Resumo Executivo

Rafael Henrique das Neves; Lucas José de Souza

Resumo elaborado pela ferramenta ResumeAI, solução de inteligência artificial desenvolvida pelo Instituto Pecege voltada à síntese e redação.

O conceito de segurança digital fundamentado no modelo Zero Trust foi introduzido originalmente no ano de 2010, estabelecendo uma ruptura com o paradigma tradicional de proteção de perímetros. Diferente das arquiteturas convencionais, que presumem a confiabilidade de usuários e dispositivos situados dentro de uma rede protegida, o modelo Zero Trust assume que nenhum elemento, seja interno ou externo, deve ser considerado inerentemente seguro (Kindervag, 2010). Esta mudança de mentalidade torna-se imperativa diante da crescente adoção da computação em nuvem e da transição para forças de trabalho híbridas, fatores que tornam os perímetros de rede tradicionais inadequados, complexos e vulneráveis a ameaças modernas (Mavroudis, 2024). A literatura acadêmica reflete essa urgência, apresentando um aumento significativo no volume de publicações sobre o tema a partir de 2019, o que reforça a busca global por modelos de segurança mais resilientes (Kang et al., 2023). No centro dessa transformação está a arquitetura Zero Trust Network Access, voltada especificamente para o controle de acesso remoto a aplicações. Enquanto as tecnologias de redes virtuais privadas expõem portas à internet e criam superfícies de ataque consideráveis, a implementação de uma arquitetura de acesso seguro não expõe tais portas, permitindo uma granularidade superior no controle de acesso por meio de políticas rigorosas (Akamai, 2024).

A modernização da infraestrutura de segurança, embora necessária, impõe desafios operacionais significativos, especialmente no que tange à escalabilidade e à gestão de políticas de acesso (Mavroudis, 2024). O provisionamento de aplicações em plataformas de acesso seguro costuma ser realizado por meio de interfaces gráficas intuitivas, projetadas para oferecer autonomia às empresas. Entretanto, a própria riqueza de detalhes e a granularidade das opções disponíveis tornam o processo manual moroso e suscetível a falhas humanas quando executado em larga escala. Erros no provisionamento podem resultar em vulnerabilidades críticas, como a atribuição de acessos não autorizados ou falhas de conectividade que interrompem a continuidade do negócio (Zscaler, 2025). Nesse cenário, a automação surge como uma necessidade estratégica para acelerar processos e mitigar riscos. A tecnologia de automação robótica de processos, comumente referida pela sigla em inglês RPA, destaca-se como uma solução de software capaz de mimetizar ações humanas em interfaces computacionais para a execução de tarefas repetitivas (Enríquez et al., 2020). Diferente de robôs físicos, o RPA atua na camada de software, permitindo que processos complexos sejam executados com precisão absoluta e eficiência operacional elevada (Leno et al., 2021).

A integração de soluções de automação com plataformas que disponibilizam interfaces de programação de aplicações permite a criação de fluxos de trabalho altamente eficientes. Ao combinar o consumo sequenciado de APIs com linguagens de programação versáteis, como Python, torna-se possível reproduzir o comportamento de um operador humano com maior velocidade e sem a incidência de cansaço ou distração (Matthes, 2023). A utilização de RPA em processos de TI tem demonstrado resultados expressivos, incluindo o crescimento da eficiência operacional e a melhoria na qualidade dos serviços prestados, alcançando em muitos casos uma precisão de 100% na execução das tarefas (Syed et al., 2020). O objetivo central desta investigação concentra-se na construção de uma solução de RPA voltada ao provisionamento de aplicações em uma plataforma de acesso seguro, utilizando o consumo ordenado de APIs para garantir agilidade e assertividade operacional. A proposta fundamenta-se na premissa de que a automação não apenas reduz o tempo de execução, mas também estabelece um padrão de conformidade rigoroso, essencial para a manutenção da postura de segurança em ambientes corporativos complexos (Aguirre e Rodriguez, 2017).

A metodologia adotada para o desenvolvimento desta solução caracteriza-se como uma pesquisa aplicada, estruturada sob a forma de um estudo de caso dividido em sete etapas sequenciais e interdependentes. A primeira etapa consistiu na definição do escopo da automação, momento em que foram selecionados os tipos de aplicações e configurações mais frequentes na plataforma estudada. Durante a exploração do ambiente, identificou-se que as aplicações dos tipos HTTP e Client-Access representavam o maior volume de demandas operacionais, sendo, portanto, priorizadas para o desenvolvimento do robô. Na segunda etapa, realizou-se o mapeamento detalhado das etapas de configuração percorridas por um usuário na interface gráfica. Este processo de engenharia reversa foi fundamental para identificar a ordem lógica das ações, desde a definição do nome da aplicação até a configuração final das restrições de acesso. O mapeamento permitiu visualizar a complexidade do fluxo manual e identificar os pontos de maior latência operacional.

A terceira etapa da pesquisa focou na identificação das APIs consumidas em cada fase do processo mapeado anteriormente. Para tanto, utilizou-se a técnica de inspeção de rede em navegadores, complementada pela análise da documentação técnica oficial da plataforma. Esta fase foi crucial para compreender como as ações realizadas na interface gráfica eram traduzidas em requisições para o servidor. Na quarta etapa, procedeu-se à identificação de dados e APIs auxiliares necessários para tornar o código autossuficiente. Um exemplo crítico identificado foi a necessidade de obter identificadores únicos universais, conhecidos como UUIDs, para objetos como conectores e grupos de usuários. Muitas vezes, o usuário humano interage apenas com nomes amigáveis, mas a API exige o identificador técnico para processar a configuração. Assim, o desenvolvimento de funções capazes de realizar essa tradução de forma automática foi incorporado ao projeto.

A construção propriamente dita do código em linguagem Python ocorreu na quinta etapa. Utilizou-se o módulo de requisições para gerenciar a comunicação com os endpoints da plataforma, estruturando o código em funções específicas para cada tarefa de provisionamento. A modularização do código facilitou a validação dos dados e a manutenção futura da ferramenta. Na sexta etapa, definiu-se um modelo de arquivo em formato de valores separados por vírgula, o CSV, para servir como interface de entrada de dados. Este arquivo foi projetado para conter 16 campos distintos, abrangendo desde parâmetros básicos de rede até configurações avançadas de segurança. A escolha do formato CSV justifica-se pela facilidade de preenchimento por parte dos usuários e pela simplicidade de manipulação programática via Python. Por fim, a sétima etapa dedicou-se ao teste e à validação da solução, utilizando uma amostra de 20 aplicações com configurações variadas para verificar a integridade do provisionamento automático e mensurar o ganho de tempo em relação ao processo manual.

Os resultados obtidos demonstram que o processo de provisionamento pode ser decomposto em seis grandes blocos lógicos: definição de tipo e nome, configuração da aplicação, definição de servidores ou destinos, associação de conectores, configuração de autenticação e estabelecimento de restrições de acesso. Para aplicações do tipo HTTP, o fluxo exige a escolha de uma zona de nuvem e a definição de um host externo, que no escopo desta automação foi padronizado como o domínio fornecido pelo provedor, dada a sua maior frequência de uso. Na sequência, o sistema requer a inserção de endereços IP ou nomes de domínio totalmente qualificados dos servidores de aplicação. Um detalhe técnico relevante identificado durante o mapeamento foi a necessidade de desabilitar a verificação de certificados em cenários comuns de teste ou infraestruturas internas, configuração que foi integrada como padrão no robô para garantir a fluidez do processo (Nguyen-Tran-Minh et al., 2022).

No que diz respeito à infraestrutura de conectividade, a plataforma exige que os conectores sejam previamente provisionados. O robô, portanto, deve ser capaz de associar um ou mais desses conectores à nova aplicação. Na etapa de autenticação, a automação foi configurada para manter o recurso sempre habilitado, exigindo a seleção de um provedor de identidade e a associação de diretórios e grupos de usuários específicos. Opcionalmente, o sistema permite a inclusão de regras de restrição baseadas em etiquetas de risco ou geolocalização. Para aplicações do tipo Client-Access, o fluxo segue uma lógica similar, porém com a particularidade da escolha do modo de operação, sendo o modo túnel o mais usual e, portanto, o selecionado para o escopo do projeto. A análise das requisições de rede revelou que, embora a interface gráfica apresente campos simples, uma única ação do usuário pode disparar múltiplas chamadas de API com payloads complexos. Por exemplo, a seleção de uma região geográfica é traduzida para o sistema como um conjunto de três parâmetros técnicos distintos relacionados à zona, ao nome e à região do ponto de presença.

A implementação técnica em Python exigiu a criação de dicionários de dados para organizar as informações provenientes do arquivo CSV. Parâmetros como servidores de aplicação e hosts internos de túnel foram estruturados como dicionários para respeitar a hierarquia exigida pela API da plataforma. A função responsável pela leitura do arquivo CSV foi desenvolvida para identificar automaticamente quantas linhas pertencem a uma mesma aplicação, utilizando o nome da aplicação como chave primária. Esta lógica permite que aplicações que exigem múltiplos servidores ou diversos grupos de acesso sejam processadas corretamente em um único ciclo de execução. O armazenamento dessas informações em estruturas de dicionários facilitou a manipulação dos dados e a passagem de argumentos para as funções principais de provisionamento. A arquitetura do código foi desenhada para ser resiliente, realizando consultas prévias para obter UUIDs de componentes necessários, garantindo que a requisição final de criação da aplicação possua todos os dados técnicos exigidos pelo servidor.

A validação prática da solução de RPA foi conduzida por meio do provisionamento de 10 aplicações do tipo HTTP e 10 aplicações do tipo túnel, totalizando 20 instâncias com configurações heterogêneas. O tempo total de execução para o provisionamento completo dessas aplicações foi de 252 segundos, o que representa uma média de aproximadamente 12 segundos por aplicação. Ao comparar este desempenho com o método manual, observa-se um ganho de eficiência extraordinário. Estima-se que um operador humano experiente leve entre dois e três minutos para configurar uma única aplicação via interface gráfica, assumindo que não ocorram erros de digitação ou lapsos de memória. Para um lote de 20 aplicações, o trabalho manual exigiria entre 40 e 60 minutos de dedicação exclusiva. A automação, portanto, reduziu o tempo de execução em mais de 90%, liberando a equipe técnica para tarefas de maior valor analítico e estratégico.

Além da velocidade, a precisão alcançada foi de 100%, validada por meio da conferência direta na interface gráfica da plataforma após a execução do robô. Todas as aplicações foram criadas com as configurações exatas especificadas no arquivo CSV, incluindo as regras de acesso e os grupos de usuários associados. Este resultado corrobora as afirmações da literatura sobre a capacidade do RPA em eliminar erros operacionais e garantir a integridade dos dados em processos repetitivos (Syed et al., 2020). A discussão dos resultados evidencia que a utilização de APIs como base para a automação oferece uma estabilidade superior em comparação com automações baseadas puramente na interação com elementos visuais da interface, que podem falhar caso ocorram mudanças sutis no layout da página. A abordagem programática garante que a comunicação ocorra diretamente com a camada de serviços da plataforma, conferindo maior robustez à solução.

Apesar do sucesso alcançado, é importante reconhecer as limitações do estudo. A solução desenvolvida foi customizada para uma plataforma específica e para os tipos de aplicações mais comuns, não abrangendo a totalidade das configurações possíveis, como aplicações do tipo SSH ou RDP. Além disso, a automação pressupõe que os dados inseridos no arquivo CSV estejam corretos, não realizando validações semânticas profundas sobre as informações fornecidas pelo usuário. Para pesquisas futuras, sugere-se a expansão do escopo para incluir outros tipos de aplicações e a implementação de uma camada de pré-validação de dados no arquivo de entrada, visando aumentar ainda mais a confiabilidade do processo. A integração do robô com sistemas de gestão de mudanças também poderia ser explorada para garantir que cada provisionamento automático seja devidamente registrado e auditado nos sistemas corporativos.

A implicação social e prática desta pesquisa reside na democratização do acesso a tecnologias de segurança avançadas. Ao reduzir a barreira operacional para a implementação do modelo Zero Trust, as empresas podem elevar seu nível de proteção contra ataques cibernéticos de forma mais rápida e econômica. A automação de tarefas de infraestrutura é um passo fundamental para a maturidade digital das organizações, permitindo que a segurança da informação acompanhe o ritmo acelerado das demandas de negócio modernas. O estudo demonstra que, com o uso de ferramentas acessíveis e metodologias estruturadas, é possível transformar processos manuais complexos em fluxos de trabalho automatizados, seguros e altamente eficientes.

Conclui-se que o objetivo foi atingido, uma vez que a solução de RPA baseada em APIs demonstrou ser capaz de realizar o provisionamento de aplicações em uma plataforma de acesso seguro de forma ágil, precisa e eficiente. A pesquisa comprovou que a automação reduz drasticamente o tempo operacional, eliminando a incidência de erros humanos e garantindo a conformidade das configurações com os requisitos de segurança estabelecidos. Os resultados obtidos validam a eficácia da integração entre linguagens de programação modernas e interfaces de API para a otimização de processos críticos de infraestrutura de TI. O método proposto oferece uma base sólida para a expansão da automação em outros domínios da segurança digital, contribuindo para a evolução das práticas de gestão de acesso em ambientes corporativos.

Referências Bibliográficas:

AGUIRRE, S.; RODRIGUEZ, A. 2017. Automation of a Business Process Using Robotic Process Automation (RPA): A Case Study. p. 65-76. In: FIGUEROA-GARCÍA, J.; LÓPEZ-SANTANA, E.; VILLA-RAMÍREZ, J.; FERRO-ESCOBAR, R. (org.). Applied Computer Sciences in Engineering. WEA 2017. Communications in Computer and Information Science, v.742. Springer, Cham, Suíça. Disponível em: https://doi.org/10.1007/978-3-319-66963-2_7. Acesso em: 12 mar. 2025.

AKAMAI. 2024. What is ZTNA? Disponível em: https://www.akamai.com/glossary/what-is-ztna. Acesso em: 26 fev. 2025.

ENRÍQUEZ, J.G.; JIMÉNEZ-RAMÍREZ, A.; DOMÍNGUEZ-MAYO, F.J.; GARCÍA-GARCÍA, J.A. 2020. Robotic Process Automation: A Scientific and Industrial Systematic Mapping Study. IEEE Access 8: 39113-39129. DOI: 10.1109/ACCESS.2020.2974934.

KANG, H.; LIU, G.; WANG, Q.; MENG, L.; LIU, J. 2023. Theory and Application of Zero Trust Security: A Brief Survey. Entropy (Basel) 25(12): 1595. DOI: 10.3390/e25121595. Disponível em: https://www.mdpi.com/1099-4300/25/12/1595. Acesso em: 12 mar. 2025.

KINDERVAG, J. 2010. No More Chewy Centers: Introducing the Zero Trust Model of Information Security. Forrester Research, Cambridge, MA, EUA. Disponível em: https://media.paloaltonetworks.com/documents/Forrester-No-More-Chewy-Centers.pdf. Acesso em: 26 fev. 2025.

LENO, V.; POLYVYANYY, A.; DUMAS, M.; et al. 2021. Robotic Process Mining: Vision and Challenges. Business & Information Systems Engineering 63: 301-314. DOI: 10.1007/s12599-020-00641-4.

MATTHES, E. 2023. Python Crash Course: A Hands-on, Project-based Introduction to Programming. 3ed. No Starch Press, San Francisco, CA, EUA.

MAVROUDIS, V. 2024. Zero-Trust Network Access (ZTNA). arXiv preprint arXiv:2410.20611. Disponível em: https://arxiv.org/abs/2410.20611. Acesso em: 26 fev. 2025.

NGUYEN-TRAN-MINH, N.; et al. 2022. An Application of RPA in Automating Online Event Organizing Processes. In: ANNUAL CONFERENCE OF THE KOREA SOCIETY OF MANAGEMENT INFORMATION SYSTEMS, 2022. Proceedings… p. 444-452.

SYED, R.; SURIADI, S.; ADAMS, M.; BANDARA, W.; LEEMANS, S.J.J.; OUYANG, C.; TER HOFSTEDE, A.H.M.; VAN DE WEERD, I.; WYNN, M.T.; REIJERS, H.A. 2020. Robotic Process Automation: Contemporary Themes and Challenges. Computers in Industry 115: Art. 103162. DOI: 10.1016/j.compind.2019.103162.

ZSCALER. 2025. Zscaler Private Access. Disponível em: https://www.zscaler.com/products-and-solutions/zscaler-private-access. Acesso em: 26 fev. 2025.

Resumo executivo oriundo de Trabalho de Conclusão de Curso da Especialização em Engenharia de Software do MBA USP/Esalq

Para saber mais sobre o curso, clique aqui e acesse a plataforma MBX Academy