Segurança da Informação e Princípios Fundamentais

Prévia do material em texto

TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 1 
AULA 01 – Segurança da Informação e Tópicos Relacionados 
Olá amigos do Ponto dos Concursos! Tudo bem com vocês? 
Sejam bem-vindos à nossa primeira aula de TI em exercícios para o certame 
do Senado Federal. 
Tópicos desta aula: 
Saúdo a todos e espero que este material seja de grande valia para a sua 
aprovação. E contem SEMPRE comigo nesta trajetória de muito sucesso! 
Profa Patrícia Lima Quintão 
patricia@pontodosconcursos.com.br 
Twitter: http://www.twitter.com/pquintao 
Facebook: http://www.facebook.com/patricia.quintao
Roteiro da Aula 
- Lista de Questões Comentadas. 
- Considerações finais. 
- Bibliografia. 
- Lista das questões apresentadas na aula. 
- Gabarito. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 2 
Lista de Questões Comentadas 
1. (FGV/2009/ICMS-RJ/Fiscal de Rendas) No Brasil, a NBR ISO17799 
constitui um padrão de recomendações para práticas na gestão de 
Segurança da Informação. De acordo com o estabelecido nesse padrão, três 
termos assumem papel de importância capital: confidencialidade, 
integridade e disponibilidade. 
Nesse contexto, a confidencialidade tem por objetivo: 
(A) salvaguardar a exatidão e a inteireza das informações e métodos de 
processamento. 
(B) salvaguardar os dados gravados no backup por meio de software que 
utilize assinatura digital. 
(C) permitir que os usuários tenham acesso aos arquivos de backup e aos 
métodos de criptografia empregados. 
(D) permitir que os usuários autorizados tenham acesso às informações e 
aos ativos associados, quando necessário. 
(E) garantir que as informações sejam acessíveis apenas para aqueles que 
estejam autorizados a acessá-las. 
Comentários (Profa. Patrícia) 
Os três princípios fundamentais da segurança da informação são: 
confidencialidade, integridade e disponibilidade, destacados a seguir. 
• Confidencialidade (sigilo): é a garantia de que a informação não será 
conhecida por quem não deve. O acesso às informações deve ser limitado, 
ou seja, somente as pessoas explicitamente autorizadas podem acessá-las. 
Perda de confidencialidade significa perda de segredo. Se uma informação 
for confidencial, ela será secreta e deverá ser guardada com segurança, e 
não divulgada para pessoas sem a devida autorização. 
Exemplo: o número do seu cartão de crédito só poderá ser conhecido por 
você e pela loja em que é usado. Se esse número for descoberto por 
alguém mal-intencionado, o prejuízo causado pela perda de 
confidencialidade poderá ser elevado, já que poderão se fazer passar por 
você para realizar compras pela Internet, proporcionando-lhe prejuízos 
financeiros e uma grande dor de cabeça! 
• Integridade: esse princípio destaca que a informação deve ser mantida na 
condição em que foi liberada pelo seu proprietário, garantindo a sua 
proteção contra mudanças intencionais, indevidas ou acidentais. Em outras 
palavras, é a garantia de que a informação que foi armazenada é a que será 
recuperada!!! 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 3 
A quebra de integridade pode ser considerada sob 2 aspectos: 
1. alterações nos elementos que suportam a informação - são feitas 
alterações na estrutura física e lógica em que uma informação está 
armazenada. Por exemplo quando são alteradas as configurações de 
um sistema para ter acesso a informações restritas; 
2. alterações do conteúdo dos documentos: 
ƒ ex1.: imagine que alguém invada o notebook que está sendo 
utilizado para realizar a sua declaração do Imposto de Renda deste 
ano, e, momentos antes de você enviá-la para a Receita Federal a 
mesma é alterada sem o seu consentimento! Neste caso, a 
informação não será transmitida da maneira adequada, o que 
quebra o princípio da integridade; 
ƒ ex2: alteração de sites por hackers (vide a figura seguinte, retirada 
de http://www.g1.globo.com). Acesso em jun. 2011. 
Figura. Site da Cia - agência de inteligência do governo Americano - que teve 
seu conteúdo alterado indevidamente em jun. 2011 
• Disponibilidade: é a garantia de que a informação deve estar disponível, 
sempre que seus usuários (pessoas e empresas autorizadas) necessitarem, 
não importando o motivo. Em outras palavras, é a garantia que a 
informação sempre poderá ser acessada!!! 
Como exemplo, há quebra do princípio da disponibilidade quando você 
decidir enviar a sua declaração do Imposto de Renda pela Internet, no 
último dia possível, e o site da Receita Federal estiver indisponível. 
A figura seguinte destaca a essência da aplicação dos três princípios acima. Ou 
seja, desejamos entregar a informação CORRETA, para a pessoa CERTA, 
no momento CORRETO!!! Entenderam?? 
Ainda, cabe destacar que a perda de pelo menos um desses princípios já 
irá ocasionar impactos ao negócio (aí surgem os incidentes de segurança!!) 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 4 
Figura. Princípios Básicos – Integridade, Confidencialidade e Disponibilidade 
(Technet, 2006) 
Outros princípios podem ser também levados em consideração. São eles: 
• Autenticidade: é a capacidade de garantir a identidade de uma pessoa 
(física ou jurídica) que acessa as informações do sistema ou de um servidor 
(computador) com quem se estabelece uma transação (de comunicação, 
como um e-mail, ou comercial, como uma venda on-line). 
• Confiabilidade: pode ser caracterizada como a condição em que um 
sistema de informação presta seus serviços de forma eficaz e eficiente. Ou 
melhor, um sistema de informação irá “desempenhar o papel que foi 
proposto para si” (ANTÔNIO, 2009). 
• Não-repúdio (irretratabilidade): é a garantia de que um agente não 
consiga negar (dizer que não foi feito) uma operação ou serviço que 
modificou ou criou uma informação. Observe que essa garantia é condição 
necessária para a validade jurídica de documentos e transações digitais. Só 
se pode garantir o não repúdio quando houver autenticidade e integridade 
(ou seja, quando for possível determinar quem mandou a mensagem e 
garantir que a mesma não foi alterada). 
• Legalidade: aderência do sistema à legislação. 
• Auditoria: é a possibilidade de rastrear o histórico dos eventos de um 
sistema para determinar quando e onde ocorreu uma violação de 
segurança, bem como identificar os envolvidos nesse processo. 
Privacidade: diz respeito ao direito fundamental de cada 
indivíduo de decidir quem deve ter acesso aos seus dados 
pessoais. 
A privacidade é a capacidade de um sistema manter incógnito 
um usuário (capacidade de um usuário realizar operações em 
um sistema sem que seja identificado), impossibilitando a ligação direta da 
identidade do usuário com as ações por este realizadas. Privacidade é uma 
característica de segurança requerida, por exemplo, em eleições secretas. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃOProfa. Patrícia Lima Quintão www.pontodosconcursos.com.br 5 
Uma informação privada deve ser vista, lida ou alterada somente pelo seu 
dono. Esse princípio difere da confidencialidade, pois uma informação pode 
ser considerada confidencial, mas não privada. 
Quando falamos em segurança da informação, estamos nos referindo a 
salvaguardas para manter a confidencialidade, integridade, disponibilidade e 
demais aspectos da segurança das informações dentro das necessidades do 
cliente (ALBUQUERQUE e RIBEIRO, 2002). 
Gabarito: letra E. 
2. (FGV/2009/PSS/Gerente de Segurança) Para acessar a Internet, cada 
computador da rede deve ter o protocolo TCP/IP corretamente instalado e 
configurado, necessitando de um endereço IP válido na Internet. Na 
realidade, não há endereços IP v4 suficientes. Para solucionar o problema, 
foi criada uma alternativa até que o IP v6 esteja em uso na maioria dos 
sistemas da Internet. Nessa alternativa, os computadores da rede interna 
utilizam os chamados endereços privados, que na prática não são válidos na 
Internet, ou seja, os pacotes que tenham, como origem ou como destino, 
um endereço na faixa dos endereços privados serão descartados pelos 
roteadores. 
As faixas de endereços privados são definidas na RFC 1597 e para as 
classes A, B e C são respectivamente, de 10.0.0.0 a 10.255.255.255, de 
172.16.0.0 a 172.31.255.255 e de 192.168.0.0 a 192.168.255.255. 
Esse mecanismo é conhecido pela sigla: 
(A) DHCP. 
(B) WINS. 
(C) SLIP. 
(D) DNS. 
(E) NAT. 
Comentários (Profa. Patrícia) 
Item A. O DHCP (Dynamic Host Configuration Protocol), ou protocolo de 
Configuração Dinâmica de Host é um protocolo que fornece automaticamente 
os endereços IP aos computadores de uma rede. Item errado. 
Item b. WINS (Windows Internet Name Services) é um serviço de resolução 
de nomes. A máquina cliente registra o seu nome NetBios (interface de 
programa que foi desenvolvida para permitir a comunicação entre máquinas) e 
o respectivo endereço IP. Com isso o WINS vai criando uma base de nomes 
NetBios e os respectivos endereços IP, podendo fornecer o serviço de 
resolução de nomes NetBios na rede. Item errado. 
Item c. SLIP (Serial Line Internet Protocol) é o protocolo de comunicação 
serial para a Internet. Item errado. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 6 
Item d. DNS (Domain Name System) é o serviço utilizado para realizar a 
tradução dos nomes de domínios em endereços IP. Item errado. 
Item e. NAT (Network Address Translation) é um serviço que transforma 
um endereço inválido de uma máquina para um válido na Internet. Item certo. 
Gabarito: letra E. 
3. (FCC/2008/TCE-SP) A Internet é uma rede mundial de telecomunicações 
que conecta milhões de computadores em todo o mundo. Nesse sentido, 
considere: 
I. Nela, as redes podem operar estando ou não conectadas com outras 
redes e a operação não é dependente de nenhuma entidade de controle 
centralizado. 
II. Qualquer computador conectado à Internet pode se comunicar 
gratuitamente com outro também conectado à Internet e usufruir os 
serviços por ela prestado, tais como e-mail, Web, VoIP e transmissão de 
conteúdos de áudio. 
III. A comunicação entre as redes locais e a Internet utiliza o protocolo NAT 
(Network Address Translation), que trata da tradução de endereços IPs não 
roteáveis em um (ou mais) endereço roteável. 
Está correto o que consta em: 
a) I, II e III; 
b) I e II, apenas; 
c) I e III, apenas; 
d) II e III, apenas; 
e) III, apenas. 
Comentários (Profa. Patrícia) 
Item I. A Internet pode ser definida como um conjunto de redes, em escala 
mundial, que permite a comunicação entre milhões de usuários. Não existe 
controle centralizado da Internet. Item certo. 
Item II. Os computadores conectados à Internet podem usufruir de uma 
grande gama de serviços, como: troca de arquivos e de mensagens eletrônicas 
(e-mails), navegação em páginas, transmissão de conteúdos de áudio, VoIP, 
Twitter, Wikis, etc. Item certo. 
Item III. NAT (Network Address Translation – Tradução de Endereços de 
Rede) faz a tradução dos endereços IPs e portas TCPs da rede local para a 
Internet. O NAT surgiu como uma alternativa real para a solução do problema 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 7 
de falta de endereços IPv4 na Internet. Para navegar na Internet um 
computador precisa de um IP válido. Se cada computador de uma rede interna 
tivesse um IP válido para Internet, não teríamos endereços IPv4 suficientes 
para suprir toda a demanda de máquinas conectadas atualmente à Internet. 
A criação do NAT veio como alternativa para solucionar o problema, ou até 
mesmo fornecer uma forma paliativa até a implementação do IPv6. 
Os endereços IPs são divididos em classes como mostra o quadro a seguir: 
Classe Endereços 
A 1.0.0.0 até 126.0.0.0 
B 128.0.0.0 até 191.255.0.0 
C 192.0.0.0 até 223.255.255.254 
D 224.0.0.0 até 239.255.255.255 
E 240.0.0.0 até 247.255.255.254 
Dos mais de 4 bilhões de endereços IPs disponíveis, três faixas são reservadas 
para redes privadas. Essas faixas não podem ser roteadas para fora da rede 
privada, ou seja, não podem se comunicar diretamente com a Internet. 
Dentro das classes A, B e C foram reservadas redes, definidas pela RFC 1918, 
que são conhecidas como endereços de rede privados, apresentadas a seguir: 
Endereço Faixa de IP 
10.0.0.0/8 (10.0.0.0 – 10.255.255.255) 
172.16.0.0/12 (172.16.0.0 – 172.31.255.255) 
192.168.0.0/16 (192.168.0.0 – 
192.168.255.255) 
O papel do NAT consiste em traduzir os endereços privados que não 
são válidos na Internet para um endereço válido, ou seja, que possa 
navegar na Internet. 
Contudo, como isso é possível? Como cinco computadores (com endereços 
privados diferentes: 192.168.0.10; 192.168.0.11; 192.168.0.12; 
192.168.0.13; 192.168.0.14) de uma empresa conseguem navegar na 
Internet? Simples, quando um computador da rede interna tenta navegar na 
Internet, o NAT substitui o endereço interno do computador por um endereço 
válido na Internet. Entretanto, e se todos os computadores forem conectados à 
Internet? O NAT vai traduzir todos os endereços não válidos por um endereço 
válido. 
Como assim? Como é possível todos navegarem na Internet com o mesmo 
endereço? Além do endereço de IP válido para Internet é também 
associada uma porta de comunicação para cada computador cliente. 
Por exemplo, o computador 192.168.0.10 tenta acessar a Internet. O NAT 
substitui o endereço 192.168.0.10 por um endereço válido na Internet, como: 
189.107.79.139. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 8 
No entanto, além do número IP, é também associada ao computador uma 
porta, como, por exemplo: 189.107.79.139:6555. O NAT mantém uma tabela 
interna onde fica registrado que a comunicação por meio da porta “X” está 
relacionada com o computador cliente “Y”. Por exemplo, a tabela do NAT 
poderia ter o seguinte conteúdo: 
189.107.79.139:6555 -> 192.168.0.10 
189.107.79.139:6556 -> 192.168.0.11 
189.107.79.139:6557 -> 192.168.0.12 
189.107.79.139:6558 -> 192.168.0.13 
189.107.79.139:6559 -> 192.168.0.14Nota-se que todos os endereços da rede interna são “traduzidos” para o 
mesmo endereço externo, porém com um número diferente de porta para cada 
cliente da rede interna. 
Resumindo, o NAT tornou possível que diversos computadores com 
endereços IPs não roteáveis ou inválidos na Internet pudessem a ela 
se conectar por intermédio de uma tradução desses endereços para 
um endereço válido. Usando o NAT, você pode compartilhar a conexão entre 
os diversos micros da rede local, permitindo que todos compartilhem o link de 
acesso à Internet. Esse processo de tradução é feito em tempo real, sem 
adicionar um volume considerável de latência na conexão nem reduzir a 
velocidade desta, de forma que ele se tornou largamente utilizado. Item certo. 
Como estão certos os itens I, II e III, a resposta está na alternativa A. 
Gabarito: letra A. 
4. (FGV/2009/MEC/Gerente de Segurança) Com relação à Gestão da 
Segurança da Informação, dois itens podem ser visualizados na janela do 
browser, o que significa que as informações transmitidas entre o browser e 
o site visitado estão sendo criptografadas e são visualizados por uma sigla 
no endereço do site e pela existência de um cadeado, que apresenta uma 
determinada característica. 
A sigla e a característica são: 
(A) https://, e “cadeado aberto” na barra de status, na parte inferior da 
janela do browser 
(B) https://, e “cadeado fechado” na barra de status, na parte inferior da 
janela do browser. 
(C) wwws://, e “cadeado fechado” na barra de status, na parte superior da 
janela do browser. 
(D) http://, e “cadeado fechado” na barra de segurança, na parte superior 
da janela do browser. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 9 
(E) wwws//, e “cadeado aberto” na barra de segurança, na parte superior 
da janela do browser. 
Comentários (Profa. Patrícia) 
Existem pelo menos dois itens que podem ser visualizados na janela do seu 
browser, e que significam que as informações transmitidas entre o browser e o 
site visitado estão sendo criptografadas: 
1. O primeiro pode ser visualizado no local em que o endereço do site é 
digitado. O endereço deve começar com https:// (diferente do http:// 
nas conexões normais), onde o s antes do sinal de dois-pontos indica 
que o endereço em questão é de um site com conexão segura e, 
portanto, os dados serão criptografados antes de serem enviados. A 
Figura 1 apresenta o primeiro item, indicando uma conexão segura, 
observado nos browsers Firefox e Internet Explorer, respectivamente. 
Figura 1: https - identificando site com conexão segura (CERTBR, 2006) 
Alguns browsers podem incluir outros sinais na barra de digitação do 
endereço do site, que indicam que a conexão é segura. No Firefox, por 
exemplo, o local em que o endereço do site é digitado muda de cor, 
ficando amarelo, e apresenta um cadeado fechado do lado direito. 
2. O segundo item a ser visualizado corresponde a algum desenho ou sinal, 
indicando que a conexão é segura. Normalmente, o desenho mais 
adotado nos browsers recentes é de um "cadeado fechado", 
apresentado na barra de status, na parte inferior da janela do browser
(se o cadeado estiver aberto, a conexão não é segura). 
A Figura 2 apresenta desenhos dos cadeados fechados, indicando 
conexões seguras, que podem ser observados nas barras de status nos 
browsers Firefox e Internet Explorer, respectivamente. 
Figura 2: Cadeado -- identificando site com conexão segura (CERTBR, 2006) 
Ao clicar sobre o cadeado, será exibida uma tela que permite verificar as 
informações referentes ao certificado emitido para a instituição que mantém 
o site, bem como informações sobre o tamanho da chave utilizada para 
criptografar os dados. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 10 
É muito importante que você verifique se a chave utilizada para criptografar as 
informações a serem transmitidas entre seu browser e o site é de no mínimo 
128 bits. Chaves menores podem comprometer a segurança dos dados a 
serem transmitidos. 
Outro fator muito importante é que a verificação das informações do 
certificado deve ser feita clicando única e exclusivamente no cadeado exibido 
na barra status do browser. Atacantes podem tentar forjar certificados, 
incluindo o desenho de um cadeado fechado no conteúdo da página. A figura 3 
ilustra esta situação no browser Firefox. 
Figura 3: Cadeado forjado (CERTBR, 2006). 
Compare as barras de status do browser Firefox nas figuras 2 e 3. Observe que 
na Figura 3 não é apresentado um cadeado fechado dentro da barra de status, 
indicando que a conexão não é segura. 
É extremamente importante que o usuário verifique algumas informações 
contidas no certificado. Um exemplo de um certificado, emitido para um site de 
uma instituição é mostrado abaixo. 
O usuário deve, então, verificar se o certificado foi emitido para o site da 
instituição que ele deseja acessar. As seguintes informações devem ser 
checadas: 
• o endereço do site; 
• o nome da instituição (dona do certificado); 
• o prazo de validade do certificado. 
Alguns exemplos típicos do uso de certificados digitais são: 
• quando você acessa um site com conexão segura, como por exemplo o 
acesso a sua conta bancária pela Internet, é possível checar se o site
apresentado é realmente da instituição que diz ser, através da 
verificação de seu certificado digital; 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 11 
• quando você consulta seu banco pela Internet, este tem que se 
assegurar de sua identidade antes de fornecer informações sobre a 
conta; 
• quando você envia um e-mail importante, seu aplicativo de e-mail pode 
utilizar seu certificado para assinar "digitalmente" a mensagem, de modo 
a assegurar ao destinatário que o e-mail é seu e que não foi adulterado 
entre o envio e o recebimento. 
Gabarito: letra B. 
5. (CESGRANRIO/Petrobrás - Analista de Sistemas Pleno - 
Especialidade - Infraestrutura /2006) Assinale a afirmação 
INCORRETA sobre os firewalls e sistemas de detecção de intrusão (IDS - 
Intrusion Detection Systems). 
a) Os IDS podem ser utilizados para detectar e bloquear tentativas feitas 
por invasores para determinar as regras de filtragem de um firewall. 
b) Os IDS podem monitorar em tempo real os servidores de uma rede e/ou 
auditar os logs dos servidores à procura de padrões específicos de 
comportamento. 
c) Os IDS podem ser utilizados para detectar falhas de segurança em uma 
rede ou computadores antes mesmo que um ataque ou falha ocorra. 
d) Mesmo que os firewalls de uma rede estejam bem configurados, os 
sistemas IDS continuam necessários. 
e) Um firewall bem configurado deve responder a mensagens ICMP Echo 
Request. 
Comentários (Profa. Patrícia) 
Em um sistema em segurança de redes de computadores, a intrusão é 
qualquer conjunto de ações que tendem a comprometer a integridade, 
confidencialidade ou disponibilidade dos dados ou sistemas. 
Os intrusos em uma rede podem ser de dois tipos: internos (que tentam 
acessar informações não autorizadas para ele); externos (tentam acessar 
informações via Internet). 
IDS (Intrusion Detection Systems) são sistemas de detecção de intrusos, 
que têm por finalidadedetectar atividades incorretas, maliciosas ou anômalas, 
em tempo real, permitindo que algumas ações sejam tomadas. 
• Geram logs para casos de tentativas de ataques e para casos em que 
um ataque teve sucesso. 
• Mesmo sistemas com Firewall devem ter formas para detecção de 
intrusos. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 12 
• Assim como os firewalls, os IDSs também podem gerar falsos positivos 
(Uma situação em que o firewall ou IDS aponta uma atividade como 
sendo um ataque, quando na verdade não é). 
As informações podem ser coletadas em redes, de várias formas: 
• Sistemas de detecção de intrusão baseados em rede (NIDS) 
Neste tipo de sistema, as informações são coletadas na rede, normalmente 
por dispositivos dedicados que funcionam de forma similar a sniffers de 
pacotes. 
Vantagens: diversas máquinas podem ser monitoradas utilizando-se apenas 
um agente (componente que coleta os dados). 
Desvantagens: o IDS “enxerga” apenas os pacotes trafegando, sem ter 
visão do que ocorre na máquina atacada. 
• Sistemas de detecção de intrusão baseados em host (HIDS) 
Coletam informações dentro das máquinas monitoradas, o que 
normalmente é feito através de um software instalado dentro delas. 
• Hybrid IDS 
Combina as 2 soluções anteriores!! 
• Baseados em Kernel (Kernel Based) 
Cuidam basicamente de buffer overflow, ou seja, do estouro da capacidade 
de armazenamento temporário. Sistemas de detecção de intrusos baseados 
em Kernel são uma nova forma de trabalho e estão começando a ser 
utilizados em plataformas mais comuns, especialmente no Linux e outros 
sistemas Unix. 
Cabe ressaltar que o IDS (Intrusion Detection Systems) procura por 
ataques já catalogados e registrados, podendo, em alguns casos, fazer análise 
comportamental. 
O firewall não tem a função de procurar por ataques. Ele realiza a filtragem 
dos pacotes e, então, bloqueia as transmissões não permitidas. O firewall atua 
entre a rede externa e interna, controlando o tráfego de informações que 
existem entre elas, procurando certificar-se de que este tráfego é confiável, 
em conformidade com a política de segurança do site acessado. Também pode 
ser utilizado para atuar entre redes com necessidades de segurança distintas. 
O IPS (Sistema de Prevenção de Intrusão) é que faz a detecção de 
ataques e intrusões, e não o firewall!! Um IPS é um sistema que detecta e 
obstrui automaticamente ataques computacionais a recursos protegidos. 
Diferente dos IDS tradicionais, que localizam e notificam os administradores 
sobre anomalias, um IPS defende o alvo sem uma participação direta humana. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 13 
Em outras palavras, os IDS podem ser classificados em (importante): 
• passivos: fazem a análise das informações recebidas, SEM interferir no 
funcionamento da rede, comunicando os administradores em caso de 
alerta; 
• reativos: chamados de Intrusion Prevention Systems (IPS), pois, 
além de emitir o alerta, podem tomar contramedidas, como resetar 
conexões suspeitas e fazer reprogramações no firewall de acordo com a 
situação detectada. 
Caiu na prova 
IDS e IPS são sistemas que protegem a rede de intrusões, diferindo no 
tratamento dado quando uma intrusão é detectada. IDS limita-se a gerar 
alertas e ativar alarmes, e o IPS executa contramedidas, como 
interromper o fluxo de dados referente à intrusão detectada. 
Um dos grandes desafios dos sistemas de detecção de intrusos é Minimizar
FALSOS POSITIVOS e FALSOS NEGATIVOS! 
- Falso Positivo: o IDS gera um alarme de ataque na ocorrência de um 
evento ou tráfego normal. 
- Falso Negativo: o IDS não gera alarme na ocorrência de um evento ou 
tráfego mal intencionado. 
Cabe destacar que o falso positivo é um evento observável e relevante, que é 
classificado pelo IDS como um evento intrusivo!! 
Seu maior problema é a geração de um grande número de alertas, o que 
dificulta a administração e a análise das informações do IDS. 
Caiu na prova 
A ocorrência de falsos positivos normalmente acarreta consequências 
mais graves para as redes que utilizam IPS do que para aquelas que 
usam IDS!! 
As consequências mais graves ocorrerão com a utilização do IPS, já que 
executa contramedidas, como resetar conexões suspeitas e fazer 
reprogramações no firewall de acordo com a situação detectada. 
Após a análise da questão, vimos que a assertiva incorreta é a letra e. 
Um firewall bem configurado irá restringir o ICMP Echo Request, quando o 
mesmo é solicitado a partir da Internet com destino ao perímetro da rede, pois 
esse protocolo pode ser utilizado por invasores para levantar informações do 
ambiente, de forma a descobrir máquinas na rede, dentre outros. 
Gabarito: letra E. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 14 
6. (FGV/2010/Auditor da Receita do Estado do Amapá) Quando o foco é 
a Gestão da Segurança da Informação, a terminologia empregada no 
mundo dos hackers assume papel de importância. Nesse contexto, dois 
termos são a seguir descritos. 
I. É o software pirata distribuído ilegalmente pela Internet. 
II. É o hacking de sistemas telefônicos, geralmente com o objetivo de fazer 
ligações gratuitas ou para espionar ligações alheias. 
Esses dois termos são denominados, respectivamente: 
(A) warez e phreaking. 
(B) netcat e phishing. 
(C) worm e spoofing. 
(D) trojan e flooding. 
(E) hoax e sniffing. 
Comentários (Profa. Patrícia) 
Item I. O termo Warez pode ser utilizado para se referir ao software pirata, 
distribuído ilegalmente pela Internet, por meio de grupos organizados, fazendo 
uso das redes peer-to-peer, de compartilhamento de arquivos entre amigos ou 
entre grandes grupos de pessoas com interesses similares. 
Item II. O Phreaking é a atividade mencionada, realizada pelos phreakers, 
que realizam o hacking de sistemas telefônicos, clonando celulares, realizando 
escutas telefônicas e ligações clandestinas. 
Gabarito: letra A. 
7. (FGV/2010/Fiocruz/Tecnologista em Saúde Pública/Segurança da 
Informação) Com relação à análise de risco em segurança da informação, 
considere os tipos de risco a seguir. 
I. Dano físico, como fogo, vandalismo e desastres naturais. 
II. Perda de dados, seja intencional ou não. 
III. Falha de equipamento. 
IV. Risco de mercado e perda de investimento. 
Assinale: 
(A) se uma empresa deve estar atenta, em sua análise, somente aos riscos I, 
II e III. 
(B) se uma empresa deve estar atenta, em sua análise, a todos esses tipos de 
riscos. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 15 
(C) se uma empresa deve estar atenta, em sua análise, somente aos riscos I e 
II. 
(D) se uma empresa deve estar atenta, em sua análise, somente aos riscos II 
e III. 
(E) se uma empresa deve estar atenta, em sua análise,somente aos riscos I e 
IV. 
Comentários (Profa. Patrícia) 
Risco é a probabilidade de que as ameaças explorem os pontos fracos, 
causando perda ou danos aos ativose impacto nos negócios. 
A análise de riscos é uma atividade voltada para a identificação de falhas de 
segurança que evidenciem vulnerabilidades presentes nos ativos da empresa, 
que possam ser exploradas por ameaças, provocando impactos nos negócios 
da organização. 
A empresa deverá estar atenta aos riscos que podem causar a perda da 
integridade, disponibilidade e/ou confidencialidade (sigilo), e, nesse caso, 
destacamos os tipos de risco assinalados nos itens I, II e III como de grande 
importância dentro do contexto da segurança da informação. São eles: 
I. Dano físico, como fogo, vandalismo e desastres naturais. 
II. Perda de dados, seja intencional ou não. 
III. Falha de equipamento. 
O risco de mercado e perda de investimento é motivo de preocupação para a 
área de finanças! 
Gabarito: letra A. 
8. (FGV/2010/Fiocruz/Tecnologista em Saúde Pública/Segurança da 
Informação) O roubo ou a perda de laptops é atualmente um dos piores 
problemas para a segurança da informação corporativa. A respeito da 
segurança da informação em ambientes e equipamentos, considere as 
afirmativas a seguir. 
I. Realizar o inventário de todos os laptops, de forma que possam ser 
identificados caso sejam recuperados. 
II. Criptografar todos os dados sensíveis. 
III. Proteger o BIOS com senha. 
IV. Em viagens aéreas, enviar o laptop separadamente com a bagagem. 
Assinale: 
(A) se somente as afirmativas I, II e III ajudam a proteger tais equipamentos 
e os dados que contêm. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 16 
(B) se todas as afirmativas ajudam a proteger tais equipamentos e os dados 
que contêm. 
(C) se somente as afirmativas I e II ajudam a proteger tais equipamentos e os 
dados que contêm. 
(D) se somente as afirmativas II e III ajudam a proteger tais equipamentos e 
os dados que contêm. 
(E) se somente as afirmativas I e IV ajudam a proteger tais equipamentos e os 
dados que contêm. 
Comentários (Profa. Patrícia) 
Os itens assinalados nas opções I, II e III irão contribuir para melhorar a 
segurança dos ambientes e equipamentos. No entanto, o item IV não é 
recomendado, pois essa ação facilitaria o roubo dos notebooks. A portabilidade 
e a mobilidade, exaltadas quando se fala em notebooks, podem virar uma 
grande preocupação. É importante que o usuário tenha cuidado ao usar o 
aparelho e o aconselhável nesse caso é colocá-lo junto a você (por exemplo 
debaixo do assento em viagens aéreas) e não despachá-lo com a bagagem. 
Gabarito: letra A. 
9. (FUNRIO/2007/Prefeitura Municipal de Maricá) Juvêncio recebeu um 
e-mail reportando que seu CPF estava cadastrado no Sistema de Proteção 
ao Crédito. Mesmo não havendo possibilidade disso acontecer, pois paga 
suas contas em dia ele, inadvertidamente, clicou no link que havia no corpo 
do e-mail. O link remetia para o seguinte endereço: 
http://www.vocecaiu.com/invadi.exe. A partir desse momento, o programa 
executado (invadi.exe) se instalou na máquina e capturou sua senha de 
banco. Esse é um procedimento característico de infecção por: 
A) vírus de boot 
B) vírus de macro 
C) worm 
D) trojan 
E) spam 
Comentários (Profa. Patrícia) 
Realmente a questão seria muito mais interessante se a banca tivesse 
explorado o tipo de golpe que aconteceu no caso mencionado. 
Vamos aos comentários dos itens: 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 17 
Itens A e B. Para o entendimento dos itens A e B, cabe mencionar o conceito 
de vírus e seus principais tipos. 
• Vírus: é um programa ou parte de um programa de computador, 
normalmente malicioso, que se propaga infectando, isto é, inserindo cópias 
de si mesmo e se tornando parte de outros programas e arquivos de um 
computador. O vírus depende da execução do programa ou arquivo 
hospedeiro para que possa se tornar ativo e dar continuidade ao processo 
de infecção. Para que um computador seja infectado por um vírus, é 
necessário que um programa previamente infectado seja executado, e o 
vírus pode se propagar sem que o usuário perceba. 
Alguns vírus são inofensivos, outros, porém, podem danificar um sistema 
operacional e os programas de um computador. 
A seguir listamos os 2 tipos de vírus mencionados na questão, vírus de 
macro e vírus de boot. 
ƒ Vírus de macro: 
Uma macro é um conjunto de comandos que são armazenados em 
alguns aplicativos e utilizados para automatizar determinadas tarefas 
repetitivas em editores de texto e planilhas. 
Um vírus de macro é escrito de forma a explorar esta facilidade de 
automatização e é parte de um arquivo que normalmente é manipulado 
por algum aplicativo que utiliza macros. Para que o vírus possa ser 
executado, o arquivo que o contém precisa ser aberto. A partir daí, o 
vírus vai executar uma série de comandos automaticamente e infectar 
outros arquivos no computador. 
ƒ Vírus de boot: infectam o setor de boot de um disco - ou seja, o registro 
de inicialização de disquetes e discos rígidos. Os vírus de boot se copiam 
para esta parte do disco e são ativados quando o usuário tenta iniciar o 
sistema operacional a partir do disco infectado. 
Os itens A e B são FALSOS. 
Item C. Worm é um programa capaz de propagar 
automaticamente através de redes, enviando cópias de si 
mesmo de computador para computador (observe que os worms 
apenas se copiam, não infectam outros arquivos, eles mesmos 
são os arquivos!!). Além disso, geralmente utilizam as redes de 
comunicação para infectar outros computadores (via e-mails, Web, FTP, redes 
das empresas, etc.). 
Portanto, diferentemente do vírus, o worm não embute cópias de si mesmo em 
outros programas ou arquivos e não necessita ser explicitamente executado 
para se propagar. Sua propagação ocorre através da exploração de 
vulnerabilidades existentes ou falhas na configuração de softwares instalados 
em computadores. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 18 
Os worms geram muitas perdas pelo consumo de recursos que provocam. 
Degradam sensivelmente o desempenho de redes e podem lotar o disco rígido 
de computadores, devido à grande quantidade de cópias de si mesmo, gerando 
grandes transtornos para aqueles que estão recebendo tais cópias. Item 
ERRADO. 
Item D. Na informática, um cavalo de troia (trojan horse) é um programa, 
normalmente recebido como um “presente” (por exemplo, cartão virtual, 
álbum de fotos, protetor de tela, jogo, etc.), que, quando executado (com a 
sua autorização!), além de executar funções para as quais foi aparentemente 
projetado, também executa outras funções maliciosas e sem o consentimento 
do usuário, como por exemplo: 
• furto de senhas e outras informações sensíveis, como números de 
cartões de crédito; 
• inclusão de backdoors, para permitir que um atacante tenha total 
controle sobre o computador; 
• alteração ou destruição de arquivos; 
• instalação de keyloggers (programa capaz de capturar e armazenar as 
teclas digitadas pelo usuário no teclado de um computador) ou 
screenloggers (uma variante do keylogger que faz a gravação da tela do 
usuário, além do teclado). 
O cavalo de troia distingue-se de um vírus ou de um worm por não infectar 
outros arquivos, nem propagar cópias desi mesmo automaticamente. 
Normalmente um cavalo de troia consiste em um único arquivo que necessita 
ser explicitamente executado. Item CORRETO. 
Item E. Spam é o termo usado para se referir aos e-mails não solicitados, que 
geralmente são enviados para um grande número de pessoas. O antispam é 
um programa utilizado para filtrar os e-mails indesejados, principalmente 
aqueles com propaganda, que lotam a nossa caixa postal. Item ERRADO. 
Gabarito: letra D. 
10. (CESGRANRIO/FINEP/Analista de Sistemas – Suporte/ 2011-07) 
Os programadores de vírus continuamente desafiam os produtos de 
antivírus. Com o objetivo de camuflar o código desses programas malignos, 
seus criadores costumam utilizar técnicas de criptografia durante o processo 
de mutação do vírus. Nesse sentido, o vírus do tipo oligomórfico criptografa 
o seu corpo, formado 
(A) pelo seu código de ataque e por um código de decriptação, e, durante o 
processo de mutação, seleciona aleatoriamente uma nova chave de 
criptografia para criptografar o corpo e não acopla, ao criptograma gerado, 
o código de decriptação. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 19 
(B) pelo seu código de ataque e por um código de decriptação, e, durante o 
processo de mutação, seleciona aleatoriamente uma nova chave de 
criptografia para criptografar o corpo e acopla, ao criptograma gerado, 
o código de decriptação modificado por uma técnica de inserção aleatória de 
instruções lixo. 
(C) pelo seu código de ataque e por um conjunto pequeno de códigos de 
decriptação, e, durante o processo de mutação, seleciona aleatoriamente 
uma nova chave de criptografia para criptografar o corpo e acopla, ao 
criptograma gerado, um dos códigos de decriptação selecionado 
aleatoriamente. 
(D) apenas pelo seu código de ataque, e, durante o processo de mutação, 
seleciona aleatoriamente uma nova chave de criptografia para criptografar o 
corpo e acopla, ao criptograma gerado, o mesmo código de decriptação. 
(E) apenas pelo seu código de ataque, e, durante o processo de mutação, 
seleciona aleatoriamente uma nova chave de criptografia para criptografar o 
corpo e acopla, ao criptograma gerado, um novo código de decriptação 
criado unicamente com instruções selecionadas aleatoriamente do conjunto 
de instruções do processador. 
Comentários (Profa. Patrícia) 
Em função de seu comportamento, todos os vírus anteriores podem, por sua 
vez, ser classificados em subgrupos 
http://www.barsasaber.com.br/theworld/dossiers/seccions/cards2/printable.as
p?pk=1386&art=25&calltype=2): 
• vírus uniformes: produzem uma duplicação idêntica de si mesmos; 
• vírus encriptados: encriptam parte de seu código para tornar mais 
complicada sua análise; 
• vírus oligomórficos: possuem um conjunto reduzido de funções de 
encriptação e escolhem uma delas aleatoriamente. Exigem diferentes 
padrões para sua detecção. 
Conforme visto, a resposta é a letra c. O vírus do tipo oligomórfico
criptografa o seu corpo, formado pelo seu código de ataque e por um conjunto 
pequeno de códigos de decriptação, e, durante o processo de mutação, 
seleciona aleatoriamente uma nova chave de criptografia para criptografar o 
corpo e acopla, ao criptograma gerado, um dos códigos de decriptação 
selecionado aleatoriamente. 
Vírus Oligomórfico - usa a criptografia para se defender sendo capaz de 
alterar também a rotina de criptografia em um número de vezes pequeno. Um 
vírus que possui duas rotinas de decriptografia é então classificado como 
oligomórfico (Luppi, 2006). 
• Vírus polimórficos: em sua duplicação, produzem uma rotina de 
encriptação completamente variável, tanto na fórmula quanto na forma do 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 20 
algoritmo. Com polimorfismos fortes, é necessário emulação, padrões 
múltiplos e outras técnicas antivírus avançadas; 
• Vírus metamórficos: reconstroem todo o seu corpo em cada geração, 
modificando-se por completo. Dessa maneira, levam as técnicas avançadas 
de detecção ao limite; 
• Sobrescritura: vírus que sobrescreve com seu próprio corpo os programas 
infectados; 
• Stealth ou silencioso: vírus que oculta sintomas de infecção. 
Os vírus são programados para cumprir três objetivos: se autoduplicar, 
cumprir a tarefa para a qual foram programados (apagar arquivos, bloquear 
o computador, mandar mensagens ao usuário...) e, por fim, fazer sua 
própria proteção para sobreviver. Demonstrou-se que os métodos 
tradicionais usados para proteger a informação são, em geral, pouco 
eficazes contra os vírus. 
Gabarito: letra C. 
11. (PREFRIO/2010/Auxiliar Técnico de Defesa Civil) No que diz 
respeito à segurança em redes e na internet, há um tipo de programa que 
se passa por inofensivo, mas que pode causar sérios danos no computador 
onde é executado, como alterar ou destruir arquivos, furtar senhas e outras 
informações sensíveis. Normalmente, este tipo de programa não se replica, 
não infecta outros arquivos nem propaga cópias de si mesmo, sendo a 
melhor estratégia para evitá-lo não rodar arquivos anexos a e-mails, 
particularmente os de origem desconhecida. Esse programa é conhecido 
por: 
(A) Trojan 
(B) Spam 
(C) Cookie 
(D) McAffee 
Comentários (Profa. Patrícia) 
As características apresentadas pertencem ao cavalo de troia (trojan)! 
Gabarito: letra A. 
Vamos ao estudo dos principais tipos de malwares, a seguir: 
Malware - Um tipo de ameaça que deve ser considerado!! 
Malware (combinação de malicious software – programa malicioso) é uma 
expressão usada para todo e quaisquer softwares maliciosos, ou seja, 
programados com o intuito de prejudicar os sistemas de informação, alterar o 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 21 
funcionamento de programas, roubar informações, causar lentidões de redes 
computacionais, dentre outros. 
Resumindo, malwares são programas que executam deliberadamente 
ações mal-intencionadas em um computador!! 
Os tipos mais comuns de malware estão descritos a seguir. 
• Vírus: são pequenos códigos de programação maliciosos que se “agregam” 
a arquivos e são transmitidos com eles. Quando o arquivo é aberto na 
memória RAM, o vírus também é, e, a partir daí se propaga infectando, isto 
é, inserindo cópias de si mesmo e se tornando parte de outros programas e 
arquivos de um computador. 
O vírus depende da execução do programa ou arquivo hospedeiro para que 
possa se tornar ativo e dar continuidade ao processo de infecção. Alguns 
vírus são inofensivos, outros, porém, podem danificar um sistema 
operacional e os programas de um computador. 
• Worms (vermes): são programas parecidos com vírus, mas 
que na verdade são capazes de se propagarem 
automaticamente através de redes, enviando cópias de si 
mesmo de computador para computador (observe que os 
worms apenas se copiam, não infectam outros arquivos, eles 
mesmos são os arquivos!!). Além disso, geralmente utilizam as redes de 
comunicação para infectar outros computadores (via e-mails, Web, FTP, 
redes das empresas etc.). 
Diferentemente do vírus, o worm não embute cópias de si mesmo em 
outros programas ou arquivos e não necessita ser explicitamente executado 
para se propagar. Sua propagação se dáatravés da exploração de 
vulnerabilidades existentes ou falhas na configuração de softwares 
instalados em computadores. 
Worms são notadamente responsáveis por consumir muitos recursos. 
Degradam sensivelmente o desempenho de redes e podem lotar o disco 
rígido de computadores, devido à grande quantidade de cópias de si mesmo 
que costumam propagar. Além disso, podem gerar grandes transtornos 
para aqueles que estão recebendo tais cópias. 
Difíceis de serem detectados, muitas vezes os worms realizam uma série de 
atividades, incluindo sua propagação, sem que o usuário tenha 
conhecimento. Embora alguns programas antivírus permitam detectar a 
presença de worms e até mesmo evitar que eles se propaguem, isto nem 
sempre é possível. 
• Bots: de modo similar ao worm, é um programa capaz de se propagar 
automaticamente, explorando vulnerabilidades existentes ou falhas na 
configuração de software instalado em um computador. Adicionalmente ao 
worm, dispõe de mecanismos de comunicação com o invasor, permitindo 
que o bot seja controlado remotamente. Os bots esperam por comandos de 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 22 
um hacker, podendo manipular os sistemas infectados, sem o conhecimento 
do usuário. 
Importante 
Os bots são códigos maliciosos destinados a explorar falhas em sistemas, 
possuindo mecanismos para controle remoto da máquina infectada. 
Nesse ponto, cabe destacar um termo que já foi cobrado várias vezes em 
prova!! Trata-se do significado do termo botnet, junção da contração das 
palavras robot (bot) e network (net). Uma rede infectada por bots é 
denominada de botnet (também conhecida como rede zumbi), sendo 
composta geralmente por milhares desses elementos maliciosos que ficam 
residentes nas máquinas, aguardando o comando de um invasor. 
Segundo Schiller et al. (2007), uma botnet, na sua forma mais simples, é 
um exército de computadores comprometidos que recebem ordens de um 
bot herder, como mostra a figura seguinte. 
Figura. Estrutura básica de uma rede Botnet 
obs.: Bot Herder é a pessoa ou grupo que controla um número efetivo de 
máquinas infectadas com os bots, sendo conhecidos também como bot 
master ou zombie master (OVERTON, 2005). 
Segundo o CERT.br (2006) um invasor que tenha controle sobre uma botnet
pode utilizá-la para aumentar a potência de seus ataques, por exemplo, 
para enviar centenas de milhares de e-mails de phishing ou spam, desferir 
ataques de negação de serviço, etc. 
Dunham e Melnick (2009) destacam que cada computador infectado 
representa múltiplas oportunidades de ganho financeiro e sua junção à 
botnet pode desempenhar diversas atividades maliciosas como: 
• ataques de DDoS (ataque de negação de serviço distribuído) para 
extorsão ou a interrupção de recursos computacionais com fins 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 23 
lucrativos; 
• roubo de informações sensíveis dos usuários, tais como endereço e 
dados pessoais de cartão de crédito; 
• roubo de credenciais online para exploração de contas de leilão, 
contas de correio eletrônico, ou contas de jogos para venda ou 
manipulação de bens virtuais por troca de dinheiro; 
• roubo de chaves de licença para a produção e venda de software 
ilegais no mercado negro; 
• ataques direcionados a redes, bens ou pessoas específicas de 
interesse do bot herder, dentre outros. 
• Trojan horse (Cavalo de troia): é um programa aparentemente 
inofensivo que entra em seu computador na forma de cartão virtual, álbum 
de fotos, protetor de tela, jogo etc, e que, quando executado (com a sua 
autorização!), parece lhe divertir, mas, por trás abre portas de comunicação 
do seu computador para que ele possa ser invadido. 
Por definição, o cavalo de troia distingue-se de um vírus ou de um worm 
por não infectar outros arquivos, nem propagar cópias de si mesmo 
automaticamente. 
O trojans ficaram famosos na Internet pela facilidade de uso, e por 
permitirem a qualquer pessoa possuir o controle de um outro computador 
apenas com o envio de um arquivo. 
Os trojans atuais são divididos em duas partes, que são: o servidor e o 
cliente. Normalmente, o servidor encontra-se oculto em algum outro 
arquivo e, no momento em que o arquivo é executado, o servidor se instala 
e se oculta no computador da vítima. Nesse momento, o computador já 
pode ser acessado pelo cliente, que enviará informações para o servidor 
executar certas operações no computador da vítima. 
O Cavalo de Troia não é um vírus, pois não se duplica e não se dissemina 
como os vírus. Na maioria das vezes, ele irá instalar programas para 
possibilitar que um invasor tenha controle total sobre um computador. Estes 
programas podem permitir: 
• que o invasor veja e copie ou destrua todos os arquivos armazenados 
no computador; 
• a instalação de keyloggers ou screenloggers (descubra todas as 
senhas digitadas pelo usuário); 
• o furto de senhas e outras informações sensíveis, como números de 
cartões de crédito; 
• a inclusão de backdoors, para permitir que um atacante tenha total 
controle sobre o computador; 
• a formatação do disco rígido do computador, etc. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 24 
Exemplos comuns de cavalos de troia são programas que você recebe ou 
obtém de algum site e que parecem ser apenas cartões virtuais animados, 
álbuns de fotos de alguma celebridade, jogos, protetores de tela, entre 
outros. Enquanto estão sendo executados, estes programas podem ao 
mesmo tempo enviar dados confidenciais para outro computador, instalar 
backdoors, alterar informações, apagar arquivos ou formatar o disco rígido. 
Existem também cavalos de troia utilizados normalmente em esquemas 
fraudulentos, que, ao serem instalados com sucesso, apenas exibem uma 
mensagem de erro. 
• Keylogger: um tipo de malware que é capaz de capturar e armazenar as 
teclas digitadas pelo usuário no teclado de um computador. Dentre as 
informações capturadas podem estar o texto de um e-mail, dados digitados 
na declaração de Imposto de Renda e outras informações sensíveis, como 
senhas bancárias e números de cartões de crédito. Em muitos casos, a 
ativação do keylogger é condicionada a uma ação prévia do usuário, como 
por exemplo, após o acesso a um site específico de comércio eletrônico ou 
Internet Banking. Normalmente, o keylogger contém mecanismos que 
permitem o envio automático das informações capturadas para terceiros 
(por exemplo, através de e-mails). 
As instituições financeiras desenvolveram os teclados virtuais para evitar 
que os keyloggers pudessem capturar informações sensíveis de usuários. 
Então, foram desenvolvidas formas mais avançadas de keyloggers, também 
conhecidas como screenloggers, capazes de: 
• armazenar a posição do cursor e a tela apresentada no monitor, nos 
momentos em que o mouse é clicado, ou 
• armazenar a região que circunda a posição onde o mouse é clicado. 
Normalmente, o keylogger vem como parte de um programa spyware ou 
cavalo de troia. Desta forma, é necessário que este programa seja 
executado para que o keylogger se instale em um computador. Geralmente, 
tais programas vêm anexados a e-mails ou estão disponíveis em sites na 
Internet.Existem ainda, programas leitores de e-mails que podem estar configurados 
para executar automaticamente arquivos anexados às mensagens. Neste 
caso, o simples fato de ler uma mensagem é suficiente para que qualquer 
arquivo anexado seja executado. 
• Backdoors 
Normalmente um atacante procura garantir uma forma de retornar a um 
computador comprometido, sem precisar recorrer aos métodos utilizados na 
realização da invasão. Na maioria dos casos, também é intenção do 
atacante poder retornar ao computador comprometido sem ser notado. A 
esses programas que permitem o retorno de um invasor a um computador 
comprometido, utilizando serviços criados ou modificados para este fim, dá-
se o nome de backdoor. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 25 
A forma usual de inclusão de um backdoor consiste na disponibilização de 
um novo serviço ou substituição de um determinado serviço por uma versão 
alterada, normalmente possuindo recursos que permitam acesso remoto 
(através da Internet). Pode ser incluído por um invasor ou através de um 
cavalo de troia. 
• Adware (advertising software): este tipo de programa geralmente não 
prejudica o computador. O adware apresenta anúncios, cria ícones ou 
modifica itens do sistema operacional com o intuito de exibir alguma 
propaganda. Nem sempre são maliciosos! Um adware malicioso pode abrir 
uma janela do navegador apontando para páginas de cassinos, vendas de 
remédios, páginas pornográficas, etc. Um exemplo do uso legítimo de 
adwares pode ser observado no programa de troca instantânea de 
mensagens MSN Messenger. 
• Spyware: trata-se de um programa espião (spy em inglês = espião). É um 
programa que tem por finalidade monitorar as atividades de um sistema e 
enviar as informações coletadas para terceiros. 
 
Figura - Mapa Mental sobre Malware 
O combate a códigos maliciosos poderá envolver uma série de ações, como: 
- instalação de ferramentas antivírus e antispyware no computador, lembrando 
de mantê-las atualizadas frequentemente; 
-não realizar abertura de arquivos suspeitos recebidos por e-mail; 
-fazer a instalação de patches de segurança e atualizações corretivas de 
softwares e do sistema operacional quando forem disponibilizadas (proteção 
contra worms e bots) etc. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 26 
12. (FGV/2010/AUDITOR DA RECEITA DO ESTADO DO AMAPÁ) De 
tempos em tempos, observa-se na imprensa que sites ficam inoperantes. 
Os ataques conseguem derrubar o tráfego de rede, inundados por 
solicitações até saírem do ar, por esgotamento da capacidade de 
processamento. Os especialistas em segurança de redes e na internet 
creditam os ataques a algum hacker que utiliza as chamadas botnets, 
definidas como redes de computadores infectadas por códigos maliciosos. 
Nesses casos, as máquinas funcionam normalmente até que o hacker envie 
um comando remoto ordenando que todas acessem um site ao mesmo 
tempo, tirando-o do ar por excesso de tráfego. 
Esse tipo de ataque é conhecido pelo termo técnico: 
(A) Negação por Excesso de Força Bruta. 
(B) Negação de Acesso por Colisão. 
(C) Negação de Tráfego por Telnet. 
(D) Negação por Intrusão. 
(E) Negação de Serviço. 
Comentários (Profa. Patrícia) 
O termo técnico utilizado nesse caso é denominado negação de serviço
(Denial of Service). Nesse caso, a ordem foi repassada a uma rede Botnet 
contaminada, cujas máquinas disparam o ataque que provocará a paralisação 
dos serviços do site, deixando-o inoperante. 
Gabarito: letra E. 
13. (FGV/2009/MEC/Gerente de Segurança) No dia 06 de agosto de 
2009, o site Twitter ficou algumas horas fora do ar, após ser atingido por 
uma série de ataques de hackers, caracterizados por tentativas de derrubar 
o tráfego de rede, em que servidores são inundados por solicitações até 
saírem do ar, por esgotamento da capacidade de processamento. Um 
especialista em segurança da empresa Sophos creditou o ataque a algum 
hacker adolescente em seu quarto com acesso a uma enorme botnet. Cabe 
esclarecer que botnets são redes de computadores “zumbis”, infectadas por 
códigos maliciosos, utilizados por hackers no tipo de ataque acima 
mencionado. As máquinas funcionam normalmente até o hacker enviar um 
comando remoto ordenando que todas acessem um site ao mesmo tempo, 
tirando-o do ar por excesso de tráfego. Esse tipo de ataque é conhecido 
pelo termo técnico: 
(A) Negação de Serviço 
(B) Sobrecarga por Intrusão 
(C) Negação de Acesso por Colisão 
(D) Sobrecaga por Inundação de Tráfego 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 27 
(E) Sobrecarga por Excesso de Força Bruta 
Comentários (Profa. Patrícia) 
Questão idêntica à anterior, que destaca o tipo de ataque conhecido como 
negação de serviço (Denial of Service). 
Gabarito: letra A. 
14. (FUNDAÇÃO UNIVERSA/MPE-GO/Técnico de Informática/ 
Segurança da Informação/2010) Em um sistema criptográfico, são 
utilizados diversos mecanismos para garantir a autenticidade e a 
confidencialidade da informação. O sistema em que são utilizadas duas 
chaves criptográficas, uma pública e outra privada, denomina-se 
criptografia 
a) simétrica. 
b) assimétrica. 
c) binária. 
d) dupla. 
e) simples. 
Comentários (Profa. Patrícia) 
A palavra criptografia é composta dos termos gregos KRIPTOS (secreto, 
oculto, ininteligível) e GRAPHO (escrita, escrever). Trata-se de um conjunto de 
conceitos e técnicas que visa codificar uma informação de forma que somente 
o emissor e o receptor possam acessá-la. 
Terminologia básica sobre Criptografia: 
• Mensagem ou texto é a informação de se deseja proteger. Esse texto 
quando em sua forma original, ou seja, a ser transmitido, é chamado de 
texto puro ou texto claro. 
• Remetente ou emissor refere-se à pessoa que envia a mensagem. 
• Destinatário ou receptor refere-se à pessoa que receberá a 
mensagem. 
• Encriptação é o processo em que um texto puro passa, 
transformando-se em texto cifrado. 
• Desencriptação é o processo de recuperação de um texto puro a 
partir de um texto cifrado. 
• Criptografar é o ato de encriptar um texto puro, assim como, 
descriptografar é o ato de desencriptar um texto cifrado. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 28 
• Chave é a informação que o remetente e o destinatário possuem, e que 
será usada para criptografar e descriptografar um texto ou mensagem. 
Algoritmos: 
p Simétricos (ou convencional, chave privada, chave única) 
p Assimétricos (ou chave pública). 
Criptografia Simétrica (ou Convencional, Chave Privada, Chave Única) 
Esse é um tipo de chave mais simples, em que o emissor e o receptor fazem 
uso da MESMA chave, isto é, uma ÚNICA chave é usada na codificação e na 
decodificação da informação. 
Nas 2 figuras anteriores, podemos observar o funcionamento da criptografia 
simétrica. Uma informação é encriptada através de um polinômio utilizando-se 
de uma chave (Chave A) que também serve para decriptar a informação.As principais vantagens dos algoritmos simétricos são: 
• Rapidez: um polinômio simétrico encripta um texto longo em milésimos 
de segundos 
• Chaves pequenas: uma chave de criptografia de 128bits torna um 
algoritmo simétrico praticamente impossível de ser quebrado. 
A maior desvantagem da criptografia simétrica é que a chave utilizada 
para encriptar é IGUAL à chave que decripta. Quando um grande número 
de pessoas tem conhecimento da chave, a informação deixa de ser um 
segredo. 
O uso de chaves simétricas tem algumas desvantagens, fazendo com que sua 
utilização não seja adequada em situações em que a informação é muito 
valiosa. Para começar, é necessário usar uma grande quantidade de chaves 
caso muitas pessoas estejam envolvidas. 
Ainda, há o fato de que tanto o emissor quanto o receptor precisam conhecer a 
chave usada. A transmissão dessa chave de um para o outro pode não ser tão 
segura e cair em "mãos erradas". 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 29 
Existem vários algoritmos que usam chaves simétricas, como o DES (Data 
Encryption Standard), o IDEA (International Data Encryption Algorithm), e o 
RC (Ron's Code ou Rivest Cipher). 
Criptografia de Chave Assimétrica (ou de Chave Pública) 
Também conhecida como "chave pública", a técnica de criptografia por chave 
assimétrica trabalha com DUAS chaves: uma denominada privada e outra 
denominada pública. Eis a resposta dessa questão!!! Nesse método, uma 
pessoa deve criar uma chave de codificação e enviá-la a quem for mandar 
informações a ela. Essa é a chave pública. Outra chave deve ser criada para a 
decodificação. Esta – a chave privada – é secreta. 
Para entender melhor, imagine o seguinte: O USUÁRIO-A criou uma chave 
pública e a enviou a vários outros sites. Quando qualquer desses sites quiser 
enviar uma informação criptografada ao USUÁRIO-A deverá utilizar a chave 
pública deste. Quando o USUÁRIO-A receber a informação, apenas será 
possível extraí-la com o uso da chave privada, que só o USUÁRIO-A tem. Caso 
o USUÁRIO-A queira enviar uma informação criptografada a outro site, deverá 
conhecer sua chave pública. 
Entre os algoritmos que usam chaves assimétricas, têm-se o RSA (o mais 
conhecido), o Diffie-Hellman, o DSA (Digital Signature Algorithm), o Schnorr 
(praticamente usado apenas em assinaturas digitais) e Diffie-Hellman. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 30 
Figura. Mapa mental relacionado à Criptografia ASSimétrica 
Gabarito: letra B. 
15. (ESAF/2006/TRF/Tributária e Aduaneira) Analise as seguintes 
afirmações relacionadas à criptografia. 
I. A criptografia de chave simétrica pode manter os dados seguros, mas se 
for necessário compartilhar informações secretas com outras pessoas, 
também deve-se compartilhar a chave utilizada para criptografar os dados. 
II. Com algoritmos de chave simétrica, os dados assinados pela chave 
pública podem ser verificados pela chave privada. 
III. Com algoritmos RSA, os dados encriptados pela chave pública devem 
ser decriptados pela chave privada. 
IV. Com algoritmos RSA, os dados assinados pela chave privada são 
verificados apenas pela mesma chave privada. 
Indique a opção que contenha todas as afirmações verdadeiras. 
a) I e II 
b) II e III 
c) III e IV 
d) I e III 
e) II e IV 
Comentários (Profa. Patrícia) 
Criptografia é um conjunto de técnicas que permitem tornar incompreensível 
uma mensagem escrita com clareza, de forma que apenas o destinatário a 
decifre e a compreenda. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 31 
Criptografar (cifrar, encriptar): é o processo de embaralhar a mensagem 
original transformando-a em mensagem cifrada. 
Decriptar (decifrar): é o processo de transformar a mensagem cifrada de 
volta em mensagem original. 
Item I. A criptografia de chave simétrica (também conhecida como 
criptografia de chave única, ou criptografia privada) utiliza APENAS UMA chave 
para encriptar e decriptar as mensagens. Assim, como só utiliza uma chave, 
obviamente ela deve ser compartilhada entre o remetente e o destinatário da 
mensagem. O item I está correto. 
Item II. Algoritmos de chave simétrica utilizam APENAS UMA chave para 
encriptar e decriptar as mensagens. Os algoritmos de criptografia 
assimétrica (criptografia de chave pública) utilizam duas chaves 
diferentes, uma pública (que pode ser distribuída) e uma privada (pessoal e 
intransferível). O item II é falso. 
Item III. Cabe destacar que algoritmos RSA são algoritmos de criptografia 
assimétrica. Conforme visto, se utilizar uma chave pública na encriptação irá 
utilizar a chave privada na decriptação. O item III está correto. 
Os algoritmos de chave pública utilizam pares de chaves, uma pública e 
outra privada, atribuídas a uma pessoa ou entidade. A chave pública é 
distribuída livremente para todos os correspondentes, enquanto a chave 
privada deve ser conhecida APENAS pelo seu dono. 
Num algoritmo de criptografia assimétrica, uma mensagem cifrada com a 
chave pública pode SOMENTE ser decifrada pela sua chave privada 
correspondente. 
Além disso, uma mensagem cifrada com a chave privada só pode ser decifrada 
pela chave pública correspondente. Com isso, é possível fazer assinaturas 
digitais sobre as mensagens, de forma que uma pessoa possa criptografar a 
mensagem com sua chave privada e o destinatário possa comprovar a 
autenticidade por meio da decifração pela chave pública do remetente. Dessa 
forma, os algoritmos de chave pública fornecem, além da confidencialidade, a 
garantia de autenticidade da origem. 
Item IV. O item fala de algoritmos RSA, que são algoritmos de criptografia 
assimétrica, mas o relaciona a um procedimento de criptografia de chave 
simétrica (mesma chave privada). A criptografia assimétrica (usa duas chaves 
– uma pública para embaralhar e uma privada para desembaralhar!!). O item 
D é falso. 
Gabarito: letra D. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 32 
16. (FUNRIO/2008/JUCERJA/PROFISSIONAL DE INFORMÁTICA-
Adaptada) Uma mensagem criptografada com uma chave simétrica poderá 
ser decriptografada com 
A) a mesma chave simétrica. 
B) a chave pública. 
C) o HASH. 
D) a chave RSA. 
E)a chave assimétrica 
Comentários (Profa. Patrícia) 
A criptografia de chave simétrica (também conhecida como criptografia 
de chave única, ou criptografia privada) utiliza APENAS UMA chave para 
encriptar e decriptar as mensagens. Assim, como só utiliza UMA chave, 
obviamente ela deve ser compartilhada entre o remetente e o destinatário da 
mensagem. 
Para ilustrar os sistemas simétricos, podemos usar a imagem de um cofre, que 
só pode ser fechado e aberto com uso de uma chave. Esta pode ser, por 
exemplo, uma combinação de números. A mesma combinação abre e fecha o 
cofre. Para criptografar uma mensagem, usamos a chave (fechamos o cofre) e 
para decifrá-la utilizamos a mesma chave (abrimos o cofre). 
Os sistemas simétricos têm o problema em relação à distribuiçãode chaves, 
que devem ser combinadas entre as partes antes que a comunicação segura se 
inicie. Esta distribuição se torna um problema em situações onde as partes não 
podem se encontrar facilmente. Mas há outros problemas: a chave pode ser 
interceptada e/ou alterada em trânsito por um inimigo. 
Na criptografia simétrica (ou de chave única) tanto o emissor quanto o 
receptor da mensagem devem conhecer a chave utilizada!! 
Os algoritmos de criptografia assimétrica (criptografia de chave pública)
utilizam DUAS chaves DIFERENTES, uma PÚBLICA (que pode ser 
distribuída) e uma PRIVADA (pessoal e intransferível). Assim, nesse método 
cada pessoa ou entidade mantém duas chaves: uma pública, que pode ser 
divulgada livremente, e outra privada, que deve ser mantida em segredo pelo 
seu dono. As mensagens codificadas com a chave pública só podem ser 
decodificadas com a chave privada correspondente. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 33 
Gabarito: letra A. 
17. (FUNRIO/2007/Prefeitura Municipal de Maricá) Considere as 
assertivas abaixo sobre criptografia: 
I. Criptografia é o conjunto de técnicas matemáticas utilizadas para 
embaralhar uma mensagem. 
II. Na criptografia simétrica a mesma chave é utilizada para encriptar e 
decriptar uma mensagem. 
III. Na criptografia assimétrica são usadas duas chaves, uma privativa e 
uma pública. 
Estão corretas: 
A) I e II apenas 
B) I e III apenas 
C) II e III apenas 
D) I, II e III 
E) Todas estão incorretas 
Comentários (Profa. Patrícia) 
Item I. Criptografia é um conjunto de técnicas que permitem tornar 
incompreensível uma mensagem escrita com clareza, de forma que apenas o 
destinatário a decifre e a compreenda. Item CORRETO. 
Item II. A criptografia simétrica (ou convencional, chave privada, chave 
única) utiliza a MESMA chave tanto para codificar quanto para decodificar 
mensagens. Item CORRETO. 
Item III. A criptografia assimétrica (ou de chave pública) utiliza DUAS
chaves distintas, uma para codificar e outra para decodificar mensagens. Neste 
método cada pessoa ou entidade mantém duas chaves: uma pública, que pode 
ser divulgada livremente, e outra privada, que deve ser mantida em segredo 
pelo seu dono. As mensagens codificadas com a chave pública só podem ser 
decodificadas com a chave privada correspondente. Item CORRETO. 
Gabarito: letra D. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 34 
18. (FGV/2008/Fiscal de Rendas) Analise a figura seguinte, que ilustra 
um esquema de criptografia e cujo funcionamento é descrito a seguir. 
I. A empresa InfoGold criou uma chave pública e a enviou a vários sites. 
II. Quando um desses sites quiser enviar uma informação criptografada 
para InfoGold, deverá utilizar a chave pública desta. 
III. Quando InfoGold receber a informação, apenas será possível extraí-la 
com o uso da chave privada, que só InfoGold possui. 
IV. Caso InfoGold queira enviar uma informação criptografada ao site 3, por 
exemplo, deverá conhecer sua chave pública. 
O esquema é conhecido como de chave: 
(A) secreta. 
(B) simétrica. 
(C) assimétrica. 
(D) transversa. 
(E) reversa. 
Comentários (Profa. Patrícia) 
O esquema utilizado é o de criptografia assimétrica (também conhecida como 
criptografia de chave pública), que faz uso de duas chaves, uma para cifrar o 
texto e outra para decifrar. 
Gabarito: letra C. 
19. (CESPE/2010/TRE-MT/Analista Judiciário - Tecnologia da 
Informação) Acerca de criptografia, julgue os itens a seguir. 
Uma das vantagens da criptografia simétrica em relação à assimétrica é a 
maior velocidade de cifragem ou decifragem das mensagens. Embora os 
algoritmos de chave assimétrica sejam mais rápidos que os de chave 
simétrica, uma das desvantagens desse tipo de criptografia é a exigência de 
uma chave secreta compartilhada. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 35 
Comentários (Profa. Patrícia) 
Inverteu os conceitos. Os algoritmos mais rápidos e que compartilham chaves 
são os algoritmos de chave simétrica. 
Gabarito: item errado. 
20. (FGV/2010/Auditor da Receita do Estado do Amapá) A assinatura 
digital representa uma das aplicações da criptografia e consiste na criação 
de um código, através da utilização de uma chave, em que uma pessoa ou 
entidade que recebe uma mensagem contendo esse código pode verificar se 
o remetente é mesmo quem diz ser e identificar qualquer mensagem que 
possa ter sido modificada. Esse esquema emprega um método baseado em: 
(A) chave única de 56 bits com SSL. 
(B) chave privada de 128 bits com DES. 
(C) criptografia das chaves pública e privada. 
(D) criptografia das chaves indexada e reversa. 
(E) criptografia das chaves simétrica e assimétrica. 
Comentários (Profa. Patrícia) 
A assinatura digital baseia-se em criptografia assimétrica com par de chaves: 
uma pública e outra privada. Portanto, a assertiva C é a correta: criptografia 
das chaves pública e privada. 
Gabarito: letra C. 
21. (CESPE/2010/TRE-MT/Analista Judiciário/Tecnologia da 
Informação) Na criptografia assimétrica, cada parte da comunicação 
possui um par de chaves. Uma chave é utilizada para encriptar e a outra 
para decriptar uma mensagem. A chave utilizada para encriptar a 
mensagem é privada e divulgada para o transmissor, enquanto a chave 
usada para decriptar a mensagem é pública. 
Comentários (Profa. Patrícia) 
O erro está na localização das palavras pública e privada. Devem ser trocadas 
de lugar. A chave utilizada para encriptar a mensagem é pública e divulgada 
para o transmissor, enquanto a chave usada para decriptar a mensagem é 
privada. 
Gabarito: item errado. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 36 
22. (FGV/2007/Fiscal de Rendas/ICMS-RJ) As afirmativas a seguir 
apresentam vulnerabilidades relacionadas ao uso de sistemas de 
informação, à exceção de uma. Assinale-a. 
(A) acesso não autorizado a banco de dados 
(B) instalação não autorizada de softwares 
(C) falhas de firewall que protegem as redes 
(D) destruição autorizada de hardware e dados 
(E) ataques vindos do ambiente externo 
Comentários (Profa. Patrícia) 
Uma vulnerabilidade é uma fragilidade (falha) que, ao ser explorada permite 
uma ação indesejada no ambiente computacional, quer seja um sistema 
operacional, um aplicativo ou uma rede de uma empresa. 
Dentre as alternativas da questão, somente a letra D não é considerada uma 
vulnerabilidade, já que a destruição do hardware e dos dados foi autorizada 
pelos gestores responsáveis pelo equipamento. Isso ocorre por exemplo 
quando se permite destruir um equipamento obsoleto. 
O acesso não autorizado a banco de dados consiste numa vulnerabilidade, pois 
abre possibilidade para pessoas não autorizadas danificarem o banco ou 
utilizarem os dados que ali estão para fins indevidos. 
A vulnerabilidade de uma falha no firewall consiste na abertura de 
possibilidade de prejuízos diversos à rede e recursos de informação,como, por 
exemplo, a falta de proteção da rede para entrada de vírus. 
A instalação não autorizada de softwares pode comprometer a configuração de 
sistemas, a execução de outros softwares e pode possibilitar a instalação de 
softwares sem licenças. 
Por fim, ataques vindos do ambiente externo são uma forma de 
vulnerabilidade que qualquer sistema possui, pois qualquer sistema, por mais 
seguro que seja, não é 100% seguro. Ataques maliciosos de pessoas de fora 
podem sempre acontecer e constituem uma vulnerabilidade para os sistemas. 
Gabarito: letra D. 
23. (CESPE/2010/EMBASA/ANALISTA DE SANEAMENTO) Um firewall 
em uma rede é considerado uma defesa de perímetro e consegue coibir 
todo tipo de invasão em redes de computadores. 
Comentários (Profa. Patrícia) 
O firewall, como o nome sugere (traduzindo = parede de fogo) é uma barreira 
tecnológica entre dois pontos de uma rede, em que normalmente é o único 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 37 
ponto de acesso entre a rede interna e a Internet. O firewall deverá permitir 
somente a passagem de tráfego autorizado. Além disso, tem a função de filtrar 
todo o tráfego de rede que passa por ele, dizendo o que é permitido e o que é 
bloqueado ou rejeitado. 
Pode ser comparado com uma sequência de perguntas e respostas. Por 
exemplo, o firewall faz uma pergunta ao pacote de rede, se a resposta for 
correta ele deixa passar o tráfego ou encaminha a requisição a outro 
equipamento, se a resposta for errada ele não permite a passagem ou então 
rejeita o pacote. O firewall não consegue coibir todos os tipos de invasão. 
Um firewall qualquer nunca vai proteger uma rede de seus usuários internos, 
independente da arquitetura, tipo, sistema operacional ou desenvolvedor, pois 
os usuários podem manipular os dados dentro das corporações das formas 
mais variadas possíveis, como exemplo, se utilizando de um pen drive, para 
roubar ou passar alguma informação para um terceiro ou até mesmo para uso 
próprio. 
Um firewall nunca irá proteger contra serviços ou ameaças totalmente novas, 
ou seja, se hoje surgir um novo tipo de ataque spoofing, não necessariamente 
esse firewall vai proteger desse tipo de ataque, pois é uma nova técnica 
existente no mercado e até o final de sua implementação, não se tinha 
conhecimento sobre a mesma, o que acarreta na espera de uma nova versão 
que supra essa necessidade. 
Um firewall também não irá proteger contra vírus, pois os vírus são pacotes de 
dados como outros quaisquer. Para identificar um vírus é necessária uma 
análise mais criteriosa, que é onde o antivírus atua. 
Gabarito: item errado. 
24. (CESPE/2009/TRE/PR/Técnico Judiciário – Especialidade: 
Operação de computadores/Q. 86-Adaptada) Firewalls são 
equipamentos típicos do perímetro de segurança de uma rede, sendo 
responsáveis pela detecção e contenção de ataques e intrusões. 
Comentários (Profa. Patrícia) 
O IPS (Sistema de Prevenção de Intrusão) é que faz a detecção de ataques e 
intrusões, e não o firewall!! Um IPS é um sistema que detecta e obstrui 
automaticamente ataques computacionais a recursos protegidos. Diferente dos 
IDS tradicionais, que localizam e notificam os administradores sobre 
anomalias, um IPS defende o alvo sem uma participação direta humana. 
Basicamente, o firewall é um sistema para controlar o acesso às redes de 
computadores, desenvolvido para evitar acessos não autorizados em uma rede 
local ou rede privada de uma corporação. Pode ser desde um software sendo 
executado no ponto de conexão entre as redes de computadores ou um 
conjunto complexo de equipamentos e softwares. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 38 
A RFC 2828 (Request for Coments nº 2828) define o termo firewall como 
sendo uma ligação entre redes de computadores que restringem o tráfego de 
comunicação de dados entre a parte da rede que está “dentro” ou “antes” do 
firewall, protegendo-a assim das ameaças da rede de computadores que está 
“fora” ou depois do firewall. Esse mecanismo de proteção geralmente é 
utilizado para proteger uma rede menor (como os computadores de uma 
empresa) de uma rede maior (como a Internet). 
Um firewall deve ser instalado no ponto de conexão entre as redes, onde, 
através de regras de segurança, controla o tráfego que flui para dentro e para 
fora da rede protegida. Pode ser desde um único computador, um software 
sendo executado no ponto de conexão entre as redes de computadores ou um 
conjunto complexo de equipamentos e softwares. 
Deve-se observar que isso o torna um potencial gargalo para o tráfego de 
dados e, caso não seja dimensionado corretamente, poderá causar atrasos e 
diminuir a performance da rede. 
Os firewalls são implementados, em regra, em dispositivos que fazem a 
separação da rede interna e externa, chamados de estações guardiãs (bastion 
hosts). 
As principais funcionalidades oferecidas pelos firewalls são: 
• regular o tráfego de dados entre uma rede local e a rede externa não 
confiável, por meio da introdução de filtros para pacotes ou aplicações; 
• impedir a transmissão e/ou recepção de acessos nocivos ou não 
autorizados dentro de uma rede local; 
• mecanismo de defesa que restringe o fluxo de dados entre redes, 
podendo criar um “log” do tráfego de entrada e saída da rede; 
• proteção de sistemas vulneráveis ou críticos, ocultando informações de 
rede como nome de sistemas, topologia da rede, identificações dos 
usuários etc. 
Gabarito: item errado. 
25. (ESAF/2006/CGU-TI) É crescente o número de incidentes de 
segurança causados por vírus de computador e suas variações. Com isso, as 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 39 
organizações estão enfrentando o problema com o rigor e cuidados 
merecidos. Nesse contexto, é correto afirmar que 
A) cavalos de troia são variações de vírus que se propagam e possuem um 
mecanismo de ativação (evento ou data) e uma missão. 
B) vírus polimórficos suprimem as mensagens de erro que normalmente 
aparecem nas tentativas de execução da atividade não-autorizada, 
utilizando, muitas vezes, criptografia para não serem detectados por anti-
vírus. 
C) os vírus de macro utilizam arquivos executáveis como hospedeiros, 
inserindo macros com as mesmas funções de um vírus em tais arquivos. 
D) softwares antivírus controlam a integridade dos sistemas e 
compreendem três etapas: prevenção, detecção e reação, nesta ordem. 
E) vírus geram cópias de si mesmo a fim de sobrecarregarem um sistema, 
podendo consumir toda a capacidade do processador, memória ou espaço 
em disco, eventualmente. 
Comentários (Profa. Patrícia) 
Caso não tenha conseguido resolver esta questão, consulte os detalhes sobre 
malware e seus tipos listados anteriormente. 
Item A. O cavalo de troia é um outro elemento da categoria de malware, que 
distingue-se de um vírus ou worm por não infectar outros arquivos, nem 
propagar cópias de si mesmo automaticamente. Normalmente um cavalo de 
troia consiste em um único arquivo que necessita ser explicitamente 
executado. Item ERRADO. 
Item B. Os vírus polimórficos alteram seu formato a cada nova infecção, 
dificultando sua detecção. Item ERRADO. 
Item C. Os vírus de macro infectamos arquivos dos programas Microsoft Office 
(Word, Excel, PowerPoint e Access). Item ERRADO. 
Item D. Vide a seguir maiores detalhes sobre o antivírus. Item CORRETO. 
Prevenção (Boas Práticas de Segurança)
Algumas práticas são recomendadas na prevenção/detecção de malware, 
como: 
• ter instalado, em seu computador e no da empresa, um programa 
antivírus capaz de detectar a presença de malware (vírus, vermes, cavalos 
de troia,etc.) em e-mails ou arquivos do computador. Esse utilitário conta, 
muitas vezes, com a vacina capaz de “matar” o malware e deixar o arquivo 
infectado sem a ameaça. 
Alguns fornecedores de programas antivírus distribuem atualizações 
regulares do seu produto. Muitos programas antivírus têm um recurso de 
atualização automática. Quando o programa antivírus é atualizado, 
informações sobre novos vírus são adicionadas a uma lista de vírus a serem 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 40 
verificados. Quando não possui a vacina, ele, pelo menos, tem como 
detectar o vírus, informando ao usuário acerca do perigo que está iminente; 
• não executar ou abrir arquivos recebidos por e-mail ou por outras fontes, 
mesmo que venham de pessoas conhecidas (caso seja necessário abrir o 
arquivo, certifique-se de que ele foi verificado pelo programa antivírus); 
• procurar utilizar na elaboração de documentos formatos menos suscetíveis 
à propagação de vírus, tais como .rtf, ou .pdf, dentre outros; 
• não abrir arquivos anexos a e-mails de pessoas que você não conhece; 
idem para os e-mails de pessoas conhecidas também! (Os Worms atuais 
atacam um computador e usam a sua listagem de endereços para mandar 
um e-mail para cada pessoa da lista como se fosse o dono do computador!), 
etc. 
Item E. A resposta correta é worm, e não vírus. O worm (verme) explora 
deficiências de segurança nos equipamentos e propaga-se de forma autônoma 
na Internet. Item ERRADO. 
Gabarito: letra D. 
26. (ESAF/2005/AFRFB) Alguns tipos de malware tentam atingir um 
objeto portador, também conhecido como hospedeiro, para infectá-lo. O 
número e tipo de objetos portadores que são alvos variam com as 
características dos malwares. Entre os portadores-alvo mais comuns, as 
macros 
a) são arquivos que suportam linguagens como Microsoft Visual Basic® 
Script, JavaScript, AppleScript ou PerlScript. As extensões dos arquivos 
desse tipo são: .vbs, .js, .wsh e .prl. 
b) são arquivos que suportam uma linguagem script de macro de um 
aplicativo específico, como um processador de texto, uma planilha 
eletrônica ou um aplicativo de banco de dados. Por exemplo, os vírus 
podem usar as linguagens de macro no Microsoft Word para causar vários 
efeitos, que podem variar de prejudiciais, como trocar palavras ou mudar as 
cores em um documento, a mal-intencionados, como formatar o disco rígido 
do computador. 
c) são o alvo do vírus “clássico” que é replicado 
anexando-se a um programa hospedeiro. Além dos arquivos típicos que 
usam a extensão das macros, arquivos com as seguintes extensões também 
podem ser usados com essa finalidade: .com, .sys, .dll, .ovl,.ocx e .prg. 
d) são arquivos localizados em áreas específicas dos discos do computador 
(discos rígidos e mídias removíveis inicializáveis), como o registro mestre 
de inicialização (MBR). 
e) são arquivos localizados no registro de inicialização do DOS e são 
capazes de executar códigos mal intencionados. Quando o registro de um 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 41 
disco de inicialização é infectado, a replicação será efetivada se ele for 
usado para iniciar os sistemas de outros computadores. 
Comentários (Profa. Patrícia) 
Vide os comentários sobre vírus de macro, na cartilha disponível em 
http://cartilha.cert.br/malware/sec1.html. O texto está replicado a seguir: 
“Uma macro é um conjunto de comandos que são armazenados em alguns 
aplicativos e utilizados para automatizar algumas tarefas repetitivas. Um 
exemplo seria, em um editor de textos, definir uma macro que contenha a 
sequência de passos necessários para imprimir um documento com a 
orientação de retrato e utilizando a escala de cores em tons de cinza. Um vírus 
de macro é escrito de forma a explorar esta facilidade de automatização e é 
parte de um arquivo que normalmente é manipulado por algum aplicativo que 
utiliza macros. Para que o vírus possa ser executado, o arquivo que o contém 
precisa ser aberto e, a partir daí, o vírus pode executar uma série de 
comandos automaticamente e infectar outros arquivos no computador. 
Existem alguns aplicativos que possuem arquivos base (modelos) que são 
abertos sempre que o aplicativo é executado. Caso este arquivo base seja 
infectado pelo vírus de macro, toda vez que o aplicativo for executado, o vírus 
também será. 
Arquivos nos formatos gerados por programas da Microsoft, como o Word, 
Excel, Powerpoint e Access, são os mais suscetíveis a este tipo de vírus. 
Arquivos nos formatos RTF, PDF e PostScript são menos suscetíveis, mas isso 
não significa que não possam conter vírus”. 
Gabarito: letra B. 
27. (CESPE/2008/PRF-POLICIAL RODOVIÁRIO FEDERAL-ADAPTADA) 
Com relação a vírus de computador, phishing, pharming e spam, julgue o 
item seguinte. 
[Phishing e pharming são pragas virtuais variantes dos denominados 
cavalos-de-tróia, se diferenciando destes por precisarem de arquivos 
específicos para se replicar e contaminar um computador e se 
diferenciando, entre eles, pelo fato de que um atua em mensagens de e-
mail trocadas por serviços de webmail e o outro, não.] 
Comentários (Profa. Patrícia) 
O Phishing (ou Phishing scam) e o Pharming (ou DNS Poisoining) não são 
pragas virtuais. Phishing e Pharming são dois tipos de golpes na Internet, e, 
portanto, não são variações de um cavalo de tróia (trojan horse) – que se trata 
de um programa aparentemente inofensivo que entra em seu computador na 
forma de cartão virtual, álbum de fotos, protetor de tela, jogo etc., e que, 
quando executado (com a sua autorização!), parece lhe divertir, mas, por trás 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 42 
abre portas de comunicação do seu computador para que ele possa ser 
invadido. Normalmente consiste em um único arquivo que necessita ser 
explicitamente executado. Para evitar a invasão, fechando as portas que o 
cavalo de troia abre, é necessário ter, em seu sistema, um programa chamado 
firewall. 
Phishing é um tipo de fraude eletrônica projetada para roubar informações 
particulares que sejam valiosas para cometer um roubo ou fraude 
posteriormente. O golpe de phishing é realizado por uma pessoa 
mal-intencionada através da criação de um website falso e/ou do envio de uma 
mensagem eletrônica falsa, geralmente um e-mail ou recado através 
de scrapbooks como no sítio Orkut, entre outros exemplos. 
Utilizando de pretextos falsos, tenta enganar o receptor da mensagem e 
induzi-lo a fornecer informações sensíveis (números de cartões de crédito, 
senhas, dados de contas bancárias, entre outras). 
As duas figuras seguintes apresentam “iscas” (e-mails) utilizadas em golpes de 
phishing, uma envolvendo o Banco de Brasil e a outra o Serasa. 
A palavra phishing (de fishing) vem de uma analogia criadapelos fraudadores, 
em que “iscas” (e-mails) são usadas para “pescar” informações sensíveis 
(senhas e dados financeiros, por exemplo) de usuários da Internet. 
Atualmente, este termo vem sendo utilizado também para se referir aos 
seguintes casos: 
• mensagem que procura induzir o usuário à instalação de códigos 
maliciosos, projetados para furtar dados pessoais e financeiros; 
• mensagem que, no próprio conteúdo, apresenta formulários para o 
preenchimento e envio de dados pessoais e financeiros de 
usuários. 
O Pharming é uma técnica que utiliza o sequestro ou a "contaminação" do 
DNS (Domain Name Server) para levar os usuários a um site falso, alterando o 
DNS do site de destino. O sistema também pode redirecionar os usuários para 
sites autênticos através de proxies controlados pelos phishers, que podem ser 
usados para monitorar e interceptar a digitação. 
Figura. Iscas de Phishing 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 43 
Trojan x Phishing 
Como complemento, gostaria de destacar a diferença entre trojan e phishing, 
já que por diversas vezes os alunos fizeram esse questionamento. 
Então, temos que: 
-Phishing (ou Phishing scam): é o nome do GOLPE em que "iscas" 
(e-mails) são usadas para "pescar" informações sensíveis (senhas e dados 
financeiros, por exemplo) de usuários da Internet. . 
-Trojan (cavalo de troia): é um tipo de MALWARE (código malicioso) que 
pode ser recebido pelo usuário em uma "isca" de phishing scam. 
Gabarito: item errado. 
28. (ESAF/2008/CGU/AFC/Infraestrutura) Assinale a opção que 
constitui um mecanismo de segurança para redes de computadores. 
a) Redes privadas virtuais ou VPN (Virtual Private Networks). 
b) Adwares. 
c) Keyloggers. 
d) Trapdoors. 
e) Inundação (flooding). 
Comentários 
Item a. A VPN (Virtual Private Network) pode ser utilizada em um meio público 
como a Internet para estabelecer uma conexão privada entre dois hosts ou 
duas redes com segurança. Portanto é um mecanismo de segurança utilizado 
em rede de computadores. Item VERDADEIRO. 
Item b. Adwares são programas instalados no computador do usuário 
realizando constantes aberturas de janelas (pop-up) de anúncios de 
propagandas. Item FALSO. 
Item c. Keylogger é um tipo de malware que tem a função de capturar as 
teclas digitadas pelo usuário. O seu objetivo é roubar senhas e informações 
pessoais. Item FALSO. 
Item d. Trapdoors são brechas inseridas propositalmente em sistemas de 
informação por programadores de sistemas. Item FALSO. 
Item e. Flooding é um tipo de técnica utilizada para inundar um serviço com 
requisições que podem ser de vários tipos como utilização de protocolos como 
UDP, ICMP, etc. Item FALSO. 
Gabarito: letra A. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 44 
29. (CESGRANRIO/2010/PETROBRÁS/Analista de Sistemas Júnior – 
Engenharia de Software) Com crescimento do uso de aplicações na 
Internet pelas quais trafegam informações sigilosas, como dados pessoais, 
extratos de movimentação financeira e senhas, surge uma demanda no 
desenvolvimento de técnicas de segurança da informação. Uma dessas 
técnicas é a criptografia assimétrica, também chamada de criptografia de 
chave pública. O remetente codifica a mensagem usando a chave C1 e o 
destinatário decifra a mensagem usando a chave C2. Neste caso, C1 e C2 
são: 
(A) C1: chave pública do destinatário – C2: chave privada do destinatário. 
(B) C1: chave privada do destinatário – C2: chave pública do destinatário. 
(C) C1: chave pública do remetente – C2: chave privada do destinatário. 
(D) C1: chave privada do remetente – C2: chave pública do destinatário. 
(E) C1 e C2: mesma chave. 
Comentários (Profa. Patrícia) 
Nos algoritmos de criptografia assimétrica (criptografia de chave 
pública) são utilizadas DUAS chaves DIFERENTES, uma PÚBLICA (que 
pode ser distribuída) e uma PRIVADA (pessoal e intransferível). De acordo com 
a questão, para manter o segredo das demais pessoas, devemos cifrar a 
mensagem com a chave pública do destinatário (C1) para que somente ele 
possa decifrar a mensagem com sua chave privada/secreta (C2). 
Figura. Ilustração de um processo de criptografia por chave pública 
(Assimétrica) – Fonte: Garfinkel, Simson;Spafford, Gene (1999, p. 208) 
Gabarito: letra A. 
30. (CESGRANRIO/BACEN/Analista Área 1/2010) Suponha que um 
estudante brasileiro tenha descoberto um algoritmo, determinístico e 
extremamente rápido, capaz de fatorar um número inteiro de qualquer 
tamanho. Essa proeza 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 45 
(A) não afetaria a segurança do RSA, que é baseado em curvas elípticas. 
(B) não inviabilizaria o uso do algoritmo assimétrico AES em protocolos de 
rede. 
(C) tornaria inseguros os certificados digitais com chaves geradas pelo RSA. 
(D) tornaria inseguro o FTP (File Transfer Protocol), que utiliza SSL. 
(E) inviabilizaria o uso na prática do algoritmo de hash 3DES de 168 bits. 
Comentários (Profa. Patrícia) 
Item a. Item errado. O RSA é um algoritmo assimétrico, que não se baseia 
em curvas elípticas, e sim em fatoração de números primos grandes. 
A criptografia de curvas elípticas é uma variação da criptografia assimétrica, 
baseada na matemática de curvas elípticas. É um algoritmo mais recente do 
que o RSA, e cabe destacar que criptossistemas baseados em curvas elípticas 
proporcionam segurança equivalente a outros esquemas de criptografia (como 
o RSA), mas tem a vantagem de utilizar chaves menores, o que demanda 
menores requisitos de velocidade do processador, de memória e de largura de 
banda, facilitando a sua implementação tanto do ponto de vista de software 
como de hardware. 
Item b. Item errado. O AES (Advanced Encryption Standard) é um algoritmo 
de cifra em bloco, que transforma uma cadeia de tamanho fixo em um texto 
cifrado de mesmo tamanho através de uma série de operações. Esse algoritmo 
é de chave simétrica, ao contrário do que foi afirmado na questão. 
Item c. Item correto. O RSA é um algoritmo assimétrico e trabalha com 
números primos grandes. A segurança do RSA está baseada na dificuldade de 
fatorar inteiros grandes, mesmo sabendo tratar-se do produto de dois fatores 
primos. 
Item d. Item errado. O FTP (File Transfer Protocol – Protocolo de 
Transferência de Arquivos) não utiliza criptografia. 
Item e. Item errado. O 3DES ou “triplo DES” não é um algoritmo HASH. 
Gabarito: letra C. 
31. (Cesgranrio/BNDES/Analista de Suporte/2008) Um conjunto de 
algoritmos de criptografia simétrica é: 
(a) DSA, MD5, IDEA e SHA-256. 
(b) RSA, SERPENT, DES e RC4. 
(c) RIJNDAEL, IDEA, Blowfish e RC5. 
(d) MD5, DES, RC5 e 3DES. 
(e) Diffie-Hellman, IDEA, Blowfish e RC4. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 46 
Comentários (Profa. Patrícia) 
Item a. Item errado. O IDEA (International Data Encryption Algorithm) é um 
algoritmo de criptografia simétrica, que surgiu como uma alternativa ao DES. 
O IDEA trabalha comblocos de tamanho fixo em 64 bits e usa chaves de 128 
bits. Ele é um sistema patenteado pela empresa MediaCrypt, sendo utilizado 
em softwares como o PGP. 
O DAS (Digital Signature Algorithm) é um algoritmo de chave assimétrica, 
que utiliza chaves de tamanho entre 2048 e 3072 bits. 
Por fim, o MD5 e SHA-256 são algoritmos de hash criptográfico. O MD5 é um 
algoritmo de hash de 128 bits desenvolvido pela RSA Data Security, Inc., e 
muito utilizado por softwares com protocolo ponto-a-ponto (P2P, ou 
Peer-to-Peer, em inglês), verificação de integridade e logins. 
O SHA é na verdade uma família de funções de hash. O mais conhecido é 
SHA-1 (usado numa variedade de aplicações e protocolos de segurança, 
incluindo TLS, SSL, PGP, SSH, S/MIME e IPSec. SHA-1 foi considerado o 
sucessor do MD5, e trabalha com um hash de 160 bits). Versões mais recentes 
do SHA são consideradas como SHA-2, e trabalham com hash entre 256 e 512 
bits. 
Item b. Item errado. O algoritmo RSA é de criptografia assimétrica (ou 
criptografia de chave pública) e tem seu nome decorrente das iniciais dos 
Inventores, que são: Ron Rivest, Adi Shamir e Len Adleman. Considerado um 
dos algoritmos mais seguros, sendo o primeiro a possibilitar a assinatura 
digital. Para a geração de chaves, devem ser utilizados dois números primos 
muito grandes, o que garante a sua segurança. 
SERPENT, DES e RC4 são algoritmos de criptografia simétrica (ou criptografia 
de chave única), e o RSA é de criptografia assimétrica. 
Item c. Item correto. Os algoritmos RIJNDAEL, IDEA, Blowfish e RC5 são 
todos de criptografia simétrica. 
Item d. Item errado. São algoritmos de criptografia simétrica o DES, 3DES 
(Triple DES), o RC5. MD5 é um algoritmo de hash criptográfico. 
Item e. Item errado. Diffie-Hellman é um protocolo criptográfico. IDEA, 
Blowfish e RC4 são algoritmos de criptografia simétrica. 
Gabarito: letra C. 
32. (CESPE/2002/POLÍCIA FEDERAL/PERITO: ÁREA 3 . 
COMPUTAÇÃO) (...)Um tipo de função essencial para uso em ambiente 
criptográfico é a das denominadas funções unidirecionais. Uma função 
unidirecional é uma transformação fixa (sem chaves) para a qual é 
impraticável se determinar a entrada a partir da saída. Uma forma de se 
obter uma boa função unidirecional é tomar um bom algoritmo 
criptográfico, fixar a entrada de dados (mensagem) e utilizar a entrada de 
chave como entrada de dados. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 47 
Comentários (Profa. Patrícia) 
Uma função é dita unidirecional ou de hash quando possui a característica 
de transformar um texto de qualquer tamanho em um texto ininteligível de 
tamanho fixo. Além disso, ela também se caracteriza por ser fácil de calcular e 
difícil de ser invertida. 
Em outras palavras, são também conhecidas como funções de one-way hash, 
ou de resumo, que trabalham com entradas de tamanho arbitrário e retornam 
uma saída de dados de tamanho fixo, de maneira que seja muito fácil calcular 
uma saída a partir da entrada, mas seja dificílimo saber qual foi a entrada de 
dados a partir de uma saída. Cabe destacar que as funções de hash
apresentam uma alta dispersão, ou seja, uma pequena alteração na entrada 
(modificação de um caracter por exemplo) resulta numa saída completamente 
distinta da entrada anterior. 
Figura. Exemplos de Saídas da Função 
Gabarito: item correto. 
33. (CESPE/2010/BANCO DA AMAZÔNIA/TÉCNICO CIENTÍFICO – 
ESPECIALIDADE: TI – SEGURANÇA DA INFORMAÇÃO) Enquanto uma 
cifra de bloco atua em um bit ou byte do fluxo de dados por vez, uma cifra 
de fluxo atua sobre um conjunto de caracteres de texto em claro, que são 
tratados como um todo e usados para produzir um criptograma de igual 
comprimento. 
Comentários (Profa. Patrícia) 
Cabe ressaltar que cifra de bloco e cifra de fluxo estão ligados aos algoritmos 
de chave privada (chave simétrica), vamos à descrição desses elementos: 
• cifra de bloco: é um esquema de criptografia/decriptografia em que um 
bloco de bits de texto claro (normalmente, 64 ou 128) é transformado 
como um todo e usado para produzir um bloco de texto cifrado de 
mesmo tamanho (Stallings, 2008). Em outras palavras, divide a 
informação a ser codificada em blocos fixos e aplica a chave e o 
algoritmo em cada um desses blocos; se a informação for menor, ele 
completa com bits de valor “0”; 
• cifra de fluxo: é um algoritmo de codificação simétrico que não utiliza 
bloco fixo, criptografando a informação no tamanho em que ela for 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 48 
recebida. Segundo Stallings (2008) uma cifra de fluxo é aquela que 
codifica um fluxo de dados digital um bit ou um byte de cada vez! 
Conforme visto, no enunciado da questão a banca inverteu os conceitos, ao 
destacar as características da cifra de bloco como cifra de fluxo e vice-versa !! 
Gabarito: item errado. 
34. (CESPE/2010/CAIXA-NM1/ TÉCNICO BANCÁRIO/CARREIRA 
ADMINISTRATIVA) Assinale a opção correta a respeito de certificação 
digital. 
A Autoridade certificadora é a denominação de usuário que tem poderes de 
acesso às informações contidas em uma mensagem assinada, privada e 
certificada. 
B A autoridade reguladora tem a função de emitir certificados digitais, 
funcionando como um cartório da Internet. 
C O ITI (Instituto Nacional de Tecnologia da Informação) é também 
conhecido como Autoridade Certificadora Raiz Brasileira. 
D PKI ou ICP é o nome dado ao certificado que foi emitido por uma 
autoridade certificadora. 
E Um certificado digital é pessoal, intransferível e não possui data de 
validade. 
Comentários (Profa. Patrícia) 
Item A. Autoridade Certificadora (AC) é o termo utilizado para designar a 
entidade que emite, renova ou revoga certificados digitais de outras ACs ou de 
titulares finais. Além disso, emite e publica a LCR (Lista de Certificados 
Revogados). Item FALSO. 
Item B. A Autoridade Certificadora (AC) é a entidade responsável por emitir 
certificados digitais. Esses certificados podem ser emitidos para diversos tipos 
de entidades, tais como: pessoa, computador, departamento de uma 
instituição, etc. Item falso. 
Item C. A Autoridade Certificadora RAIZ (AC Raiz) é primeira autoridade 
da cadeia de certificação e compete a ela emitir, expedir, distribuir, 
revogar e gerenciar os certificados das AC de nível imediatamente 
subsequente, gerenciar a lista de certificados emitidos, revogados e vencidos, 
e executar atividades de fiscalização e auditoria das AC’s e das AR’s e dos 
prestadores de serviço habilitados na ICP. A função da AC-Raiz foi 
delegada ao Instituto Nacional de Tecnologia da Informação – ITI, 
autarquia federal atualmente ligada à Casa Civil da Presidência da República. 
Logo, o ITI é também conhecido como Autoridade Certificadora Raiz Brasileira. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 49 
A AC-Raiz só pode emitir certificados às AC’s imediatamente subordinadas, 
sendo vedada de emitir certificados a usuários finais. Item correto. 
Item D. PKI (Public Key Infrastrusture) é a infraestrutura de chaves 
públicas (ICP). A ICP-Brasil é um exemplo de PKI. Item falso. 
Componentes de uma ICP 
Uma infraestrutura de chaves públicas envolve um processo colaborativoentre várias entidades: autoridade certificadora (AC), autoridade de registro
(AR), repositório de certificados e o usuário final. 
Autoridade Certificadora (AC) 
Vamos ao exemplo da carteira de motorista. Se pensarmos em um
certificado como uma carteira de motorista, a Autoridade Certificadora
opera como um tipo de órgão de licenciamento. Em uma ICP, a AC emite,
gerencia e revoga os certificados para uma comunidade de usuários
finais. A AC assume a tarefa de autenticação de seus usuários finais e
então assina digitalmente as informações sobre o certificado antes de
disseminá-lo. A AC, no final, é responsável pela autenticidade dos
certificados emitidos por ela. 
Autoridade de Registro (AR) 
Embora a AR possa ser considerada um componente estendido de uma ICP,
os administradores estão descobrindo que isso é uma necessidade. À
medida que aumenta o número de usuários finais dentro de uma ICP,
também aumenta a carga de trabalho de uma AC. A AR serve como uma
entidade intermediária entre a AC e seus usuários finais, ajudando a
AC em suas funções rotineiras para o processamento de
certificados. 
Uma AR é necessariamente uma entidade operacionalmente vinculada a
uma AC, a quem compete: 
• identificar os titulares de certificados: indivíduos, organizações ou
equipamentos; 
• encaminhar solicitações de emissão e revogação de certificados à AC;
• guardar os documentos apresentados para identificação dos titulares.
A AC deve manter uma lista de suas ARs credenciadas e estas ARs são
consideradas confiáveis, pelo ponto de vista dessa AC. 
Lista de Certificados Revogados (LCR) 
A LCR ou CRL (Certificate Revocation List) é uma estrutura de dados que
contém a lista de certificados revogados por uma determinada AC. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 50 
Declaração de Práticas de Certificação (DPC) e Política de 
Certificado (PC) 
As AC atuam como terceiros confiáveis, confirmando o conteúdo dos
certificados que elas emitem. Mas o que exatamente uma AC certifica? O
que faz uma AC ser mais confiável do que outra? 
Dois mecanismos são utilizados pelas ACs para estabelecer a confiança
entre usuários finais e partes verificadoras: a Declaração de Práticas de
Certificação (DPC) e a Política de Certificado (PC). 
A Declaração de Práticas de Certificação é um documento,
periodicamente revisado e republicado, que contém as práticas e
procedimentos implementados por uma Autoridade Certificadora para emitir
certificados. É a declaração da entidade certificadora a respeito dos
detalhes do seu sistema de credenciamento, das práticas e políticas que
fundamentam a emissão de certificados e de outros serviços relacionados. 
Já a Política de Certificado é definida como “um conjunto de regras que
indica a aplicabilidade de um certificado para uma determinada comunidade
e/ou uma classe de aplicativos com requisitos comuns de segurança”. A PC
pode ser usada para ajudar a decidir se um certificado é confiável o
suficiente para uma dada aplicação. Nas PC encontramos informações sobre
os tipos de certificado, definições sobre quem poderá ser titular de um
certificado, os documentos obrigatórios para emissão do certificado e como
identificar os solicitantes. 
Hierarquias de Certificado 
À medida que uma população de uma ICP começa a aumentar, torna-se
difícil para uma AC monitorar de maneira eficaz a identidade de todas as
partes que ela certificou. À medida que o número de certificados cresce,
uma única AC pode estrangular o processo de certificação. Uma solução é
utilizar uma hierarquia de certificados em que uma AC delega sua
autoridade para uma ou mais Autoridades Certificadoras subsequentes ou
intermediárias. Essas AC, por sua vez, designam a emissão de certificados a
outras AC vinculadas e subsequentes. 
Um recurso poderoso das hierarquias de certificado é que uma única
Autoridade Certificadora estabelece a confiança das demais AC
subsequentes é a Autoridade Certificadora superior (cujo certificado é auto-
assinado) e que por esta posição recebe o nome de Autoridade Certificadora
Raiz. 
A AC Raiz é a autoridade máxima na cadeia de certificação de uma
ICP. É a única entidade na cadeia que é auto-confiável, ou seja, a
única AC que confia em si mesma e que assina a si mesma. Todos os
certificados emitidos na cadeia de certificação abaixo dela recebem
a sua assinatura. A AC Raiz não emite certificados para usuários
finais, apenas para outras autoridades certificadoras. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 51 
Processo de verificação da cadeia de confiança 
Para verificar a cadeia de confiança de um certificado e decidir se o mesmo
é confiável, a parte confiante (verificadora) deve analisar três itens
relacionados a cada certificado que faz parte da hierarquia de certificados,
até chegar ao certificado da AC Raiz. 
Primeiro a parte confiante deve verificar se cada certificado da cadeia está
assinado pelo certificado anterior a ele na hierarquia. Segundo, deve
assegurar que nenhum dos certificados da cadeia esteja expirado e terceiro,
deve verificar se existe algum certificado da cadeia que está revogado. 
Se a parte confiante confiar no certificado da AC Raiz da hierarquia,
automaticamente toda a cadeia será considerada confiável, inclusive o
certificado do usuário final. 
Modelo de Hierarquia de uma ICP 
Item E. Um certificado digital é um documento eletrônico que identifica 
pessoas, físicas ou jurídicas, URLs, contas de usuário, servidores 
(computadores) dentre outras entidades. Este “documento” na verdade é 
uma estrutura de dados que contém a chave pública do seu titular e outras 
informações de interesse. Contêm informações relevantes para a identificação 
“real” da entidade a que visam certificar (CPF, CNPJ, endereço, nome, etc) e 
informações relevantes para a aplicação a que se destinam. O certificado 
digital precisa ser emitido por uma autoridade reconhecida pelas partes 
interessadas na transação. Chamamos essa autoridade de Autoridade 
Certificadora, ou AC. 
O certificado fica armazenado em dispositivos de segurança, como por ex.: 
Token ou Smart Card, ilustrados na figura a seguir. 
 Token 
 Smart Card 
Figura. Ilustração de dispositivos de segurança 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 52 
Quanto aos objetivos do certificado digital podemos destacar: 
• Transferir a credibilidade que hoje é baseada em papel e conhecimento para 
o ambiente eletrônico. 
• Vincular uma chave pública a um titular (eis o objetivo principal). O 
certificado digital precisa ser emitido por uma autoridade reconhecida pelas 
partes interessadas na transação, conforme visto na próxima figura. 
Chamamos essa autoridade de Autoridade Certificadora, ou AC. 
Figura. Vínculo da Chave Pública ao Titular 
Dentre as informações que compõem um certificado temos: 
• Versão: indica qual formato de certificado está sendo seguido 
• Número de série: identifica unicamente um certificado dentro do 
escopo do seu emissor. 
• Algoritmo: identificador dos algoritmos de hash+assinatura utilizados 
pelo emissor para assinar o certificado. 
• Emissor: entidade que emitiu o certificado. 
• Validade: data de emissão e expiração. 
• Titular: nomeda pessoa, URL ou demais informações que estão sendo 
certificadas. 
• Chave pública: informações da chave pública do titular. 
• Extensões: campo opcional para estender o certificado. 
• Assinatura: valor da assinatura digital feita pelo emissor. 
Um exemplo destacando informações do certificado pode ser visto na figura 
seguinte: 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 53 
Item FALSO. 
Gabarito: letra C. 
35. (CESGRANRIO/BNDES/Analista de Suporte/2008) NÃO é uma boa 
prática de uma política de segurança: 
(a) difundir o cuidado com a segurança. 
(b) definir responsabilidades claras de usuários e administradores. 
(c) ser de fácil leitura e compreensão. 
(d) incluir os detalhes técnicos de implementação dos mecanismos de 
segurança. 
(e) explicitar consequências das violações da própria política. 
Comentários (Profa. Patrícia) 
Inicialmente, vamos listar algumas considerações sobre Política de Segurança 
da Informação, conforme norma NBR/ISO 27002, Moreira (2001) e TCU 
(2007). 
Î Política de segurança 
Esta seção da norma possui 1 categoria: 
- Política de segurança da informação. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 54 
Conforme Moreira (2001) a Política de Segurança é um conjunto de normas 
e diretrizes destinadas à proteção dos ativos da organização, sendo 
caracterizada pela tentativa de manter a confidencialidade, a integridade e a 
disponibilidade da mesma, independentemente de onde ela esteja. A Política 
de Segurança passa a ter uma importante função, visando à proteção dos 
ativos para que os negócios não parem e o ambiente fique seguro. 
TCU (2007) destaca que a Política de Segurança de Informações é um 
conjunto de princípios que norteiam a gestão de segurança de 
informações e que deve ser observado pelo corpo técnico e gerencial e 
pelos usuários internos e externos. As diretrizes estabelecidas nesta 
política determinam as linhas mestras que devem ser seguidas pela 
organização para que sejam assegurados seus recursos computacionais e suas 
informações. 
A política de segurança da informação tem como objetivo prover uma 
orientação e apoio da direção para a segurança da informação de acordo com 
os requisitos do negócio e com as leis e regulamentações relevantes” (ABNT 
NBR ISO/IEC 27002:2005). 
Algumas observações: 
• deve prever o que pode ou não ser feito na instituição e o que será 
considerado inaceitável; 
• atribui direitos e responsabilidades às pessoas que lidam com os 
recursos computacionais de uma instituição e com as informações neles 
armazenados.; 
• tudo que descumprir a política de segurança é considerado um 
incidente de segurança; 
• na política estão definidas as penalidades às quais estão sujeitos aqueles 
que não cumprirem a política. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 55 
Caiu na prova 
A política de segurança cumpre três principais funções: define o que e 
mostra por que se deve proteger; atribui responsabilidades pela 
proteção; e serve de base para interpretar situações e resolver 
conflitos que venham a surgir no futuro. 
Quanto aos comentários da questão:
Item a. Uma vez estabelecida a política, ela deve ser claramente comunicada a 
todos os funcionários da organização, terceiros e prestadores de serviços, que 
assinarão o termo declarando que leram, entenderam e concordam com a 
Política de Segurança em uso na organização. Item errado. 
Item b. A adequada utilização dos recursos da informação está diretamente 
relacionada com a atribuição de regras e responsabilidades para todas as 
áreas, a saber: usuários das informações, comitê de segurança da informação, 
proprietário das informações, área de segurança da informação, e da 
administração. Item errado. 
Item c. Uma política de segurança deve ser escrita em linguagem simples e 
direta, evitando-se termos técnicos de difícil entendimento para evitar 
ambiguidades ou equívocos na sua interpretação. Item errado. 
Item d. O documento da política de segurança não aborda os aspectos técnicos 
de implementação dos mecanismos de segurança, que têm grande variação ao 
longo do tempo. Item correto. 
Item e. O principal objetivo de se explicitar conseqüências das violações da 
própria política é incentivar os usuários a aderirem a ela e também dar 
respaldo jurídico à organização. Item errado. 
Gabarito: letra D. 
36. (FUNDAÇÃO UNIVERSA/CEB/Analista de Sistemas/Segurança da 
Informação/ 2010) A segurança em redes de computadores está dividida 
entre aspectos físicos, como a integridade do hardware dos equipamentos, 
e lógicos, pelas diversas formas de ataques cibernéticos. Quando se pensa 
em segurança de rede não se pode tratar um dos dois isoladamente. Dessa 
forma, uma boa política de segurança deve abranger tanto as questões 
físicas quanto as lógicas para que sejam alcançados resultados eficientes. 
Assinale a alternativa que contém afirmação verdadeira a respeito de 
segurança física e segurança lógica em redes de computadores. 
a) As normas NBR ISO-13599 e NBR ISO-2005 definem melhores práticas 
que orientam os analistas no que diz respeito à elaboração da política de 
segurança. 
b) Procedimentos de backup, sistemas de monitoramento por câmeras, 
controle de entrada de pessoas, lista de controle de acesso em roteadores 
são aspectos relacionados com segurança física. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 56 
c) No Brasil, o órgão responsável por definir normas de segurança em 
redes, no que diz respeito a questões internacionais, é o Ministério das 
Relações Exteriores (MRE). 
d) Crimes como atentados, terrorismo e sequestro são do âmbito criminal e 
não se inserem como incidentes de segurança física ou lógica em um 
ambiente computacional. 
e) O uso de sistemas de segurança não é aconselhável em situações em 
que os gastos com tais sistemas possam ser muito maiores que os prejuízos 
resultantes de possíveis incidentes. 
Comentários (Profa. Patrícia) 
A única assertiva correta é a letra E. Quando o gasto com os sistemas de 
segurança para resguardar um ativo for maior do que o prejuízo resultante de 
possíveis incidentes com esse ativo, o risco pode ser aceitável. 
No ponto de vista da gestão do risco, a aceitação do risco é justificável 
somente quando o custo para a implementação de controles supera o 
valor do impacto causado pela ocorrência do evento. 
Fonte: Microsoft (2011) 
Gabarito: letra E. 
37. (CESGRANRIO - 2010 - Petrobrás - Analista de Sistemas Júnior - 
Processos de Negócios) De acordo com a NBR/ISO 27002, Segurança da 
Informação é a proteção da informação de vários tipos de ameaças para 
a) garantir a continuidade do negócio, minimizar o risco ao negócio, 
maximizar o retorno sobre os investimentos e as oportunidades de negócio. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa.Patrícia Lima Quintão www.pontodosconcursos.com.br 57 
b) garantir a continuidade do negócio, minimizar as vulnerabilidades dos 
ativos de segurança, maximizar o retorno sobre os investimentos e as 
oportunidades de negócio. 
c) garantir a continuidade do negócio, facilitar o controle de acesso, 
maximizar o retorno sobre os investimentos e maximizar a disponibilidade 
dos sistemas de segurança. 
d) facilitar o controle de acesso, minimizar o risco ao negócio, maximizar a 
disponibilidade dos sistemas de segurança e as oportunidades de negócio. 
e) minimizar as vulnerabilidades dos ativos de segurança, minimizar o risco 
ao negócio, maximizar o retorno sobre os investimentos e a disponibilidade 
dos sistemas de segurança. 
Comentários (Profa. Patrícia) 
Segurança da informação é o processo de proteger a informação de diversos 
tipos de ameaças externas e internas para garantir a continuidade dos 
negócios, minimizar os danos aos negócios e maximizar o retorno dos 
investimentos e as oportunidades de negócio. 
A segurança da informação não deve ser tratada como um fator isolado e 
tecnológico apenas, mas sim como a gestão inteligente da informação em 
todos os ambientes, desde o ambiente tecnológico passando pelas 
aplicações, infraestrutura e as pessoas. Soluções pontuais isoladas não 
resolvem toda a problemática associada à segurança da informação. 
Segurança se faz em pedaços, porém todos eles integrados, como se fossem 
uma corrente. 
Segurança se faz protegendo todos os elos da corrente, ou seja, todos 
os ativos (físicos, tecnológicos e humanos) que compõem seu negócio. 
Afinal, o poder de proteção da corrente está diretamente associado ao 
elo mais fraco! 
Gabarito: letra A. 
38. (CESGRANRIO/BNDES/Analista de Sistemas-Suporte/2010) Um 
conjunto de computadores está sendo utilizado para tirar de operação um 
serviço de determinado órgão público. Essa situação configura o ataque do 
tipo 
a) Replay 
b) SQL Injection 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 58 
c) XSS. 
d) Buffer Overflow 
e) DDoS 
Comentários (Profa. Patrícia) 
Trata-se do ataque Distributed Denial of Service (DDoS) – ataque de 
negação de serviço distribuído -> São os ataques coordenados! 
No DDoS, um conjunto de computadores é utilizado para tirar de 
operação um ou mais serviços ou computadores conectados à 
Internet. 
Em dispositivos com grande capacidade de processamento, normalmente, é 
necessária uma enorme quantidade de requisições para que o ataque seja 
eficaz. Para isso, o atacante faz o uso de uma botnet (rede de computadores 
zumbis sob comando do atacante) para bombardear o servidor com 
requisições, fazendo com que o ataque seja feito de forma distribuída 
(Distributed Denial of Service – DDoS). Alvos típicos são servidores web, e o 
ataque tenta tornar as páginas hospedadas indisponíveis na WWW. Não se 
trata de uma invasão do sistema, mas sim da sua invalidação por sobrecarga. 
Gabarito: letra E. 
39. (CESGRANRIO - Petrobrás - Técnico em Informática / Segurança 
da Informação/2010) A VPN (Virtual Private Network) é uma rede de 
comunicação privada que utiliza meios públicos. Com relação à segurança 
dos dados que trafegam por meio da VPN, afirma-se que 
a) muitos dados se perdem pela baixa qualidade dos meios públicos de 
comunicação, não sendo uma rede adequada para tráfego de aplicações 
críticas. 
b) os dados podem ser acessados por pessoas não autorizadas no caso de 
serem encapsulados sem criptografia. 
c) é uma rede segura de transmissão de dados onde, mesmo utilizando 
canais públicos de comunicação, usa-se o protocolo padrão da Internet. 
d) a segurança padrão oferecida pelos gestores da Internet torna viável o 
tráfego de dados críticos a baixos custos. 
e) a utilização de soluções de VPN comerciais garante a confidencialidade 
dos dados e a estabilidade das redes privadas. 
Comentários (Profa. Patrícia) 
Uma VPN (Virtual Private Network – Rede Privada Virtual) é uma rede 
privada (não é de acesso público!) que usa a estrutura de uma rede pública 
(como por exemplo, a Internet) para transferir seus dados (os dados devem 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 59 
estar criptografados para passarem despercebidos e inacessíveis pela 
Internet). As VPNs são muito utilizadas para interligar filiais de uma mesma 
empresa, ou fornecedores com seus clientes (em negócios eletrônicos) através 
da estrutura física de uma rede pública. 
O tráfego de dados é levado pela rede pública utilizando protocolos não 
necessariamente seguros, e, caso os dados sejam encapsulados em 
criptografia, podem vir a ser acessados por pessoas não autorizadas. 
VPNs seguras usam protocolos de criptografia por tunelamento que 
fornecem a confidencialidade (sigilo), autenticação e integridade necessárias 
para garantir a privacidade das comunicações requeridas. Quando 
adequadamente implementados, estes protocolos podem assegurar 
comunicações seguras através de redes inseguras. 
Gabarito: letra B. 
Virtual Private Network (VPN) 
Uma Virtual Private Network (VPN) ou Rede Virtual Privada é uma rede 
privada (rede com acesso restrito) construída sobre a estrutura de uma rede 
pública (recurso público, sem controle sobre o acesso aos dados), 
normalmente a Internet. Ou seja, ao invés de se utilizar links dedicados ou 
redes de pacotes para conectar redes remotas, utiliza-se a infraestrutura da 
Internet, uma vez que para os usuários a forma como as redes estão 
conectadas é transparente. 
Normalmente as VPNs são utilizadas para interligar empresas onde os custos 
de linhas de comunicação direta de dados são elevados. Elas criam “túneis” 
virtuais de transmissão de dados utilizando criptografia para garantir a 
privacidade e integridade dos dados, e a autenticação para garantir que os 
dados estão sendo transmitidos por entidades ou dispositivos autorizados e 
não por outros quaisquer. Uma VPN pode ser criada tanto por dispositivos 
específicos, softwares ou até pelo próprio sistema operacional. 
Princípios básicos (Caiu em prova!) 
Uma VPN deve prover um conjunto de funções que garantam alguns princípios 
básicos para o tráfego das informações: 
1. Confidencialidade – tendo-se em vista que estarão sendo usados meios 
públicos de comunicação, é imprescindível que a privacidade da informação 
seja garantida, de forma que, mesmo que os dados sejam capturados, não 
possam ser entendidos. 
2. Integridade – na eventualidade da informação ser capturada, é necessário 
garantir que não seja alterada e reencaminhada, permitindo que somente 
informações válidas sejam recebidas. 
3. Autenticidade – somente os participantes devidamente autorizados podem 
trocar informações entre si, ou seja, um elemento da VPN somente 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 60 
reconhecerá informações originadas por um segundo elemento que tenha 
autorização para fazer parte dela. 
Elementos da VPN 
Para implementar uma VPN é necessário conhecer os seus elementos básicos 
constituintes: 
• Servidor VPN – responsável por aceitar as conexões dos clientes VPN. Esse 
servidor é o responsável por autenticar e proveras conexões da rede virtual 
aos clientes; 
• Cliente VPN – é aquele que solicita ao servidor VPN uma conexão. Esse 
cliente pode ser um computador ou mesmo um roteador; 
• Túnel – é o caminho por onde os dados passam pela rede pública. 
Comparando com as tecnologias orientadas à camada 2 (Enlace) do modelo 
OSI, um túnel é similar a uma sessão, onde as duas extremidades negociam a 
configuração dos parâmetros para o estabelecimento do túnel, como 
endereçamento, criptografia e parâmetros de compressão. Na maioria das 
vezes, são utilizados protocolos que implementam o serviço de datagrama. 
• Protocolos de tunelamento – São os responsáveis pelo gerenciamento e 
encapsulamento dos túneis criados na rede pública; 
• Rede Pública – Efetua as conexões da VPN. Normalmente trata-se da rede 
de uma prestadora de serviços de telecomunicações. 
Figura Elementos da VPN 
Transporte da informação 
Alguns aspectos negativos também devem ser considerados sobre a utilização 
de VPNs: 
• Perda de velocidade de transmissão: as informações criptografadas têm 
seu tamanho aumentado, causando uma carga adicional na rede. 
• Maiores exigências de processamento: o processo de criptografar e 
decriptar as informações transmitidas gera um maior consumo de 
processamento entre os dispositivos envolvidos. 
Protocolos de VPN 
O protocolo da VPN estabelecerá a conexão e a criptografia entre os hosts da 
rede privada. Os protocolos normalmente utilizados em uma VPN são: 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 61 
• PPP – Point to Point Protocol – responsável por verificar as condições 
da linha telefônica (no caso das conexões dial up), pela validação dos 
usuários na rede, além de estabelecer as configurações dos pacotes 
(tamanho, compressão utilizada etc.); 
• PPTP – Point to Point Tunneling Protocol – uma variação do 
protocolo PPP, que encapsula os pacotes em um túnel fim-a-fim, porém 
não oferece os serviços de criptografia; 
• IPSec – Internet Protocol Security – conjunto de padrões e 
protocolos para segurança relacionada com VPN IP. Trata-se de um 
protocolo padrão da camada 3 do modelo OSI, que oferece transparência 
segura de informações fim-a-fim através de rede IP pública ou privada. 
O IPSec especifica os cabeçalhos AH e ESP, que podem ser usados 
independentemente ou em conjunto; 
• AH – Authentication Header – utilizado para prover integridade e 
autenticidade dos dados presentes no pacote, incluindo a parte invariável 
do cabeçalho. Não provê confidencialidade; 
• ESP – Encapsuled Security Payload – provê integridade, 
autenticidade e criptografia aos dados do pacote; 
• L2TP – Level 2 Tunneling Protocol – faz o tunelamento de PPP 
utilizando vários protocolos de rede como IP, ATM etc., sendo utilizado 
para prover acesso discado a múltiplos protocolos; 
• Socks v5 – protocolo especificado pelo IETF que define como uma 
aplicação cliente-servidor, utilizando IP e UDP, irá estabelecer a 
comunicação através de um servidor proxy. 
Figura Tunelamento 
40. (CESGRANRIO/Caixa/Escriturário/2008) Quais princípios da 
segurança da informação são obtidos com o uso da assinatura digital? 
a) Autenticidade, confidencialidade e disponibilidade. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 62 
b) Autenticidade, confidencialidade e integridade. 
c) Autenticidade, integridade e não-repúdio. 
d) Autenticidade, confidencialidade, disponibilidade, integridade e não-
repúdio. 
e) Confidencialidade, disponibilidade, integridade e nãorepúdio. 
Comentários (Profa. Patrícia) 
Os princípios da segurança da informação obtidos com o uso da assinatura 
digital são: 
• Autenticidade: o receptor pode confirmar que a assinatura foi feita pelo 
emissor; 
• integridade: qualquer alteração da mensagem faz com que a assinatura 
se torne inválida; 
• não repúdio ou irretratabilidade: o emissor não pode negar que foi o 
autor da mensagem. 
Importante!! A assinatura digital, por si só, não garante a 
confidencialidade dos dados. Essa confidencialidade é obtida por meio das 
técnicas de criptografia, que são usadas em conjunto com as assinaturas 
digitais. 
Gabarito: letra C. 
41. (CESGRANRIO/BNDES/2008/Analista de Sistemas – Suporte)
Qual opção apresenta um conjunto de métodos que caracteriza uma 
autenticação forte? 
(a) Utilização de senha, dados pessoais aleatórios e PIN. 
(b) Reconhecimento de retina e impressão digital. 
(c) Uso de crachá magnético, chave física e crachá com código de barras. 
(d) Reconhecimento facial e de íris. 
(e) Reconhecimento de padrão de voz e utilização de senha. 
Comentários (Profa. Patrícia) 
A autenticação forte está relacionada à autenticação de múltiplos fatores 
(Multiple Factor Authentication) que exige o uso de, ao menos, dois fatores de 
autenticação de categorias diferentes para a verificação da identidade do 
usuário. As três categorias de autenticação são: 
I. com base no que o usuário sabe: nesta categoria estão incluídas todas 
as formas de autenticação aonde sejam solicitadas informações que o 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 63 
usuário deve memorizar (Ex.: senhas, números PIN (Personal 
Identification Number), dados pessoais, etc.); 
II. com base no que o usuário possui: o usuário será solicitado a dar 
provas da posse de algum objeto, como: um cartão ou smart card, 
informar dados gerados por um token, etc.; 
III. com base nas características do usuário: nesta categoria estão 
incluídas todas as formas de autenticação em que o usuário seja 
solicitado a apresentar características físicas que o distingue dos demais, 
tais como leitura de digitais, leitura de íris, reconhecimento de retina, 
reconhecimento da voz, geometria das mãos, etc. 
Portanto, dentre as alternativas da questão, a letra E é a única assertiva que 
solicita informações de DUAS categorias diferentes, a saber: o reconhecimento 
do padrão de voz, que pertence à categoria III, e a senha, que pertence à 
categoria I, cumprindo os requisitos para ser caracterizada como uma forma 
de autenticação forte. 
Gabarito: letra E. 
42. (CESGRANRIO/BNDES/Analista de Suporte/2008) Um determinado 
servidor de arquivos S realiza backup: 
-completo (full) no 1o dia de cada mês; 
-diferencial nos dias 8, 15 e 22 de cada mês; 
-incremental no restante dos dias. 
Existe uma mídia para cada backup, que ocorre diariamente às 19h e dura, 
no máximo, 4 horas. Em determinado mês, no dia 19, às 15h, houve uma 
pane em S, ocasionando a perda total de seus arquivos. Para restaurar a 
posição mais recente dos arquivos de S, o conjunto necessário e suficiente é 
formado pelas mídias dos dias 
a) 1 a 18 
b) 15 e 18 
c) 1, 8, 15 e 18 
d) 1, 15, 16, 17 e 18 
e) 8, 15, 16, 17 e 18 
Comentários (Profa. Patrícia) 
O procedimento de backup (cópia de segurança) pode ser descrito de forma 
simplificada como copiar dados de um dispositivo para o outro com o 
objetivo de posteriormente recuperar as informações, caso haja algum 
problema. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMAQUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 64 
Ou seja, copiar nossas fotos digitais, armazenadas no HD (disco rígido), para 
um DVD é fazer backup. Se houver algum problema com o HD ou se 
acidentalmente apagarmos as fotos, podemos então restaurar os arquivos a 
partir do DVD. Nesse exemplo, chamamos as cópias das fotos no DVD de 
cópias de segurança ou backup. Chamamos de restauração o processo de 
copiar de volta ao local original as cópias de segurança. 
No Windows XP, por exemplo, tem-se o software Microsoft Backup, que irá 
ajuda-lo nesta tarefa. Ao clicar com o botão direito do mouse no ícone de um 
arquivo do Windows XP, e selecionar a opção Propriedades; em seguida, guia 
geral ->Avançado, será exibida uma caixa “o arquivo está pronto para ser 
arquivado”, marcada como padrão (No Windows XP, leia-se arquivo morto). 
A tela seguinte desta a opção de “arquivo morto” obtida ao clicar com o botão 
direito do mouse no arquivo intitulado lattes.pdf, do meu computador que 
possui o sistema operacional Windows Vista. 
p Quando um arquivo está com esse atributo marcado, significa que ele 
deverá ser copiado no próximo backup. 
p Se estiver desmarcado, significa que, provavelmente, já foi feito um backup 
deste arquivo. 
Principais TIPOS de Backup: 
NORMAL (TOTAL ou GLOBAL) 
• COPIA TODOS os arquivos e pastas selecionados. 
• DESMARCA o atributo de arquivo morto (arquivamento): limpa os 
marcadores!! 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 65 
• Caso necessite restaurar o backup normal, você só precisa da cópia mais 
recente. 
• Normalmente, este backup é executado quando você cria um conjunto de 
backup pela 1ª vez. 
• Agiliza o processo de restauração, pois somente um backup será 
restaurado. 
INCREMENTAL 
• Copia somente os arquivos CRIADOS ou ALTERADOS desde o último 
backup normal ou incremental. 
• O atributo de arquivamento (arquivo morto) É DESMARCADO: limpa os 
marcadores!! 
DIFERENCIAL 
• Copia somente os arquivos CRIADOS ou ALTERADOS desde o último 
backup normal ou incremental. 
• O atributo de arquivamento (arquivo morto) NÃO É ALTERADO: não limpa 
os marcadores!! 
CÓPIA (AUXILIAR ou SECUNDÁRIA) 
• Faz o backup de arquivos e pastas selecionados. 
• O atributo de arquivamento (arquivo morto) NÃO É ALTERADO: não limpa 
os marcadores! 
DIÁRIO 
• Copia todos os arquivos e pastas selecionados que foram ALTERADOS 
DURANTE O DIA da execução do backup. 
• O atributo de arquivamento (arquivo morto) NÃO É ALTERADO: não limpa 
os marcadores! 
Quanto à RECUPERAÇÃO do backup: 
p Para recuperar um disco a partir de um conjunto de backups (normal + 
incremental) será necessário o primeiro (normal) e todos os incrementais. 
p Para recuperar um disco a partir de um conjunto de backups (normal + 
diferencial) basta o primeiro (normal) e o último diferencial, já que este 
contém tudo que é diferente do primeiro. 
Conforme visto, um backup diferencial é um tipo de backup parcial que captura 
dados que foram modificados desde o último backup completo (nesse todos os 
dados são copiados, independente de sua data de criação e ou modificação). O 
backup incremental guarda somente os dados modificados desde o último 
backup normal ou incremental. 
Então, iremos utilizar uma combinação de backups para fazer a restauração 
dos dados, especificada a seguir: 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 66 
1º) restaurar os dados do último backup completo, que seria do dia 1o dia. 
Dessa forma, teremos os dados até o dia 1o, às 19horas; 
2o) restaurar os dados do backup diferencial mais recente, que é o do dia 15. 
Dessa forma teremos os dados até o dia 15, às 19horas; 
3º) em seguida, precisamos recuperar as mídias dos backups incrementais dos 
dias 16, 17 e 18. Aqui teremos restaurados os dados até o dia 18 às 19 horas. 
As modificações que porventura foram realizadas a partir do dia 18 não podem 
ser recuperadas, já que o último backup que temos é do dia 18, e ainda não 
havia sido feito o backup do dia 19, quando ocorreu a pane. 
Gabarito: letra D. 
43. (CESGRANRIO/2010/ Petrobrás - Técnico de Contabilidade - 
Distribuidora) Os mecanismos implementados por software, usados para 
restringir o acesso e o uso do sistema operacional, de redes, de programas 
utilitários e aplicativos, constituem um processo de segurança 
a) digital. 
b) física. 
c) lógica. 
d) restrita. 
e) simples. 
Comentários (Profa. Patrícia) 
A segurança lógica inclui, basicamente: controles de acesso, segurança de 
software e segurança em rede. Tudo deve ser proibido a menos que 
expressamente permitido. São os mecanismos implementados por software, 
usados para restringir o acesso e o uso do Sistema Operacional, redes, 
programas utilitários e aplicativos. 
Como complemento podemos destacar que os controles de acesso lógico visam 
assegurar: apenas usuários autorizados tenham acesso aos recursos; os 
usuários tenham acesso aos recursos realmente necessários para a execução 
de suas atividades; os usuários sejam impedidos de executar transações 
incompatíveis com sua função. 
Elementos básicos do controle de acesso lógico: 
• Processo de logon; 
• Identificação do usuário; 
• Autenticação do usuário; 
• proteção aos recursos; 
• Direitos e permissões de acesso; 
• Monitoramento de sistemas; 
• Bloqueio de estações de trabalho. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 67 
A segurança de software inclui, principalmente, segurança contra vírus, worm, 
cavalo de troia e controle de softwares instalados, de forma a impedir que 
softwares não autorizados pelo administrador sejam instalados nas máquinas 
de trabalho ou que seja instalado um software pirata. 
A segurança em redes inclui segurança lógica das redes, etc. 
Gabarito: letra C. 
Considerações Finais 
Bem, estamos chegando ao final da aula, espero que estejam conseguindo 
assimilar os inúmeros conceitos já apresentados que serão de grande valia no 
dia da prova. 
Caso tenham dúvidas, não deixem de nos enviar pelo fórum do curso. O 
retorno de vocês é de grande importância para que nossos objetivos estejam 
alinhados! Fiquem com Deus, bons estudos e até a nossa próxima aula! 
 
Um abraço. 
Profa Patrícia Quintão 
Bibliografia 
QUINTÃO, Patrícia Lima. Notas de aula, 2011. 
ABNT NBR ISO/IEC 27001:2006 – Tecnologia da Informação – Técnicas de 
Segurança –Sistema de Gestão de Segurança da Informação – Requisitos. 
ABNT NBR ISO/IEC 27002:2005 – Tecnologia da Informação – Técnicas de 
Segurança –Código de Prática para a Gestão de Segurança da Informação 
(antiga 17799:2005). 
CHESWICK, W. R., BELLOVIN, S. M. e RUBIN, A. D. Firewalls e Segurança na 
Internet: repelindo o hacker ardiloso. Ed. Bookman, 2ª Ed., 2005. 
GARFINKEL, S.;SPAFFORD, G. Comércio e Segurança na Web. São Paulo: 
Market Press,1999. 
GUIMARÃES, A. G., LINS, R. D. e OLIVEIRA, R. Segurança com Redes Privadas 
Virtuais (VPNs). Ed. Brasport, Rio de Janeiro, 2006. 
NAKAMURA, E. T., GEUS, P.L. Segurança de Redes em Ambientes 
Cooperativos. Ed. Novatec, 2007. 
STALLINGS, W. Criptografia e Segurança de Redes: Princípiose Práticas. Ed. 
Prentice-Hall, 4ª Edição, 2008. 
MENEZES, ALFRED J.; Oorschot, Paul C. van; Vanstone, Scott A. Handbook of 
Applied Criptography. 
http://www.mapasequestoes.com.br. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 68 
Universidade Hacker, de Henrique Cesar Ulbrich e James Della Valle. 
TECHNET. Academia Latino-Americana da Segurança da Informação. 2006. 
Disponível em: <http://www.technetbrasil.com.br/academia/>. 
GTA. http://www.gta.ufrj.br/grad/08_1/radius/Challenge-
HandshakeAuthenticationProtocol(CHAP).html 
http://technet.microsoft.com/pt-br/library/cc775567(WS.10).aspx 
Luppi, Éric. Descrição de riscos na segurança da informação causados por 
códigos maliciosos. Uniminas, 2006. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 69 
Questões Apresentadas Nesta Aula 
1. (FGV/2009/ICMS-RJ/Fiscal de Rendas) No Brasil, a NBR ISO17799 
constitui um padrão de recomendações para práticas na gestão de 
Segurança da Informação. De acordo com o estabelecido nesse padrão, três 
termos assumem papel de importância capital: confidencialidade, 
integridade e disponibilidade. 
Nesse contexto, a confidencialidade tem por objetivo: 
(A) salvaguardar a exatidão e a inteireza das informações e métodos de 
processamento. 
(B) salvaguardar os dados gravados no backup por meio de software que 
utilize assinatura 
digital. 
(C) permitir que os usuários tenham acesso aos arquivos de backup e aos 
métodos de criptografia empregados. 
(D) permitir que os usuários autorizados tenham acesso às informações e 
aos ativos associados, quando necessário. 
(E) garantir que as informações sejam acessíveis apenas para aqueles que 
estejam autorizados a acessá-las. 
2. (FGV/2009/PSS/Gerente de Segurança) Para acessar a Internet, cada 
computador da rede deve ter o protocolo TCP/IP corretamente instalado e 
configurado, necessitando de um endereço IP válido na Internet. Na 
realidade, não há endereços IP v4 suficientes. Para solucionar o problema, 
foi criada uma alternativa até que o IP v6 esteja em uso na maioria dos 
sistemas da Internet. Nessa alternativa, os computadores da rede interna 
utilizam os chamados endereços privados, que na prática não são válidos na 
Internet, ou seja, os pacotes que tenham, como origem ou como destino, 
um endereço na faixa dos endereços privados serão descartados pelos 
roteadores. 
As faixas de endereços privados são definidas na RFC 1597 e para as 
classes A, B e C são respectivamente, de 10.0.0.0 a 10.255.255.255, de 
172.16.0.0 a 172.31.255.255 e de 192.168.0.0 a 192.168.255.255. 
Esse mecanismo é conhecido pela sigla: 
(A) DHCP. 
(B) WINS. 
(C) SLIP. 
(D) DNS. 
(E) NAT. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 70 
3. (FCC/2008/TCE-SP) A Internet é uma rede mundial de telecomunicações 
que conecta milhões de computadores em todo o mundo. Nesse sentido, 
considere: 
I. Nela, as redes podem operar estando ou não conectadas com outras 
redes e a operação não é dependente de nenhuma entidade de controle 
centralizado. 
II. Qualquer computador conectado à Internet pode se comunicar 
gratuitamente com outro também conectado à Internet e usufruir os 
serviços por ela prestado, tais como e-mail, Web, VoIP e transmissão de 
conteúdos de áudio. 
III. A comunicação entre as redes locais e a Internet utiliza o protocolo NAT 
(Network Address Translation), que trata da tradução de endereços IPs não 
roteáveis em um (ou mais) endereço roteável. 
Está correto o que consta em: 
a) I, II e III; 
b) I e II, apenas; 
c) I e III, apenas; 
d) II e III, apenas; 
e) III, apenas. 
4. (FGV/2009/MEC/Gerente de Segurança) Com relação à Gestão da 
Segurança da Informação, dois itens podem ser visualizados na janela do 
browser, o que significa que as informações transmitidas entre o browser e 
o site visitado estão sendo criptografadas e são visualizados por uma sigla 
no endereço do site e pela existência de um cadeado, que apresenta uma 
determinada característica. 
A sigla e a característica são: 
(A) https://, e “cadeado aberto” na barra de status, na parte inferior da 
janela do browser 
(B) https://, e “cadeado fechado” na barra de status, na parte inferior da 
janela do browser. 
(C) wwws://, e “cadeado fechado” na barra de status, na parte superior da 
janela do browser. 
(D) http://, e “cadeado fechado” na barra de segurança, na parte superior 
da janela do browser. 
(E) wwws//, e “cadeado aberto” na barra de segurança, na parte superior 
da janela do browser. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 71 
5. (CESGRANRIO/Petrobrás - Analista de Sistemas Pleno - 
Especialidade - Infraestrutura /2006) Assinale a afirmação 
INCORRETA sobre os firewalls e sistemas de detecção de intrusão (IDS - 
Intrusion Detection Systems). 
a) Os IDS podem ser utilizados para detectar e bloquear tentativas feitas 
por invasores para determinar as regras de filtragem de um firewall. 
b) Os IDS podem monitorar em tempo real os servidores de uma rede e/ou 
auditar os logs dos servidores à procura de padrões específicos de 
comportamento. 
c) Os IDS podem ser utilizados para detectar falhas de segurança em uma 
rede ou computadores antes mesmo que um ataque ou falha ocorra. 
d) Mesmo que os firewalls de uma rede estejam bem configurados, os 
sistemas IDS continuam necessários. 
e) Um firewall bem configurado deve responder a mensagens ICMP Echo 
Request. 
6. (FGV/2010/Auditor da Receita do Estado do Amapá) Quando o foco é 
a Gestão da Segurança da Informação, a terminologia empregada no 
mundo dos hackers assume papel de importância. Nesse contexto, dois 
termos são a seguir descritos. 
I. É o software pirata distribuído ilegalmente pela Internet. 
II. É o hacking de sistemas telefônicos, geralmente com o objetivo de fazer 
ligações gratuitas ou para espionar ligações alheias. 
Esses dois termos são denominados, respectivamente: 
(A) warez e phreaking. 
(B) netcat e phishing. 
(C) worm e spoofing. 
(D) trojan e flooding. 
(E) hoax e sniffing. 
7. (FGV/2010/Fiocruz/Tecnologista em Saúde Pública/Segurança da 
Informação) Com relação à análise de risco em segurança da informação, 
considere os tipos de risco a seguir. 
I. Dano físico, como fogo, vandalismo e desastres naturais. 
II. Perda de dados, seja intencional ou não. 
III. Falha de equipamento. 
IV. Risco de mercado e perda de investimento. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 72 
Assinale: 
(A) se uma empresa deve estar atenta, em sua análise, somente aos riscos I, 
II e III. 
(B) se uma empresa deve estar atenta, em sua análise, a todos esses tipos de 
riscos. 
(C) se uma empresa deve estar atenta, em sua análise, somente aos riscos I e 
II.(D) se uma empresa deve estar atenta, em sua análise, somente aos riscos II 
e III. 
(E) se uma empresa deve estar atenta, em sua análise,somente aos riscos I e 
IV. 
8. (FGV/2010/Fiocruz/Tecnologista em Saúde Pública/Segurança da 
Informação) O roubo ou a perda de laptops é atualmente um dos piores 
problemas para a segurança da informação corporativa. A respeito da 
segurança da informação em ambientes e equipamentos, considere as 
afirmativas a seguir. 
I. Realizar o inventário de todos os laptops, de forma que possam ser 
identificados caso sejam recuperados. 
II. Criptografar todos os dados sensíveis. 
III. Proteger o BIOS com senha. 
IV. Em viagens aéreas, enviar o laptop separadamente com a bagagem. 
Assinale: 
(A) se somente as afirmativas I, II e III ajudam a proteger tais equipamentos 
e os dados que contêm. 
(B) se todas as afirmativas ajudam a proteger tais equipamentos e os dados 
que contêm. 
(C) se somente as afirmativas I e II ajudam a proteger tais equipamentos e os 
dados que contêm. 
(D) se somente as afirmativas II e III ajudam a proteger tais equipamentos e 
os dados que contêm. 
(E) se somente as afirmativas I e IV ajudam a proteger tais equipamentos e os 
dados que contêm. 
9. (FUNRIO/2007/Prefeitura Municipal de Maricá) Juvêncio recebeu um 
e-mail reportando que seu CPF estava cadastrado no Sistema de Proteção 
ao Crédito. Mesmo não havendo possibilidade disso acontecer, pois paga 
suas contas em dia ele, inadvertidamente, clicou no link que havia no corpo 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 73 
do e-mail. O link remetia para o seguinte endereço: 
http://www.vocecaiu.com/invadi.exe. A partir desse momento, o programa 
executado (invadi.exe) se instalou na máquina e capturou sua senha de 
banco. Esse é um procedimento característico de infecção por: 
A) vírus de boot 
B) vírus de macro 
C) worm 
D) trojan 
E) spam 
10. (CESGRANRIO/FINEP/Analista de Sistemas – Suporte/ 2011-07) 
Os programadores de vírus continuamente desafiam os produtos de 
antivírus. Com o objetivo de camuflar o código desses programas malignos, 
seus criadores costumam utilizar técnicas de criptografia durante o processo 
de mutação do vírus. Nesse sentido, o vírus do tipo oligomórfico criptografa 
o seu corpo, formado 
(A) pelo seu código de ataque e por um código de decriptação, e, durante o 
processo de mutação, seleciona aleatoriamente uma nova chave de 
criptografia para criptografar o corpo e não acopla, ao criptograma gerado, 
o código de decriptação. 
(B) pelo seu código de ataque e por um código de decriptação, e, durante o 
processo de mutação, seleciona aleatoriamente uma nova chave de 
criptografia para criptografar o corpo e acopla, ao criptograma gerado, 
o código de decriptação modificado por uma técnica de inserção aleatória de 
instruções lixo. 
(C) pelo seu código de ataque e por um conjunto pequeno de códigos de 
decriptação, e, durante o processo de mutação, seleciona aleatoriamente 
uma nova chave de criptografia para criptografar o corpo e acopla, ao 
criptograma gerado, um dos códigos de decriptação selecionado 
aleatoriamente. 
(D) apenas pelo seu código de ataque, e, durante o processo de mutação, 
seleciona aleatoriamente uma nova chave de criptografia para criptografar o 
corpo e acopla, ao criptograma gerado, o mesmo código de decriptação. 
(E) apenas pelo seu código de ataque, e, durante o processo de mutação, 
seleciona aleatoriamente uma nova chave de criptografia para criptografar o 
corpo e acopla, ao criptograma gerado, um novo código de decriptação 
criado unicamente com instruções selecionadas aleatoriamente do conjunto 
de instruções do processador. 
11. (PREFRIO/2010/Auxiliar Técnico de Defesa Civil) No que diz 
respeito à segurança em redes e na internet, há um tipo de programa que 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 74 
se passa por inofensivo, mas que pode causar sérios danos no computador 
onde é executado, como alterar ou destruir arquivos, furtar senhas e outras 
informações sensíveis. Normalmente, este tipo de programa não se replica, 
não infecta outros arquivos nem propaga cópias de si mesmo, sendo a 
melhor estratégia para evitá-lo não rodar arquivos anexos a e-mails, 
particularmente os de origem desconhecida. Esse programa é conhecido 
por: 
(A) Trojan 
(B) Spam 
(C) Cookie 
(D) McAffee 
12. (FGV/2010/AUDITOR DA RECEITA DO ESTADO DO AMAPÁ) De 
tempos em tempos, observa-se na imprensa que sites ficam inoperantes. 
Os ataques conseguem derrubar o tráfego de rede, inundados por 
solicitações até saírem do ar, por esgotamento da capacidade de 
processamento. Os especialistas em segurança de redes e na internet 
creditam os ataques a algum hacker que utiliza as chamadas botnets, 
definidas como redes de computadores infectadas por códigos maliciosos. 
Nesses casos, as máquinas funcionam normalmente até que o hacker envie 
um comando remoto ordenando que todas acessem um site ao mesmo 
tempo, tirando-o do ar por excesso de tráfego. 
Esse tipo de ataque é conhecido pelo termo técnico: 
(A) Negação por Excesso de Força Bruta. 
(B) Negação de Acesso por Colisão. 
(C) Negação de Tráfego por Telnet. 
(D) Negação por Intrusão. 
(E) Negação de Serviço. 
13. (FGV/2009/MEC/Gerente de Segurança) No dia 06 de agosto de 
2009, o site Twitter ficou algumas horas fora do ar, após ser atingido por 
uma série de ataques de hackers, caracterizados por tentativas de derrubar 
o tráfego de rede, em que servidores são inundados por solicitações até 
saírem do ar, por esgotamento da capacidade de processamento. Um 
especialista em segurança da empresa Sophos creditou o ataque a algum 
hacker adolescente em seu quarto com acesso a uma enorme botnet. Cabe 
esclarecer que botnets são redes de computadores “zumbis”, infectadas por 
códigos maliciosos, utilizados por hackers no tipo de ataque acima 
mencionado. As máquinas funcionam normalmente até o hacker enviar um 
comando remoto ordenando que todas acessem um site ao mesmo tempo, 
tirando-o do ar por excesso de tráfego. Esse tipo de ataque é conhecido 
pelo termo técnico: 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 75 
(A) Negação de Serviço 
(B) Sobrecarga por Intrusão 
(C) Negação de Acesso por Colisão 
(D) Sobrecaga por Inundação de Tráfego 
(E) Sobrecarga por Excesso de Força Bruta 
14. (FUNDAÇÃO UNIVERSA/MPE-GO/Técnico de Informática/ 
Segurança da Informação/2010) Em um sistema criptográfico, são 
utilizados diversos mecanismos para garantir a autenticidade e a 
confidencialidade da informação. O sistema em que são utilizadas duas 
chaves criptográficas, uma pública e outra privada, denomina-se 
criptografia 
a) simétrica. 
b) assimétrica. 
c) binária. 
d) dupla. 
e) simples. 
15. (ESAF/2006/TRF/Tributária e Aduaneira) Analise as seguintes 
afirmações relacionadas à criptografia. 
I. A criptografia de chave simétrica pode manter os dados seguros, mas se 
for necessário compartilhar informações secretas com outras pessoas, 
também deve-se compartilhar a chave utilizada para criptografar os dados. 
II. Com algoritmos de chave simétrica, os dados assinados pela chave 
públicapodem ser verificados pela chave privada. 
III. Com algoritmos RSA, os dados encriptados pela chave pública devem 
ser decriptados pela chave privada. 
IV. Com algoritmos RSA, os dados assinados pela chave privada são 
verificados apenas pela mesma chave privada. 
Indique a opção que contenha todas as afirmações verdadeiras. 
a) I e II 
b) II e III 
c) III e IV 
d) I e III 
e) II e IV 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 76 
16. (FUNRIO/2008/JUCERJA/PROFISSIONAL DE INFORMÁTICA-
Adaptada) Uma mensagem criptografada com uma chave simétrica poderá 
ser decriptografada com 
A) a mesma chave simétrica. 
B) a chave pública. 
C) o HASH. 
D) a chave RSA. 
E)a chave assimétrica 
17. (FUNRIO/2007/Prefeitura Municipal de Maricá) Considere as 
assertivas abaixo sobre criptografia: 
I. Criptografia é o conjunto de técnicas matemáticas utilizadas para 
embaralhar uma mensagem. 
II. Na criptografia simétrica a mesma chave é utilizada para encriptar e 
decriptar uma mensagem. 
III. Na criptografia assimétrica são usadas duas chaves, uma privativa e 
uma pública. 
Estão corretas: 
A) I e II apenas 
B) I e III apenas 
C) II e III apenas 
D) I, II e III 
E) Todas estão incorretas 
18. (FGV/2008/Fiscal de Rendas) Analise a figura seguinte, que ilustra 
um esquema de criptografia e cujo funcionamento é descrito a seguir. 
I. A empresa InfoGold criou uma chave pública e a enviou a vários sites. 
II. Quando um desses sites quiser enviar uma informação criptografada 
para InfoGold, deverá utilizar a chave pública desta. 
III. Quando InfoGold receber a informação, apenas será possível extraí-la 
com o uso da chave privada, que só InfoGold possui. 
IV. Caso InfoGold queira enviar uma informação criptografada ao site 3, por 
exemplo, deverá conhecer sua chave pública. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 77 
O esquema é conhecido como de chave: 
(A) secreta. 
(B) simétrica. 
(C) assimétrica. 
(D) transversa. 
(E) reversa. 
19. (CESPE/2010/TRE-MT/Analista Judiciário - Tecnologia da 
Informação) Acerca de criptografia, julgue os itens a seguir. 
Uma das vantagens da criptografia simétrica em relação à assimétrica é a 
maior velocidade de cifragem ou decifragem das mensagens. Embora os 
algoritmos de chave assimétrica sejam mais rápidos que os de chave 
simétrica, uma das desvantagens desse tipo de criptografia é a exigência de 
uma chave secreta compartilhada. 
20. (FGV/2010/Auditor da Receita do Estado do Amapá) A assinatura 
digital representa uma das aplicações da criptografia e consiste na criação 
de um código, através da utilização de uma chave, em que uma pessoa ou 
entidade que recebe uma mensagem contendo esse código pode verificar se 
o remetente é mesmo quem diz ser e identificar qualquer mensagem que 
possa ter sido modificada. Esse esquema emprega um método baseado em: 
(A) chave única de 56 bits com SSL. 
(B) chave privada de 128 bits com DES. 
(C) criptografia das chaves pública e privada. 
(D) criptografia das chaves indexada e reversa. 
(E) criptografia das chaves simétrica e assimétrica. 
21. (CESPE/2010/TRE-MT/Analista Judiciário/Tecnologia da 
Informação) Na criptografia assimétrica, cada parte da comunicação 
possui um par de chaves. Uma chave é utilizada para encriptar e a outra 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 78 
para decriptar uma mensagem. A chave utilizada para encriptar a 
mensagem é privada e divulgada para o transmissor, enquanto a chave 
usada para decriptar a mensagem é pública. 
22. (FGV/2007/Fiscal de Rendas/ICMS-RJ) As afirmativas a seguir 
apresentam vulnerabilidades relacionadas ao uso de sistemas de 
informação, à exceção de uma. Assinale-a. 
(A) acesso não autorizado a banco de dados 
(B) instalação não autorizada de softwares 
(C) falhas de firewall que protegem as redes 
(D) destruição autorizada de hardware e dados 
(E) ataques vindos do ambiente externo 
23. (CESPE/2010/EMBASA/ANALISTA DE SANEAMENTO) Um firewall 
em uma rede é considerado uma defesa de perímetro e consegue coibir 
todo tipo de invasão em redes de computadores. 
24. (CESPE/2009/TRE/PR/Técnico Judiciário – Especialidade: 
Operação de computadores/Q. 86-Adaptada) Firewalls são 
equipamentos típicos do perímetro de segurança de uma rede, sendo 
responsáveis pela detecção e contenção de ataques e intrusões. 
25. (ESAF/2006/CGU-TI) É crescente o número de incidentes de 
segurança causados por vírus de computador e suas variações. Com isso, as 
organizações estão enfrentando o problema com o rigor e cuidados 
merecidos. Nesse contexto, é correto afirmar que 
A) cavalos de troia são variações de vírus que se propagam e possuem um 
mecanismo de ativação (evento ou data) e uma missão. 
B) vírus polimórficos suprimem as mensagens de erro que normalmente 
aparecem nas tentativas de execução da atividade não-autorizada, 
utilizando, muitas vezes, criptografia para não serem detectados por anti-
vírus. 
C) os vírus de macro utilizam arquivos executáveis como hospedeiros, 
inserindo macros com as mesmas funções de um vírus em tais arquivos. 
D) softwares antivírus controlam a integridade dos sistemas e 
compreendem três etapas: prevenção, detecção e reação, nesta ordem. 
E) vírus geram cópias de si mesmo a fim de sobrecarregarem um sistema, 
podendo consumir toda a capacidade do processador, memória ou espaço 
em disco, eventualmente. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 79 
26. (ESAF/2005/AFRFB) Alguns tipos de malware tentam atingir um 
objeto portador, também conhecido como hospedeiro, para infectá-lo. O 
número e tipo de objetos portadores que são alvos variam com as 
características dos malwares. Entre os portadores-alvo mais comuns, as 
macros 
a) são arquivos que suportam linguagens como Microsoft Visual Basic® 
Script, JavaScript, AppleScript ou PerlScript. As extensões dos arquivos 
desse tipo são: .vbs, .js, .wsh e .prl. 
b) são arquivos que suportam uma linguagem script de macro de um 
aplicativo específico, como um processador de texto, uma planilha 
eletrônica ou um aplicativo de banco de dados. Por exemplo, os vírus 
podem usar as linguagens de macro no Microsoft Word para causar vários 
efeitos, que podem variar de prejudiciais, como trocar palavras ou mudar as 
cores em um documento, a mal-intencionados, como formatar o disco rígido 
do computador. 
c) são o alvo do vírus “clássico” que é replicado 
anexando-se a um programa hospedeiro. Além dos arquivos típicos que 
usam a extensão das macros, arquivos com as seguintes extensões também 
podem ser usados com essa finalidade: .com, .sys, .dll, .ovl,.ocx e .prg. 
d) são arquivos localizados em áreas específicas dos discos do computador 
(discos rígidos e mídias removíveis inicializáveis), como o registro mestre 
de inicialização (MBR). 
e) são arquivos localizados no registro de inicialização do DOS e são 
capazes de executar códigos mal intencionados.Quando o registro de um 
disco de inicialização é infectado, a replicação será efetivada se ele for 
usado para iniciar os sistemas de outros computadores. 
27. (CESPE/2008/PRF-POLICIAL RODOVIÁRIO FEDERAL-ADAPTADA) 
Com relação a vírus de computador, phishing, pharming e spam, julgue o 
item seguinte. 
[Phishing e pharming são pragas virtuais variantes dos denominados 
cavalos-de-tróia, se diferenciando destes por precisarem de arquivos 
específicos para se replicar e contaminar um computador e se 
diferenciando, entre eles, pelo fato de que um atua em mensagens de e-
mail trocadas por serviços de webmail e o outro, não.] 
28. (ESAF/2008/CGU/AFC/Infraestrutura) Assinale a opção que 
constitui um mecanismo de segurança para redes de computadores. 
a) Redes privadas virtuais ou VPN (Virtual Private Networks). 
b) Adwares. 
c) Keyloggers. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 80 
d) Trapdoors. 
e) Inundação (flooding). 
29. (CESGRANRIO/2010/PETROBRÁS/Analista de Sistemas Júnior – 
Engenharia de Software) Com crescimento do uso de aplicações na 
Internet pelas quais trafegam informações sigilosas, como dados pessoais, 
extratos de movimentação financeira e senhas, surge uma demanda no 
desenvolvimento de técnicas de segurança da informação. Uma dessas 
técnicas é a criptografia assimétrica, também chamada de criptografia de 
chave pública. O remetente codifica a mensagem usando a chave C1 e o 
destinatário decifra a mensagem usando a chave C2. Neste caso, C1 e C2 
são: 
(A) C1: chave pública do destinatário – C2: chave privada do destinatário. 
(B) C1: chave privada do destinatário – C2: chave pública do destinatário. 
(C) C1: chave pública do remetente – C2: chave privada do destinatário. 
(D) C1: chave privada do remetente – C2: chave pública do destinatário. 
(E) C1 e C2: mesma chave. 
30. (CESGRANRIO/BACEN/Analista Área 1/2010) Suponha que um 
estudante brasileiro tenha descoberto um algoritmo, determinístico e 
extremamente rápido, capaz de fatorar um número inteiro de qualquer 
tamanho. Essa proeza 
(A) não afetaria a segurança do RSA, que é baseado em curvas elípticas. 
(B) não inviabilizaria o uso do algoritmo assimétrico AES em protocolos de 
rede. 
(C) tornaria inseguros os certificados digitais com chaves geradas pelo RSA. 
(D) tornaria inseguro o FTP (File Transfer Protocol), que utiliza SSL. 
(E) inviabilizaria o uso na prática do algoritmo de hash 3DES de 168 bits. 
31. (Cesgranrio/BNDES/Analista de Suporte/2008) Um conjunto de 
algoritmos de criptografia simétrica é: 
(a) DSA, MD5, IDEA e SHA-256. 
(b) RSA, SERPENT, DES e RC4. 
(c) RIJNDAEL, IDEA, Blowfish e RC5. 
(d) MD5, DES, RC5 e 3DES. 
(e) Diffie-Hellman, IDEA, Blowfish e RC4. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 81 
32. (CESPE/2002/POLÍCIA FEDERAL/PERITO: ÁREA 3 . 
COMPUTAÇÃO) (...)Um tipo de função essencial para uso em ambiente 
criptográfico é a das denominadas funções unidirecionais. Uma função 
unidirecional é uma transformação fixa (sem chaves) para a qual é 
impraticável se determinar a entrada a partir da saída. Uma forma de se 
obter uma boa função unidirecional é tomar um bom algoritmo 
criptográfico, fixar a entrada de dados (mensagem) e utilizar a entrada de 
chave como entrada de dados. 
33. (CESPE/2010/BANCO DA AMAZÔNIA/TÉCNICO CIENTÍFICO – 
ESPECIALIDADE: TI – SEGURANÇA DA INFORMAÇÃO) Enquanto uma 
cifra de bloco atua em um bit ou byte do fluxo de dados por vez, uma cifra 
de fluxo atua sobre um conjunto de caracteres de texto em claro, que são 
tratados como um todo e usados para produzir um criptograma de igual 
comprimento. 
34. (CESPE/2010/CAIXA-NM1/ TÉCNICO BANCÁRIO/CARREIRA 
ADMINISTRATIVA) Assinale a opção correta a respeito de certificação 
digital. 
A Autoridade certificadora é a denominação de usuário que tem poderes de 
acesso às informações contidas em uma mensagem assinada, privada e 
certificada. 
B A autoridade reguladora tem a função de emitir certificados digitais, 
funcionando como um cartório da Internet. 
C O ITI (Instituto Nacional de Tecnologia da Informação) é também 
conhecido como Autoridade Certificadora Raiz Brasileira. 
D PKI ou ICP é o nome dado ao certificado que foi emitido por uma 
autoridade certificadora. 
E Um certificado digital é pessoal, intransferível e não possui data de 
validade. 
35. (CESGRANRIO/BNDES/Analista de Suporte/2008) NÃO é uma boa 
prática de uma política de segurança: 
(a) difundir o cuidado com a segurança. 
(b) definir responsabilidades claras de usuários e administradores. 
(c) ser de fácil leitura e compreensão. 
(d) incluir os detalhes técnicos de implementação dos mecanismos de 
segurança. 
(e) explicitar consequências das violações da própria política. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 82 
36. (FUNDAÇÃO UNIVERSA/CEB/Analista de Sistemas/Segurança da 
Informação/ 2010) A segurança em redes de computadores está dividida 
entre aspectos físicos, como a integridade do hardware dos equipamentos, 
e lógicos, pelas diversas formas de ataques cibernéticos. Quando se pensa 
em segurança de rede não se pode tratar um dos dois isoladamente. Dessa 
forma, uma boa política de segurança deve abranger tanto as questões 
físicas quanto as lógicas para que sejam alcançados resultados eficientes. 
Assinale a alternativa que contém afirmação verdadeira a respeito de 
segurança física e segurança lógica em redes de computadores. 
a) As normas NBR ISO-13599 e NBR ISO-2005 definem melhores práticas 
que orientam os analistas no que diz respeito à elaboração da política de 
segurança. 
b) Procedimentos de backup, sistemas de monitoramento por câmeras, 
controle de entrada de pessoas, lista de controle de acesso em roteadores 
são aspectos relacionados com segurança física. 
c) No Brasil, o órgão responsável por definir normas de segurança em 
redes, no que diz respeito a questões internacionais, é o Ministério das 
Relações Exteriores (MRE). 
d) Crimes como atentados, terrorismo e sequestro são do âmbito criminal e 
não se inserem como incidentes de segurança física ou lógica em um 
ambiente computacional. 
e) O uso de sistemas de segurança não é aconselhável em situações em 
que os gastos com tais sistemas possam ser muito maiores que os prejuízos 
resultantes de possíveis incidentes. 
37. (CESGRANRIO - 2010 - Petrobrás - Analista de Sistemas Júnior - 
Processos de Negócios) De acordo com a NBR/ISO 27002, Segurança da 
Informação é a proteção da informação de vários tipos de ameaças para 
a) garantir a continuidade do negócio, minimizar o risco ao negócio, 
maximizar o retorno sobre os investimentos e as oportunidades de negócio. 
b) garantir a continuidade do negócio, minimizar as vulnerabilidades dos 
ativos de segurança, maximizar o retorno sobre os investimentos e as 
oportunidades de negócio. 
c) garantir a continuidade do negócio, facilitar o controle de acesso, 
maximizar o retorno sobre os investimentos e maximizar a disponibilidade 
dos sistemas de segurança. 
d) facilitar o controle de acesso, minimizar o risco ao negócio, maximizar a 
disponibilidade dos sistemas de segurança e as oportunidades de negócio. 
e) minimizaras vulnerabilidades dos ativos de segurança, minimizar o risco 
ao negócio, maximizar o retorno sobre os investimentos e a disponibilidade 
dos sistemas de segurança. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 83 
38. (CESGRANRIO/BNDES/Analista de Sistemas-Suporte/2010) Um 
conjunto de computadores está sendo utilizado para tirar de operação um 
serviço de determinado órgão público. Essa situação configura o ataque do 
tipo 
a) Replay 
b) SQL Injection 
c) XSS. 
d) Buffer Overflow 
e) DDoS 
39. (CESGRANRIO - Petrobrás - Técnico em Informática / Segurança 
da Informação/2010) A VPN (Virtual Private Network) é uma rede de 
comunicação privada que utiliza meios públicos. Com relação à segurança 
dos dados que trafegam por meio da VPN, afirma-se que 
a) muitos dados se perdem pela baixa qualidade dos meios públicos de 
comunicação, não sendo uma rede adequada para tráfego de aplicações 
críticas. 
b) os dados podem ser acessados por pessoas não autorizadas no caso de 
serem encapsulados sem criptografia. 
c) é uma rede segura de transmissão de dados onde, mesmo utilizando 
canais públicos de comunicação, usa-se o protocolo padrão da Internet. 
d) a segurança padrão oferecida pelos gestores da Internet torna viável o 
tráfego de dados críticos a baixos custos. 
e) a utilização de soluções de VPN comerciais garante a confidencialidade 
dos dados e a estabilidade das redes privadas. 
40. (CESGRANRIO/Caixa/Escriturário/2008) Quais princípios da 
segurança da informação são obtidos com o uso da assinatura digital? 
a) Autenticidade, confidencialidade e disponibilidade. 
b) Autenticidade, confidencialidade e integridade. 
c) Autenticidade, integridade e não-repúdio. 
d) Autenticidade, confidencialidade, disponibilidade, integridade e não-
repúdio. 
e) Confidencialidade, disponibilidade, integridade e nãorepúdio. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 84 
41. (CESGRANRIO/BNDES/2008/Analista de Sistemas – Suporte)
Qual opção apresenta um conjunto de métodos que caracteriza uma 
autenticação forte? 
(a) Utilização de senha, dados pessoais aleatórios e PIN. 
(b) Reconhecimento de retina e impressão digital. 
(c) Uso de crachá magnético, chave física e crachá com código de barras. 
(d) Reconhecimento facial e de íris. 
(e) Reconhecimento de padrão de voz e utilização de senha. 
42. (CESGRANRIO/BNDES/Analista de Suporte/2008) Um determinado 
servidor de arquivos S realiza backup: 
-completo (full) no 1o dia de cada mês; 
-diferencial nos dias 8, 15 e 22 de cada mês; 
-incremental no restante dos dias. 
Existe uma mídia para cada backup, que ocorre diariamente às 19h e dura, 
no máximo, 4 horas. Em determinado mês, no dia 19, às 15h, houve uma 
pane em S, ocasionando a perda total de seus arquivos. Para restaurar a 
posição mais recente dos arquivos de S, o conjunto necessário e suficiente é 
formado pelas mídias dos dias 
a) 1 a 18 
b) 15 e 18 
c) 1, 8, 15 e 18 
d) 1, 15, 16, 17 e 18 
e) 8, 15, 16, 17 e 18 
43. (CESGRANRIO/2010/ Petrobrás - Técnico de Contabilidade - 
Distribuidora) Os mecanismos implementados por software, usados para 
restringir o acesso e o uso do sistema operacional, de redes, de programas 
utilitários e aplicativos, constituem um processo de segurança 
a) digital. 
b) física. 
c) lógica. 
d) restrita. 
e) simples. 
TI EM EXERCÍCIOS P/ ANALISTA LEGISLATIVO DO SENADO FEDERAL 
ÁREA: TECNOLOGIA DA INFORMAÇÃO – ESPECIALIDADE: ANÁLISE DE SUPORTE DE SISTEMAS 
PROFESSORA PATRÍCIA LIMA QUINTÃO 
Profa. Patrícia Lima Quintão www.pontodosconcursos.com.br 85 
Gabarito 
1. Letra E. 
2. Letra E. 
3. Letra A. 
4. Letra B. 
5. Letra E. 
6. Letra A. 
7. Letra A. 
8. Letra A. 
9. Letra D. 
10. Letra C. 
11. Letra A. 
12. Letra E. 
13. Letra A. 
14. Letra B. 
15. Letra D. 
16. Letra A. 
17. Letra D. 
18. Letra C. 
19. Item errado. 
20. Letra C. 
21. Item errado. 
22. Letra D. 
23. Item errado. 
24. Item errado. 
25. Letra D. 
26. Letra B. 
27. Item errado. 
28. Letra A. 
29. Letra A. 
30. Letra C. 
31. Letra C. 
32. Item correto. 
33. Item errado. 
34. Letra C. 
35. Letra D. 
36. Letra E. 
37. Letra A. 
38. Letra E. 
39. Letra B. 
40. Letra C. 
41. Letra E. 
42. Letra D. 
43. Letra C.