Questão de Segurança da Informação — DevSecOps — CESPE / CEBRASPE 2024

DevSecOps e testes de segurança dinâmica (DAST)

✅ CERTO. A afirmação está correta: no DevSecOps, a realização de testes de segurança apoia-se, entre outras técnicas, no uso de ferramentas de teste dinâmico de segurança de aplicativos (DAST), e o OWASP é uma referência reconhecida nesse contexto, com ferramentas como o OWASP ZAP. O item está em conformidade com as boas práticas de DevSecOps, que integram segurança em todo o ciclo de desenvolvimento.

O DevSecOps (Development, Security e Operations) é uma abordagem que integra a segurança como responsabilidade compartilhada em todo o ciclo de vida da TI, desde o planejamento até a operação. Diferentemente do modelo tradicional, em que a segurança era tratada apenas no final do processo, o DevSecOps busca "shift left", ou seja, antecipar as práticas de segurança para as fases iniciais do desenvolvimento. Nesse contexto, os testes de segurança são fundamentais e podem ser classificados em diferentes categorias, conforme o momento e a forma de análise.

As principais categorias de testes de segurança de aplicações são:

• SAST (Static Application Security Testing): análise estática do código-fonte, antes da execução, para identificar vulnerabilidades como injeção SQL e XSS. Ferramentas: SonarQube, Checkmarx, Veracode.

• DAST (Dynamic Application Security Testing): análise dinâmica, testando a aplicação em execução, simulando ataques externos para identificar falhas exploráveis, como problemas de autenticação e vazamento de dados. Ferramentas: OWASP ZAP, Burp Suite, Acunetix.

• IAST (Interactive Application Security Testing): combina técnicas de SAST e DAST, analisando a aplicação durante sua execução, fornecendo informações detalhadas sobre falhas. Ferramentas: HCL AppScan, Contrast Security.

• RASP (Runtime Application Self-Protection): protege a aplicação em tempo real, detectando e bloqueando ataques enquanto ocorrem. Ferramentas: Imperva RASP, Signal Sciences.

O OWASP (Open Web Application Security Project) é uma comunidade mundial que publica padrões, ferramentas e documentos voltados à segurança de aplicações web. O OWASP ZAP (Zed Attack Proxy) é uma das ferramentas DAST mais conhecidas, amplamente utilizada em testes de penetração e varredura de vulnerabilidades em aplicações web. Portanto, a afirmação de que a realização de testes no DevSecOps apoia-se no uso de ferramentas DAST com base nas recomendações do OWASP é verdadeira.

A pegadinha que a banca poderia explorar é a confusão entre SAST e DAST: enquanto o SAST analisa o código-fonte estaticamente, o DAST testa a aplicação em execução. O item menciona explicitamente "teste dinâmico", o que remete ao DAST, e o OWASP é uma referência válida nesse contexto. Portanto, não há erro na afirmação.

Item — ✅ CERTO

A afirmação está correta porque:

1. DAST é uma prática de teste dinâmico: o DAST (Dynamic Application Security Testing) realiza testes na aplicação em execução, simulando ataques externos, o que está alinhado com a descrição do item.

2. OWASP é referência em segurança de aplicações: o OWASP fornece ferramentas e recomendações amplamente adotadas, como o OWASP ZAP, que é uma ferramenta DAST.

3. DevSecOps integra segurança em todo o ciclo: a realização de testes de segurança, incluindo DAST, é parte essencial das práticas de DevSecOps, que buscam identificar e corrigir vulnerabilidades de forma contínua.

Portanto, o item está CERTO.

Gabarito: ✅ CERTO.