Questão de Segurança da Informação — Análise de Vulnerabilidade e Gestão de Riscos — FGV 2026

Segurança da Informação – Análise de Vulnerabilidades

Gabarito: letra A. A falha de detecção ocorreu porque o pipeline não possuía uma ferramenta de Análise de Composição de Software (SCA), que é a responsável por identificar vulnerabilidades conhecidas (CVE) em dependências diretas e, principalmente, em dependências transitivas (indiretas). SAST analisa código-fonte estático, DAST testa a aplicação em execução e o monitoramento em produção é reativo — nenhum deles é capaz de detectar uma biblioteca com CVE em uma dependência indireta que não foi explicitamente incluída no código.

Alternativa A — ✅ Correta ⟵ GABARITO

A ausência de SCA no pipeline explica diretamente o fato de a vulnerabilidade em uma dependência indireta não ter sido alertada. SCA é a prática específica para inventariar e verificar componentes de software (incluindo os transitivos) contra bancos de dados de vulnerabilidades como o NVD, que cataloga CVEs. Sem essa análise, mesmo que o CVE seja conhecido, o time não é notificado.

Alternativa B — ❌ Incorreta

O SAST analisa fluxos estáticos do código fonte, mas não é projetado para detectar vulnerabilidades em dependências de terceiros. A limitação apontada (fluxos dinâmicos) não é o problema central — mesmo um SAST perfeito não encontraria uma CVE em uma biblioteca indireta, a menos que o código fonte da biblioteca também fosse analisado. O erro aqui é confundir a finalidade do SAST.

Alternativa C — ❌ Incorreta

DAST testa a aplicação em funcionamento, mas depende de cobertura de testes para encontrar vulnerabilidades exploráveis. No entanto, o problema não é falta de cobertura: a vulnerabilidade estava em uma dependência indireta que, mesmo sendo exercitada, não seria identificada como um CVE conhecido pelo DAST, a menos que o DAST tivesse um mecanismo de correlação com bases de CVE. A afirmação não explica por que o alerta não ocorreu.

Alternativa D — ❌ Incorreta

O monitoramento em produção é inerentemente reativo — ele detecta atividades suspeitas após a exploração. A questão é que a detecção falhou antes do deploy, pois o pipeline não alertou. O monitoramento não é o responsável pela detecção prévia; sua natureza reativa não é a causa primária da falha. A ausência de SCA é anterior a qualquer monitoramento.

Alternativa E — ❌ Incorreta

Testes funcionais visam validar o comportamento esperado da aplicação, não identificar vulnerabilidades de segurança em dependências. Mesmo que existissem testes cobrindo cenários de falha, eles não substituem uma análise de composição de software para detectar CVEs em bibliotecas de terceiros.