O analista Gideão instalou a ferramenta SecEval no cenário de integração contínua do TCE/TO. A SecEval analisa uma aplicação em execução buscando encontrar vulnerabilidades de segurança por meio de telemetrias coletadas em tempo real de sensores inseridos no interior da aplicação. Porém, SecEval não dispõe de recursos para bloquear ataques contra aplicações em execução. Portanto, SecEval é uma ferramenta de teste de segurança do tipo:
- A)Interactive Application Security Testing;
Correta: IAST analisa a aplicação em execução com instrumentação interna e telemetria em tempo real, exatamente como descrito.
- B)Static Application Security Testing;
Errada: SAST faz análise estática, sem executar a aplicação e sem depender de sensores em runtime.
- C)Dynamic Application Security Testing;
Errada: DAST testa a aplicação em execução de fora para dentro, sem instrumentação interna, e não usa sensores inseridos na aplicação.
- D)Software Composition Analysis;
Errada: SCA verifica componentes, bibliotecas e dependências de terceiros, não o comportamento da aplicação em execução.
- E)Runtime Application Self-Protection.
Errada: RASP atua em runtime para detectar e bloquear ataques, mas o enunciado afirma que a ferramenta não bloqueia ataques.
Gabarito: A
A questão está descrevendo uma ferramenta que observa a aplicação enquanto ela roda, usando sensores ou instrumentação interna para enxergar o que acontece de verdade no fluxo executado. Isso é a cara do Interactive Application Security Testing, ou IAST: teste interativo, em tempo de execução, com coleta de dados de dentro da aplicação para identificar vulnerabilidades com mais precisão do que uma análise só de código ou só de ambiente. Perceba o detalhe importante: a ferramenta encontra falhas, mas não bloqueia ataques. Então ela não é uma proteção em produção, e sim uma solução de teste e observabilidade de segurança. Em prova, a banca gosta de misturar isso com ferramentas de proteção em runtime, mas aqui o enunciado diz expressamente que não há bloqueio. Se fosse SAST, a análise seria estática, no código-fonte ou artefatos, sem precisar executar a aplicação. Se fosse DAST, o teste seria externo, atacando a aplicação em execução como uma caixa-preta, sem sensores internos. Como o enunciado fala em telemetria coletada em tempo real por sensores inseridos na aplicação, o nome correto é IAST. Em termos de doutrina de segurança de aplicações, a distinção clássica é essa: SAST olha antes da execução, DAST olha de fora durante a execução, IAST olha de dentro durante a execução, e RASP protege bloqueando em runtime. Aqui, a pista decisiva é justamente a combinação de execução + instrumentação interna + ausência de bloqueio.