Questões de Segurança da Informação

Questão 1CebraspeAEB2024

Assinale a opção que corresponde a um ataque que se caracteriza pela inundação de um recurso de rede para torná-lo lento ou inacessível para usuários legítimos.

1. A phishing
2. B negação de serviço
3. C ransoware
4. D XSS
5. E SQL injection

Questão 2CebraspeABIN2017

Os testes CAPTCHA são eficientes contra os ataques DDoS volumétricos e os de exaustão das conexões TCP, mas são inócuos contra os ataques DDoS de camada de aplicação.

1. C Certo
2. E Errado

Questão 3CebraspeABIN2017

Rootkits executando em modo usuário são difíceis de detectar, possuem acesso irrestrito ao hardware e operam tipicamente subvertendo o fluxo de execução, ocultando-se e substituindo por código malicioso as chamadas do sistema que manipulam arquivos, processos, memória, controle de acesso e comunicações de rede.

1. C Certo
2. E Errado

Questão 4CebraspeABIN2017

O spyware Flame, também conhecido por sKyWIper, foi descrito como um dos mais complexos códigos maliciosos já descobertos, sendo a ele atribuída a capacidade de coletar informações da máquina infectada por meio de teclado, tela, microfone, dispositivos de armazenamento, rede, wi-fi , Bluetooth , USB e processos do sistema.

1. C Certo
2. E Errado

Questão 5CebraspeABIN2017

O instalador do ransomware WannaCry executa dois componentes: o primeiro usa o exploit EternalBlue para explorar uma vulnerabilidade do RDP ( remote desktop protocol ) do Windows e propagar o malware ; o segundo é um componente de criptografia.

1. C Certo
2. E Errado

Questão 6CebraspeABIN2017

Um dos motivos para o deslocamento das ocorrências de phishing para as redes sociais é a usabilidade dessas redes como canais de comunicação legítimos e familiares aos usuários, o que torna mais difícil distinguir mensagens de phishing de mensagens genuínas.

1. C Certo
2. E Errado

Questão 7CebraspeABIN2017

A atual geração de dispositivos IOT (Internet das coisas) não foi concebida com foco em segurança do software , o que os torna candidatos prováveis a integrar gigantescas botnets que, entre outras atividades rentáveis, podem ser usadas para acelerar quebras de senhas para invadir contas online , minerar bitcoins e realizar ataques de negação de serviço sob encomenda.

1. C Certo
2. E Errado

Questão 8CebraspeABIN2017

Com o objetivo de direcionar testes de penetração a ser executados em uma organização, um analista deve considerar os seguintes requisitos. I Devem ser realizados ataques sem que o testador tenha conhecimento prévio acerca da infraestrutura e(ou) aplicação. II Devem ser enviadas ao testador informações parciais e(ou) limitadas sobre os detalhes internos do programa de um sistema, simulando, por exemplo, um ataque de hacker externo.

O requisito II é uma descrição do teste de penetração do tipo white-box , que é normalmente considerado uma simulação de ataque por fonte interna e(ou) usuário privilegiado.

1. C Certo
2. E Errado

Questão 9CebraspeABIN2017

Com o objetivo de direcionar testes de penetração a ser executados em uma organização, um analista deve considerar os seguintes requisitos. I Devem ser realizados ataques sem que o testador tenha conhecimento prévio acerca da infraestrutura e(ou) aplicação. II Devem ser enviadas ao testador informações parciais e(ou) limitadas sobre os detalhes internos do programa de um sistema, simulando, por exemplo, um ataque de hacker externo.

O requisito I é uma descrição do teste de penetração do tipo black-box , que pode ser realizado com ferramentas de descoberta de vulnerabilidade para a obtenção das informações iniciais sobre o sistema e a organização de fontes públicas.

1. C Certo
2. E Errado

Questão 10CebraspeABIN2017

Situação hipotética : O acesso a uma aplicação web com permissão de administrador é realizado por meio do valor informado em uma variável, conforme a seguir. http://www.site.com.br/aplicacacao?profile=as cs23f8g7por04 Assertiva : Nesse caso, de acordo com a OWASP ( Open Web Application Security Project ), o teste de penetração black-box automatizado é efetivo para encontrar uma vulnerabilidade, dados o valor fixo para a variável e a forma de passagem: pedido via GET .

1. C Certo
2. E Errado

Questão 11CebraspeABIN2017

Na análise de vulnerabilidades, uma das fases da execução do teste de penetração de acordo com o PTES ( Penetration Testing Execution Standard ), a varredura de porta é uma técnica que ajuda a obter uma visão geral básica do que pode está disponível na rede de destino ou no host ; na exploração, outra fase da execução de tal teste, o fuzzing visa recriar um protocolo ou aplicativo e enviar dados no aplicativo com o intuito de identificar uma vulnerabilidade.

1. C Certo
2. E Errado

Questão 12CebraspeABIN2017

Tcpdump é um aplicativo que recupera o conteúdo dos pacotes em uma interface de rede e permite, entre outras ações, o armazenamento dos dados do pacote em arquivo para análise posterior e a interrupção da comunicação entre emissor e receptor por meio de envio de kill ( -k ).

1. C Certo
2. E Errado

Questão 13CebraspeABIN2017

Situação hipotética : Um servidor de banco de dados para utilização de web services foi configurado com a porta padrão indicada pelo fabricante, sendo somente por meio dessa porta que as aplicações farão acesso ao servidor. Assertiva : Nessa situação, se a porta de acesso ao banco de dados for alterada, recomenda-se não atualizar as aplicações, para garantir maior segurança dos dados trafegados.

1. C Certo
2. E Errado

Questão 14CebraspeABIN2017

Situação hipotética : A administração de um sítio — mudança do conteúdo e alteração dos arquivos — é realizada por meio de console. No primeiro acesso, embora seja solicitado que o administrador altere a senha inicial, que é padrão para todos os clientes, ele pode manter a senha padrão para administração do sítio por tempo indeterminado. Assertiva : Nessa situação, é indicado o envio, para o administrador, de uma senha específica e aleatória, válida por tempo determinado, e que deve ser obrigatoriamente alterada no primeiro acesso.

1. C Certo
2. E Errado

Questão 15CebraspeABIN2017

Na instalação de um servidor Apache, caso as classes Java compiladas fiquem em um dos diretórios padrões instalados, um ataque não conseguirá ver o código e nem terá acesso às regras de negócios encontradas nessas classes.

1. C Certo
2. E Errado

Questão 16CebraspeABIN2017

Os fuzzers black-box de aplicações web , por questão de segurança, não permitem requisições que mostrem os valores de resposta na URL, o que impede a avaliação das respostas retornadas pelo servidor por meio de expressões regulares ou de funções hash , sem o conhecimento prévio dos valores da resposta.

1. C Certo
2. E Errado

Questão 17CebraspeABIN2017

Na técnica conhecida como fuzzy white-box , a equipe de teste possui acesso ao código fonte da aplicação no servidor local e consegue executar os testes fuzzing por meio de algoritmos com casos de teste gerando resultado mais rápido e preciso para o gestor.

1. C Certo
2. E Errado

Questão 18CebraspeABIN2017

Um arquivo de configuração é acessado por uma classe Java que guarda, em um objeto em memória, o acesso ao dataSource do banco de dados do servidor. Quando compilado, esse arquivo é criptografado. Nesse caso, para evitar alteração ou modificação do arquivo por terceiros, uma solução seria guardar o arquivo no repositório GIT, de forma privada.

1. C Certo
2. E Errado

Questão 19CebraspeABIN2017

A arquitetura dos sistemas de uma organização utiliza uma mesma base de dados, ou seja, todos os sistemas acessam e gravam no mesmo banco de dados. Nessa arquitetura, todos os dados de acesso, como login e senha, estão armazenados em um arquivo .txt de configuração padrão no repositório central. Nessa situação, visando diminuir a fragilidade da arquitetura, é indicado que todos os sistemas tenham um dataSource específico de acesso aos seus dados.

1. C Certo
2. E Errado

Questão 20CebraspeABIN2017

Considerando o acesso a um sítio de uma empresa, desenvolvido em arquitetura Web/PHP, julgue os itens a seguir, a respeito de segurança de aplicações web.

Na situação de um URL/PHP que receba upload de arquivos, a maneira mais indicada de evitar um ataque de inclusão de arquivo é validar a URL que está subindo o arquivo junto com um token.

1. C Certo
2. E Errado