Analisando vulnerabilidade de segurança em um projeto de software.

• Autor(a) principal: ARAÚJO, Jerônimo Jairo Silva de.
• Data de Publicação: 2023
• Tipo de documento: Trabalho de conclusão de curso
• Idioma: por
• Título da fonte: Biblioteca Digital de Teses e Dissertações da UFCG
• Texto Completo: http://dspace.sti.ufcg.edu.br:8080/jspui/handle/riufcg/33351
• topic: Vulnerabilidade de segurança - sistemas computacionais; Projeto de software - segurança; Segurança - sistemas computacionais; Desenvolvimento ágil de software; Análise estática - ferramentas; Security Application Static Testing - SAST; Security vulnerability - computer systems; Software design - security; Security - computer systems; Agile software development; Static analysis - tools; Ciência da Computação.

Vulnerabilidades de segurança em sistemas computacionais são problemas geralmente complexos de tratar e que mesmo com a melhora no processo de desenvolvimento tendem a persistir. A falta de interesse na remoção dessas vulnerabilidades durante o desenvolvimento pode se tornar um contratempo no futuro (débito técnico), resultar em acessos indevidos, expor dados dos usuários e reverter em custos financeiros para a empresa. Desta forma, faz-se necessário que preocupações com a identificação e remoção dessas vulnerabilidades existam durante todo o processo de desenvolvimento do software. Neste trabalho, serão utilizadas ferramentas de análise estática (Check Marx, Black Duck e Jfrog Xray) para analisar a evolução, distribuição por classe de risco e tempo de vida de vulnerabilidades de segurança em um projeto desenvolvido por uma empresa de grande porte em parceria com o Laboratório de Sistemas Distribuídos. O projeto em questão consiste de um serviço que oferece gerenciamento para recursos de observabilidade. A partir dos resultados obtidos foi constatado que vulnerabilidades que afetam componentes open-source encontradas pelas ferramentas Black Duck e Jfrog Xray estavam sendo tratadas. No entanto, as vulnerabilidades de segurança que afetam pontos de código do projeto encontrados na ferramenta Check Marx, não estavam sendo abordadas.