Questão FC891032
Uma forma de prevenção contra o tipo de ciberataque conhecido como SSRF, presente na lista OWASP Top 10 de 2021, consiste em
Ameaças aos Sistemas Computacionais
Vunesp 2 · 2025
Uma forma de prevenção contra o tipo de ciberataque conhecido como SSRF, presente na lista OWASP Top 10 de 2021, consiste em
- usar HTTP no lugar de HTTPS, na aplicação web que seria potencial alvo de ataque, uma vez que o ataque SSRF explora vulnerabilidades do protocolo TLS 1.2.
- solicitar aos usuários da aplicação web que seria potencial alvo de ataque que utilizem o recurso de “navegação anônima” do navegador, evitando o salvamento de cookies no lado do usuário.
- criar uma “lista positiva” de URLs que podem ser acessadas a partir do servidor que hospeda a aplicação web potencial alvo de ataque, não permitindo o acesso a outras URLs.
- substituir, no contexto da aplicação web que seria potencial alvo de ataque, o uso de bancos de dados relacionais por bancos de dados do tipo NoSQL.
- hospedar a aplicação web que seria potencial alvo de ataque em servidores on-premises em vez de nuvens públicas, considerando que o mesmo ambiente de execução seria montado nos dois casos
Mostrar resposta e comentário
Gabarito
Certo
Comentário do professor
A alternativa indica a adoção de uma lista positiva (allowlist) de URLs que o servidor pode acessar, o que é uma medida direta contra SSRF. Ao permitir apenas destinos explicitamente autorizados, evita-se que a aplicação realize requisições a endereços internos ou a serviços sensíveis controlados por um atacante.
Na prática, é necessário normalizar e validar o URL recebido, resolver o DNS e verificar o endereço IP resultante para impedir evasões (por exemplo via nomes que apontam para IPs privados, loopback ou ranges reservados). Também limite os esquemas permitidos (por exemplo http/https) e as portas.
Essa defesa funciona melhor combinada com controles de rede (regras de saída/egress) e princípio do menor privilégio, reduzindo significativamente a superfície explorável por SSRF.
Conteúdo do catálogo FC Concursos · Atualizado em