Uma vulnerabilidade crítica foi identificada em uma biblioteca amplamente utilizada no desenvolvimento de software de um Tribunal
de Justiça. Para avaliar rapidamente quais aplicações podem ser afetadas, inclusive quando a biblioteca está presente por intermédio de outros componentes incorporados ao sistema, a organização deve priorizar a prática de

Question

Uma vulnerabilidade crítica foi identificada em uma biblioteca amplamente utilizada no desenvolvimento de software de um Tribunal
de Justiça. Para avaliar rapidamente quais aplicações podem ser afetadas, inclusive quando a biblioteca está presente por intermédio de outros componentes incorporados ao sistema, a organização deve priorizar a prática de Alternativa A: manter inventários atualizados dos componentes empregados pelas aplicações e das relações existentes entre eles. Ou Alternativa B: monitorar continuamente eventos operacionais e indicadores de desempenho associados à execução dos sistemas. Ou Alternativa C: validara origem e a integridade dos artefatos obtidos de fornecedores externos por meio de mecanismos criptográficos. Ou Alternativa D: estabelecer processos formais para homologação, aprovação e distribuição de bibliotecas utilizadas nos projetos. Ou Alternativa E: registrar e manter o histórico das versões implantadas nos diferentes ambientes ao longo do ciclo de vida do software.

Qconcursos · Accepted Answer

Alternativa [A] manter inventários atualizados dos componentes empregados pelas aplicações e das relações existentes entre eles. Gabarito: AFundamento decisivo: O trecho “inclusive quando a biblioteca está presente por intermédio de outros componentes” exige rastrear dependências transitivas. Para avaliar rapidamente o impacto, é necessário ter inventário dos componentes e das relações entre eles, o que leva ao gabarito A.Tema central: rastreabilidade de dependênciasAnálise das alternativasACertaA alternativa A é a correta porque atende exatamente ao objetivo funcional descrito: descobrir com rapidez quais aplicações podem estar afetadas por uma biblioteca vulnerável, inclusive quando ela aparece de forma indireta. Isso exige visibilidade estrutural sobre quais componentes cada aplicação usa e como esses componentes se relacionam entre si. Esse é o critério técnico decisivo: rastreabilidade de dependências diretas e transitivas.BErradaEstá errada porque monitoramento operacional e indicadores de desempenho tratam do comportamento do sistema em execução. Isso não resolve, por si, o mapeamento estrutural da cadeia de componentes nem permite identificar com confiabilidade bibliotecas embutidas por dependência indireta.CErradaEstá errada porque validar origem e integridade dos artefatos cuida de procedência e não adulteração. Esse controle não informa em quais aplicações a biblioteca vulnerável está presente nem por quais outros componentes ela foi incorporada.DErradaEstá errada porque homologação, aprovação e distribuição formal de bibliotecas são práticas de governança. Elas não bastam para mapear rapidamente as dependências já existentes nas aplicações, especialmente as transitivas mencionadas no enunciado.EErradaEstá errada porque manter histórico das versões implantadas é controle de configuração e auditoria. Sem o mapa das relações entre componentes, isso não garante identificar a presença indireta da biblioteca vulnerável por intermédio de outros componentes.Pegadinha da questãoA confusão real era trocar rastreabilidade de dependências por práticas que são úteis em segurança e gestão — como monitoramento, validação de artefatos, governança de bibliotecas ou histórico de versões — mas que não entregam, por si, visibilidade sobre dependências transitivas.Dica para questões semelhantesSe o enunciado pedir identificar impacto de biblioteca usada “por intermédio” de outros componentes, procure a alternativa que permita enxergar dependências transitivas.Quando a tarefa é descobrir rapidamente quais sistemas são afetados, a prática prioritária é estrutural/configuracional, não operacional.Inventário sem relações entre componentes é insuficiente para impacto indireto; o ponto decisivo é o mapeamento das dependências.Não confunda procedência, homologação ou versionamento com rastreamento de presença de componentes nas aplicações.

🎯 Saiba o que estudar

🎯 Saiba o que estudar

Uma vulnerabilidade crítica foi identificada em uma bibliote...

Gabarito comentado

Gabarito: A

Clique para visualizar este gabarito

Questões de assuntos semelhantes

Provas relacionadas