FC ConcursosFC Concursos

Questão FC890725

A equipe de segurança da informação do TJRJ realizou um pentest em uma aplicação web responsável pelo gerenciamento de documentos. O pentester conseguiu manipular parâmetros de uma

Frameworks de Segurança da Informação e Segurança Cibernética

FGV · 2026

A equipe de segurança da informação do TJRJ realizou um pentest em uma aplicação web responsável pelo gerenciamento de documentos. O pentester conseguiu manipular parâmetros de uma requisição HTTP de forma a injetar um código Javascript malicioso no servidor web. O código injetado foi inadvertidamente inserido pelo servidor em meio a uma página web devolvida a um usuário logado. O navegador web do usuário logado executou o código malicioso e permitiu a exfiltração de dados sensíveis.

 

Uma mitigação eficaz e imediata para esse tipo de ataque, em conformidade com as recomendações do OWASP Top 10, é:

  1. implementar um sistema de autenticação multifator (MFA) para todos os usuários da aplicação;
  2. implementar um Web Application Firewall (WAF) com regras de detecção de ataques XSS;
  3. realizar uma análise estática do código-fonte da aplicação para identificar e corrigir vulnerabilidades;
  4. utilizar Content Security Policy (CSP) para restringir as fontes de onde o navegador pode carregar recursos;
  5. aplicar os devidos patches de segurança no servidor web e bloquear o carregamento da página em navegadores inseguros.
Mostrar resposta e comentário

Gabarito

D

Comentário do professor

A implementação de Content Security Policy (CSP) consiste em enviar o cabeçalho Content-Security-Policy que informa ao navegador quais origens são permitidas para scripts, estilos, imagens e conexões.

Configurando diretivas como script-src sem unsafe-inline e usando nonce ou hash, o navegador rejeita scripts injetados mesmo que venham do servidor. Isso evita que código Javascript malicioso seja executado no contexto do usuário.

Além disso, a diretiva connect-src restringe destinos para chamadas de rede, bloqueando tentativas de exfiltração de dados para servidores controlados pelo atacante.

CSP é uma mitigação imediata e aplicável via servidor ou gateway, recomendada pelo OWASP, que reduz o impacto do XSS enquanto a correção definitiva no código é realizada.

Conteúdo do catálogo FC Concursos · Atualizado em

Continue aprendendo