FC ConcursosFC Concursos

Questão FC373812

A transição de DevOps para DevSecOps requer a compreensão e utilização de técnicas e práticas específicas que podem garantir a segurança do software. Uma especialista em Engenharia

Modelos de Ciclo de Vida e Metodologias de Desenvolvimento

FCC · 2022

A transição de DevOps para DevSecOps requer a compreensão e utilização de técnicas e práticas específicas que podem garantir a segurança do software. Uma especialista em Engenharia de Software recomendou, dentre outras, as seguintes ferramentas e tecnologias para essa transição em uma empresa:

 

I. É usado para verificar o código sem realmente executá-lo. Este tipo de ferramenta ajuda a encontrar vulnerabilidades em potencial no código-fonte, evitando que ocorram várias vulnerabilidades do tipo zero-day. Common Weakness Enumeration (CWE) é uma das classificações de avisos mais comuns produzidos por estas ferramentas. CWE é uma lista oficial ou dicionário de pontos fracos de segurança comuns exploráveis por invasores para obter acesso não autorizado ao sistema.

 

II. Da mesma forma que as ferramentas que executam testes de caixa preta, estes analisadores dinâmicos podem identificar vulnerabilidades do programa, como injeções de SQL, estouros de buffer e similares.

 

III. Este tipo de ferramenta analisa o comportamento do aplicativo, implementando uma análise de segurança contínua, sendo uma das tecnologias de segurança usadas em tempo de execução.

 

Os itens I, II e III correspondem, correta e respectivamente, a

  1. RASP (Runtime Application Self-Protection) − SAST (Static Application Security Testing) − IAST (Interactive Application Security Testing).
  2. IAST (Interactive Application Security Testing) − SAST (Static Application Security Testing) − DAST (Dynamic Application Security Testing).
  3. SAST (Static Application Security Testing) − IAST (Interactive Application Security Testing) − DAST (Dynamic Application Security Testing).
  4. IAST (Interactive Application Security Testing) − SAST (Static Application Security Testing) − RASP (Runtime Application Self-Protection).
  5. SAST (Static Application Security Testing) − DAST (Dynamic Application Security Testing) − RASP (Runtime Application Self-Protection).
Mostrar resposta e comentário

Gabarito

Errado

Comentário do professor

SAST: é a análise do código-fonte sem executá‑lo (static). Atua como teste de caixa‑branca, identificando padrões vulneráveis no próprio código (ex.: usos inseguros de APIs, fluxos lógicos perigosos) antes da entrega. Ferramentas SAST geram avisos correlacionáveis com listas como CWE, facilitando correções precoces e automatização no CI/CD.

DAST: realiza varredura do aplicativo em execução (dynamic), comportando‑se como teste de caixa‑preta. Explora superfícies visíveis (URLs, formulários, cabeçalhos) para detectar falhas observáveis em tempo de execução, como injeções de SQL e outras falhas de validação, simulando ataques reais.

RASP: é proteção integrada ao runtime da aplicação. Monitora o comportamento interno em tempo de execução, detecta e bloqueia tentativas de exploração em tempo real, fornecendo telemetria contextual que complementa SAST/DAST e aumenta a resiliência em produção.

Conteúdo do catálogo FC Concursos · Atualizado em

Continue aprendendo