Avaliação II - Individual Cod687309

Prévia do material em texto

Os ataques passivos estão relacionados com a violação das regras de confidencialidade e não causam danos, ou seja, não excluem ou
alteram dados. Já os ataques ativos são caracterizados por serem mais perigosos, por alterarem o status dos dados, computadores ou
sistemas de comunicação.
Sobre as principais técnicas usadas em ataques a aplicações web, assinale a alternativa CORRETA:
A Codificação de caractere: os atacantes exploram as vulnerabilidades dos drivers de conexão com as do banco, expondo os conteúdos
de determinados tipos de campos quando encontrada uma condição de erro.
B SQL Injection: explora fragilidades em aplicações web que recebem strings, ou até mesmo pedaços de strings que tenham comandos
da linguagem SQL.
C Recuperação de conteúdos: variação da técnica de SQL Injection que insere caracteres e strings que se adaptam à string de consulta
ao banco interno da aplicação.
D Revelação de estrutura: é uma técnica utilizada em ataques do tipo Passagem Manipulada de Parâmetro. O atacante usa códigos
Unicode nos caracteres enviados ao servidor.
A eficiência e o desempenho dos testes dependem, de modo direto, da disponibilidade de competências individuais, e é preciso
considerar que podem não prevenir riscos de modo eficiente, na proporção que, ao atuarem sobre os incidentes, estes já podem ter,
como resultado, impactos negativos ao negócio. Sobre as categorias de testes, analise as sentenças a seguir:
I- Testes black box: ocorrem em situações em que não existe quase nenhuma informação do sistema em posse da equipe de testes. 
II- Testes white box: ocorrem em situações em que quase todas as informações do sistema são oferecidas à equipe de testes. 
III- Testes gray box: a equipe de testes e o alvo possuem total conhecimento do ataque e dos testes que serão executados.
Assinale a alternativa CORRETA:
A As sentenças I e III estão corretas.
B Somente a sentença II está correta.
C Somente a sentença I está correta.
D As sentenças I e II estão corretas.
Usualmente, as falhas ocorrem na entrada de dados. Quando não são tratadas de modo correto, permitem a inserção de códigos
maliciosos. Desse modo, é essencial que toda entrada de dados seja tratada e que se usem as bibliotecas de autossanitização de
páginas. Com relação às três categorias gerais propostas por CWE/SANS, classifique V para as sentenças verdadeiras e F para as
falsas:
( ) Categoria interação insegura entre componentes: representa os modos inseguros de envio e recebimento dos dados entre
componentes, processos, programas etc.
( ) Gerenciamento inadequado de recursos: representa as situações em que o software não gerencia, de modo correto, a criação,
utilização, transferência ou destruição de recursos do sistema.
( ) Configurações inseguras: representam as técnicas defensivas mal configuradas que podem sofrer alterações.
Assinale a alternativa que apresenta a sequência CORRETA:
A V - F - V.
B V - V - F.
C F - F - V.
D V - F - F.
1
2
3
A realização dos testes inclui a aplicação de ataques que comprometem o sistema, então, é preciso definir o escopo e os objetivos
dos testes. Além disso, é preciso definir quais partes do sistema sofrerão o ataque e que tipos de ataques serão permitidos, além da
metodologia adotada. Com relação às categorias de testes, classifique V para as sentenças verdadeiras e F para as falsas:
( ) Reversal: a equipe de teste possui total conhecimento do ambiente do alvo, mas o alvo não tem nenhum conhecimento do teste e
das ações que serão realizadas.
( ) Testes crystal box: são considerados o meio termo entre os testes black e white box. 
( ) Testes gray box: a equipe de testes e o alvo possuem total conhecimento do ataque e dos testes que serão executados.
Assinale a alternativa que apresenta a sequência CORRETA:
A V - F - V.
B V - F - F.
C V - V - F.
D F - F - V.
Para obter a eficiência e o desempenho, é necessário estabelecer algumas restrições que precisam ser combinadas entre os membros
da equipe de testes e os desenvolvedores do software. Os testes de penetração, usualmente, são classificados de acordo com a
quantidade de informações fornecidas à equipe de testes acerca do software a ser testado. 
Sobre o exposto, assinale a alternativa CORRETA:
A Testes black box: ocorrem em situações em que não existe quase nenhuma informação do sistema em posse da equipe de testes.
B Testes gray box: ocorrem em situações em que quase todas as informações do sistema são oferecidas à equipe de testes.
C Testes crystal box: são considerados o meio termo entre os testes black e white box.
D Testes white box: a equipe de testes e o alvo possuem total conhecimento do ataque e dos testes que serão executados.
É indicado que os desenvolvedores conheçam as principais ferramentas automatizadas de invasão de sistemas. Isso gera ações
proativas de segurança e uma redução significativa das possibilidades de a aplicação ser invadida. Com relação às causas mais
comuns de falhas de segurança, classifique V para as sentenças verdadeiras e F para as falsas:
( ) Incorrect/No Pathname Canonicalization: causado pela passagem de um usuário mal intencionado pelas restrições de
localização ou de nomes.
( ) Incorrect/No Error Messages: falha causada pela ausência ou incorreta utilização das mensagens de erro. 
( ) Unlimited Resource Consumption: também conhecido por DoS, é um erro causado pela não verificação ou limitação dos
recursos, permitindo que um invasor esgote os recursos disponíveis.
Assinale a alternativa que apresenta a sequência CORRETA:
A F- V - F.
B F - F - V.
C V - V - V.
D V - F - F.
O mais aconselhado para encontrar falhas e minimizar a possibilidade de ataques nas aplicações é a revisão de todo código-fonte
escrito. Essa etapa é fundamental para garantir a qualidade desejada no software desenvolvido. Com relação às causas mais comuns
de falhas de segurança, classifique V para as sentenças verdadeiras e F para as falsas:
4
5
6
7
( ) Ineffective Secret Hiding: Falha causada pela ausência ou incorreta utilização das mensagens de erro. 
( ) Cross-Site Scripting: permite, ao “invasor”, acesso indevido a recursos ou informações do site, injetando códigos maliciosos no
sistema e que podem afetar todos os usuários que estejam visualizando o site.
( ) Weak Authentication: códigos ou controles insuficientes para determinar a autenticidade do usuário que já está logado no
sistema.
Assinale a alternativa que apresenta a sequência CORRETA:
A F - V - V.
B F - F - V.
C F - V - F.
D V - F - F.
Um scanner de vulnerabilidades é uma ferramenta que acessa uma variedade de sistemas de informação, fornecendo relatórios das
vulnerabilidades identificadas no sistema. Sobre o exposto e a sua arquitetura, analise as sentenças a seguir:
I- Mecanismo de verificação: executa a verificação e a identificação de informações do sistema e vulnerabilidades, conforme as
configurações e plug-insinstalados, executando uma varredura para mais de um alvo por vez.
II- Banco de dados de verificação: responsável pelo armazenamento de informações das vulnerabilidades, resultados e dados que
serão usados no processo de verificação do scanner.
III- Módulo de relatório: fornece relatórios para determinados usuários.Assinale a alternativa CORRETA:
A Somente a sentença II está correta.
B Somente a sentença I está correta.
C Somente a sentença III está correta.
D As sentenças I, II e III estão corretas.
O objetivo de uma tentativa maliciosa em aplicações web pode ser alcançado por meio das técnicas de ataque. Elas não são
exclusivas de somente um ataque em função de muitas tentativas maliciosas combinarem múltiplas técnicas. Com relação às
categorias dos ataques WEB, classifique V para as sentenças verdadeiras e F para as falsas:
( ) Passagem manipulada de parâmetros: os parâmetros de entrada de uma aplicação são modificados ou manipulados. 
( ) Captura de dados: o objetivo é capturar os dados armazenados em uma aplicação para diversos fins. 
( ) Desfiguração: objetivo é ocasionarmodificação visual em uma ou mais páginas de um sistema ou website.
Assinale a alternativa que apresenta a sequência CORRETA:
A V - F - V.
B F - F - V.
C V - F - F.
D V - V - F.
A classificação de vulnerabilidades, conforme sua severidade, é denominada de Common Vulnerability Scoring System (CVSS).
Esse modelo fornece um padrão para classificação das vulnerabilidades por gravidade de risco, atribuindo valores de 1 a 10, quanto
maior o número, maior é a gravidade. Com relação ao exposto e às métricas de classificação, classifique V para as sentenças
verdadeiras e F para as falsas:
( ) Base: características intrínsecas e fundamentais de uma vulnerabilidade que são constantes ao longo do tempo e dos ambientes
do usuário.
( ) Ambiental: características de uma vulnerabilidade que são relevantes e exclusivas para o ambiente de um determinado usuário. 
8
9
10
( ) Temporal: características de uma vulnerabilidade que se altera ao longo do tempo, porém não entre os ambientes do usuário.
Assinale a alternativa que apresenta a sequência CORRETA:
A V - F - V.
B V - V - V.
C F - F - V.
D V - F - F.