Questão de Segurança da Informação — Segurança de sistemas de informação — CESGRANRIO 2024
Segurança da Informação›Segurança de sistemas de informação
Código
cg020913
Banca
CESGRANRIO
Órgão
BNDES
Ano
2024
Nível
Superior
Cargo
Analista - Análise de Sistemas - Cibersegurança (Manhã)
O OWASP Top 10 apresenta as categorias de riscos de segurança mais críticos de aplicações Web, verificadas durante um certo período de avaliação e serve como um guia para profissionais de segurança e desenvolvedores de sistemas. Num dos cenários de ataque apresentados na publicação de 2021, um invasor monitora uma aplicação Web que não usa nem força o uso do TLS (Transport Layer Security), o que possibilita que um invasor monitore o tráfego de rede (por exemplo, em uma rede sem fio insegura), intercepte solicitações e roube o cookie de sessão do usuário.Esse cenário de ataque é apontado na categoria de risco de segurança
AInjection
BCryptographic Failures
CBroken Access Control
DServer Side Request Forgery
EVulnerable and Outdated Components
Revelar gabarito e comentário▾
GabaritoB — Cryptographic Failures
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
OWASP Top 10 2021 – Cryptographic Failures
Gabarito: letra B. O cenário descreve uma aplicação web que não usa TLS, permitindo que um invasor monitore o tráfego e roube cookies de sessão. Essa situação se enquadra na categoria A02:2021 – Cryptographic Failures (Falhas Criptográficas), que abrange problemas relacionados à falta de criptografia em trânsito ou em repouso, uso de algoritmos fracos, etc. A ausência de TLS é um exemplo clássico de falha criptográfica.
Categoria OWASP (2021)
Descrição
Relação com o cenário
A02:2021 – Cryptographic Failures
Falhas relacionadas à falta ou uso inadequado de criptografia (dados em trânsito/repouso, algoritmos fracos).
✅ Causa raiz: ausência de TLS, permitindo interceptação de tráfego e roubo de cookie de sessão.
A01:2021 – Broken Access Control
Falhas na autorização que permitem acesso não autorizado a funcionalidades/dados.
❌ Consequência indireta (roubo de cookie), mas não a causa raiz.
A03:2021 – Injection
Envio de dados não confiáveis a um interpretador (SQL, NoSQL, OS Command).
❌ Não há injeção de comandos no cenário.
A06:2021 – Vulnerable and Outdated Components
Uso de componentes com vulnerabilidades conhecidas.
❌ Não há menção a componentes obsoletos.
A10:2021 – Server Side Request Forgery
Servidor faz requisições a URLs fornecidas pelo usuário sem validação.
❌ Não há requisições servidor-side no cenário.
Alternativa A — ❌ Incorreta
Injection (A03) refere-se a ataques como SQL, NoSQL, OS Command Injection, nos quais dados não confiáveis são enviados a um interpretador. O cenário não envolve injeção de comandos, mas sim interceptação de tráfego.
Alternativa B — ✅ Correta ⟵ GABARITO
Cryptographic Failures (A02:2021) cobre justamente a falta de proteção criptográfica. O OWASP define que "a primeira ação é determinar a necessidade de proteção dos dados em trânsito e em repouso". A ausência de TLS é uma falha criptográfica típica.
Alternativa C — ❌ Incorreta
Broken Access Control (A01) refere-se a falhas na autorização de usuários, permitindo acesso não autorizado a funcionalidades ou dados. Embora o roubo de cookie possa levar a acesso não autorizado, a causa raiz é a falta de criptografia, não um problema de controle de acesso.
Alternativa D — ❌ Incorreta
Server Side Request Forgery (A10) ocorre quando um servidor faz requisições a URLs fornecidas pelo usuário sem validação. Não há menção a requisições servidor-side no cenário.
Alternativa E — ❌ Incorreta
Vulnerable and Outdated Components (A06) trata do uso de componentes com vulnerabilidades conhecidas. O cenário não cita componentes obsoletos, apenas a falta de TLS.
NÃO CAIA NESSA!
A banca pode induzir o candidato a escolher "Broken Access Control" (alternativa C), pois o roubo de cookie sugere acesso não autorizado. No entanto, a classificação do OWASP foca na causa: a ausência de criptografia. Lembre-se: a categoria A02 é sobre falhas criptográficas, e a falta de TLS é um exemplo clássico.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)