Questões de Segurança da Informação para Concurso

Acerca de ameaças e vulnerabilidades em aplicações, julgue o item subsequente. 

Um ataque de XSS (cross-site scripting) não tem como alvo direto o próprio aplicativo, mas sim os usuários do aplicativo da Web. 

Acerca de ameaças e vulnerabilidades em aplicações, julgue o item subsequente. 

Uma aplicação torna-se vulnerável pelo armazenamento inseguro de dados criptografados quando, por exemplo: dados sensíveis não são cifrados; a criptografia é usada de forma incorreta; o armazenamento das chaves é feito de forma imprudente; ou utiliza-se um hash sem salt para proteger senhas.

Acerca de ameaças e vulnerabilidades em aplicações, julgue o item subsequente. 

Para que um ataque de cross-site request forgery funcione em aplicações web, basta que a vítima tenha conectado, em algum momento, sua conta original ao disparar a requisição maliciosa.

Julgue o item seguinte, relativo a métodos e protocolos de autenticação.

A autenticação baseada em token consiste no processo de verificar a identidade por meio de um token físico que envolve a inserção de um código secreto ou mensagem enviada a um dispositivo para provar a posse desse dispositivo.  

Julgue o item seguinte, relativo a métodos e protocolos de autenticação.

A forma automática de autenticação biométrica por impressão digital é realizada por peritos que, mediante inspeção visual, cotejam impressões digitais para determinar se são ou não iguais.

Julgue o item seguinte, relativo a métodos e protocolos de autenticação.

As notificações por push são um formato de autenticação de dois fatores (2FA) no qual os usuários, em vez de receberem um código em seu dispositivo móvel, via SMS ou mensagem de voz, recebem uma notificação por push em um aplicativo seguro no dispositivo registrado no sistema de autenticação, o que reduz a possibilidade de riscos de segurança como phishing, ataques man-in-the-middle e tentativas de acesso não autorizado.

Julgue o item seguinte, relativo a métodos e protocolos de autenticação.

O programa ICP-Brasil é um método de autenticação baseada em certificados e, entre seus principais componentes de infraestrutura de chaves públicas, se encontra a CA (autoridade de certificação), que é um servidor que mantém uma lista dos certificados que foram revogados ou cancelados.

Com base na NBR ISO/IEC 27001, julgue o próximo item, a respeito de gestão de segurança da informação.

Em uma instituição produtiva, a alta direção pode atribuir responsabilidades e autoridades para relatar o desempenho de seu sistema de gestão da segurança da informação.  

Com base na NBR ISO/IEC 27001, julgue o próximo item, a respeito de gestão de segurança da informação.

As organizações devem realizar avaliações ad hoc sobre os riscos de segurança da informação, independentemente da proposição ou da ocorrência de mudanças significativas.

Julgue o próximo item, em relação a malwares e spywares. 

Malware é um termo genérico para qualquer tipo de software malicioso projetado para prejudicar ou mesmo explorar quaisquer dispositivos, serviços ou rede de computadores.

Julgue o próximo item, em relação a malwares e spywares. 

O cookie de rastreamento é um tipo de spyware que monitora as atividades de um usuário em um computador e as envia ao invasor.

Julgue o item a seguir, em relação ao processo de negociação de parâmetros criptográficos e múltiplas conexões conforme o protocolo TLS 1.3.  

O servidor processa a mensagem ClientHello enviada pelo cliente, entretanto, quem determina os parâmetros apropriados criptográficos para a conexão é o cliente. 

Julgue o item a seguir, em relação ao processo de negociação de parâmetros criptográficos e múltiplas conexões conforme o protocolo TLS 1.3.  

O TLS impede a abertura de múltiplas conexões HTTP paralelas. 

Acerca de assinatura e certificação digital, julgue o item que se segue. 

No caso de um certificado digital com o algoritmo RSA, o tamanho adequado e seguro da chave é de 512 bits. 

Julgue o item a seguir, a respeito de estratégia de criptografia para dados em trânsito em uma rede de computadores. 

Como solução de verificação de integridade, o algoritmo MD5 seria uma boa escolha, já que ele é resistente a colisões e garante confidencialidade.  

Julgue o item a seguir, a respeito de estratégia de criptografia para dados em trânsito em uma rede de computadores. 

O uso da última versão do TLS é recomendado para a criação de túneis de comunicação criptografados, considerando as versões de algoritmos simétricos e assimétricos seguros. 

A respeito das características de um ataque de negação de serviço distribuído, julgue o próximo item. 

Em um ataque que envolve a amplificação de dados, o atacante gera uma mensagem para um elemento falho na rede e este, por sua vez, gera uma resposta que aumenta o volume de dados direcionados à vítima. 

A respeito das características de um ataque de negação de serviço distribuído, julgue o próximo item. 

Um firewall de borda é considerado como o elemento capaz de fazer a mitigação de ataques DDoS de maneira eficiente, já que o tráfego da camada de aplicação tem que ser bloqueado na entrada da rede.

Acerca da segurança de aplicativos web, julgue o item que se segue. 

Quando um invasor encontra falhas em um mecanismo de autenticação, ele pode obter acesso às contas de outros usuários. 

Acerca da segurança de aplicativos web, julgue o item que se segue. 

Entre os riscos de segurança incluídos no relatório OWASP Top 10, a quebra de controle de acesso é um ataque contra um aplicativo web que analisa a entrada XML.