Pular para o conteúdo principal

Questão de Engenharia de Software — Desenvolvimento de Software — FCC 2022

Engenharia de SoftwareDesenvolvimento de Software
Código
fc062360
Banca
FCC
Órgão
PGE-AM
Ano
2022
Cargo
Técnico em Gestão Procuratorial Especialidade Engenharia de Software
A transição de DevOps para DevSecOps requer a compreensão e utilização de técnicas e práticas específicas que podem garantir a segurança do software. Uma especialista em Engenharia de Software recomendou, dentre outras, as seguintes ferramentas e tecnologias para essa transição em uma empresa:I. É usado para verificar o código sem realmente executá-lo. Este tipo de ferramenta ajuda a encontrar vulnerabilidades em potencial no código-fonte, evitando que ocorram várias vulnerabilidades do tipo zero-day. Common Weakness Enumeration (CWE) é uma das classificações de avisos mais comuns produzidos por estas ferramentas. CWE é uma lista oficial ou dicionário de pontos fracos de segurança comuns exploráveis por invasores para obter acesso não autorizado ao sistema.II. Da mesma forma que as ferramentas que executam testes de caixa preta, estes analisadores dinâmicos podem identificar vulnerabilidades do programa, como injeções de SQL, estouros de buffer e similares.III. Este tipo de ferramenta analisa o comportamento do aplicativo, implementando uma análise de segurança contínua, sendo uma das tecnologias de segurança usadas em tempo de execução.Os itens I, II e III correspondem, correta e respectivamente, a
  1. ARASP (Runtime Application Self-Protection) − SAST (Static Application Security Testing) − IAST (Interactive Application Security Testing).
  2. BIAST (Interactive Application Security Testing) − SAST (Static Application Security Testing) − DAST (Dynamic Application Security Testing).
  3. CSAST (Static Application Security Testing) − IAST (Interactive Application Security Testing) − DAST (Dynamic Application Security Testing).
  4. DIAST (Interactive Application Security Testing) − SAST (Static Application Security Testing) − RASP (Runtime Application Self-Protection).
  5. ESAST (Static Application Security Testing) − DAST (Dynamic Application Security Testing) − RASP (Runtime Application Self-Protection).
Revelar gabarito e comentário

GabaritoE — SAST (Static Application Security Testing) − DAST (Dynamic Application Security Testing) − RASP (Runtime Application Self-Protection).

Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.

Ferramentas de Segurança no DevSecOps: SAST, DAST e RASP

Gabarito: letra E. A sequência correta é SAST (Item I), DAST (Item II) e RASP (Item III). O Item I descreve análise estática de código (SAST), o Item II descreve análise dinâmica de caixa-preta (DAST) e o Item III descreve proteção em tempo de execução (RASP).

A questão cobra o conhecimento das principais ferramentas e técnicas de segurança integradas ao ciclo DevSecOps. Cada uma atua em um momento diferente do ciclo de vida do software.

Item I — ✅ SAST (Static Application Security Testing)

O texto descreve uma ferramenta que "verifica o código sem realmente executá-lo", identificando vulnerabilidades no código-fonte. Isso é exatamente o SAST, que realiza análise estática (white-box). A menção à CWE (Common Weakness Enumeration) como classificação comum reforça essa identificação, pois SAST reports frequentemente usam CWE.

Item II — ✅ DAST (Dynamic Application Security Testing)

"Analisadores dinâmicos" que "identificam vulnerabilidades do programa, como injeções de SQL, estouros de buffer" e que agem como testes de caixa-preta. O DAST testa a aplicação em execução, simulando ataques externos, sem acesso ao código-fonte. É a ferramenta dinâmica por excelência.

Item III — ✅ RASP (Runtime Application Self-Protection)

A descrição fala em "analisar o comportamento do aplicativo" com "análise de segurança contínua" e "tecnologias de segurança usadas em tempo de execução". O RASP é uma tecnologia que se integra ao runtime da aplicação para detectar e bloquear ataques em produção, oferecendo proteção contínua. Não se confunde com IAST, que é uma técnica de teste interativo (combina análise estática e dinâmica durante o desenvolvimento).

Ferramenta

Característica Principal

Momento de Atuação

SAST

Análise estática do código-fonte

Antes da execução (build/commit)

DAST

Testes dinâmicos de caixa-preta

Durante a execução (teste/homologação)

RASP

Proteção em tempo de execução

Em produção (runtime)

Análise das Alternativas

Alternativa A — ❌ Incorreta

RASP (I), SAST (II), IAST (III). Inverte os itens: I é SAST, não RASP; II é DAST, não SAST; III é RASP, não IAST.

Alternativa B — ❌ Incorreta

IAST (I), SAST (II), DAST (III). I é SAST, não IAST; II é DAST, não SAST; III é RASP, não DAST.

Alternativa C — ❌ Incorreta

SAST (I), IAST (II), DAST (III). II é DAST, não IAST; III é RASP, não DAST.

Alternativa D — ❌ Incorreta

IAST (I), SAST (II), RASP (III). I é SAST, não IAST.

Alternativa E — ✅ Correta ⟵ GABARITO

SAST (I), DAST (II), RASP (III). Sequência correta e completa, conforme análise dos itens.

NÃO CAIA NESSA!

Para memorizar, associe cada sigla à letra inicial: S (SAST) = Stático / código-fonte; D (DAST) = Dinâmico / em execução; R (RASP) = Runtime / proteção contínua. Nas provas, a banca costuma trocar IAST e RASP – lembre-se: IAST é uma técnica de teste interativo (não é proteção contínua), enquanto RASP age em produção.

Gabarito: letra E.

Link permanente: /questoes/fc062360