Questões de Segurança da Informação (TI)

Um órgão que lida com muitos documentos sigilosos sinalizou para sua equipe de Tecnologia da Informação (TI) sua preocupação quanto a uma invasão cibernética e roubo desses documentos. Para incrementar a segurança da rede desse órgão, a equipe de TI instalou um equipamento capaz de verificar as conexões TCP em andamento antes de permitir a passagem de um determinado pacote. O equipamento instalado pela equipe de TI utiliza recursos de:

Durante uma auditoria externa contratada pelo Tribunal de Justiça ao departamento de segurança da informação, foram avaliados os sistemas existentes seguindo a Norma ABNT NBR ISO/IEC 27001. Durante a avaliação, houve a

necessidade de prover um sistema de gerenciamento de senhas interativo e com qualidade. Para criar o seu sistema, o departamento de segurança deve fazer uso do objetivo de controle:

Lucas é um trader profissional que trabalha em uma corretora de valores. Ele efetua muitas operações durante o período em que a bolsa negocia seus ativos. Após fazer uma revisão em suas operações do dia, não validou, como sendo efetuadas por ele, algumas das operações que obtiveram prejuízo. Lucas, então, entrou em contato com a corretora e esta demonstrou, a partir de registros de auditoria e garantia de identidade, que as operações em questão realmente foram executadas por ele. Para que a corretora prove que foi Lucas quem realmente executou as operações, ela deve fazer uso do conceito de segurança chamado:

Ana precisa enviar a mensagem M para Bráulio de forma sigilosa pela rede do Tribunal de Justiça atendendo aos requisitos de segurança: autenticidade, não repúdio, integridade e confidencialidade. Para isso, Ana deve enviar uma chave secreta K para Bráulio e gerar uma assinatura digital AD(M). Considerando que a chave K deve ser conhecida apenas por Ana e Bráulio, após esse processo deve-se cifrar K e AD(M) com a chave:

A Estratégia Nacional de Segurança da Informação e Cibernética do Poder Judiciário (ENSEC-PJ) foi instituída com o objetivo de incrementar a segurança cibernética nos órgãos do Poder Judiciário, abrangendo aspectos essenciais da segurança da informação e definindo objetivos para fortalecer o espaço cibernético do Poder Judiciário, assim como divulgar ações para os órgãos em seu âmbito de atuação. Um dos objetivos da ENSEC-PJ, instituída pela Resolução CNJ nº 396/2021, é:

Caio recebeu a tarefa de melhorar a segurança da rede local do Tribunal de Justiça. A demanda solicitada foi a implementação de um sistema de criptografia que atenda aos requisitos a seguir.

1. receber como entrada um bloco de texto sem formatação;
2. trabalhar com tamanhos de chaves diferentes;
3. movimentar o bloco para uma matriz quadrada onde são executadas suas operações;
4. relacionar o número de rodadas do algoritmo com o tamanho da chave. Para cifrar as mensagens e atender aos critérios determinados, Caio deve utilizar o algoritmo criptográfico:

O departamento de segurança da informação do TJDFT vinha percebendo que suas mensagens cifradas não eram computacionalmente seguras, por isso resolveram alterar o modo de operação do algoritmo utilizado para o modo counter (CTR). Para melhorar os níveis de segurança no trâmite das mensagens, as características do CTR que devem ser selecionadas são:

A Estratégia Nacional de Segurança da Informação e Cibernética do Poder Judiciário (ENSEC-PJ) foi instituída com o objetivo de incrementar a segurança cibernética nos órgãos do Poder Judiciário, abrangendo aspectos essenciais da segurança da informação e definindo objetivos para fortalecer o espaço cibernético do Poder Judiciário, assim como divulgar ações para os órgãos em seu âmbito de atuação. Um dos objetivos da ENSEC-PJ, instituída pela Resolução CNJ nº 396/2021, é:

PedidosSemEstresse é uma aplicação Web destinada a digitalizar o processo de pedidos de serviços de um órgão da administração pública. A interface de PedidosSemEstresse utilizada pelos usuários faz chamadas a uma API RESTful e não utiliza facilidades de login único (single sign-on – SSO). Recentemente, o usuário interno João utilizou suas próprias credenciais com privilégios somente de execução de métodos GET para explorar vulnerabilidades e teve acesso direto a API RESTful. Assim, João fez chamadas a métodos POST com sucesso. Com base no OWASP Top Ten, a vulnerabilidade explorada por João é da categoria:

Anderson quer enviar uma mensagem para sua esposa que está em outra cidade sem que ninguém saiba da existência da mensagem. Então, Anderson inseriu a mensagem em uma foto em que ambos estavam, de forma que fez uma pequena redução na qualidade da imagem e inseriu a mensagem nesses bits sobressalentes. Para ocultar a mensagem em uma foto, Anderson utilizou a técnica de:

A Estratégia Nacional de Segurança da Informação e Cibernética do Poder Judiciário (ENSEC-PJ) foi instituída com o objetivo de incrementar a segurança cibernética nos órgãos do Poder Judiciário, abrangendo aspectos essenciais da segurança da informação e definindo objetivos para fortalecer o espaço cibernético do Poder Judiciário, assim como divulgar ações para os órgãos em seu âmbito de atuação. Um dos objetivos da ENSEC-PJ, instituída pela Resolução CNJ nº 396/2021, é:

Marcelo está elaborando a política de segurança em seu órgão e incluiu orientações sobre criação de senhas fortes para acesso aos sistemas, principalmente aqueles acessados pela internet. A orientação do Marcelo visa proteger seus usuários contra ataques de hackers que utilizam software automático para descobrir senhas fracas. A técnica para obtenção de senhas da qual Marcelo está tentando proteger seus usuários é:

Os analistas de segurança da informação estão pesquisando como mitigar riscos e monitorar ameaças que podem surgir no futuro. No modelo de ameaças STRIDE, a ameaça que tenta violar o princípio da confidencialidade é:

Após ser aceita em uma licitação do Tribunal de Justiça, a empresa Seg X foi contratada para implementar a segurança na rede sem fio existente. A empresa identificou que a rede sem fio utilizava o padrão 802.11 com o protocolo WPA2 (wi-fi Protected Access 2) e forneceu, como solução, a utilização do protocolo de segurança CCMP (Counter Mode with Cipher Block Chaining Message Authentication Code Protocol). A partir do uso do protocolo CCMP, a rede do Tribunal de Justiça obterá:

Um ataque perigoso para aplicações web é o clickjacking, uma técnica maliciosa que induz o usuário a clicar em algo diferente do que ele enxerga, potencialmente podendo causar ações indesejadas ou revelar informações confidenciais. Uma forma de a aplicação web tentar evitar que esse ataque ocorra é pelo uso do(a):

A Estratégia Nacional de Segurança da Informação e Cibernética do Poder Judiciário (ENSEC-PJ) foi instituída com o objetivo de incrementar a segurança cibernética nos órgãos do Poder Judiciário, abrangendo aspectos essenciais da segurança da informação e definindo objetivos para fortalecer o espaço cibernético do Poder Judiciário, assim como divulgar ações para os órgãos em seu âmbito de atuação. Um dos objetivos da ENSEC-PJ, instituída pela Resolução CNJ nº 396/2021, é:

A equipe de Tecnologia da Informação (TI) de um órgão público recebeu uma solicitação para implementar um backup de uma máquina virtual hospedada em seu cluster de virtualização. O cliente solicitou que fossem realizadas cópias diárias dos dados alterados em relação ao último backup completo da pasta /importante. O tipo de backup a ser implementado pela equipe de TI para atender a solicitação do cliente é:

Carlos recebeu um e-mail que parecia pertencer ao seu banco e, sem perceber, baixou e instalou um software malicioso no seu computador. A partir desse software, um criminoso cibernético passou a ter o controle do computador de Carlos. O software malicioso instalado no computador de Carlos é:

João administra uma rede de computadores com muitos sistemas de informação cujas operações são de acesso restrito, pois contém informações confidenciais. Nos últimos meses, João recebeu diversos relatos de ataques de keylogger e screenlog. Diante desse cenário, João deve proteger a sua rede de ataques do tipo:

Marina recebeu uma ligação de um suposto funcionário que dizia estar fazendo uma pesquisa sanitária sobre uma pandemia. Marina passou suas informações pessoais e profissionais, que permitiram ao falso funcionário acessar um sistema com suas credenciais. A técnica empregada pelo falso funcionário para conseguir as informações de Marina é:

O Comitê de Segurança Cibernética do Poder Judiciário instituiu o Protocolo de Prevenção a Incidentes Cibernéticos do Poder Judiciário (PPINC-PJ) com diretrizes para a prevenção a incidentes cibernéticos em seu mais alto nível. O PPINC- PJ baseia-se em um conjunto de boas práticas de segurança cibernéticas para melhor detectar, conter e eliminar ataques cibernéticos, minimizando eventuais impactos na operação das atividades dos órgãos. De acordo com o Anexo I, da Portaria CNJ nº 162/2021, o princípio crítico da PPINC-PJ que tem foco na formação, na revisão de controles/acessos, nos processos e na disseminação da cultura de segurança cibernética é:

Um órgão público que possui instalações em vários estados do Brasil instituiu a sua Equipe de Tratamento e Resposta a Incidentes (ETIR), de acordo com Norma Complementar nº 05/IN01/DSIC/GSIPR, para gerenciar e tratar seus incidentes de segurança da informação. O órgão implementou a sua estrutura da seguinte forma: estabeleceu uma ETIR central que funciona na sede do órgão em Brasília e várias ETIRs secundárias distribuídas nas outras instalações dos órgãos nos outros estados. A ETIR principal define as estratégias, gerencia os serviços ofertados, centraliza os incidentes ocorridos e é responsável pela comunicação com o CTIR Gov, enquanto as secundárias implementam as estratégias e atuam dentro do escopo de seus estados, notificando seus incidentes sempre à ETIR principal. O modelo de ETIR implementado pelo órgão é: