Exercícios Aulas 1 a 5

Prévia do material em texto

Disciplina Gestão de Segurança da Informação
Exercício Aula_01
1-Em meio a tantas mudanças tecnológicas, sociológicas e comportamentais surgem também muitos desafios de negócios e gerenciais no desenvolvimento e implementação de novos usos da tecnologia da informação em uma empresa. Neste contexto qual o objetivo fundamental da Segurança da Informação?
Visa à proteção de todos os ativos de uma empresa que contêm informações.
2-O papel estratégico dos sistemas de informação nas empresas cresce a cada dia e envolve a utilização de tecnologia da informação para desenvolver produtos e serviços. Qual das opções abaixo não se aplica ao conceito de "Informação"?
Por si só não conduz a uma compreensão de determinado fato ou situação;
3-Você é um consultor de segurança e trabalha em projetos de segurança da informação, que tem como uma das suas etapas a atividade de classificação dos ativos da organização. Qual das opções abaixo não representa um exemplo de Ativo Intangível:
Sistema de Informação.
4-No contexto da Segurança da Informação, à medida que indica a probabilidade de uma determinada ameaça se concretizar, combinada com os impactos que ela trará está relacionada com qual conceito de?
Risco.
5-A demanda gradual por armazenamento de conhecimento tem levado à necessidade de administração desses dados de forma confiável. Qual das opções abaixo representa melhor a sequência na evolução do tratamento dos Dados para a sua utilização eficaz nas organizações?
Dado - Informação - Conhecimento
6-O crescimento explosivo da internet e das tecnologias e aplicações a ela relacionadas revolucionou o modo de operação das empresas, o modo como as pessoas trabalham e a forma como a tecnologia da informação apoia as operações das empresas e as atividades de trabalho dos usuários finais. Qual das opções abaixo não pode ser considerada como razão fundamental para as aplicações de tecnologia da informação nas empresas?
Apoio ao uso da Internet e do ambiente wireless
7-O tamanho do prejuízo, medido através de propriedades mensuráveis ou abstratas, que a concretização de uma determinada ameaça causará está relacionado com qual conceito de?
Impacto.
8-Com o crescimento da internet, das tecnologias e aplicações a ela relacionadas e principalmente na forma como a tecnologia da informação tem apoiado as operações das empresas, qual das opções abaixo não é verdadeira quando tratamos do conceito de Informação?
Deve ser disponibilizada sempre que solicitada.
Exercício Aula_02
-De acordo com a afirmação O nível de segurança requerido para obter cada um dos três princípios da CID difere de empresa para empresa, pois cada empresa possui uma combinação única de requisitos de negócio e de segurança, podemos dizer que:
A afirmação é verdadeira.
2-Para auxiliar no processo de classificação das informações das organizações, podemos utilizar que ferramenta?
Uma Matriz que utilize níveis Alto, Médio e Baixo versus a Confidencialidade, a Integridade e a Disponibilidade das Informações.
3-A informação terá valor econômico para uma organização se ela gerar lucro ou se for alavancadora de vantagem competitiva. Neste sentido devemos proteger os diferentes momentos vividos por esta informação que a colocam em risco. Os momentos que colocam em risco esta informação e que chamamos de ciclo de vida são: (Assinale a alternativa I N C O R R E T A).
Consultoria.
4-A gestão do ciclo de vida da informação, no contexto da segurança da Informação, tem se tornado um elemento fundamental para:
A gestão dos negócios da organização.
5-Maria trabalha na filial de São Paulo da empresa ABC e necessita transmitir um arquivo para Pedro que trabalha na filial de Belém. Após receber o arquivo transmitido por Maria, Pedro verificou que o arquivo possuía um tamanho maior do que quando Maria iniciou a transmissão. Neste caso houve uma falha na segurança da informação relacionada à:
Integridade;
6-Analise a afirmativa: O nível de segurança pode ser aumentado tanto pela necessidade de confidencialidade quanto pela de disponibilidade. Esta afirmação é:
Verdadeira, pois a classificação da informação pode ser sempre reavaliada.
7-Cada empresa ao tratar segurança da informação e independentemente de sua área de negócio e dos objetivos de segurança que deseje, normalmente irá utilizar um ou os três princípios considerados como fundamentais para atingir os objetivos da Segurança da Informação:
Confidencialidade, Disponibilidade e Integridade.
8-Como qualquer bem ou recurso organizacional, a informação também possui seu conceito de valor. Qual das opções abaixo não representa um dos possíveis conceitos fundamentais do valor atribuído às informações para as organizações quando tratamos de Segurança da Informação?
Valor de orçamento.
Exercício Aula_03
1-As vulnerabilidades mais exploradas nos dias de hoje, são as do tipo buffer overflow, que muitas vezes pode dar privilégios de administrador para o invasor, rodar códigos maliciosos remotamente, burlar particularidades de cada sistema, ataques de Negação de Serviços (DDoS), e acesso irrestrito ao sistema. Em relação a Classificação das Vulnerabilidades podemos citar como exemplos de Vulnerabilidade de Software:
Erros de instalação ou de configuração possibilitando acessos indevidos, vazamento de informações, perda de dados ou indisponibilidade de recursos quando necessários.
2-O processo de identificar as proteções existentes e ausentes, identificar falhas nas existentes e levantar dados que possam prever a efetividade desse conjunto de proteções pode ser descrito em qual das opções abaixo?
Análise de Vulnerabilidade
3-As vulnerabilidades mais exploradas nos dias de hoje, são as do tipo buffer overflow, que muitas vezes pode dar privilégios de administrador para o invasor, rodar códigos maliciosos remotamente, burlar particularidades de cada sistema, ataques de Negação de Serviços (DDoS), e acesso irrestrito ao sistema. Em relação a Classificação das Vulnerabilidades podemos citar como exemplos de Vulnerabilidade de Hardware:
Falha nos recursos tecnológicos (desgaste, obsolescência, mau uso) ou erros durante a instalação.
4-Maio/2011 - A Sony sofre invasão de hackers com o vazamento de informações de mais de 100 milhões de usuários da rede online de games Playstation Network. O ataque à base de dados de clientes se realizou desde um servidor de aplicações conectado com ela, e que está depois de um servidor site e dois firewalls. Segundo a companhia, os hackers encobriram o ataque como uma compra na plataforma online de Sony e depois de passar do servidor site, O ataque, que foi considerado um dos maiores, no sentido do vazamento de dados confidenciais, da história obrigou a Sony a reconstruir grande parte da sua rede, causado um prejuízo de 171 milhões de Dólares. A rede também ficou fora do ar por 28 dias, sendo que alguns serviços menos essenciais foram reestabelecidos primeiro e regionalmente antes do reestabelecimento total de todos os serviços. Qual você acha que foi a vulnerabilidade para este ataque?
Vulnerabilidade de Software
5-Maria é secretária da presidência de uma empresa e responsável por elaborar as atas das reuniões entre a presidência e a diretoria, onde são tratados os assuntos confidenciais da organização. João na tentativa de saber o que ocorre nas reuniões tornou-se amigo de Maria na intenção que Maria compartilhe as informações confidenciais que possui. Neste caso estamos falando de vulnerabilidade do tipo:
Humana
6-Em setembro de 2012, o sistemas militar que controla armas nucleares, localizado na Casa Branca. Os Hackers invadiram através de servidores localizados na China. Neste ataque foi utilizada a técnica conhecida como spear-phishing, que é um ataque muito utilizado, e que consiste em enviar informações que confundam o usuário e o mesmo execute um código malicioso. Essa técnica geralmente ocorre através de envio de e-mails falsos, porém com aparência de confiáveis. Qual você acha que foi o tipo de vulnerabilidadeutilizada neste caso?
Vulnerabilidade Humana.
7-Assinale a opção correta acerca da análise de vulnerabilidades e riscos de segurança da informação, de acordo com a ABNT NBR ISO/IEC 27005.
O ativo que tem o maior risco de disponibilidade é também aquele que tem o maior nível de risco.
8-
Observe a figura acima e complete corretamente a legenda dos desenhos:
Agentes ameaçadores, vulnerabilidades, incidente de segurança, Negócios, clientes e produtos.
Exercício Aula_04
1- Programa que parece útil mas possui código destrutivo embutido, e além de executar funções para as quais foi projetado, também executa outras funções normalmente maliciosas e sem o conhecimento do usuário poderá ser melhor descrito como sendo um:
cavalo de tróia (trojan horse)
2- Pedro construiu um software malicioso capaz de capturar e armazenar as teclas digitadas pelo usuário no teclado do computador. Neste caso podemos afirmar que Pedro construiu um:
Keylogger
3- Qual tipo de ataque envolve alguma modificação do fluxo de dados ou a criação de um fluxo falso?
Ativo
4- Qual dos exemplos abaixo não pode ser considerado como sendo claramente um código malicioso ou Malware?
active-x
5- Qual o nome do código malicioso ou ataque que tem o objetivo de capturar tudo que é digitado pelo teclado do usuário e é enviado para o invasor?
Keylogger
6- As ameaças propositais causadas por agentes humanos como hackers, invasores, espiões, ladrões e etc. poderão ser classificadas como:
Voluntárias
7- As ameaças são agentes ou condições que causam incidentes que comprometem as informações e seus ativos por meio da exploração de vulnerabilidades. Qual das opções abaixo apresenta as possíveis classificações das ameaças quanto a sua intencionalidade?
Naturais, Involuntárias e Voluntarias.
8- Analise as seguintes afirmativas sobre ameaças à Segurança da Informação: 
I. Cavalo de Troia é um programa que contém código malicioso e se passa por um programa desejado pelo usuário, com o objetivo de obter dados não autorizados do usuário. 
II. Worms, ao contrário de outros tipos de vírus, não precisam de um arquivo host para se propagar de um computador para outro. 
III. Spoofing é um tipo de ataque que consiste em mascarar pacotes IP, utilizando endereços de remetentes falsos. 
Estão CORRETAS as afirmativas:	
I, II e III.
Exercício Aula_05
1- Antônio deseja obter informações sigilosas de uma importante empresa da área financeira. Para isso implementou um programa que irá coletar informações pessoais e financeiros da vítima. Para obter sucesso no ataque, Antônio irá induzir o acesso à página fraudulenta através do envio de uma mensagem não solicitada. Neste caso estávamos nos referindo ao ataque do tipo
Phishing Scan
2- Desde o aparecimento do primeiro spam, em 1994, a prática de enviar e-mails não solicitados tem sido aplicada com vários objetivos distintos e também utilizando diferentes aplicativos e meios de propagação na rede. Os tipos de spam identificados até o momento são: correntes, boatos, lendas urbanas, propagandas, ameaças, pornografia, códigos maliciosos, fraudes e golpes.
É muito importante que se saiba como identificar os spams, para poder detectá-los mais facilmente e agir adequadamente. Dentre as afirmativas abaixo marque aquelas que podemos assinalar como sendo as principais características dos spams:
I. Apresentam cabeçalho suspeito. 
II. Apresentam no campo Assunto palavras com grafia errada ou suspeita. 
III. Apresentam no campo Assunto textos alarmantes ou vagos. 
IV. Oferecem opção de remoção da lista de divulgação. 
V. Prometem que serão enviados "uma única vez. 
VI. Baseiam-se em leis e regulamentações inexistentes.
Estão corretas:
Todas as afirmativas estão corretas
3- Qual o nome do ataque que tem o intuito de enviar uma quantidade em "massa" de e-mails muitas das vezes indesejáveis?
Spam
4- Existem diferentes caminhos que um atacante pode seguir para obter acesso aos sistemas. Qual das opções abaixo Não representa um destes tipos de ataques?
Ataques Genéricos
5- Após conseguir realizar o levantamento das informações da empresa XPTO e acessar o servidor de banco de dados com as informações dos clientes da organização. Pedro, o invasor, tenta esconder seus atos não autorizados com o objetivo de prolongar sua permanência de acesso. Entre outras coisas Pedro alterou os arquivos de Log. Neste caso, Pedro está em que passo da metodologia de um ataque?
Camuflagem das Evidências
6- Pedro construiu uma página igual a página de uma grande empresa de comércio eletrônico com o objetivo de capturar as informações de usuário e senha e número do cartão de crédito de usuários desavisados. Para obter sucesso enviou mensagem não solicitada com o intuito de induzir o acesso a esta página fraudulenta. Neste caso podemos afirmar que Pedro pratica um ataque de:
Phishing scan
7- Pedro construiu um programa que permite que ele se conecte remotamente a um computador depois que o programa for instalado na máquina alvo. Neste caso podemos afirmar que Pedro construiu um:
Backdoor
8- Ataques a sistemas de computação são tipos de crimes virtuais que visam, entre outras coisas, obter informações que se encontram em sistemas alheios. Crimes dos quais todos os internautas e empresas correm o risco de sofrer, mas que nem sempre sabem exatamente o que são, como agem e quais danos podem vir a causar aos computadores e sistemas. Qual dos itens abaixo "não" pertence ao ciclo de um ataque:
Quebra de sigilo bancário.