Glossário

Glossário de segurança, QA e DevSecOps

Definições objetivas dos termos que aparecem em projetos de segurança e qualidade de software.

Segurança8 termos

Pentest (Teste de intrusão, Teste de invasão): Pentest (teste de intrusão) é uma avaliação de segurança ofensiva, autorizada e planejada, que simula ataques reais para encontrar vulnerabilidades exploráveis em uma aplicação, API ou infraestrutura antes que um atacante o faça. Difere de um scan automatizado por incluir análise manual de lógica de negócio e encadeamento de falhas.
AppSec (Segurança de aplicações): AppSec (Application Security) é a disciplina de proteger aplicações ao longo de todo o ciclo de desenvolvimento — do código à produção — combinando revisão, testes de segurança, correção de vulnerabilidades e automação.
OWASP Top 10: OWASP Top 10 é a lista de referência das dez categorias de riscos de segurança mais críticos em aplicações web, publicada pelo OWASP. É amplamente usada para orientar e priorizar testes de segurança.
OWASP API Top 10: OWASP API Security Top 10 é a lista de referência dos dez riscos mais críticos específicos de APIs, como falhas de autorização, autenticação e exposição excessiva de dados.
IDOR (Insecure Direct Object Reference): IDOR (Insecure Direct Object Reference) é uma falha em que a aplicação expõe recursos internos ao permitir que o usuário acesse objetos de outros usuários ao trocar um identificador. É um tipo comum de falha de controle de acesso.
Controle de acesso quebrado (Broken Access Control): Controle de acesso quebrado é a falha que permite a um usuário realizar ações ou acessar dados além das suas permissões — como escalonamento de privilégios — e costuma liderar os riscos do OWASP Top 10.
CVSS (Common Vulnerability Scoring System): CVSS é um sistema aberto para classificar a severidade de vulnerabilidades, atribuindo uma pontuação de 0 a 10 com base em explorabilidade e impacto. Ajuda a priorizar correções por risco.
Hardening (Endurecimento de configuração): Hardening é o processo de reduzir a superfície de ataque de um sistema, endurecendo configurações, removendo serviços desnecessários e aplicando boas práticas de segurança em servidores, containers e aplicações.

QA5 termos

QA (Quality Assurance, Garantia de qualidade): QA (Quality Assurance) é o conjunto de processos e atividades que garantem que um produto de software atenda aos requisitos e ofereça uma experiência confiável, incluindo planejamento, testes funcionais, exploratórios e de regressão.
Teste de regressão: Teste de regressão verifica se funcionalidades que já funcionavam continuam funcionando após mudanças no código, prevenindo que novas alterações introduzam defeitos.
Teste exploratório: Teste exploratório é uma abordagem em que o testador investiga o produto de forma simultânea ao aprendizado sobre ele, buscando caminhos inesperados e defeitos que casos de teste roteirizados não cobrem.
Teste caixa-preta (Caixa-preta): Teste caixa-preta avalia o software apenas por suas entradas e saídas, sem acesso ao código-fonte, reproduzindo a perspectiva do usuário. É o modo padrão de avaliações externas, incluindo pentest.
Teste caixa-branca (Caixa-branca): Teste caixa-branca avalia o software com acesso à estrutura interna e ao código-fonte, permitindo verificar caminhos e condições que não são observáveis por fora — inclusive por ferramentas de análise estática (SAST).

DevSecOps7 termos

DevSecOps: DevSecOps é a integração de práticas de segurança ao DevOps, automatizando verificações de segurança no pipeline de CI/CD para que riscos sejam identificados cedo, sem desacelerar as entregas.
SAST (Análise estática de segurança): SAST (Static Application Security Testing) analisa o código-fonte sem executá-lo, em busca de padrões de vulnerabilidade. É uma técnica de verificação em caixa-branca que roda bem cedo no pipeline.
DAST (Análise dinâmica de segurança): DAST (Dynamic Application Security Testing) testa a aplicação em execução, enviando requisições e observando respostas, sem acesso ao código. Encontra falhas de configuração e de tempo de execução.
SCA (Análise de composição de software): SCA (Software Composition Analysis) identifica dependências de terceiros desatualizadas ou vulneráveis em um projeto, apoiando a atualização priorizada por risco e a geração de SBOM.
SBOM (Software Bill of Materials): SBOM (Software Bill of Materials) é o inventário de todos os componentes e dependências de um software, usado para rastrear vulnerabilidades e atender requisitos de segurança e conformidade.
CI/CD: CI/CD (Integração Contínua / Entrega Contínua) é a prática de integrar e entregar mudanças de código de forma automatizada e frequente. É o ponto natural para embutir verificações de segurança e qualidade (DevSecOps).
Observabilidade: Observabilidade é a capacidade de entender o estado interno de um sistema a partir de suas saídas — métricas, logs e traces — permitindo detectar e diagnosticar falhas em produção antes que se tornem incidentes.