Questões de Segurança da Informação para Concurso

Dentro das normas da ISO, tem aquela que define os requisitos para que uma empresa possa administrar um Sistema de Gestão de Segurança da Informação certificado. Ela leva em consideração os ativos da companhia e as necessidades da área de negócio para definir a melhor forma de administrar o sistema. Este texto trata da norma ISO ______. 

Assinale a alternativa que preencha corretamente a lacuna. 

Com relação aos conceitos de chave primária e chave estrangeiras, analise as afirmativas a seguir e marque em seguida a alternativa correta.

I- Tanto a chave primária como a chave estrangeira podem ser nulas em uma tabela.

II- A chave primária é única em uma tabela, mas podemos ter mais de uma chave estrangeira por tabela.

Backups são cópias de segurança de dados e sistemas que permitem repor estes em caso de uma falha ou ataque. Existem vários métodos para fazer backup, de forma mais rápida ou segura, dependendo da necessidade do usuário. Com relação aos tipos de backup, analise as afirmativas a seguir e marque a alternativa correta.

I- Para fazermos um backup diferencial, é necessário em algum momento ter feito um backup completo dos dados ou sistemas a serem copiados.

II- O backup incremental é o backup mais lento em relação aos backups diferencias ou completos,

A NBR ISO/IEC 27001 especifica requisitos para um Sistema de Gestão de Segurança da Informação (SGSI), definido como um sistema de gestão desenvolvido para a segurança da informação de uma organização e baseado em uma abordagem de riscos do negócio. Essa norma também adota o ciclo denominado PDCA para estruturar todos os processos envolvidos em um SGSI, conforme ilustrado na figura abaixo.

EXPECTATIVAS E REQUISITOS DE SEGURANÇA DA INFORMAÇÃO

SEGURANÇA DA INFORMAÇÃO GERENCIADA

Sendo o PDCA uma ferramenta gerencial que possibilita a melhoria contínua de processos e a solução de problemas, os indicadores I, II, III e IV são referenciados, respectivamente, como:

Entre os serviços para testar e monitorar a segurança de todos os seus sistemas, três são descritos a seguir.

I. Testa as interfaces expostas em busca de vulnerabilidades, sendo o teste feito de fora para dentro, da mesma forma que um invasor faria. Neste caso, a interface já é o suficiente para que o especialista realize o teste. À medida em que o aplicativo vai mudando e se atualizando, é preciso atualizar as regras dessa ferramenta, o que obriga a necessidade em investimento e acompanhamento durante todo o ciclo de vida do desenvolvimento.

II. Tem como objetivo identificar as vulnerabilidades no código-fonte antes de ele ser colocado em produção. Para tanto, são usadas técnicas de análise de código estático para procurar problemas sem precisar executar o código. Com isso, é uma ferramenta que consegue encontrar problemas com antecedência, antes da implantação e, por estar agindo no código, pode dar informações detalhadas à equipe para que os ajustes sejam feitos.

As ferramentas descritas em I e II são conhecidas, respectivamente, pelas siglas:

Atualmente, a Segurança da Informação constitui um dos setores fundamentais em uma organização, pois o espaço cibernético está deixando as empresas cada dia mais expostas às vulnerabilidades, ameaças externas e internas, exigindo cada vez mais das equipes de TI que se adaptem ao cenário da Segurança. Nesse contexto, os pilares da Segurança da Informação, descritos a seguir, representam peças vitais na proteção dos dados, tornando-se essenciais para um bom funcionamento das infraestruturas.

I. Refere-se à acessibilidade que se tem os dados e sistemas da empresa, ou seja, as informações devem estar sempre acessíveis para que aos dados possam ser consultados a qualquer momento para quem é autorizado.

II. Refere-se aos procedimentos e métodos que garantem o controle de acesso às informações sensíveis, dessa forma restringindo os dados a quem está autorizado.

III. Refere-se à preservação da informação, em que as informações não sofram nenhuma alteração sem a devida autorização e, desse modo, é necessário assegurar que as informações não sejam modificadas no tráfego.

Os pilares descritos em I, II e III são denominados, respectivamente, como:

No que diz respeito ao conhecimento sobre as principais técnicas de ataque e de fraudes em Internet Banking, o uso de um programa torna inacessíveis os dados armazenados em um equipamento, geralmente usando criptografia, que exige pagamento de resgate para restabelecer o acesso ao usuário.

Essa fraude é conhecida por:

A classificação e controle dos ativos de informação da organização propõe que as informações sejam classificadas de forma a permitir um nível adequado de proteção. Nesse contexto, os ativos podem ser classificados em quatro níveis, descritos a seguir.

I. Informações que, se forem divulgadas fora da organização, não trarão impactos aos negócios. A integridade dos dados não é vital.

II. O acesso interno ou externo não autorizado a estas informações é extremamente crítico para a organização. A integridade dos dados é vital.

III. O acesso externo às informações deve ser evitado. Entretanto, se estes dados tornarem-se públicos, as consequências não são críticas. Existe seleção de funcionários para o acesso interno. A integridade dos dados é importante, mas não vital.

IV. As informações devem ser protegidas de acesso externo. Se alguns destes dados forem acessados por pessoas não autorizadas, as operações da organização podem ser comprometidas, causando perdas financeiras e perda de competitividade. A integridade dos dados é vital.

Os níveis em I, II, III e IV são denominados, respectivamente:

No que diz respeito à segurança, um mecanismo de acesso a sistemas controla o acesso às contas de usuário e, quando ocorre uma determinada quantidade de tentativas de acesso malsucedidas, consequência da digitação de senhas incorretas, ocorre o bloqueio da conta desse usuário. Exemplificando, se no acesso a um site de uma instituição bancária em um microcomputador, ou notebook ou mesmo em um celular, um usuário errar a digitação de sua senha por três vezes consecutivas, a conta é bloqueada de forma indeterminada ou temporária.

Este mecanismo é conhecido por intruder:

O conjunto de estratégias preventivas aliadas a planos de ação que busca garantir a manutenção dos serviços essenciais de uma empresa ou entidade durante uma eventual crise (interrupções ou incidentes) é conhecido como:

Qual dos pilares de Segurança da Informação busca garantir que a informação esteja disponível sempre quando necessária para quem é de direito?

Uma vulnerabilidade grave de segurança em um software que ainda é desconhecida dos usuários e/ou do próprio desenvolvedor é conhecida como:

Associe os golpes e ataques na internet a seguir às suas respectivas técnicas.

Golpes e ataques

1. Força Bruta (Brute force)

2. Desfiguração de página (Defacement)

3. Negação de serviço (DoS e DDoS)

4. Varredura em redes (Scan)

Técnicas

( ) Exaure e causa indisponibilidades de um serviço, um computador ou uma rede conectada à internet.

( ) Altera o conteúdo da página Web de um site.

( ) Efetua buscas minuciosas em redes, com o objetivo de identificar computadores ativos e coletar informações sobre eles.

( ) Adivinha, por tentativa e erro, um nome de usuário e senha.

A sequência correta é

Analise as afirmativas sobre infraestrutura de chaves públicas e certificação digital a seguir.

I- O padrão X.509 contém as definições para a criação de certificados digitais e seu uso está difundido na internet.

II- Autoridade de certificação é um centro de distribuição de chaves on-line, disponível 24 horas por dia, para fornecer chaves públicas por demanda.

III- Certificados vinculam uma chave pública a um protagonista ou a algum atributo. Um certificado pode afirmar: ‘o dono desta chave pública tem mais de 18 anos’.

IV- A criptografia de chave pública possibilita a comunicação segura entre duas pessoas que compartilham uma chave em comum, além de possibilitar a assinatura de mensagens.

Estão corretas apenas as afirmativas

É uma das metas ou objetivos da segurança da informação a

Quando um antivírus baixa atualizações, é correto afirmar que ele está baixando

Sobre a NBR ISO 31000, à medida que lacunas ou oportunidades de melhoria pertinentes são identificadas, convém que a organização desenvolva ______________ e ______________ e os(as) atribua àqueles responsabilizados pela implementação.


Assinale a alternativa que preenche correta e respectivamente as lacunas.

Assinale a alternativa que apresenta um software livre capaz de realizar o serviço de IDS dentro de uma rede.

Assinale a alternativa que apresenta um software livre capaz de realizar o serviço de IPS dentro de uma rede.

O Cross-Site-Scripting, também conhecido como (XSS), é um dos defeitos de segurança mais comumente encontrados em aplicações web, permitindo utilizar uma aplicação vulnerável para transportar código malicioso até o navegador de outro usuário. Dependendo de como o código malicioso é transportado até o navegador da vítima e do local em que a vulnerabilidade ocorre (no servidor ou no cliente), um XSS pode ser classificado de vários tipos.
O tipo de XSS que o código malicioso é enviado na URL ou no cabeçalho HTTP, como parte da requisição, explorando um parâmetro que é exibido sem tratamento na página resultante, é o: