FC ConcursosFC Concursos

Questão FC406898

Em um cenário de segurança da informação, uma determinada vulnerabilidade permite que um atacante force um usuário final a executar ações indesejadas em uma aplicação web na qual e

Ameaças aos Sistemas Computacionais

FGV · 2024

Em um cenário de segurança da informação, uma determinada vulnerabilidade permite que um atacante force um usuário final a executar ações indesejadas em uma aplicação web na qual ele está autenticado.

 

Isso é feito por meio de solicitações HTTP forjadas vindas de um site controlado pelo atacante. Esta técnica explora a confiança que uma aplicação web tem no usuário, permitindo o ataque sem que o usuário esteja ciente de sua ação.

 

Esta vulnerabilidade pode ser explorada em diversos contextos, incluindo hardware, software, sistemas operacionais, aplicações, bancos de dados, redes, pessoas e ambientes físicos, uma vez que depende da interação do usuário com uma aplicação web através de um navegador.

 

Nesse contexto, a vulnerabilidade de segurança descrita é chamada

  1. SQL Injection.
  2. Cross-Site Scripting (XSS).
  3. Cross-Site Request Forgery (CSRF).
  4. Man-in-the-Middle (MitM).
  5. Spoofing.
Mostrar resposta e comentário

Gabarito

Certo

Comentário do professor

O ataque conhecido como Cross-Site Request Forgery (CSRF) força um usuário autenticado a executar ações indesejadas em uma aplicação web por meio de requisições HTTP forjadas, normalmente originadas de uma página controlada pelo atacante, sem o usuário perceber.


Ele explora o fato de que navegadores enviam automaticamente credenciais (cookies, tokens de sessão) nas requisições; assim, uma chamada mal formada ao servidor alvo pode ser tratada como legítima.


Os efeitos são mudanças de estado no sistema: transferências, alterações de conta, configurações e outras operações sensíveis realizadas com a sessão válida da vítima.


Controles eficazes incluem tokens anti-CSRF únicos por sessão ou formulário, verificação dos cabeçalhos Origin/Referer, cookies com atributo SameSite, dupla submissão de token e exigir reautenticação/confirmacao para ações críticas.


Frameworks e bibliotecas modernas já oferecem proteção contra CSRF; adotá-las e empregar múltiplas camadas de defesa é a prática recomendada.

Conteúdo do catálogo FC Concursos · Atualizado em

Continue aprendendo