Os principais riscos no desenvolvimento software são decorrentes
de vulnerabilidades existentes na aplicação. Segundo OWASP Top
Ten 2021 e OWASP Top Ten 2025, uma preocupante questão se
refere ao risco de configuração Insegura, que decorre de

Question

Os principais riscos no desenvolvimento software são decorrentes
de vulnerabilidades existentes na aplicação. Segundo OWASP Top
Ten 2021 e OWASP Top Ten 2025, uma preocupante questão se
refere ao risco de configuração Insegura, que decorre de  Alternativa A: ameaça provocada pela inserção de dados maliciosos em
comandos ou consultas pelo atacante decorrente da falta de
filtragem do que o usuário digita, levando à execução de
código não intencional ou alteração de dados. Ou Alternativa B: alterações ou corrupções do sistema, de maneira não
autorizada, que foca em atualizações de código sem assinatura
digital ou processos de CI/CD inseguros. Ou Alternativa C: riscos por conta de equívocos na configuração do ambiente em
que a aplicação está instalada, que podem resultar em graves
falhas de segurança não ser necessariamente pelo erro de
lógica no código, mas sim pela deficiência na forma como foi
estabelecido o provisionamento da infraestrutura e na
ausência de processos de hardening (endurecimento) do
software e do servidor. Ou Alternativa D: problemas ausência de logs ou alertas, que possibilitem
identificar incidentes, instabilidades e erros na aplicação Ou Alternativa E: falhas na proteção de dados confidenciais, incluindo CPF,
senhas e outras informações pessoais, por meio de criptografia
inadequada (como MD5 ou SHA-1) ou má implementação da
matemática da criptografia.

Qconcursos · Accepted Answer

Alternativa [C] riscos por conta de equívocos na configuração do ambiente em
que a aplicação está instalada, que podem resultar em graves
falhas de segurança não ser necessariamente pelo erro de
lógica no código, mas sim pela deficiência na forma como foi
estabelecido o provisionamento da infraestrutura e na
ausência de processos de hardening (endurecimento) do
software e do servidor. Gabarito: CFundamento decisivo: O elemento decisivo era identificar a alternativa que descreve falhas de configuração do ambiente e ausência de hardening, pois isso corresponde à categoria OWASP Security Misconfiguration.Tema central: Security MisconfigurationAnálise das alternativasAErradaEstá errada porque descreve inserção de dados maliciosos em comandos ou consultas por falta de validação ou filtragem, o que caracteriza Injection. O foco aqui é execução indevida de comandos ou alteração de dados, não configuração insegura do ambiente.BErradaEstá errada porque trata de alterações ou corrupções não autorizadas ligadas a atualização sem assinatura digital e CI/CD inseguro. Isso não corresponde à configuração incorreta de segurança cobrada na questão.CCertaA alternativa C está correta porque descreve falhas de configuração do ambiente, do provisionamento da infraestrutura e a ausência de hardening, que são o núcleo de Security Misconfiguration nas edições OWASP Top 10 de 2021 e 2025.DErradaEstá errada porque descreve ausência de logs ou alertas para detecção de incidentes, o que corresponde à categoria Security Logging and Alerting Failures. Trata-se de uma categoria própria da OWASP, distinta de Security Misconfiguration.EErradaEstá errada porque descreve proteção inadequada de dados sensíveis por criptografia fraca ou mal implementada, o que corresponde a Cryptographic Failures. O problema central aqui é criptografia, não erro de configuração do stack ou da infraestrutura.Pegadinha da questãoA confusão explorada foi tratar qualquer falha técnica como se fosse configuração insegura. A questão separa configuração do ambiente e falta de hardening de outras categorias próprias da OWASP, como injeção, logging, criptografia e integridade da cadeia de software.Dica para questões semelhantesSe a descrição apontar erro de configuração do ambiente, infraestrutura, servidor, framework ou ausência de hardening, pense em Security Misconfiguration.Se o enunciado afastar erro de lógica no código e concentrar o risco no provisionamento e nos parâmetros de segurança do stack, isso favorece Security Misconfiguration.Não confunda configuração insegura com categorias próprias da OWASP: injeção, falhas criptográficas, ausência de logs/alertas e integridade da cadeia de software têm enquadramentos distintos.

Os principais riscos no desenvolvimento software são decorre...

Gabarito comentado

Gabarito: C

Clique para visualizar este gabarito

Comentários

Clique para visualizar este comentário

Questões de assuntos semelhantes

Provas relacionadas