Questões de Concurso Comentadas para bndes

Uma empresa de tecnologia está desenvolvendo uma nova aplicação que será baseada em microsserviços e distribuída em vários servidores na nuvem. Os líderes do projeto decidiram usar uma solução com orquestração de contêineres e precisam explicar como essa solução funciona para a equipe e para os clientes.

Considerando-se esse contexto, como descrever as funcionalidades que caracterizam as ferramentas de conteinerização e de orquestração?

Uma equipe de desenvolvimento está trabalhando em um sistema de gestão de pedidos, no qual é necessário implementar uma transação que gera um relatório detalhado de vendas. Esse relatório contém informações sobre as vendas do dia, agrupadas por categoria de produto, cliente e vendedor. O usuário pode selecionar a data específica como entrada para gerar o relatório. O relatório gerado não permite navegação ou consulta adicional e é produzido para ser impresso.

Dada a descrição da transação, qual tipo de ponto de função deve ser contado?

Um programador está desenvolvendo um sistema de controle de estoque no qual múltiplos threads precisam atualizar a quantidade de produtos simultaneamente. Para garantir que a quantidade de produtos seja atualizada corretamente sem causar inconsistências, ele precisa utilizar uma primitiva de sincronização específica.

Considerando-se esse contexto, qual é a propriedade que caracteriza unicamente a primitiva de sincronização chamada ‘mutex’ e que a qualifica para garantir a condição desejada?

Um desenvolvedor JavaScript está atualizando um código legado que utiliza a classe Date para manipulação de datas e horas. Ele precisa substituir o código antigo por uma implementação moderna utilizando a nova Temporal API, introduzida no ECMAScript 2023. O código original contém a seguinte linha para criar uma data correspondente a 15 de agosto de 2023: 

const minhaData  =  new  Date ( 2023 , 7 , 15 ) ; 

Qual linha de código corresponde à criação dessa mesma data, usando a Temporal API? 

Um desenvolvedor Java 21 precisa implementar uma enumeração chamada Dia Da Semana, que representa os dias da semana, de forma a garantir que esteja acessível em todos os pacotes usados no sistema. Considerando-se esse contexto, qual extrato de código se deve usar para fazer essa implementação? 

Um desenvolvedor está trabalhando em um sistema bancário que precisa lidar de forma consistente com diferentes tipos de contas, todas definidas como subclasses da classe Conta Genérica, como Conta Corrente e Conta Poupança. Para isso, ele decide usar classes genéricas em Java para criar uma classe genérica Trata Conta que só trataria subclasses da classe Conta Genérica.

Considerando-se esse contexto, qual das seguintes opções inicia corretamente a definição da classe genérica desejada?

Um Sistema de Gestão da Segurança da Informação (SGSI) deve ser integrado aos processos da organização e à estrutura de administração global para que a segurança da informação seja considerada no projeto dos processos, sistemas de informação e controles. A organização deve melhorar continuamente a pertinência, a adequação e a eficácia do SGSI. A norma ABNT NBR ISO/IEC 27001:2022 define vários itens que fazem parte da melhoria do SGSI.

Dentre esses itens, encontra-se a(o)

A norma ABNT NBR ISO/IEC 27002:2022 organiza os controles de segurança em diferentes categorias (ou temas), e cada controle está associado a cinco atributos com valores de atributo correspondentes. Dentre esses atributos, o de domínios de segurança é usado para visualizar controles na perspectiva de quatro domínios de segurança da informação.

Os valores desse atributo consistem em:

O Common Vulnerability Scoring System (CVSS) é um framework aberto para comunicar as características e a gravidade das vulnerabilidades de sistemas que propõe uma maneira de capturar as principais características de uma vulnerabilidade e de produzir uma pontuação numérica que reflete sua gravidade e pode ser traduzida em uma representação qualitativa. Os quatro grupos de métricas definidos no CVSS versão 4.0 são:

O Common Weakness Enumeration (CWE) é uma base de conhecimento sobre fraquezas comuns em hardware e software que, sob certas circunstâncias, podem contribuir para a introdução de vulnerabilidades. O CWE Top 25 de 2023 demonstra as fraquezas de software mais comuns e impactantes atualmente. Dentre essas 25 fraquezas, destaca-se uma na qual o servidor web recebe uma URL e recupera o conteúdo dessa URL, mas não garante suficientemente que a solicitação seja enviada ao destino esperado, permitindo que o servidor seja usado como um proxy para realizar a varredura de portas de hosts em redes internas.

Essa fraqueza é listada no CWE como

A taxonomia das táticas, técnicas e subtécnicas adversárias proposta pela MITRE ATT&CK® estabelece uma linguagem comum para compartilhar informações sobre ameaças cibernéticas e para colaborar na prevenção de ameaças. Um exemplo de técnica da tática de evasão de defesa da matriz para empresas da MITRE ATT&CK® é

Um CSIRT (Computer Security Incident Response Team) é capaz não apenas de coletar e avaliar relatórios de incidentes de segurança da informação, mas também de analisar dados relevantes e executar análises técnicas detalhadas do incidente em si e de quaisquer artefatos usados. A partir dessa análise, a mitigação e as etapas para se recuperar do incidente podem ser recomendadas.

De acordo com o FIRST CSIRT Services Framework, o serviço de mitigação e recuperação está definido para a área de serviço de

A implementação dos controles de segurança da informação é realizada com os mecanismos de segurança. Pode-se usar um método ou processo para assegurar a integridade de uma unidade de dados ou de um fluxo de unidade de dados, produzindo um código de verificação de integridade representado por um bloco de bits de tamanho fixo.

Esse bloco é conhecido como

Conforme descrito no documento CIS Microsoft Windows Server 2019 Standalone Benchmark v1.0.0, os usuários devem ser educados sobre a seleção e a manutenção adequadas de senhas pessoais, especialmente com relação ao comprimento. Os tipos de ataques de senha incluem ataques de dicionário (que tentam usar palavras e frases comuns) e ataques de força bruta (que tentam todas as combinações possíveis de caracteres). Além disso, os invasores, às vezes, tentam obter o banco de dados de contas para que possam usar ferramentas para descobrir as contas e as senhas.

Segundo esse benchmark, a recomendação para o tamanho das senhas no ambiente corporativo é de quantos caracteres?

Os Controles CIS (Center for Internet Security) refletem o conhecimento combinado de inúmeros especialistas de várias áreas de segurança e de vários setores, que compartilham percepções sobre ataques e invasores, identificam as causas básicas e as traduzem em classes de ação defensivas. A versão 8 dos Controles CIS apresenta Grupos de Implementação (IG, sigla em inglês) de Controles CIS, e cada IG identifica um subconjunto dos Controles CIS que a comunidade avaliou amplamente para serem aplicáveis a uma empresa com um perfil de risco e recursos semelhantes para implementação. Dentre esses IG, um deles é recomendado para uma empresa que emprega especialistas em segurança especializados nas diferentes facetas da segurança cibernética (por exemplo, gestão de riscos, teste de invasão, segurança de aplicações) e na qual os ativos e os dados contêm informações ou funções confidenciais que estão sujeitas à supervisão regulatória e de conformidade, o que obriga a empresa a abordar a disponibilidade dos serviços e a confidencialidade e integridade dos dados sensíveis.
Esse Grupo de Implementação de Controle CIS é o

Os Benchmarks CIS (Center for Internet Security) são recomendações de configurações técnicas para manter ou aumentar a segurança de uma tecnologia específica. Por exemplo, no CIS Red Hat Enterprise Linux 9 Benchmark v1.0.0, encontram-se recomendações de configuração técnica relevantes para o sistema RHEL 9. Dentre as recomendações para a configuração de sistemas de arquivos, os diretórios que são usados para funções de todo o sistema podem ser protegidos, ainda mais quando são colocados em partições separadas. Isso fornece proteção para exaustão de recursos e permite o uso de opções de montagem que são aplicáveis ao uso pretendido do diretório. Em particular, para o sistema de arquivos do /tmp, a recomendação é montá-lo em uma partição separada e usar opções de montagem para evitar três ameaças nesse sistema de arquivos: 

(1) criação de arquivos especiais de dispositivos de bloco ou de fluxo;
(2) criação de arquivos com permissão de setuid;
(3) execução de arquivos binários.

Respectivamente, essas opções de montagem são

O Transport Layer Security (TLS) é um padrão de comunicação segura que criptografa e autentica a comunicação entre aplicativos e servidores para assegurar proteção de dados. As duas versões mais comuns ainda em uso hoje são o TLS 1.2 e o mais recente protocolo TLS 1.3. Existem várias diferenças importantes entre essas versões que melhoram a segurança, o desempenho e a privacidade.

Dentre as principais diferenças, verifica-se que o TLS 1.3 suporta

As equipes do Security Operation Center (SOC) da organização, muitas vezes, são inundadas com tarefas repetitivas e demoradas que prejudicam e reduzem a eficiência na resposta aos incidentes. Para minimizar esse problema, um conjunto de tecnologias de segurança cibernética permite que as organizações respondam a alguns incidentes automaticamente, possibilitando que os administradores lidem com alertas de segurança, sem a necessidade de intervenção manual. Para isso, englobam três importantes recursos de software usados pelas equipes de cibersegurança: gerenciamento de casos e de fluxos de trabalho; automação de tarefas e acesso a meios centralizados de consulta; e compartilhamento de informações sobre ameaças.

Esse conjunto de tecnologias de segurança cibernética é conhecido como

Os Controles CIS (Center for Internet Security) refletem o consenso de uma comunidade internacional de indivíduos e instituições voluntários sobre importantes controles de segurança. O Controle CIS de defesas de malware visa impedir ou controlar a instalação, disseminação e execução de aplicações, códigos ou scripts maliciosos em ativos corporativos.

Uma das medidas de segurança definidas para a implantação desse controle é

O padrão IEEE 802.1X fornece um controle de acesso à rede de comunicação de dados, através de um mecanismo de autenticação que envolve três partes: o suplicante, o autenticador e o servidor de autenticação. Durante o processo de autenticação, a entidade que deseja acessar a rede (suplicante) interage diretamente com a entidade que fornece o acesso à rede (autenticador). O autenticador interage diretamente com a entidade que decide se o suplicante pode ou não acessar a rede (servidor de autenticação).

O protocolo de comunicação utilizado pelo suplicante para interagir com o autenticador durante o processo de autenticação é o