APRENDER. PRATICAR. EVOLUIR.Conceito e mecanismo
As técnicas observam partes diferentes do sistema. SAST analisa código sem exigir a execução completa da aplicação; DAST observa comportamento de uma aplicação executável; SCA examina componentes e dependências. Nenhuma substitui automaticamente as restantes ou prova ausência de falhas de negócio. Uma biblioteca transitiva pode existir no lockfile sem aparecer na lista direta e precisa de análise de versão e utilização. Para scans com credenciais, confirma se as verificações locais correram. Uma lista de alvos completa não garante cobertura completa. Também distingue presença de um componente, aplicabilidade de uma vulnerabilidade e exploração demonstrada no contexto autorizado.
Aplicação guiada
No exercício fictício, quinze de sessenta hosts falharam autenticação. A cobertura autenticada é quarenta e cinco em sessenta, ou setenta e cinco por cento. Os restantes precisam de complemento, não de um estado “corrigido”. Noutra parte do relatório, um banner antigo corresponde a um pacote com backport. Liga advisory, release instalada e condição antes de rever o finding como possível falso positivo. Mantém a evidência mesmo quando muda a classificação. Ao selecionar scripts NSE, verifica comportamento e âmbito: carregar tudo pode incluir técnicas que ultrapassam enumeração de baixo impacto. Para priorizar, regista versão e vetor CVSS e acrescenta contexto de exposição e negócio. O score comunica severidade e pressupostos; não se converte diretamente em perda financeira ou garantia de exploração.
45 de 60 hosts com verificações locais bem-sucedidas: 75% de cobertura autenticada.
Armadilhas comuns
Dependência indireta ignorada; scan tentado como completo; banner como versão corrigida; todos os scripts como baixo impacto.
Tópicos relacionados: Âmbito, comunicação e evidência · Reconhecimento e interpretação de resultados · Falhas web e API e respetiva correção
Associa cada conclusão ao método, cobertura e evidência.
Referência: Security testing and assessment · PT0-003 / PenTest+ V3; objectives 3.0; launched 2024-12-17