Questões de Concurso Sobre segurança da informação

A respeito de gestão de segurança da informação, protocolos de autenticação, ameaças e vulnerabilidades em aplicações e segurança de aplicativos web, julgue o item a seguir, considerando, no que couber, as disposições das normas técnicas NBR ISO/IEC 27001:2022 e NBR ISO/IEC 27002:2022. 

No contexto do planejamento e do controle operacionais, a organização deve controlar as mudanças planejadas e analisar criticamente as consequências de mudanças não intencionais, tomando ações para mitigar quaisquer efeitos adversos, conforme necessário.

A respeito de gestão de segurança da informação, protocolos de autenticação, ameaças e vulnerabilidades em aplicações e segurança de aplicativos web, julgue o item a seguir, considerando, no que couber, as disposições das normas técnicas NBR ISO/IEC 27001:2022 e NBR ISO/IEC 27002:2022. 

A metodologia OWASP (open web application security project) propõe um modelo de escopo de segurança restrito às etapas finais do desenvolvimento de software, focando principalmente na detecção e na mitigação de vulnerabilidades em produtos já prontos. 

Julgue o próximo item, relativo aos serviços de autenticação Keycloak e OAuth 2.0.  

Em Keycloak, a troca de token é o processo pelo qual um cliente pode trocar um token Keycloak existente por um token externo.  

Julgue o próximo item, relativo aos serviços de autenticação Keycloak e OAuth 2.0.  

De acordo com a especificação OAuth 2.0, o token de acesso, credencial utilizada para acessar recursos protegidos, é uma string que representa uma autorização emitida para o cliente. 

Considerando o uso de um WAF (web application firewall) diante de uma aplicação web comum, julgue o item a seguir. 

Um WAF baseado em nuvem precisa ser implementado por meio de proxy direto e suporta apenas um site.

Julgue o próximo item, referente a códigos maliciosos e aplicativos para segurança.

Denomina-se screenlogger o código malicioso projetado para monitorar o uso de teclados virtuais, capturar as regiões de tela acionadas por esses teclados e enviar as informações coletadas para terceiros.

Julgue o próximo item, referente a códigos maliciosos e aplicativos para segurança.

Os sistemas antimalware baseados em métodos heurísticos têm como principal característica a imunidade à sinalização de falsos positivos, o que os torna superiores em eficácia aos sistemas baseados em assinaturas.

Considerando o uso de um WAF (web application firewall) diante de uma aplicação web comum, julgue o item a seguir. 

Um WAF por assinatura de ataque detecta padrões que podem indicar tráfego malicioso, identificando tipos de solicitação, respostas anômalas do servidor e endereços IP maliciosos conhecidos.

Acerca de ameaças e vulnerabilidades em aplicações, julgue o item a seguir.

Considere a seguinte URL.

https://prova.com/prova_seguranca?id=1332

Se nenhum outro controle estiver em vigor, um atacante pode simplesmente modificar o valor id para visualizar outros registros da aplicação em questão, sendo esse um exemplo de referência insegura a objetos que leva ao escalonamento horizontal de privilégios.

Acerca de ameaças e vulnerabilidades em aplicações, julgue o item a seguir.

Uma das consequências de um ataque de CSRF (cross-site request forgery) bem-sucedido é que o atacante consegue levar o usuário vítima a executar uma ação involuntariamente, podendo causar prejuízos variados, conforme a aplicação explorada.

Julgue o item seguinte, relativo ao protocolo de autenticação OAuth 2.0.

Segundo o OAuth 2.0, o SSO (single sign-on) ocorre quando um usuário, ao fazer login em um aplicativo, automaticamente faz login em outros aplicativos.

Julgue o item seguinte, relativo ao protocolo de autenticação OAuth 2.0.

Conforme o OAuth 2.0, o single sign-on é possível mediante a implementação de sessões, entretanto o single logout deve ser realizado individualmente.

De acordo com o CIS Controls, julgue o próximo item.

O gerenciamento passivo de ativos como dispositivos móveis é recomendado pelo CIS Controls e inserido na segunda área de controles, denominada inventário e controle de ativos da organização.

De acordo com o CIS Controls, julgue o próximo item.

Conforme o CIS Controls, os controles de ativos criptográficos integram a seção denominada configuração segura de ativos e softwares corporativos. 

A respeito do NIST – secure software development framework, julgue o item subsecutivo.

É recomendado que as organizações realizem revisões e testes de segurança focados apenas nos testes finais, pois essa conduta permite identificar e mitigar vulnerabilidades antes que o software seja lançado, aumentando a segurança do produto final. 

A respeito do NIST – secure software development framework, julgue o item subsecutivo.

Na implementação desse framework, é recomendado utilizar técnicas avançadas para assegurar a integridade do código e dos dados durante o desenvolvimento de software seguro, como o isolamento de componentes e o uso de mecanismos de controle de fluxo.  

A respeito do NIST – secure software development framework, julgue o item subsecutivo.

Enfatiza-se a importância crítica de se estabelecer mecanismos robustos de monitoramento contínuo e de atualização rigorosa de bibliotecas e componentes de terceiros.