Pular para o conteúdo principal

Questão de Segurança da Informação — Análise de Vulnerabilidade e Gestão de Riscos — FUNDATEC 2025

Segurança da InformaçãoAnálise de Vulnerabilidade e Gestão de Riscos
Código
qg475018
Banca
FUNDATEC
Órgão
PROCERGS
Ano
2025
Nível
Superior
Cargo
Analista em Computação/Ênfase em Segurança da Informação
Uma empresa está modernizando seu processo de desenvolvimento adotando o Azure DevOps e aplicando as diretrizes do Secure Development Lifecycle (SDL). O pipeline de CI/CD foi configurado para incluir SAST usando o SonarQube e DAST com o OWASP ZAP. O objetivo é reduzir falhas de segurança desde a codificação até a execução em ambientes de teste. Em relação ao contexto apresentado, analise as assertivas a seguir:I. O SAST (SonarQube) deve rodar durante as etapas de build no Azure DevOps, analisando o código-fonte para encontrar vulnerabilidades como injeção de SQL e falhas de autenticação, podendo bloquear a pipeline antes do deploy.II. O DAST (OWASP ZAP) deve ser executado no ambiente de testes, realizando ataques simulados contra o aplicativo já em execução, detectando problemas como configurações inseguras de HTTP headers e falhas de autorização.III. O DAST depende de acesso ao código-fonte para localizar vulnerabilidades em tempo de execução.IV. A execução combinada de SAST e DAST no pipeline cobre vulnerabilidades tanto estáticas (no código) quanto dinâmicas (em runtime), fortalecendo a segurança em múltiplas camadas.Quais estão corretas?
  1. AApenas I e II.
  2. BApenas II e III.
  3. CApenas III e IV.
  4. DApenas I, II e IV.
  5. EI, II, III e IV.
Revelar gabarito e comentário

GabaritoD — Apenas I, II e IV.

Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.

SAST e DAST em pipeline CI/CD

Gabarito: letra D (Apenas I, II e IV). O SAST analisa código-fonte estaticamente durante a build; o DAST testa a aplicação em execução, sem necessidade de acesso ao código. O item III erra justamente ao afirmar que o DAST depende de código-fonte.

Ferramenta/Técnica

Tipo de Análise

Momento no Pipeline

Acesso ao Código-Fonte

Exemplos de Vulnerabilidades Detectadas

SAST (SonarQube)

Estática (código-fonte)

Durante a build

Sim

Injeção de SQL, falhas de autenticação

DAST (OWASP ZAP)

Dinâmica (aplicação em execução)

Após deploy em ambiente de teste

Não

Cabeçalhos HTTP inseguros, falhas de autorização

Testes de segurança em CI/CD
  • 1SAST (estático)
    • Durante o build
    • Analisa código-fonte
    • Ex.: injeção de SQL, autenticação
    • Pode bloquear o deploy
  • 2DAST (dinâmico)
    • Em ambiente de testes
    • Aplicação em execução
    • Ex.: HTTP headers, autorização
    • Não precisa de código-fonte
LEVEL · soulevel.com.br

Item I — ✅ Correto

O SAST (SonarQube) é executado na etapa de build, escaneando o código-fonte para detectar vulnerabilidades como injeção de SQL e falhas de autenticação. Pode interromper a pipeline antes do deploy se encontrar problemas críticos.

Item II — ✅ Correto

O DAST (OWASP ZAP) é executado no ambiente de testes contra a aplicação já em execução. Ele realiza ataques simulados para identificar problemas como cabeçalhos HTTP inseguros e falhas de autorização.

Item III — ❌ Incorreto ⟵ GABARITO

O DAST não depende de acesso ao código-fonte. Ele testa a aplicação em runtime, agindo como um atacante externo. Essa é uma característica do SAST, que analisa o código estático. A afirmação inverte os conceitos.

Item IV — ✅ Correto

A combinação de SAST (estático) e DAST (dinâmico) no pipeline cobre vulnerabilidades tanto no código quanto em tempo de execução, fortalecendo a segurança em múltiplas camadas.

Gabarito: letra D — corretos os itens I, II e IV.

Link permanente: /questoes/qg475018