FC ConcursosFC Concursos

Questão FC890703

O departamento de TI de um tribunal migrou seu sistema de consulta processual para um provedor de nuvem pública, adotando o modelo PaaS (Platform as a Service) por meio de um servi

Ameaças aos Sistemas Computacionais

FGV · 2026

O departamento de TI de um tribunal migrou seu sistema de consulta processual para um provedor de nuvem pública, adotando o modelo PaaS (Platform as a Service) por meio de um serviço de Web App gerenciado. Seis meses após a migração, o sistema sofreu uma invasão que resultou na exfiltração de dados. A perícia forense digital concluiu que:

 

• o código-fonte da aplicação desenvolvido pelo tribunal seguia as práticas seguras da OWASP;

• as credenciais e o gerenciamento de identidade (IAM) estavam configurados corretamente pelo Tribunal; e

• a invasão ocorreu estritamente devido à exploração de uma vulnerabilidade conhecida (CVE) e não corrigida no kernel do sistema operacional do servidor que hospedava o ambiente de execução (runtime).

 

Considerando o Modelo de Responsabilidade Compartilhada aplicável a serviços PaaS, é correto afirmar que a responsabilidade pela falha de segurança que permitiu o incidente é:

  1. do tribunal, pois a segurança dos dados e da aplicação é de responsabilidade do cliente e, ao escolher um ambiente compartilhado, o cliente assume o risco residual das vulnerabilidades do sistema operacional subjacente;
  2. do provedor de nuvem, pois no modelo PaaS a gestão do sistema operacional, incluindo a aplicação de patches de segurança e a manutenção do ambiente de execução (runtime), é de responsabilidade exclusiva do fornecedor da plataforma;
  3. compartilhada, pois, embora o provedor gerencie o hardware, o tribunal tem a obrigação de instalar agentes de segurança baseados em host (HIDS) para monitorar a integridade do sistema operacional, mesmo em ambientes gerenciados;
  4. do tribunal, visto que a aplicação de correções no sistema operacional convidado (Guest OS) é uma responsabilidade do cliente em todos os modelos de serviço (IaaS, PaaS e SaaS), exceto quando contratado um serviço de suporte premium dedicado;
  5. do provedor de nuvem, apenas se o contrato de nível de serviço (SLA) especificar explicitamente a versão do kernel a ser utilizada; caso contrário, a responsabilidade recai sobre o tribunal por não ter auditado a infraestrutura subjacente antes do deploy.
Mostrar resposta e comentário

Gabarito

B

Comentário do professor

Modelo de Responsabilidade Compartilhada em PaaS atribui ao provedor a gestão da camada de plataforma: infraestrutura física, sistema operacional, middleware e runtime. Cabe ao cliente gerenciar apenas sua aplicação e seus dados.

No caso, a invasão resultou da exploração de uma vulnerabilidade conhecida no kernel do sistema operacional do servidor de execução. A aplicação seguia práticas OWASP e o IAM estava correto, portanto o ponto de falha foi a camada gerida pelo provedor.

Como a aplicação de patches e a manutenção do runtime são responsabilidades do fornecedor em PaaS, a obrigação por corrigir a CVE e evitar a exfiltração de dados recai sobre o provedor de nuvem.

Conteúdo do catálogo FC Concursos · Atualizado em

Continue aprendendo