💥 Resultado

👉 CVE desaparece


💬 Comentário

“Seu código pode estar perfeito… sua lib não.”


🧪 ATIVIDADE 6 — QUEBRE SEU PRÓPRIO LOGIN

🎯 Objetivo

Pensar como invasor


💻 Teste

  • inputs inválidos
  • SQL injection
  • brute force simples

💥 Resultado

👉 encontrar bypass


💬 Comentário

“Se login falha… todo sistema falha.”


🧪 ATIVIDADE 7 — IMPLEMENTE HEADERS DE SEGURANÇA

🎯 Objetivo

Blindar camada web


💻 Adicionar

  • Content-Security-Policy
  • HSTS
  • X-Frame-Options

💥 Resultado

👉 reduz ataque XSS e clickjacking


🧪 ATIVIDADE 8 — CRIPTOGRAFE UM ARQUIVO SENSÍVEL

🎯 Objetivo

Proteger dados em repouso


💻 Use OpenSSL

openssl enc -aes-256-cbc -salt -pbkdf2 -iter 2500

💥 Resultado

👉 arquivo ilegível sem senha


💬 Comentário

“Dado sem criptografia é dado público.”


🧪 ATIVIDADE 9 — CRIE UM MINI PIPELINE DE SEGURANÇA

🎯 Objetivo

Automação


💻 Simule

commit → scan → resultado → bloqueio

💥 Resultado

👉 segurança contínua


🧠 Versão mainframe

  • Jenkins + JCL + scan

🧪 ATIVIDADE 10 — FAÇA UM “ATAQUE CONTROLADO”

🎯 Objetivo

Pensar como hacker


💻 Faça

  • use OWASP ZAP
  • ataque sua própria aplicação

💥 Resultado

👉 visão real de risco


💬 Comentário

“Sistema seguro é sistema testado sob ataque.”


🧠 CONCLUSÃO — O DIFERENCIAL REAL

Depois dessas 10 atividades, você não é mais:

👉 um dev que escreve código

Você é:

👉 alguém que entende como o sistema quebra… e como evitar isso


💬 FRASE FINAL

“Segurança não é o que você implementa…
é o que sobrevive quando alguém tenta quebrar.”

 

domingo, 22 de março de 2026

🔐🏛️ Do RACF ao Zero Trust: o Manual Secreto do Padawan para Sobreviver na Selva Cloud

 

Bellacosa Mainframe fala sobre RACF e Zero Trust sobrevivendo na cloud


🔐🏛️ Do RACF ao Zero Trust: o Manual Secreto do Padawan para Sobreviver na Selva Cloud

“Na dúvida, negue o acesso.” — provavelmente um sábio administrador de RACF em 1987

Se você vem do mundo mainframe… parabéns.
Você já foi treinado na ordem Jedi da segurança corporativa.

Se você é novo… prepare-se.
A cloud é menos “datacenter climatizado” e mais Mad Max com APIs.

Este guia é um mapa completo — estilo Bellacosa — para entender Cloud Security de verdade, conectando:

🏛️ Mainframe
☁️ Cloud
🔐 Zero Trust
👤 IAM
🛡️ Criptografia
🚧 CASB, CSPM, RBAC e companhia

Tudo com exemplos práticos, curiosidades e alguns easter eggs 😄


🧠 Capítulo 1 — O maior mito da segurança antiga

Antigamente:

“Se está dentro da rede, pode confiar.”

Modelo 🏰 Castle & Moat

  • Firewall na borda
  • Rede interna confiável
  • Usuários conhecidos
  • Sistemas centralizados

Funcionava… até aparecer:

💣 Internet
💣 Mobilidade
💣 SaaS
💣 Trabalho remoto
💣 Phishing


💥 Problema fatal

Se o invasor entrasse…

➡️ Tinha acesso lateral quase ilimitado
➡️ Movimentação interna fácil
➡️ Detecção tardia


🧠 Capítulo 2 — Zero Trust: paranoia como arquitetura

🔐 “Never trust. Always verify.”

Zero Trust assume:

👉 O atacante pode já estar dentro
👉 Nenhum dispositivo é confiável
👉 Nenhum usuário é confiável
👉 Nem a rede interna é confiável


🧩 O que o Zero Trust protege

  • 👤 Usuários
  • 💻 Dispositivos
  • 📦 Workloads
  • 🌐 Tráfego
  • 💾 Dados

💡 Easter egg mainframe

Se você conhece RACF:

👉 Zero Trust não é tão novo assim…

Mainframe já fazia:

✔ Least privilege
✔ Auditoria rigorosa
✔ Controle centralizado
✔ Autorização explícita


👤 Capítulo 3 — IAM: o novo perímetro

Na cloud:

🔑 Identidade = Firewall humano

IAM decide:

✔ Quem pode acessar
✔ O quê
✔ Como
✔ Quando
✔ Em quais condições


🔐 Trio sagrado da identidade

👤 IdP — armazena identidades

🚀 SSO — login único

🛡️ MFA — prova reforçada


💣 Exemplo real

Senha vazada:

❌ Sem MFA → invasão
✅ Com MFA → bloqueado


🎭 Capítulo 4 — RBAC: o acesso segue o cargo

RBAC = Role-Based Access Control

Permissões baseadas na função, não na pessoa.


🏢 Exemplo clássico

👩‍💼 RH → Folha de pagamento
🧑‍💻 Help Desk → Contas de login
👩‍💻 Dev → Código


⚠️ O erro mortal

Dar acesso demais.

Muitos incidentes começam com:

“Esse usuário não deveria ter acesso a isso…”


☁️ Capítulo 5 — Shared Responsibility: a armadilha da cloud

Muita gente acha:

“Está na cloud, então está seguro.”

❌ Errado.

Modelo correto:

🤝 Responsabilidade Compartilhada


☁️ Provedor protege

🏢 Datacenter
🧱 Hardware
🌐 Infraestrutura física


🧑‍💼 Cliente protege

👤 Usuários
💾 Dados
⚙️ Configurações
🔐 Permissões


💣 A maioria dos vazamentos ocorre por erro do cliente.


🔐 Capítulo 6 — Criptografia: dados que se protegem sozinhos

Cloud é distribuída.
Dados viajam.

Sem criptografia:

👉 Dados legíveis para qualquer interceptador.


🔒 Estados do dado

💾 At rest — armazenado
🚚 In transit — em movimento
🧠 In use — em processamento


🔑 Dois métodos fundamentais

🔒 Simétrica (AES)

  • Rápida
  • Grandes volumes
  • Discos, bancos, storage

🔐 Assimétrica (RSA, ECC)

  • Troca segura de chaves
  • Certificados
  • Identidade

🌐 TLS na prática

Quando você vê 🔒 no navegador:

1️⃣ Servidor apresenta certificado
2️⃣ Cliente verifica CA
3️⃣ Negociam chave
4️⃣ Comunicação segura


🏛️ Curiosidade poderosa — Mainframe novamente

IBM Z possui:

👉 Pervasive Encryption

Criptografa praticamente tudo por padrão:

  • Disco
  • Banco
  • Rede
  • Backup
  • Dados exportados

Mainframe sendo futurista desde o século passado 😎


🚀 Capítulo 7 — FHE: criptografia nível ficção científica

Fully Homomorphic Encryption permite:

🧠 Processar dados SEM descriptografar

Imagine:

🏥 Hospital analisando dados médicos na cloud
🏦 Banco processando dados financeiros confidenciais

Sem revelar os dados.

Ainda emergente — mas revolucionário.


🌐 Capítulo 8 — CASB: o guarda da nuvem

Cloud Access Security Broker

Fica entre usuários e serviços cloud.


🔎 Detecta

✔ Uploads suspeitos
✔ Compartilhamento indevido
✔ Uso de apps não autorizados
✔ Vazamento de dados


💣 Combate Shadow IT

Funcionário usando ferramentas pessoais com dados corporativos.

Sem CASB → invisível
Com CASB → monitorado ou bloqueado


🔧 Capítulo 9 — CSPM: detector de erros humanos

Maior risco da cloud:

❌ Configuração incorreta

CSPM monitora:

  • Storage público
  • Permissões excessivas
  • Falta de criptografia
  • Serviços expostos

💥 Caso clássico

Bucket público com dados sensíveis.

Acontece mais do que você imagina.


📦 Capítulo 10 — CWPP e CNAPP: proteção total

📦 CWPP

Protege workloads:

  • VMs
  • Containers
  • Apps

🚀 CNAPP

Combina:

✔ CSPM
✔ CWPP
✔ Segurança de apps
✔ Proteção em runtime


🧠 Capítulo 11 — Framework NIST: ciclo completo

Identify → Protect → Detect → Respond → Recover

Segurança não é um estado.

É um processo contínuo.


🏁 Conclusão — O verdadeiro segredo

🔐 Segurança moderna não protege apenas sistemas.
👤 Protege identidades.
💾 Protege dados.
🌐 Protege o negócio digital inteiro.


🏆 Mensagem final ao Padawan

Se você domina:

✔ Identidade
✔ Privilégio mínimo
✔ Criptografia
✔ Visibilidade
✔ Configuração correta

👉 Você domina a segurança na cloud.


☕ Easter Egg final (nível Bellacosa)

Se um administrador mainframe viajasse no tempo para hoje, ele provavelmente diria:

“Vocês reinventaram o RACF… só que distribuído e com marketing.”



terça-feira, 10 de março de 2026

O Que Todo Programador COBOL Padawan Precisa Saber Sobre as Métricas que Realmente Fazem um Sistema RAG Funcionar

 

Bellacosa Mainframe Metricas RAG e IA

☕ Um Café no Bellacosa Mainframe

O Que Todo Programador COBOL Padawan Precisa Saber Sobre as Métricas que Realmente Fazem um Sistema RAG Funcionar

Você Não Está Apenas Aprendendo Inteligência Artificial. Está Descobrindo Que Todo Grande Sistema Começa Muito Antes da Primeira Linha da Resposta.

"Um programador iniciante acredita que um sistema inteligente responde porque o modelo é poderoso. Um engenheiro experiente sabe que um sistema inteligente responde bem porque recebeu as informações corretas."

Nos últimos anos, a Inteligência Artificial Generativa transformou completamente a maneira como interagimos com computadores. ChatGPT, Claude, Gemini, Llama, Mistral e tantos outros modelos impressionam pela capacidade de escrever textos, criar código, explicar conceitos complexos e até ajudar na engenharia de software.

Naturalmente, muitas pessoas chegaram à seguinte conclusão:

"Quanto maior o modelo, melhores serão as respostas."

Embora exista um fundo de verdade nessa afirmação, ela está longe de explicar como funcionam os sistemas corporativos modernos.

Na prática, a maioria das empresas não está simplesmente conectando um LLM aos seus usuários. Elas estão construindo sistemas conhecidos como RAG (Retrieval-Augmented Generation), uma arquitetura que permite ao modelo consultar documentos internos antes de responder.

É exatamente nesse ponto que surge um dos maiores equívocos da atualidade.

A maioria dos problemas de um sistema RAG não está no modelo de IA.

Está na qualidade da recuperação das informações.

Para um Programador COBOL Padawan, essa ideia pode parecer estranha à primeira vista. Afinal, estamos acostumados a pensar que o programa faz o processamento e produz o resultado.

Mas pense no Batch.


O Batch Nunca Foi Mágico

Imagine um programa COBOL que calcula juros.

Seu algoritmo está absolutamente perfeito.

Entretanto, alguém carregou um arquivo VSAM corrompido.

Ou um JOB anterior terminou em ABEND.

Ou o catálogo aponta para um dataset errado.

O programa produzirá resultados corretos?

Claro que não.

O algoritmo continua excelente.

Os dados de entrada é que estão errados.

A Inteligência Artificial funciona exatamente da mesma maneira.

O LLM é o algoritmo.

O Retrieval representa os dados de entrada.

Se os documentos recuperados estiverem errados, incompletos ou desatualizados, a resposta também será.


O Que é um Sistema RAG?

Imagine que você faça a seguinte pergunta:

"Como configurar RACF PassTickets?"

O modelo poderia responder apenas com aquilo que aprendeu durante seu treinamento.

Mas um sistema RAG faz algo diferente.

Primeiro ele procura documentação relevante.

Depois envia essa documentação ao modelo.

Só então o modelo escreve a resposta.

O fluxo simplificado é parecido com isto:

Pergunta

↓

Transformação em Embeddings

↓

Busca Vetorial

↓

Ranking

↓

Reordenação (Reranking)

↓

Construção do Contexto

↓

Prompt

↓

LLM

↓

Resposta

Observe algo importante.

O modelo só entra quase no final.

Todo o restante acontece antes.

É exatamente como um programa COBOL que depende de dezenas de JOBs anteriores.


O LLM Não É Um Oráculo

Muitas pessoas imaginam que um modelo moderno "sabe tudo".

Na realidade, ele trabalha com probabilidades.

Ele observa padrões.

Relaciona conceitos.

Constrói frases coerentes.

Mas quando recebe documentação incorreta, ele faz o melhor possível com aquilo que recebeu.

Isso lembra muito um operador de produção.

Se o operador recebe um relatório incompleto, ele tomará decisões baseadas naquele relatório.

O problema não está no operador.

Está na informação disponível.


A Engenharia da Recuperação

Existe uma disciplina inteira dedicada a responder uma pergunta aparentemente simples:

"Estamos encontrando os documentos certos?"

Essa disciplina utiliza dezenas de métricas.

Vamos conhecer as mais importantes.


1. Hallucination Rate

Uma das métricas mais famosas.

Ela mede a frequência com que o modelo inventa informações.

Imagine perguntar:

Qual comando cria um VSAM KSDS?

Resposta correta:

DEFINE CLUSTER

Resposta incorreta:

CREATE VSAM

O modelo inventou.

Isso é uma alucinação.

Curiosamente, muitas alucinações acontecem porque nenhum documento correto foi encontrado.


2. Query Coverage

Nem toda pergunta possui apenas uma intenção.

Veja esta:

Como criar um KSDS com índice alternativo?

Existem dois assuntos.

• KSDS

• Alternate Index

Se apenas documentos sobre KSDS forem encontrados, metade da pergunta ficou sem resposta.

O sistema recuperou informação.

Mas não recuperou informação suficiente.


3. Recall@K

Esta talvez seja a métrica mais importante de Retrieval.

Imagine que existam dez documentos realmente úteis.

Seu mecanismo recuperou apenas seis.

O Recall é de 60%.

Agora imagine que outro mecanismo encontrou nove.

Recall de 90%.

Qual deles oferece maior chance de produzir uma boa resposta?

Obviamente o segundo.

Quanto mais documentos relevantes forem encontrados, maior será a qualidade do contexto enviado ao modelo.


4. Precision@K

Agora acontece o contrário.

O sistema recuperou dez documentos.

Mas apenas quatro são realmente úteis.

Os outros seis falam sobre assuntos diferentes.

O modelo agora precisa descobrir sozinho quais informações ignorar.

Isso desperdiça processamento e aumenta o risco de respostas equivocadas.


5. Top-1 Accuracy

Nem sempre basta recuperar bons documentos.

O melhor documento precisa aparecer primeiro.

Imagine procurar informações sobre CICS.

Primeiro resultado:

Manual de DB2.

Segundo:

Manual de JCL.

Terceiro:

Manual de CICS.

Tecnicamente o documento existe.

Mas ficou escondido.

Essa métrica mede exatamente isso.


6. Groundedness

Uma boa resposta deve estar apoiada nas evidências recuperadas.

Suponha que o contexto diga:

DFSORT suporta INCLUDE COND.

A resposta utiliza exatamente essa informação.

Excelente.

Agora imagine que a resposta também afirma:

DFSORT foi desenvolvido originalmente para...

Essa informação não apareceu em nenhum documento recuperado.

O modelo começou a extrapolar.

Quanto menor essa extrapolação, maior a Groundedness.


7. Faithfulness

Essa métrica costuma ser confundida com Hallucination.

Mas existe uma diferença importante.

Hallucination significa inventar.

Faithfulness significa preservar o significado original.

Imagine o documento:

Apenas administradores podem executar este comando.

A resposta produzida:

Todos os usuários podem executar este comando.

O modelo não inventou um comando novo.

Ele simplesmente alterou completamente o sentido do texto.

Esse é um problema gravíssimo em ambientes financeiros, jurídicos e médicos.


8. Chunk Diversity

Os documentos são divididos em pequenos pedaços chamados Chunks.

Agora imagine recuperar dez chunks.

Todos vieram do mesmo PDF.

Todos dizem praticamente a mesma coisa.

Isso reduz drasticamente a riqueza das informações.

Um bom sistema procura diferentes perspectivas.

Manuais.

Runbooks.

Documentação oficial.

Procedimentos internos.

Artigos técnicos.

Quanto maior essa diversidade, maior tende a ser a qualidade da resposta.


9. Chunk Redundancy

O oposto da diversidade.

Imagine gastar milhares de tokens enviando dez vezes a mesma informação.

Você ocupa espaço precioso da janela de contexto.

Sem acrescentar conhecimento novo.

É exatamente como imprimir dez cópias do mesmo relatório e colocar todas sobre a mesa do gerente.


10. Token Efficiency

Os modelos possuem limite de contexto.

Imagine uma janela de 100 mil tokens.

Você envia 90 mil.

Mas apenas 20 mil são realmente úteis.

Os outros 70 mil representam redundância.

Isso custa dinheiro.

Aumenta a latência.

E ainda reduz espaço para documentos realmente importantes.


11. Freshness

Conhecimento envelhece.

Muito rapidamente.

Imagine um sistema que consulta documentação do z/OS 2.3.

Enquanto sua empresa utiliza z/OS 3.2.

As respostas podem até estar corretas.

Mas já não refletem a realidade operacional.

Por isso grandes empresas monitoram constantemente a atualização dos documentos indexados.


12. Source Coverage

Outro erro comum.

Construir um RAG utilizando apenas PDFs.

Na prática, empresas possuem conhecimento espalhado por diversos lugares.

IBM Documentation.

Redbooks.

Confluence.

SharePoint.

GitHub.

Wiki interna.

Runbooks.

Tickets.

Procedimentos operacionais.

Quanto maior a cobertura dessas fontes, menor a chance de perder conhecimento importante.


13. Citation Accuracy

Imagine um sistema jurídico.

A resposta afirma:

Conforme a Lei X...

Mas a referência aponta para outra legislação.

O texto parece convincente.

Mas a citação está errada.

Em ambientes regulatórios isso pode gerar enormes problemas.


14. Evidence Sufficiency

Às vezes existe informação.

Mas ela não é suficiente.

Você pergunta:

Como instalar z/OS Connect?

O Retrieval encontra apenas a introdução do manual.

O modelo tentará preencher o restante utilizando seu conhecimento geral.

A resposta pode parecer excelente.

Mas a evidência disponível era insuficiente.


15. Retrieval Latency

Não basta encontrar documentos.

É preciso encontrá-los rapidamente.

Imagine um Chat Corporativo.

Cada busca demora cinco segundos.

Depois o modelo leva mais dez segundos para responder.

O usuário esperará quinze segundos.

Mesmo uma resposta perfeita passa a transmitir sensação de lentidão.

Performance também faz parte da experiência.


16. MRR (Mean Reciprocal Rank)

Essa métrica responde:

Em que posição apareceu o primeiro documento realmente útil?

Se ele apareceu logo na primeira posição.

Excelente.

Se apareceu apenas na décima.

O mecanismo de ranking precisa melhorar.


17. Hit Rate

Existe pelo menos um documento útil?

Sim?

Ótimo.

Não?

Todo o restante provavelmente falhará.

É uma métrica simples.

Mas extremamente valiosa para acompanhar a cobertura do índice.


18. Retrieval Failure Rate

Quantas consultas retornam praticamente lixo?

Imagine cem perguntas.

Trinta recuperam documentos irrelevantes.

O sistema possui uma taxa de falha de 30%.

Isso indica problemas sérios na indexação, na vetorização ou no mecanismo de busca.


19. Context Relevance Score

Nem todo documento relacionado é realmente útil.

Pergunta:

Como criar um Cluster VSAM?

Documento recuperado:

História da IBM.

Existe alguma relação?

Muito distante.

A relevância contextual mede exatamente esse alinhamento entre a intenção da pergunta e o conteúdo recuperado.


20. NDCG@K

Talvez a métrica mais sofisticada desta lista.

Ela não avalia apenas se os documentos corretos foram encontrados.

Ela verifica a ordem em que eles aparecem e atribui maior peso aos documentos mais relevantes posicionados no topo da lista.

Motores de busca, sistemas de recomendação e plataformas de streaming utilizam métricas semelhantes para organizar resultados.

No mundo do RAG, isso faz enorme diferença.


O Que Tudo Isso Tem a Ver com COBOL?

Mais do que parece.

Um sistema Batch depende de:

  • qualidade dos arquivos;

  • integridade dos índices;

  • consistência dos catálogos;

  • ordem correta dos JOBs;

  • sincronização entre processos.

Nenhum programador experiente atribui um erro automaticamente ao COBOL.

Primeiro ele verifica:

  • o dataset correto foi utilizado?

  • o arquivo estava atualizado?

  • houve erro no JOB anterior?

  • o SORT terminou corretamente?

  • houve perda de registros?

O mesmo raciocínio deve ser aplicado aos sistemas baseados em IA.

Antes de culpar o modelo, pergunte:

  • Os documentos certos foram recuperados?

  • Eles estavam atualizados?

  • Eram suficientes?

  • Estavam classificados corretamente?

  • Vieram de fontes confiáveis?

  • Havia redundância excessiva?

  • A intenção completa da pergunta foi compreendida?

Essas perguntas representam a verdadeira maturidade em Engenharia de IA.


A Grande Lição para um Programador COBOL Padawan

Durante décadas, os profissionais de Mainframe aprenderam que qualidade não nasce apenas do código.

Ela nasce da disciplina.

Da observabilidade.

Dos controles.

Da monitoração.

Dos indicadores.

Dos relatórios.

Da governança.

A Inteligência Artificial está caminhando exatamente para esse mesmo estágio.

Os sistemas mais avançados do mundo não são aqueles que simplesmente utilizam o maior LLM disponível no mercado. São aqueles que monitoram continuamente a qualidade da recuperação da informação, medem seus indicadores, detectam degradações antes que afetem os usuários e refinam constantemente seus índices, embeddings e estratégias de busca.

Da mesma forma que um ambiente IBM Z monitora CPU, I/O, SMF, RMF, WLM, JES2, CICS e DB2 para garantir disponibilidade e desempenho, um ecossistema RAG precisa monitorar Recall@K, Precision@K, Groundedness, Faithfulness, Freshness, Source Coverage, MRR e NDCG@K para garantir respostas confiáveis.

No futuro, o diferencial dos engenheiros de software não será apenas saber utilizar modelos de IA. Será compreender toda a engenharia que existe antes da geração da resposta.

E, curiosamente, esse modo de pensar já faz parte da cultura dos profissionais de Mainframe há décadas.

Porque, no fim das contas, um grande sistema nunca depende apenas da inteligência do processamento. Ele depende, acima de tudo, da qualidade das informações que alimentam esse processamento. Essa é uma lição que acompanha os Programadores COBOL desde os primeiros arquivos VSAM e que agora ressurge como um dos pilares da Inteligência Artificial moderna.

terça-feira, 17 de fevereiro de 2026

🔥💀 COBOL SECURITY LAB — “SEU CICS SOB ATAQUE”

 

Bellacosa Mainframe lab seu cics sob ataque


🔥💀 COBOL SECURITY LAB — “SEU CICS SOB ATAQUE”

Hands-on prático com CICS + DB2 para aprender segurança na marra


☕ INTRODUÇÃO

Você não vai só aprender…

👉 você vai:

  • explorar vulnerabilidade
  • corrigir
  • validar

💣 exatamente como um atacante faria


🧪 LAB 1 — SQL INJECTION NO DB2

🎯 Objetivo

Mostrar como um COBOL pode ser vulnerável


💻 Código vulnerável

IDENTIFICATION DIVISION.
PROGRAM-ID. LOGIN.

DATA DIVISION.
WORKING-STORAGE SECTION.
01 WS-USER PIC X(20).
01 WS-PASS PIC X(20).

PROCEDURE DIVISION.

EXEC SQL
SELECT NAME INTO :WS-USER
FROM USERS
WHERE NAME = :WS-USER
AND PASSWORD = :WS-PASS
END-EXEC.

💣 Ataque

Input:

' OR '1'='1

💥 Resultado

👉 bypass de autenticação


✅ Correção

IF WS-USER NOT ALPHABETIC
DISPLAY "INVALID INPUT"
STOP RUN
END-IF.

💬 Insight

👉 validação é a primeira defesa


🧪 LAB 2 — BUFFER / TAMANHO DE INPUT

🎯 Objetivo

Evitar overflow e dados inválidos


💻 Problema

01 WS-NAME PIC X(10).

Input:

AAAAAAAAAAAAAAAAAAAAAAAAAAAA

💥 Resultado

👉 truncamento / corrupção


✅ Correção

IF LENGTH OF WS-NAME > 10
DISPLAY "INPUT TOO LONG"
END-IF.

🧪 LAB 3 — HARDCODED PASSWORD

🎯 Objetivo

Eliminar segredo no código


❌ Código

MOVE "DB123456" TO WS-PASS.

💣 Problema

👉 vazamento garantido


✅ Correção

  • usar RACF
  • usar external security

👉 RACF


🧪 LAB 4 — VALIDAÇÃO DE COMMAREA (CICS)

🎯 Objetivo

Proteger entrada CICS


💻 Código vulnerável

MOVE DFHCOMMAREA TO WS-DATA.

💣 Problema

👉 dados maliciosos


✅ Correção

IF EIBCALEN = 0
DISPLAY "NO DATA"
RETURN
END-IF.

🧪 LAB 5 — LOGGING SEGURO

🎯 Objetivo

Evitar vazamento de dados


❌ Errado

DISPLAY "PASSWORD: " WS-PASS.

💣 Problema

👉 senha em log


✅ Correção

DISPLAY "LOGIN ATTEMPT".

🧪 LAB 6 — CONTROLE DE ACESSO (RACF)

🎯 Objetivo

Simular autorização


💻 Exemplo

CALL 'RACROUTE' USING ...

💬 Resultado

👉 só usuários autorizados acessam


🧪 LAB 7 — INTEGRAÇÃO COM API (RISCO REAL)

🎯 Objetivo

Simular API via CICS


💣 Problema

👉 input externo não confiável


✅ Solução

  • validar JSON
  • sanitizar campos

🧪 LAB 8 — TRATAMENTO DE ERRO

🎯 Objetivo

Não expor sistema


❌ Errado

DISPLAY SQLCODE.

💣 Problema

👉 revela estrutura interna


✅ Correto

DISPLAY "ERROR OCCURRED".

🧪 LAB 9 — CONTROLE DE TRANSAÇÃO

🎯 Objetivo

Evitar inconsistência


💻 Uso

EXEC CICS SYNCPOINT
END-EXEC.

💬 Importante

👉 protege integridade


🧪 LAB 10 — SIMULAR ATAQUE REAL

🎯 Objetivo

Mentalidade hacker


💻 Faça

  • testar inputs inválidos
  • tentar bypass
  • observar comportamento

💥 Resultado

👉 descobrir falhas reais


🧠 VISÃO FINAL

Você fez:

  • ataque
  • defesa
  • validação

👉 isso é segurança real


💬 FRASE FINAL

“Mainframe não é seguro por ser forte…
é seguro quando você fecha as portas certas.”

segunda-feira, 16 de fevereiro de 2026

🔥💀 SEU CÓDIGO ESTÁ SEGURO… OU SÓ AINDA NÃO FOI HACKEADO?

 

Bellacosa Mainframe apresenta segurança em codigo

🔥💀 “SEU CÓDIGO ESTÁ SEGURO… OU SÓ AINDA NÃO FOI HACKEADO?”

Do Cartão Perfurado ao DevSecOps: como as mesmas falhas continuam derrubando sistemas — inclusive o seu


☕ INTRODUÇÃO — O ERRO QUE ATRAVESSOU DÉCADAS

Se você acha que segurança de aplicação é algo “moderno”…

👉 você já começou errado.

Há mais de 20 anos, os mesmos problemas que aparecem hoje na lista da OWASP já existiam.

E o mais assustador:

💣 Eles continuam sendo explorados hoje.


🧠 UM POUCO DE HISTÓRIA (SIM, ISSO COMEÇA NO MAINFRAME)

Antes de:

  • APIs REST
  • microservices
  • cloud

…existia:

🧱 Mainframe + COBOL + CICS + DB2

E adivinha?

👉 Os mesmos problemas já estavam lá:

  • input sem validação
  • acesso indevido
  • dados sensíveis expostos

💀 EASTER EGG HISTÓRICO

Nos anos 70–80, segurança era baseada em:

👉 “ninguém tem acesso físico ao terminal”

Spoiler:

💣 isso não durou muito


🔐 O NASCIMENTO DA SEGURANÇA REAL

Ferramentas como o RACF surgiram para resolver:

  • quem pode acessar
  • o que pode acessar
  • quando pode acessar

👉 primeiro passo para segurança moderna


💣 O PROBLEMA REAL: NÃO É TECNOLOGIA

👉 É comportamento

Hoje temos:

  • scanners
  • IA
  • automação
  • cloud

E mesmo assim…

💥 vazamentos continuam acontecendo


📊 DADO REAL (que assusta)

Tempo médio para detectar um breach:

👉 ~212 dias

Tempo suficiente para:

  • invadir
  • explorar
  • exfiltrar dados
  • desaparecer

🔥 OWASP TOP 10 — O MANUAL DO ATACANTE

A OWASP lista os erros mais explorados.

E aqui vai o choque:

👉 quase todos são básicos


💣 EXEMPLO 1 — SQL INJECTION (O DINOSSAURO QUE AINDA MATA)

' OR 1=1 --

👉 isso ainda quebra sistemas hoje


💣 EXEMPLO 2 — XSS (VOCÊ CONFIA NO USUÁRIO?)

<script>stealCookies()</script>

👉 o browser executa
👉 o atacante assume a sessão


💣 EXEMPLO 3 — DEPENDÊNCIAS VULNERÁVEIS

Você escreve:

👉 20% do código

O resto?

👉 bibliotecas externas 😬


🛠️ DEVSECOPS — A VIRADA DE JOGO

Antes:

👉 segurança era responsabilidade de outro time

Hoje:

👉 “You build it, you run it… and you secure it.”


🔄 PIPELINE MODERNO

code → scan → test → deploy → monitor

Ferramentas:

  • SAST (ex: análise estática)
  • DAST (ataque simulado)
  • SCA (dependências)
  • runtime protection

🧪 MÃO NA MASSA (O QUE VOCÊ PRATICOU)

Você fez:

🔍 SAST

  • analisou código sem rodar

🌐 DAST

  • atacou a aplicação com ferramentas

📦 SCA

  • descobriu vulnerabilidade em libs

🔐 Secrets

  • saiu do hardcode → Vault

🐳 Docker Security

  • corrigiu imagem vulnerável

👉 isso é exatamente o que empresas fazem hoje


💀 ERRO CLÁSSICO (QUE DERRUBA EMPRESA)

password = "123456"

👉 parece inofensivo

👉 vira incidente milionário


🧠 A VERDADE QUE NINGUÉM TE CONTA

👉 Segurança não falha por falta de ferramenta

👉 Segurança falha por:

  • pressa
  • ignorância
  • negligência

🔥 CURIOSIDADE (QUE MUDA SUA VISÃO)

O maior ataque da história recente (Log4j):

👉 veio de uma biblioteca

Não do código principal


🚀 DO DEV AO ENGENHEIRO DE SEGURANÇA

Depois desse conhecimento, você não é mais só dev:

👉 você entende:

  • como atacar
  • como defender
  • onde estão os riscos

🧱 E O COBOL NISSO TUDO?

Tudo isso se aplica em:

  • CICS
  • DB2
  • APIs via z/OS Connect

👉 Mainframe não é imune
👉 ele só é mais disciplinado


💬 FRASE PRA GRAVAR

“Você não precisa ser hackeado para estar vulnerável…
basta ignorar o básico.”


🔥 CONCLUSÃO (SEM FILTRO)

👉 Se você não:

  • valida input
  • protege secrets
  • escaneia dependências
  • monitora

💣 seu sistema já está em risco


🚀 CHAMADA FINAL

Agora você tem duas opções:

👉 continuar escrevendo código
ou
👉 começar a proteger sistemas

Vagner Renato Bellacosa, IBM Champion e especialista em IBM Mainframe
IBM Z17 SYSTEM ONLINE
Sobre o autor

Vagner Renato Bellacosa

IBM Champion 2026 • Especialista em IBM Mainframe

Vagner Renato Bellacosa trabalha com IBM Mainframe desde 1988 , é IBM Champion e especialista em COBOL, CICS, Db2, z/OS e IBM Z. Compartilha experiências profissionais, conhecimento técnico, história da computação e práticas do universo mainframe para aproximar novas gerações das tecnologias que sustentam empresas, bancos e governos ao redor do mundo.

IBM Champion IBM Z COBOL CICS Db2 z/OS Mainframe desde 1988
GitHub LinkedIn
Inicializando conteúdo...