Questões de Concurso sobre DAST (Dynamic Application Security Testing)

Um estudante de segurança da informação realizou uma avaliação de segurança de uma aplicação web em ambiente de testes, e acessou a aplicação por meio de um navegador, inserindo o seguinte código em um campo de entrada de dados:

<script>alert('teste')</script>

Ao submeter a requisição, a aplicação retornou uma resposta que resultou na exibição de um alerta no navegador, evidenciando a execução do script inserido.

A técnica empregada caracteriza um tipo de análise de software conhecido como

A análise estática de um vírus se concentra na execução do código malicioso em um ambiente controlado, como uma sandbox, a fim de se observar seu comportamento dinâmico no que concerne, por exemplo, a chamadas de sistema, modificações no registro e comunicações de rede.

No contexto de análise dinâmica de código de malware, é correto afirmar:

Uma das estratégias avançadas do DevSecOps para a garantia da segurança do software em ambientes de nuvem é a implementação de

Durante a fase de testes de segurança de uma aplicação, um analista submete entradas de dados aleatórias e inválidas com o objetivo de explorar falhas na manipulação de buffers ou exceções não tratadas. Essas entradas são alimentadas através de uma interface web, onde o sistema deve ser capaz de lidar com erros sem comprometer a segurança ou estabilidade. O analista observa e registra as falhas para posterior correção. Assinale a técnica que melhor descreve esse procedimento de testes.

O time de DevSecOps está avaliando duas ferramentas de teste de segurança. A Ferramenta A verifica a aplicação em execução, simulando ataques externos através da interface web. A Ferramenta B analisa o código-fonte estaticamente, sem executá-lo, em busca de padrões de código inseguros.

A Ferramenta A e a Ferramenta B são exemplos dos seguintes tipos de análise de segurança, respectivamente,

“O teste de ____________ é um método de teste de intrusão em que o testador tem um conhecimento limitado ou nulo sobre a infraestrutura interna do sistema alvo. Nesse tipo de teste, o intruso simula um ataque externo, comum por parte de indivíduos mal-intencionados que não têm acesso prévio às informações detalhadas do sistema. Esse tipo de abordagem é útil para entender como um atacante pode explorar vulnerabilidades visíveis sem o conhecimento do ___________ do sistema. Além disso, esse método também ajuda a avaliar a eficácia das políticas de ____________ e resposta a ____________ de uma organização a partir de uma perspectiva externa.” Assinale a alternativa que completa correta e sequencialmente a afirmativa anterior.

Em uma empresa, foi resolvido, para aumentar o grau de segurança da rede, instalar uma solução de segurança baseada no método Breach and Attack Simulation (BAS). Para que essa solução seja bem-sucedida, é necessário que seja conduzido o ciclo de vida dessa solução na ordem correta e de forma plena.

Sendo assim, esse ciclo de vida de testes BAS precisa ser constituído das seguintes etapas:

Integração, entrega e implementação contínuas e com segurança em todo o ciclo de vida do desenvolvimento de software são os princípios básicos do DevOps.

Considerando os desafios complexos relacionados à segurança em Banco de Dados e Desenvolvimento Seguro de Software, qual das seguintes estratégias representa uma abordagem avançada para mitigar riscos de segurança e proteger efetivamente dados sensíveis?

Uma das diferenças entre DAST e SAST é que enquanto o primeiro é uma abordagem de caixa preta, sem acesso ao código-fonte, o outro, é uma abordagem de caixa branca, que analisa o código fonte durante a fase de desenvolvimento.