EXERCÍCIOS DE FIXAÇÃO

Prévia do material em texto

EXERCÍCIOS DE FIXAÇÃO 
Para verificar sua aprendizagem, você fará, agora, alguns exercícios. Qualquer dúvida, 
retorne ao conteúdo. Lembre-se de que tais atividades não valem ponto na avaliação da 
disciplina, mas são de suma importância para o aproveitamento de seus estudos. 
Ao responder cada questão, clique no botão Confirmar para verificar seu gabarito. 
 
Questão 1 
O National Security Telecommunications and Information Systems Security Committee 
(NSTISSC) define a segurança da rede como a proteção da informação, dos sistemas, do 
hardware utilizado, do armazenamento e da transmissão dessa informação. 
 
Segundo o NSTISSC, as medidas tomadas são para garantir quais objetivos primários? 
 
a) Confidencialidade, legalidade e disponibilidade. 
b) Autenticidade, legalidade e não repúdio. 
c) Auditoria, confidencialidade e disponibilidade. 
d) Não repúdio, confidencialidade e não repúdio. 
e) Confidencialidade, integridade e disponibilidade. 
 
Questão 2 
Durante nossas aulas, definimos algumas fragilidades e vulnerabilidades encontradas no 
modelo em camadas da pilha de protocolos TCP/IP. 
 
Qual vulnerabilidade é característica da camada de internet (ou rede do modelo OSI)? 
 
a) A port scan. 
b) A interferência de bluethooth. 
c) Acesso a cabo de força. 
d) Protocolos de roteamento. 
e) Vírus, Worms, Trojans. 
 
Questão 3 
Das diversas ferramentas de log, estudadas durante nossa aula, algumas registram os 
usuários locais que estão conectados atualmente no sistema, outras o horário da última 
tentativa de o usuário acessar o sistema. 
Qual comando, entre as opções a seguir, é um exemplo de acesso a um log armazenado 
em texto? 
a) Lastlog 
b) Tail 
c) Who 
d) Finger 
e) Last 
 
Questão 4 
As ferramentas de auditoria CAATs possuem diversas vantagens em relação às 
tradicionais. 
Qual das opções a seguir define uma DESVANTAGEM das CAATs? 
a) Perca de informação no processo da extração. 
b) Não possuir critérios avançados de busca. 
c) Não ligação a bases de dados. 
d) A manipulação extensiva de fórmulas. 
e) Não importação de grandes volumes de dados. 
 
Questão 5 
O controle de acesso foi organizado, cronologicamente, em 3 gerações onde a 
autenticação da 1ª geração era através login/senha, já na 2ª geração era por dispositivo 
e a 3ª geração por biometria. 
Qual das técnicas de controle de acesso é suscetível à Engenharia social? 
a) Reconhecimento facial 
b) Token 
c) Login/senha 
d) Iris 
e) Retina 
Questão 6 
O Sistema de Gerência de Identidade possui 4 modelos: tradicional, centralizado, 
federado e centrado no usuário. Cada modelo possui suas propriedades. 
Qual a sentença que representa as características, corretamente e na respectiva ordem 
que os modelos aparecem no texto acima? 
 
a) O usuário possui uma identidade digital para cada SP. 
É a identidade única de mais simples implementação. A identidade emitida por um IdP 
é reconhecida por SP de outros domínios. Armazena identidades e se autentica em 
celular. 
b) O usuário possui uma identidade digital para cada SP. 
A identidade emitida por um IdP é reconhecida por SP de outros domínios. É a 
identidade única de mais simples implementação. Armazena identidades e se 
autentica em celular. 
c) Armazena identidades e se autentica em celular. É a identidade única de mais 
simples implementação. A identidade emitida por um IdP é reconhecida por SP de 
outros domínios. O usuário possui uma identidade digital para cada SP. 
d) O usuário possui uma identidade digital para cada SP. É a identidade única de mais 
simples implementação. Armazena identidades e se autentica em celular. 
A identidade emitida por um IdP é reconhecida por SP de outros domínios. 
e) É a identidade única de mais simples implementação. O usuário possui uma 
identidade digital para cada SP. A identidade emitida por um IdP é reconhecida por SP 
de outros domínios. Armazena identidades e se autentica em celular. 
 
Questão 7 
Uma ferramenta importantíssima na segurança lógica das redes de computadores é o 
firewall (parede corta-fogo). Cada tipo analisa até determinados campos do cabeçalho IP 
e do protocolo encapsulado no datagrama IP. 
Qual dos firewalls NÃO analisa os flags do TCP? 
a) Application Proxy 
b) Packet filtering 
c) Stateless packet filter 
d) Deep packet inspection 
e) Stateful packet filter 
 
Questão 8 
A arquitetura topológica de um firewall, é caracterizada por possuir ou não um bastion 
host, possuir ou não uma rede de perímetro. 
Qual das arquiteturas a seguir implementa o conceito de DMZ? 
a) Dual-homed host 
b) Screened Host 
c) Three-homed host 
d) Personal firewall 
e) Screened Subnet 
 
Questão 9 
Estudamos alguns conceitos de vulnerabilidades, ataque e pentest. 
Qual das sentenças a seguir melhor se enquadra ao pentest? 
a) Explora uma vulnerabilidade, com a finalidade de executar ações maliciosas. 
b) Explora uma vulnerabilidade, com a finalidade de calcular o risco. 
c) É uma condição quando explorada, pode resultar em violação de segurança. 
d) Equipamentos configurados com a configuração default. 
e) Explora uma vulnerabilidade, o que resulta em possíveis danos para o computador. 
 
Questão 10 
Estudamos diversas entidades ligadas à segurança na internet, entre elas estão: CVE, 
CERT, SANS, CIS, SCORE, ISC, NVD e Security Focus. 
Qual dessas é um grande dicionário de exposições e vulnerabilidades de segurança da 
informação? 
a) CERT 
b) NVD 
c) CIS 
d) CVE 
e) SCORE 
 
Questão 11 
Estudamos alguns ataques e evidenciamos alguns protocolos como ICMP, UDP, TCP e IP; 
e as técnicas básicas utilizadas nesses ataques: Packet Sniffing, ARP Spoofing, IP Spoofing, 
Fragmentação de pacotes IP. 
Qual desses ataques a seguir relacionados, a técnica de IP spoofing tem como destino o 
endereço de broadcast da rede e utiliza o UDP echo? 
a) SYN flood 
b) Smurf 
c) Fraggle 
d) ARP poison 
e) Buffer Overflow 
 
Questão 12 
Aprendemos algumas ferramentas de ataque com suas respectivas características. As 
diretamente estudas foram: Nmap, Hping, metasploit, medusa e THC-Hydra. 
Qual dessas ferramentas de ataque, é um framework que aceita a criação de seus próprios 
módulos? 
a) Nmap 
b) Hping 
c) Metasploit 
d) Medusa 
e) THCHydra 
 
Questão 13 
O IDS em promiscuous mode e o IPS Inline, conforme nossos estudos, possuem vantagens 
e desvantagens dentro de suas características. 
Qual das opções a seguir retrata uma desvantagem do IPS Inline? 
a) Se houver sobrecarga no sensor afetará a rede. 
b) Não pode parar os pacotes que a desencadearam. 
c) Não gera impacto de latência ou jitter na rede. 
d) Se houver falha no sensor não afetará a rede. 
e) Ação de resposta não pode parar o pacote que a desencadearam. 
Questão 14 
Os tipos básicos de assinaturas dos IDS são atômicos e compostos. 
Qual a sentença que representa uma característica do tipo de assinatura composto? 
a) Fácil de identificar. 
b) Forma mais simples. 
c) Consiste em um único pacote, atividade, ou evento. 
d) Não necessita de sistema de intrusão para manter informações de estado. 
e) Assinatura deve manter um estado conhecido. 
 
Questão 15 
Existem algoritmos de criptografia simétricos assimétricos e de hash. 
Qual dos algoritmos a seguir relacionados é de chave pública e privada (assimétrico)? 
a) DES 
b) RSA 
c) AES 
d) SHA1 
e) MD5 
 
Questão 16 
A assinatura digital não garante a confidencialidade da mensagem, pois qualquer um 
pode utilizar a chave pública para decifrar a mensagem. A assinatura digital busca, na 
realidade, garantir a autenticidade,a integridade e não o repudio da mensagem. 
Qual das seguintes opções está correta quanto à assinatura digital? 
a) Criptografa a mensagem toda com a chave privada do remetente da mensagem. 
b) É gerada uma chave secreta e ela é criptografada pela chave privada do remetente 
da mensagem. 
c) É gerado um hash da mensagem e ele é criptografado pela chave pública do 
remetente da mensagem. 
d) É gerado um hash da mensagem e ele é criptografado pela chave privada do 
remetente da mensagem. 
e) Criptografa a mensagem toda com a chave pública do remetente da mensagem. 
Questão 17 
Existem diversas ferramentas para teste de penetração, NMAP, TCPdump, Nikito etc. 
Qual das ferramentas abaixo relacionadas é específica para busca e exploração de 
vulnerabilidades de aplicações web? 
a) NESSUS 
b) W3AF 
c) WireShark 
d) Dsniff 
e) Netifera 
 
Questão 18 
Entre as ferramentas estudadas para teste de penetração, em servidores web, qual delas 
é específica para o problema de injeção de SQL? 
a) WarVox 
b) SQLmap 
c) OphCrack 
d) Websecurify 
e) OpenSCAP 
 
Questão 19 
O e-commerce utiliza vários protocolos de segurança, entre eles SET, HTTPS e SSL. 
Qual dos padrões abaixo relacionados, segundo nossos estudos, permite transações 
seguras de cartão de crédito via internet? 
a) HTTPS 
b) SSL 
c) SET 
d) RSA 
e) TLS 
 
 
Questão 20 
Um determinado método criptográfico, quando aplicado sobre uma informação, 
independentemente do tamanho que ela tenha, gera um resultado único e de tamanho 
fixo, chamado de? 
a) RSA 
b) DES 
c) RC4 
d) HASH 
e) SSL 
 
Questão 21 
O HTTPS é praticamente HTTP + SSL. Qual das técnicas de controle de acesso NÃO é 
suscetível à Engenharia social? 
a) FTPS é uma extensão do FTP usando SSL. 
b) SSH é uma espécie de telnet ou rlogin seguro. 
c) O SSL é composto por dois protocolos: SSL Handshake protocol e SSL Record 
protocol. 
d) O SSL utiliza somente um sistema de criptografia assimétrico e um simétrico. 
e) Pode proteger diversos protocolos tais como SMTP, POP, NNTP etc. através da 
ferramenta Stunnel ou o SSH. 
 
Questão 22 
A pilha de protocolos TCP/IP foi construída, originalmente, sem a visão de segurança e 
sim de interligação em quaisquer circunstâncias. 
Qual desses protocolos abaixo pode ser utilizado para garantir a comunicação através da 
VPN, criptografando o payload? 
a) IPSEC 
b) ESP 
c) AH 
d) PPTP 
e) L2TP 
 
Questão 23 
Em redes sem fio, existem alguns mecanismos de segurança, por exemplo: WEP, WPA, 
etc. 
Qual dos mecanismos de segurança gera uma vulnerabilidade, pois seu PIN possui somente 
8 bits numéricos? 
a) WPA2 
b) WPS 
c) WPA 
d) WEP 
e) IEEE 802.1x/EAP 
 
Questão 24 
Atualmente, existe uma infinidade de ferramentas para teste de penetração e de ataque 
às redes sem fio, cada uma com suas características peculiares. 
Qual das ferramentas abaixo é utilizada no ataque de associação maliciosa? 
a) Netstumbler 
b) Kismet 
c) Backtrack (KALI) 
d) HostAP 
e) Wire Shark 
 
Questão 25 
Planejar a instalação e escrever um check-list das atividades a serem realizadas e 
auditadas nos servidores públicos. 
Qual desses itens NÃO pertencem ao check-list? 
a) Remover ou desabilitar todos os protocolos de rede não utilizados. 
b) Implantar um sistema de detecção e intrusão no host (HIDS). 
c) Utilizar conexão criptografada para conectar ao host. 
d) Instalar aplicativos do tipo Flash, PDF Viewers Java etc. 
e) Remover ou desabilitar todas as contas de usuários não necessárias. 
 
Questão 26 
A senha deve possuir uma política, para satisfazer a determinados requisitos de 
complexidade, com essa diretiva ativada as senhas deverão atender aos itens abaixo 
listados EXCETO? 
a) Histórico de senhas de 0 a 24 senhas. 
b) Comprimento mínimo de senha entre 0 e 14 caracteres. 
c) Tempo de vida máximo da senha, de 1 a 999 define o espaço de tempo. 
d) Tempo de vida mínimo da senha, 0 habilita o usuário trocar de senha 
imediatamente. 
e) Armazenar senhas usando criptografia reversível, mesmo que os aplicativos não 
necessitem da senha original. 
 
Questão 27 
A norma de segurança apresentada pelo Brasil e elaborada no Comitê Brasileiro de 
Computadores e Processamento de Dados, pela Comissão de Estudo em Segurança 
Física, denominada por NBR ISO/IEC 27002, tem conteúdo equivalente ao da norma 
ISO/IEC 17799. Essa norma apresenta, em sua estrutura, 11 seções de controles de 
segurança da informação. 
Todas as seções abaixo pertencem a essa norma, EXCETO? 
a) Gestão de ativos 
b) Segurança de Recursos Humanos 
c) Controle de acesso 
d) Gestão de Incidentes de Segurança de Informação 
e) Fenômenos climáticos 
 
Questão 28 
Como podemos reduzir os riscos na infraestrutura? Todas as opções abaixo são para 
redução dos riscos, EXCETO? 
a) Acesso controlado a dados e aplicações. 
b) Estrutura de dados documentada e processos consistentes. 
c) Acesso controlado somente aos dados. 
d) Base de aplicações bem integradas e, na medida do possível, simples. 
e) Simplificação da infraestrutura de TI. 
Questão 29 
BYOD – traga seu próprio dispositivo – a maioria das corporações reconhecem os 
benefícios de produtividade que podem ser alcançados quando sua equipe trabalha 
móvel. As iniciativas BYOD das empresas para os funcionários utilizarem seus próprios 
dispositivos móveis para o trabalho, acarretam um aumento do risco de segurança. 
Qual das preocupações, por parte da área de TI das empresas, abaixo relacionadas, NÃO é 
uma preocupação quanto a BYOD? 
 
a) Garantir que suas empresas estejam protegidas contra todas as novas ameaças de 
segurança móvel. 
b) Os perigos de misturar dados corporativos e pessoais em um dispositivo. 
c) BYOD representa ainda mais plataformas para gerenciar. 
d) Perda do dispositivo móvel acarreta custo de reposição para a empresa. 
e) Os riscos na residência do funcionário (vazamento de dados corporativos). 
 
Questão 30 
Os dispositivos móveis perdidos ou roubados podem representar um grave risco de 
segurança para as empresas. Recursos que possibilitem o administrador acessar 
remotamente o dispositivo, pode minimizar os problemas de segurança. 
Qual sentença NÃO representa um desses recursos? 
a) Bloqueio do dispositivo perdido. 
b) Sincronização na residência do funcionário. 
c) Localização do dispositivo. 
d) Limpeza total e redefinição do dispositivo. 
e) Acesso ao dispositivo móvel quando o chip foi trocado. 
 
Questão 31 
A ferramenta de varredura Nmap pode levantar além dos serviços, nas determinadas 
portas, qual o sistema operacional que está instalado no host alvo. 
Qual a linha de comando utilizada para descobrir o sistema operacional? 
a) nmap –v 
b) nmap –sF 
c) nmap –O 
d) nmap 
e) nmap –P0 
Questão 32 
A ferramenta Hping é muito utilizada para realizar ataques de DoS. 
Qual das linhas de comando abaixo estaria utilizando a técnica de IP spoofing? 
a) hping --flood --ttl 128 --count 150 10.1.1.1 
b) hping --spoof 1.2.3.4 10.1.1.1 
c) hping --flood 10.1.1.1 
d) hping 10.1.1.1 
e) hping –c 3 –p 80 10.1.1.1