Questão de Segurança da Informação — OWASP — FCC 2025

OWASP ZAP em pipelines CI/CD

Gabarito: letra D. Para integrar o OWASP ZAP a um pipeline CI/CD, a configuração mais adequada é utilizar a API REST do ZAP para disparar varreduras automáticas durante os builds — é o mecanismo oficial e recomendado para automação, permitindo que o pipeline controle o scanner de forma programática e integre os resultados ao processo de entrega contínua.

O OWASP ZAP (Zed Attack Proxy) é uma ferramenta de código aberto para testes de segurança em aplicações web, mantida pela OWASP Foundation. Ele oferece duas formas principais de interação: uma interface gráfica (GUI) para uso manual e uma API REST que permite automação completa. Em um ambiente de CI/CD, onde o objetivo é executar testes de forma automatizada e repetível a cada build, a API REST é o mecanismo ideal — ela permite que o pipeline (Jenkins, GitLab CI, GitHub Actions, etc.) envie comandos para o ZAP, inicie varreduras, aguarde a conclusão e colete os resultados sem intervenção humana.

A integração típica funciona assim: o pipeline sobe uma instância do ZAP em modo headless (sem interface gráfica), configura o contexto da aplicação a ser testada, inicia uma varredura ativa ou passiva via chamadas à API REST, aguarda o término e então analisa os alertas gerados. Essa abordagem é amplamente documentada e recomendada pela própria OWASP, que fornece exemplos de integração com as principais ferramentas de CI/CD. O uso da API REST também permite que os resultados sejam exportados em formatos estruturados (JSON, XML) e integrados a dashboards de qualidade ou a sistemas de gestão de vulnerabilidades.

A alternativa correta se destaca porque as demais opções apresentam abordagens que não se alinham com a automação eficiente em pipelines:

• A) interceptar requisições manualmente é o oposto da automação — exige intervenção humana a cada build, inviabilizando a integração contínua.

• B) criar scripts personalizados sem depender da API e realizar auditorias manuais também contraria a automação; a API é justamente o mecanismo que permite scripts automatizados.

• C) executar varreduras passivas antes e durante cada build é uma prática válida, mas a alternativa não menciona o mecanismo de automação (a API), tornando-a incompleta em relação ao que se pede.

• E) executar varreduras ativas em endpoints de produção é uma prática arriscada e inadequada — varreduras ativas podem causar danos ou indisponibilidade em sistemas em produção; devem ser realizadas em ambientes de homologação ou staging.

A pegadinha desta questão está em confundir o mecanismo de automação (API REST) com as práticas de varredura (passiva, ativa, manual). O candidato pode ser atraído pela alternativa C, que menciona varreduras passivas — uma prática correta — mas não aborda como automatizá-las no pipeline. A alternativa D é a única que responde diretamente ao comando: "a configuração mais adequada para incluir o OWASP ZAP para testes automatizados de segurança durante os builds".

Alternativa A — ❌ Incorreta

Configurar o ZAP para interceptar requisições manualmente em cada build é o oposto da automação. Em um pipeline CI/CD, o processo deve ser automático e repetível, sem intervenção humana. A interceptação manual é uma técnica de teste exploratório, útil em auditorias pontuais, mas inviável para integração contínua — cada build exigiria um operador dedicado, anulando o propósito do pipeline.

Alternativa B — ❌ Incorreta

Criar scripts personalizados sem depender da API e realizar auditorias manuais também contraria a automação. A API REST do ZAP é justamente o mecanismo que permite a criação de scripts automatizados — sem ela, o controle do scanner fica limitado à interface gráfica ou a comandos de linha de comando, que não oferecem a mesma flexibilidade e integração. A auditoria manual, por sua vez, é complementar, mas não substitui a automação em um pipeline.

Alternativa C — ❌ Incorreta

Executar varreduras passivas antes e durante cada build é uma prática válida de segurança, mas a alternativa não menciona o mecanismo de automação. A pergunta pede a "configuração mais adequada para incluir o OWASP ZAP para testes automatizados" — e a resposta deve indicar como automatizar, não apenas o tipo de varredura. A varredura passiva pode ser automatizada via API REST, mas a alternativa C não aborda isso, tornando-a incompleta.

Alternativa D — ✅ Correta ⟵ GABARITO

Utilizar a API REST do OWASP ZAP para realizar varreduras automáticas nos pipelines de CI/CD é a configuração mais adequada. A API REST permite que o pipeline controle o ZAP de forma programática: iniciar varreduras, aguardar conclusão, coletar resultados e integrá-los ao processo de entrega. É o mecanismo oficial e recomendado pela OWASP para automação, permitindo testes repetíveis e consistentes a cada build.

Alternativa E — ❌ Incorreta

Executar varreduras ativas em endpoints de produção é uma prática arriscada e inadequada. Varreduras ativas enviam payloads maliciosos e podem causar danos, indisponibilidade ou corrupção de dados em sistemas em produção. Devem ser realizadas em ambientes de homologação ou staging, que replicam o ambiente de produção sem os riscos. Além disso, a alternativa não menciona o mecanismo de automação (API REST), focando apenas no tipo de varredura e no ambiente errado.

Gabarito: letra D — a API REST do OWASP ZAP é o mecanismo correto para automatizar varreduras de segurança em pipelines CI/CD.