Os analistas de TI da PGM de Niterói foram incumbidos de revisar a segurança dos servidores de aplicação com base nas recomendações do ranking de vulnerabilidades OWASP Top Ten 2021. O analista José focou sua revisão nos sistemas recém-atualizados, verificando se os recursos de segurança que ficaram disponíveis após atualizações de software estavam habilitados e corretamente configurados. Agindo assim, José mitigou uma vulnerabilidade apresentada pelo OWASP Top Ten 2021 especificamente na categoria de:
- A)design inseguro;
Errada, porque design inseguro trata de falhas no projeto da aplicação, e não de recursos de segurança deixados mal configurados depois da atualização.
- B)quebra de controle de acesso;
Errada, porque quebra de controle de acesso envolve autorização indevida ou acesso além do permitido, o que não é o foco do enunciado.
- C)configuração incorreta de segurança;
Certa, porque o problema descrito é exatamente a verificação e correção de recursos de segurança habilitados e configurados de forma inadequada.
- D)componentes desatualizados e vulneráveis;
Errada, porque componentes desatualizados e vulneráveis dizem respeito a bibliotecas ou dependências antigas, e o caso fala de sistemas recém-atualizados.
- E)falhas de integridade de dados e de software.
Errada, porque falhas de integridade de dados e de software envolvem adulteração ou verificação de integridade, o que não é o ponto tratado na questão.
Gabarito: C
A questão cobra uma das falhas clássicas do OWASP Top Ten 2021: a configuração incorreta de segurança. A ideia aqui é simples: não basta atualizar o sistema e torcer para dar certo. Depois da atualização, você precisa conferir se os recursos de proteção que vieram junto ficaram realmente ativados e ajustados do jeito certo. Se um mecanismo de defesa existe, mas está desligado, mal configurado ou exposto além do necessário, a aplicação continua vulnerável. No OWASP, essa categoria aparece justamente quando a segurança falha por erro de configuração, como permissões amplas demais, serviços desnecessários ativos, headers de segurança ausentes, contas padrão, logs mal protegidos ou recursos novos deixados sem ajuste. Ou seja, o problema não é a ausência total de tecnologia, mas o uso errado dela. É aquele caso clássico de ter o cadeado na porta e esquecer de trancá-lo. No enunciado, José revisou sistemas recém-atualizados e verificou se os recursos de segurança disponibilizados após as atualizações estavam habilitados e corretamente configurados. Isso é praticamente a definição prática de configuração incorreta de segurança. Ele não está falando de falha de acesso, nem de componente antigo, nem de problema de integridade de software. O foco está na configuração dos controles de segurança pós-atualização. Por isso, o gabarito é a letra C. A banca FGV gosta de misturar conceitos parecidos para ver se você distingue falha de projeto, falha de componente e falha de configuração. Aqui, a pista decisiva é justamente a conferência de recursos de segurança habilitados e bem ajustados após a atualização.