Questões de Segurança da Informação para Concurso

Considerando-se a usabilidade em uma aplicação que requeira autenticação de dois fatores (MFA), a exigência de MFA pode ser minimizada e, ainda assim, haver um equilíbrio razoável entre segurança e usabilidade da aplicação na situação de uso que consiste na

Uma significativa parte da prevenção contra determinado ataque cibernético pode ser realizada por meio da minimização dos privilégios de acesso das aplicações, bem como pela sanitização de códigos relacionados aos acessos a bancos de dados. Trata-se de prevenção contra ataques

Considere que um documento assinado digitalmente com a chave privada do emissor e posteriormente criptografado com a chave pública do destinatário tenha sido recebido, visualizado e lido pelo destinatário. Nessa situação, a autoria desse documento ainda poderia ser questionada caso o suposto emissor alegasse

      Para o estabelecimento dos controles de acesso a um sistema de informação desenvolvido numa organização, o administrador de segurança sugeriu que, para cada objeto ou recurso do sistema, fossem atribuídas autorizações de acesso bem definidas a indivíduos, funções ou grupos.
Nessa situação hipotética, a técnica de controle de acesso lógico indicada pelo administrador denomina-se

      No desenvolvimento de uma aplicação web, passaram despercebidos alguns fluxos de dados incorretos que têm potencial para gerar um comportamento inadequado e que podem ser explorados como uma falha na segurança no sistema. Esses fluxos de dados estão relacionados a scripts que cruzam diferentes sítios (XSS ou cross-site scripting), onde um hacker, como resposta a uma requisição do cliente ao servidor, pode gerar uma página com mensagem contendo script malicioso.
A técnica mais específica para detectar a vulnerabilidade descrita na situação hipotética apresentada é o

Sobre o mecanismo baseado em propriedade, pode-se afirmar que:

Na certificação digital, há modelos de infraestrutura que validam o certificado das demais entidades legítimas. Esses modelos são:

Seguindo o guia de referência OWASP, ao desenvolver um sistema, um programador se preocupou com a não inclusão de informações sensíveis nos parâmetros de pedidos HTTP GET. Marque a opção que mostra corretamente em qual lista de verificação de práticas de programação segura ele se baseou.

Uma das mais importantes ferramentas de monitoração e prevenção de ataques a computadores é o uso de IDS (Intrusion Detection System). Considere as seguintes assertivas acerca do uso deste sistema:

I. A principal característica do uso de um IDS do tipo HIDS (Host IDS) é ser centralizado, não consumindo recursos de cada computador;

II. Um IDS baseado em assinaturas utiliza um banco de dados com os ataques já conhecidos e faz comparações, utilizando algoritmos estatísticos para reconhecer algum desses ataques;

III. Sistemas de Detecção de Intrusão baseados em Rede (NIDS) são instalados em máquinas responsáveis por identificar ataques na rede, fazendo a monitoração do conteúdo dos pacotes ou do tráfego e seus detalhes como informações de cabeçalhos e protocolos.

Assinale a alternativa que contém a(s) afirmativa(s) correta(s).

Alguns dos mecanismos e técnicas utilizados para implantar processos de segurança de redes de computadores são o uso de criptografia assimétrica e o uso de assinatura digital. Considere as assertivas a seguir acerca dos atributos da assinatura digital:

I. Garante autoria, ou seja, quem recebe a mensagem pode confirmar que a assinatura foi feita pelo emitente da mensagem;

II. Garante o sigilo, de forma que somente o destinatário da mensagem poderá ter acesso ao seu conteúdo;

III Garante integridade, pois, caso a mensagem seja alterada, a assinatura digital será invalidada, ou seja, será possível verificar que a mensagem foi alterada após ter sido assinada;

IV. Garante a irretratabilidade (não repúdio), ou seja, o emitente da mensagem não pode negar ser o responsável por seu conteúdo.

A(s) assertiva(s) que define(m) corretamente os atributos de uma assinatura digital é (são): 

Acerca da Infraestrutura de Chaves Públicas Brasileiras, a Autoridade Certificadora Raiz é a primeira autoridade da cadeia de certificação. Ela executa as Políticas de Certificados e as normas técnicas e operacionais aprovadas pelo Comitê Gestor da própria ICP-Brasil. Constitui responsabilidade da Autoridade Certificadora Raiz:

Criptografia assimétrica ou criptografia de chave pública é a utilização de chaves públicas e privadas, na qual a primeira é amplamente divulgada, enquanto a segunda é mantida pelo seu criador ou proprietário. Sobre o conceito de chaves públicas e privadas, é correto afirmar que:

Em relação ao software de autenticação RADIUS, analise as afirmativas a seguir:

I. Utiliza criptografia em todo o corpo do pacote de solicitação de acesso, do cliente para o servidor;

II. As portas usadas para autenticação são 1645/ tcp e 1812/tcp;

III. Oferece também o serviço de autorização de outros usuários ou dispositivos a usar determinados serviços providos pela rede.

Está(ao) correta(s) a(s) afirmativa(s):

Em relação às técnicas de computação forense, analise as afirmativas a seguir:

I. A preservação das provas coletadas, necessária para que não se possa alegar que tenham sido alteradas durante o processo de investigação, normalmente é obtida a partir de algum tipo de hash criptográfico;

II. A coleta e a análise de dados voláteis devem ser priorizados em relação aos dados não voláteis;

III. Dados de logs isolados não servem como provas em processos judiciais, em função da facilidade de sua alteração durante o processo investigativo.

Está(ão) correta(s) a(s) afirmativa(s):

Sobre os certificados digitais, analise as afirmativas a seguir:

I. Autoridades certificadoras raiz não possuem um certificado digital próprio, pois não há autoridades superiores para assinar seu certificado;

II. A revogação de certificados digitais pode ser verificada através de listas CRL ou pelo protocolo OCSP;

III. O remetente assina digitalmente uma mensagem ou documento utilizando a sua chave privada.

Está(ão) correta(s) a(s) afirmativa(s):

Ao programar uma aplicação Web baseada em PHP e usando banco de dados MySQL, um desenvolvedor, atento a questões de segurança, usou a técnica de “PHP prepared statements” para diminuir a chance de haver SQL injection. Essa técnica consiste em:  

Em relação ao tema de desenvolvimento seguro de aplicações, analise as afirmativas a seguir:

I. Uma das metodologias usadas para o desenvolvimento seguro de sistemas é o SDL, proposto pela Microsoft;

II. No caso de desenvolvimento Web, a comunidade OWASP tem um framework aberto chamado OpenSAMM, visando implementar uma estratégia para segurança de software;

III. A norma internacional para definir técnicas de segurança para desenvolvimento de software é a ISO 27001.

Está(ão) correta(s) a(s) afirmativa(s):

Testes de invasão têm sido utilizados como um método para analisar uma rede corporativa e determinar o nível de impacto de um eventual ataque, bem como verificar quais vulnerabilidades devem ser tratadas para se obter um nível de risco aceitável. Uma das formas de realizá-lo é informar de antemão ao testador todas as informações do ambiente a ser atacado, como os ativos, serviços utilizados, contas/senhas de sistemas, etc., pois isso permite realizar um ataque com mais profundidade, descobrindo mais vulnerabilidades. Esse tipo de teste de invasão é conhecido como:

O ataque de negação de serviço (DoS), distribuído ou não, visa atingir a disponibilidade de um ativo. Uma das formas de obter isso pode ser através de ataques de amplificação, em que uma grande quantidade de respostas é gerada a partir de uma única mensagem forjada. Assinale a alternativa que apresenta um exemplo de ataque por amplificação.

Após uma invasão de um computador, verificou-se que os invasores deixaram um “rootkit” no sistema invadido. A principal função desse artefato é: