Com relação aos Kubernetes, aos containers e ao DevSecOps, julgue o item abaixo:
A análise de código estático é fundamental no DevSecOps, para se identificar vulnerabilidades de segurança no código‑fonte durante o desenvolvimento.
GabaritoC — Certo
✅ CERTO. A análise de código estático — também conhecida como SAST (Static Application Security Testing) — é, de fato, uma prática fundamental no DevSecOps, pois permite identificar vulnerabilidades de segurança no código-fonte durante o desenvolvimento, antes mesmo da execução do software. Essa é uma das aplicações do princípio shift left, que move a segurança para o início do ciclo de vida do desenvolvimento.
O DevSecOps é uma abordagem que integra segurança como responsabilidade compartilhada em todas as fases do ciclo de vida da TI — do planejamento à implantação e monitoramento contínuo. Nesse contexto, a análise estática entra como uma das principais ferramentas de segurança na fase de codificação, complementando outras técnicas como DAST (análise dinâmica), IAST (análise interativa) e RASP (proteção em tempo de execução).
A análise estática examina o código-fonte sem executá-lo, procurando padrões de código inseguro, como uso inadequado de funções perigosas, falta de validação de entrada, exposição de dados sensíveis e outras vulnerabilidades conhecidas. Ferramentas como SonarQube, Checkmarx e Veracode são exemplos clássicos de SAST. O objetivo é detectar problemas o mais cedo possível, reduzindo custos de correção e evitando que vulnerabilidades cheguem à produção.
A banca explora aqui um conceito central do DevSecOps: a segurança proativa e integrada ao desenvolvimento, em oposição à abordagem reativa de testar segurança apenas no final do ciclo. A afirmação está perfeitamente alinhada com essa filosofia — a análise estática é, por definição, uma prática de shift left.
O contexto traz a definição de SAST como "análise estática do código antes da execução para detectar vulnerabilidades", confirmando a literalidade da afirmação.
A afirmação está correta porque:
A análise estática (SAST) é realizada durante o desenvolvimento, examinando o código-fonte sem executá-lo.
O DevSecOps prega a integração da segurança em todas as fases do ciclo de vida, e a análise estática é uma das ferramentas-chave para a fase de codificação.
O princípio shift left — mover a segurança para o início do processo — é uma das melhores práticas do DevSecOps, e a análise estática é sua aplicação mais direta.
A banca não trocou termos nem inverteu conceitos: a afirmação espelha exatamente o papel do SAST no DevSecOps.
Gabarito: ✅ CERTO
Link permanente: /questoes/qa632792