Questões de Segurança da Informação (TI) — TCE-PA 2016

Julgue os itens subsecutivos, referentes às noções de segurança da informação. Hardening é um processo de alteração na infraestrutura física dos recursos dos computadores em rede cujo objetivo principal consiste em preparar a infraestrutura para enfrentar erros. Esse processo inclui habilitar o acesso de todos os usuários aos recursos de todos os servidores, de forma a garantir que qualquer recurso de hardware esteja disponível aos usuários existentes.

Julgue os itens subsecutivos, referentes às noções de segurança da informação. Phishing é um tipo de fraude por meio da qual um golpista tenta obter dados pessoais e financeiros de outro usuário da Internet utilizando, por exemplo, páginas falsas de comércio eletrônico e redes sociais, bem como mensagens eletrônicas que contenham formulários de solicitações falsas de recadastramento.

Julgue os itens subsecutivos, referentes às noções de segurança da informação. O princípio de não repúdio impede que o autor de um documento negue a criação e a assinatura desse documento.

Julgue os itens subsequentes, acerca de becape. A central de sincronização do Windows 7 realiza o becape completo do computador, armazenando a cópia em uma partição específica do disco rígido.

Julgue os itens subsequentes, acerca de becape. No Windows, a cópia do estado do sistema permite realizar a cópia de segurança de registro e arquivos de inicialização.

Julgue os itens subsecutivos, referentes às noções de segurança da informação. A segurança da informação visa preservar, entre outros, os seguintes princípios: o da confidencialidade, o qual garante que a informação não será conhecida por pessoas não autorizadas; o da integridade, o qual garante que a informação armazenada ou transferida está correta e é apresentada corretamente para quem a consulta; e o da disponibilidade, o qual garante que a informação poderá ser obtida pelo usuário sempre que necessário.

Com relação ao que dispõe a NBR ISO 31000:2009 acerca da gestão de riscos, julgue os itens subsecutivos. São consideradas as circunstâncias e as necessidades da organização para se determinar se a análise de riscos será qualitativa, quantitativa ou uma combinação dessas duas formas de análise.

Em relação aos princípios de segurança da informação, criptografia e certificação digital, julgue os itens a seguir. Em criptografia assimétrica, para se recuperar um texto claro oriundo de um texto cifrado com uma chave pública e um algoritmo de criptografia, deve-se utilizar a chave privada associada e o correspondente algoritmo de decriptografia.

Julgue os itens a seguir, relativos à criptografia e suas aplicações. A decriptografia de dados por meio do algoritmo RC4 é realizada com sucesso se os dados tiverem sido criptografados mediante o algoritmo AES (Advanced Encryption Standard) e a mesma chave simétrica tiver sido utilizada em ambos os algoritmos.

A propósito de ataques a redes e serviços, julgue os próximos itens. Em ataques APT (Advanced Persistent Threat), são aplicadas técnicas de engenharia social para que se invadam, de forma discreta, os sistemas organizacionais.

No que se refere às características e ao uso de softwares maliciosos, julgue os itens seguintes. Os bots, programas de computador que executam operações na forma de agentes em nome de um atacante, podem ser controlados remotamente e são capazes de, entre outras atividades, enviar spam.

Julgue os itens subsecutivos, acerca de ataques comuns realizados em testes de invasão (pentests). Ferramentas automatizadas para ataques MITM (man-in-the-middle) na camada de enlace provocam muito ruído na rede e, consequentemente, ocasionam sobrecarga desnecessária e mau funcionamento dos switches.

Com base na NBR ISO 22301:2013, que dispõe requisitos para a gestão de continuidade de negócios, julgue os itens que se seguem. O controle dos processos terceirizados é opcional, motivo pelo qual as organizações podem avaliar tais processos apenas quando considerarem isso necessário.

No que se refere aos conceitos de segurança da informação, julgue os itens subsequentes. O repasse de informações institucionais a terceiros viola a política de confidencialidade fixada na política de segurança da informação de uma organização.

Acerca da análise de malwares executáveis em ambiente Windows, julgue os itens a seguir. Informações a respeito das funções que um malware executa podem ser obtidas pela extração de strings desse malware.

No que se refere a ferramentas e recursos de segurança nos sistemas operacionais Debian e Windows Server, julgue os itens a seguir. As ferramentas tiger e flawfinder são utilizadas na execução de auditorias internas de hosts no Debian para verificar se o sistema de arquivos está configurado de forma correta.

Acerca de algoritmos e protocolos de segurança em redes wireless, julgue os itens subsequentes. O protocolo WEP (wired equivalent privacy) é considerado seguro, uma vez que, para quebrá-lo, é necessário utilizar mecanismos de força bruta superior ao algoritmo DES.

No que se refere a sistemas de gestão da segurança da informação (SGSI), julgue o item a seguir à luz da norma ISO/IEC 27001:2013. Para reivindicar conformidade com a referida norma, uma organização poderá excluir, sem justificativas formais, requisitos especificados nas seções de análise crítica pela direção e de auditorias internas do SGSI.

Acerca da ação de softwares maliciosos, julgue os itens subsequentes. Um rootkit é uma ferramenta que manipula recursos do sistema operacional para manter suas atividades indetectáveis por mecanismos tradicionais, podendo, ainda, operar no nível de kernel do sistema operacional.

À luz da NBR ISO/IEC 27005:2011, que dispõe diretrizes para o processo de gestão de riscos de segurança da informação (GRSI), julgue os itens a seguir. O processo de GRSI é iterativo tanto para o processo de avaliação de riscos quanto para as atividades de tratamento de risco.

Acerca da análise de malwares executáveis em ambiente Windows, julgue os itens a seguir. Pela técnica de engenharia reversa, é possível obter o código-fonte de um malware e o nome real de suas funções, desde que utilizado um leitor hexadecimal.

Acerca da ação de softwares maliciosos, julgue os itens subsequentes. A atuação de um adware ocorre de maneira que o usuário não esteja ciente de que seu computador está sendo monitorado e de que suas informações estão sendo enviadas a um servidor de terceiros.

À luz da NBR ISO/IEC 27005:2011, que dispõe diretrizes para o processo de gestão de riscos de segurança da informação (GRSI), julgue os itens a seguir. Durante o processo de GRSI, é importante que os riscos, bem como a forma com que se pretende tratá-los, sejam comunicados ao pessoal das áreas operacionais e aos devidos gestores.

A propósito de ataques a redes e serviços, julgue os próximos itens. Quando a autenticação e o gerenciamento da sessão de aplicação não são feitos corretamente, ocorre o ataque de referência insegura a objetos, por meio do qual o atacante, ao assumir a identidade da vítima, compromete senhas, chaves e sessões web.

No que se refere aos conceitos de segurança da informação, julgue os itens subsequentes. A capacidade de localização de identidades preexistentes em sistemas conectados é uma funcionalidade de sistemas de gestão de identidades.

Julgue os itens a seguir, relativos à criptografia e suas aplicações. Um hash, que é resultante de uma função de resumo, pode ser utilizado para gerar assinaturas digitais.

Julgue o item seguinte, acerca de ataques a computadores. Em caso de um serviço de rede sofrer ataque de negação de serviço distribuído, os usuários conectados permanecerão com tempo de resposta garantido; as novas tentativas de conexão serão negadas e novos acessos ao serviço, bloqueados.

No que se refere a algoritmos e protocolos de segurança em redes wireless, julgue os itens que se seguem. O padrão WPA2 não tem seu uso restrito ao modo de funcionamento para redes sem fio com padrões 802.11b.

A propósito de ataques a redes e serviços, julgue os próximos itens. Ataque de dia zero é um tipo de ataque de software projetado para ativar e realizar uma ação destrutiva em hora ou data específica.

Acerca de criptografia simétrica e assimétrica, julgue os itens a seguir. Por suportar três tamanhos de chaves distintas, o algoritmo AES é considerado um algoritmo de criptografia assimétrica.

A propósito de ataques a redes e serviços, julgue os próximos itens. Diferentemente dos golpes de phishing, os ataques de spear phishing são realizados mediante o envio aleatório e em massa de emails enganosos para múltiplos usuários, para a obtenção de informações bancárias das vítimas ou apropriação da identidade delas.

Acerca da análise de malwares executáveis em ambiente Windows, julgue os itens a seguir. Por meio da análise estática, é possível descrever o comportamento de um malware como se ele estivesse sendo executado em tempo real.

No que se refere a ferramentas e recursos de segurança nos sistemas operacionais Debian e Windows Server, julgue os itens a seguir. Nessus é a mais completa e atualizada ferramenta de segurança disponibilizada no Debian para verificação remota de vulnerabilidades.

A propósito de ataques a redes e serviços, julgue os próximos itens. Constituem estratégias para evitar ataques de XSS (cross-site scripting): a utilização da flag HTTPOnly nos cookies, pela qual se evita que estes sejam manipulados por JavaScript; e a ativação da flag Secure, que garante que o tráfego seja feito apenas por HTTPS.

Acerca de criptografia simétrica e assimétrica, julgue os itens a seguir. Durante a construção de uma chave pública, é suficiente utilizar apenas um número primo, visto que a fatoração é um ataque ineficiente em criptografia assimétrica.

Em relação aos princípios de segurança da informação, criptografia e certificação digital, julgue os itens a seguir. Caso a senha da conta de email do presidente de determinada organização seja indevidamente trocada, ficando a conta temporariamente inacessível ao seu proprietário, haverá quebra da integridade das informações contidas nas mensagens da caixa postal correspondente.

Julgue os itens subsecutivos, acerca de ataques comuns realizados em testes de invasão (pentests). Um ataque de negação de serviço é dificilmente detectado em ambientes de rede.

Com base no disposto na NBR ISO/IEC 27001:2013, julgue o item a seguir, relativo à gestão de segurança da informação. Devido a seu conteúdo confidencial e estratégico, a política de segurança da informação de uma organização deve estar disponível, como informação documentada, exclusivamente para a alta gerência.

Julgue os itens a seguir, relativos à criptografia e suas aplicações. RSA, 3DES e SHA-1 são métodos criptográficos que utilizam chave assimétrica.

Julgue os itens subsecutivos, acerca de ataques comuns realizados em testes de invasão (pentests). Phishing, técnica pela qual é possível capturar senhas de usuários, pode utilizar mecanismos de engenharia social para tentar enganar as vítimas.

Julgue os seguintes itens, relativos à segurança de aplicativos web. Limitar o tempo de vida dos cookies de uma sessão e implementar mecanismos de desafio-resposta, como o captcha, são contramedidas para ataques de CSRF (cross-site request forgery)

Acerca da elaboração e execução de políticas de becape e de restauração de dados, julgue os itens a seguir. O objetivo de uma empresa, ao elaborar e estabelecer sua política de becape, consiste em determinar que os serviços de becape sejam orientados para a restauração de informações em menor tempo possível.

No que diz respeito à segurança em redes, julgue os próximos itens Para bloquear um ataque de XSS (cross-site script) a uma aplicação web, é suficiente desativar o suporte a XML no navegador do usuário.

No que se refere a algoritmos e protocolos de segurança em redes wireless, julgue os itens que se seguem. O padrão WPA2 é inseguro contra ataques de força bruta.

Com relação ao que dispõe a NBR ISO 31000:2009 acerca da gestão de riscos, julgue os itens subsecutivos. A gestão de riscos é uma atividade autônoma e independente de outros processos da organização.

No que se refere aos conceitos de segurança da informação, julgue os itens subsequentes. Escuta, análise de tráfego e falsificação são exemplos de ataques que ameaçam a integridade dos dados.

Julgue os seguintes itens, relativos à segurança de aplicativos web. A técnica de fuzzing do OWASP ZAP fornece entradas não válidas para qualquer tipo de mecanismo de entrada.

Julgue os itens a seguir, relativos à criptografia e suas aplicações. A adição de um bite ao tamanho da chave duplica o tempo médio necessário para um ataque de força bruta.

No que se refere às características e ao uso de softwares maliciosos, julgue os itens seguintes. Um Rootkit, software que permite ao atacante obter controle administrativo na máquina infectada, pode ser removido por qualquer antivírus com base em assinatura, haja vista ser de fácil detecção.

Acerca de criptografia simétrica e assimétrica, julgue os itens a seguir. Em criptografia simétrica, a mesma chave é utilizada no processo de cifrar e decifrar a mensagem.

Em relação aos princípios de segurança da informação, criptografia e certificação digital, julgue os itens a seguir. Um certificado digital contém, além de atributos específicos do usuário, uma chave pública, assinada digitalmente por entidade confiável, responsável pela emissão do certificado ou pela autenticação da entidade emissora.

Com base na NBR ISO 22301:2013, que dispõe requisitos para a gestão de continuidade de negócios, julgue os itens que se seguem. Os objetivos da continuidade de negócios devem ser monitorados e, quando necessário, atualizados.

Acerca da elaboração e execução de políticas de becape e de restauração de dados, julgue os itens a seguir. No esquema de rotação de mídias para becape GFS (grandfather-father-son), são criados conjuntos de becapes diários, semanais e mensais. Os becapes diários compreendem os becapes rotacionados a cada dia, a partir dos quais se realiza um becape semanal, ao passo que os becapes semanais são rotacionados a cada semana e servem de base para um becape mensal.