Comparação entre ferramentas de análise estática de código para detecção de vulnerabilidades em aplicação deliberadamente vulnerável

Abstract

Com o aumento do uso de aplicações web e a digitalização de tarefas cotidianas, tornou se comum o armazenamento e o trânsito de informações sensíveis nesse ambiente. Como consequência, os ataques cibernéticos direcionados a essas aplicações têm se intensificado, explorando vulnerabilidades que possibilitam o acesso indevido a dados restritos. Nesse cenário, a utilização de ferramentas de análise estática de código surge como uma estraté gia eficaz para evitar que falhas exploráveis sejam introduzidas durante o desenvolvimento. Este trabalho tem como objetivo comparar e avaliar quatro ferramentas de análise es tática de código, gratuitas e de código-aberto, quanto à sua capacidade de detectar vulner abilidades na aplicação deliberadamente insegura OWASP Juice Shop, desenvolvida com JavaScript e TypeScript. As vulnerabilidades foram mapeadas com base nas categorias do OWASP Top 10, e a avaliação utilizou métricas quantitativas clássicas da literatura, como recall, precision, F1 score e o Matthews Correlation Coefficient (MCC), obtidas a partir da normalização e classificação manual dos alertas emitidos pelas ferramentas. A partir dos resultados obtidos, o Semgrep foi classificado como a ferramenta com melhor desempenho no contexto proposto, seguido pelo Bearer, com diferença pouco sig nificativa entre ambos. Além disso, foi realizada uma análise individual das limitações de cada ferramenta, destacando os principais desafios enfrentados por elas durante a análise de cada categoria da OWASP Top 10. Por fim, os aspectos qualitativos foram avaliados com base em critérios como interface gráfica, customização de regras e integração com ambientes de desenvolvimento. Conclui-se que o Semgrep e o Bearer se destacaram por empregarem técnicas que vão além da técnica de pattern matching, justamente o principal limitador identificado nas demais ferramentas analisadas. Além disso, ambos apresentaram um conjunto mais amplo de regras voltadas às linguagens JavaScript e TypeScript, bem como desempenho superior nas avaliações qualitativas realizadas.