Uma aplicação em produção foi comprometida por meio da
exploração de uma biblioteca com CVE conhecido, que permite
execução remota de código.
O pipeline da aplicação possui SAST durante a fase de
desenvolvimento, DAST em ambiente de homologação e, ainda,
possui monitoramento em produção. Após investigação, verificouse que a vulnerabilidade estava em uma dependência indireta, não
houve alerta durante o pipeline e a exploração ocorreu
imediatamente após o deploy.
Com base nesse contexto, assinale a afirmativa que explica
corretamente a falha de detecção.

Question

Uma aplicação em produção foi comprometida por meio da
exploração de uma biblioteca com CVE conhecido, que permite
execução remota de código.
O pipeline da aplicação possui SAST durante a fase de
desenvolvimento, DAST em ambiente de homologação e, ainda,
possui monitoramento em produção. Após investigação, verificouse que a vulnerabilidade estava em uma dependência indireta, não
houve alerta durante o pipeline e a exploração ocorreu
imediatamente após o deploy.
Com base nesse contexto, assinale a afirmativa que explica
corretamente a falha de detecção. Alternativa A: Ausência de análise de composição de software (SCA) no
pipeline para identificação de vulnerabilidades em
dependências transitivas. Ou Alternativa B: Limitação do SAST na análise de fluxos dinâmicos de execução
da aplicação. Ou Alternativa C: Dependência do DAST de cobertura de testes para
identificação de vulnerabilidades exploráveis. Ou Alternativa D: Natureza reativa do monitoramento em produção, voltada à
detecção pós-exploração. Ou Alternativa E: Ausência de testes funcionais capazes de exercitar cenários de
falha na aplicação.

Qconcursos · Accepted Answer

Alternativa [A] Ausência de análise de composição de software (SCA) no
pipeline para identificação de vulnerabilidades em
dependências transitivas. Gabarito: AFundamento decisivo: O ponto decisivo era o enunciado indicar uma vulnerabilidade conhecida em dependência indireta, sem alerta no pipeline; isso exige o controle voltado a inventariar componentes e dependências transitivas contra CVEs.Tema central: SCA e dependências transitivasAnálise das alternativasACertaA alternativa A está correta porque o caso descreve exatamente o objeto típico de SCA: identificar vulnerabilidades conhecidas, mapeadas por CVE, em bibliotecas de terceiros, inclusive dependências transitivas. SAST analisa principalmente o código-fonte próprio; DAST observa a aplicação em execução; monitoramento em produção atua após a exposição do sistema. Portanto, a ausência de alerta no pipeline diante de uma biblioteca indireta com CVE conhecido é explicada pela falta de análise de composição de software.BErradaEstá errada porque desloca o foco para limitação de SAST em fluxos dinâmicos de execução, mas o dado central do caso não é fluxo dinâmico: é uma biblioteca de terceiros com CVE conhecido e localizada em dependência indireta. Isso não ataca a causa específica narrada.CErradaEstá errada porque, embora DAST dependa de cobertura para encontrar falhas exploráveis, o enunciado não apresenta insuficiência de testes como elemento determinante. O que ele destaca como núcleo causal é a vulnerabilidade conhecida em dependência transitiva, cenário mais aderente a SCA.DErradaEstá errada porque a natureza reativa do monitoramento em produção não explica a ausência de alerta no pipeline. Monitoramento pode sinalizar após comportamento malicioso ou exploração, mas não é o controle voltado a barrar ou identificar previamente CVE em componente antes do deploy.EErradaEstá errada porque testes funcionais não são o mecanismo técnico apropriado para descobrir CVEs em bibliotecas indiretas. A alternativa confunde validação funcional da aplicação com análise de componentes vulneráveis.Pegadinha da questãoA confusão real era trocar um problema de composição de software por limitações genéricas de SAST ou DAST, ignorando que o enunciado destacou CVE conhecido em dependência indireta.Dica para questões semelhantesSe o enunciado fala em CVE conhecido em biblioteca ou componente de terceiro, verifique primeiro se o controle adequado é SCA, não SAST.Se a falha está em dependência transitiva, procure o mecanismo que inventaria componentes e dependências indiretas no pipeline.Diferencie o papel dos controles: SAST no código-fonte, DAST na aplicação em execução, monitoramento após exposição, SCA nas dependências e seus CVEs.

🎯 Saiba o que estudar

🎯 Saiba o que estudar

Uma aplicação em produção foi comprometida por meio da expl...

Gabarito comentado

Gabarito: A

Clique para visualizar este gabarito

Comentários

Clique para visualizar este comentário

Questões de assuntos semelhantes

Provas relacionadas