Questões de Concurso Sobre segurança da informação

Acerca de assinatura digital, certificação digital e infraestruturas de chaves públicas, julgue o item a seguir.

Uma infraestrutura de chaves públicas é o conjunto de hardware, software, pessoas, políticas e processos necessários para administrar todo o ciclo de vida de certificados digitais desenvolvidos com base em criptografia assimétrica.

Com relação a criptografia simétrica e assimétrica e a ataques a sistemas de criptografia, julgue o item a seguir.

Para se conseguir sucesso em ataques por força bruta, em média, um terço de todas as chaves possíveis precisa ser experimentada.

Com relação a criptografia simétrica e assimétrica e a ataques a sistemas de criptografia, julgue o item a seguir.

Um ataque de criptoanálise linear tem como essência a observação do comportamento de pares de blocos de texto em evolução a cada rodada da cifra, em vez da observação da evolução de um único bloco de texto.

Com relação a criptografia simétrica e assimétrica e a ataques a sistemas de criptografia, julgue o item a seguir.

Na criptografia assimétrica, as duas partes comunicantes compartilham a mesma chave, que precisa ser protegida contra acesso por outras partes.

Julgue o item a seguir, em relação à vulnerabilidade dos dispositivos móveis ou navegadores web usados para acessar a Internet.

Situação hipotética: Para efetuar uma compra online, um usuário permitiu a instalação de um plugin no seu navegador web. Dias depois, ele constatou que seu endereço de entrega tinha sido alterado e novas compras tinham sido efetuadas no sítio. Assertiva: Essa situação ilustra um tipo de roubo de sessão de usuário que permanece logado no sítio, o qual usa cookies para manter a sessão; nesse caso, o invasor pode editar o cookie da sessão válida para alterar os dados e efetuar compras, como se fosse o verdadeiro usuário.

Julgue o item a seguir, em relação à vulnerabilidade dos dispositivos móveis ou navegadores web usados para acessar a Internet.

Por meio de um keylogger inserido em uma app maliciosa instalada no dispositivo móvel, é possível a captura das teclas digitadas pelo usuário quando da utilização de navegadores web.

No que se refere à vulnerabilidade em navegadores web, julgue o seguinte item.

No que se refere à vulnerabilidade em navegadores web, julgue o seguinte item.

Situação hipotética: Após a instalação de um plugin do navegador, um usuário, ao tentar acessar sua conta bancária online, verificou que a URL do banco tinha sido modificada e o acesso estava sendo direcionado para outro domínio; verificou também que arquivos do sistema Windows tinham sido modificados. Assertiva: Essa situação ilustra um problema que pode ser resolvido alterando-se a segurança do navegador para máxima, sem a necessidade de atualização do antivírus.

No que se refere à vulnerabilidade em navegadores web, julgue o seguinte item.

No ambiente Windows 10, a opção de atualização automática não está disponível para o Edge, então, para que o navegador seja atualizado, é necessário solicitação do administrador de redes.

Considerando o acesso a um sítio de uma empresa, desenvolvido em arquitetura Web/PHP, julgue o item a seguir, a respeito de segurança de aplicações web.

Situação hipotética: Um empregado da empresa que deveria ter acesso apenas a seu contracheque, ao inspecionar o código, observou que é possível alterar os seus dados GET de busca e acessar o contracheque de outro empregado, do qual conhece o user, que é o filtro do sistema. Assertiva: Essa situação ilustra um problema de cross-site scripting (XSS), que pode ser resolvido alterando-se o método do formulário para post.

O item a seguir apresenta uma situação hipotética seguida de uma assertiva a ser julgada a respeito de identificação de vulnerabilidades por inspeção de código.

Um arquivo de configuração é acessado por uma classe Java que guarda, em um objeto em memória, o acesso ao dataSource do banco de dados do servidor. Quando compilado, esse arquivo é criptografado. Nesse caso, para evitar alteração ou modificação do arquivo por terceiros, uma solução seria guardar o arquivo no repositório GIT, de forma privada.

Devido ao baixo custo, o fuzzing é bastante utilizado pelas empresas de segurança e hackers, para testar aplicações web e listar suas vulnerabilidades. A esse respeito, julgue o item a seguir.

Os fuzzers black-box de aplicações web, por questão de segurança, não permitem requisições que mostrem os valores de resposta na URL, o que impede a avaliação das respostas retornadas pelo servidor por meio de expressões regulares ou de funções hash, sem o conhecimento prévio dos valores da resposta.

Julgue o item a seguir, a respeito da identificação de condições de erro.

Acerca de testes de penetração, julgue o item seguinte.

Tcpdump é um aplicativo que recupera o conteúdo dos pacotes em uma interface de rede e permite, entre outras ações, o armazenamento dos dados do pacote em arquivo para análise posterior e a interrupção da comunicação entre emissor e receptor por meio de envio de kill (-k).

Acerca de testes de penetração, julgue o item seguinte.

Na análise de vulnerabilidades, uma das fases da execução do teste de penetração de acordo com o PTES (Penetration Testing Execution Standard), a varredura de porta é uma técnica que ajuda a obter uma visão geral básica do que pode estar disponível na rede de destino ou no host; na exploração, outra fase da execução de tal teste, o fuzzing visa recriar um protocolo ou aplicativo e enviar dados no aplicativo com o intuito de identificar uma vulnerabilidade.

Acerca de testes de penetração, julgue o item seguinte.

Na situação apresentada na figura a seguir, de acordo com o OSSTMM (The Open Source Security Testing Methodology Manual), seria correto classificar o teste de penetração como um teste do tipo tandem, mas não como um teste double blind, haja vista que, na técnica tandem, o alvo não recebe notificação prévia referente ao alcance da auditoria, aos canais testados e aos vetores de teste.

Acerca de testes de penetração, julgue o item seguinte.

Situação hipotética: O acesso a uma aplicação web com permissão de administrador é realizado por meio do valor informado em uma variável, conforme a seguir.

http://www.site.com.br/aplicacacao?profile=as cs23f8g7por04

Assertiva: Nesse caso, de acordo com a OWASP (Open Web Application Security Project), o teste de penetração black-box automatizado é efetivo para encontrar uma vulnerabilidade, dados o valor fixo para a variável e a forma de passagem: pedido via GET.

Tendo como referência a situação hipotética apresentada, julgue o item que se segue.

O requisito I é uma descrição do teste de penetração do tipo black-box, que pode ser realizado com ferramentas de descoberta de vulnerabilidade para a obtenção das informações iniciais sobre o sistema e a organização de fontes públicas.

Tendo como referência a situação hipotética apresentada, julgue o item que se segue.

O requisito II é uma descrição do teste de penetração do tipo white-box, que é normalmente considerado uma simulação de ataque por fonte interna e(ou) usuário privilegiado.

Com relação a botnets e phishing, julgue o item a seguir.

A atual geração de dispositivos IOT (Internet das coisas) não foi concebida com foco em segurança do software, o que os torna candidatos prováveis a integrar gigantescas botnets que, entre outras atividades rentáveis, podem ser usadas para acelerar quebras de senhas para invadir contas online, minerar bitcoins e realizar ataques de negação de serviço sob encomenda.