SEGURANCA E AUDITORIA DE SISTEMAS - Atividade 2,

Prévia do material em texto

· Pergunta 1
0 em 1 pontos
	
	
	
	Há também um tipo de ataque de que visa obter informações sobre uma determinada organização ou indivíduo por meio de seus funcionários/pessoas próximos. Ele busca explorar a boa-fé das pessoas a fim de obter algum tipo de informação sigilosa.
 
KIM, D.; SOLOMON, M. G. Fundamentos de segurança de sistemas de informação . São Paulo: LTC, 2014.
 
Nesse sentido, assinale a alternativa que represente tal conceito:
	
	
	
	
		Resposta Selecionada:
	 
Cavalo de Troia.
	Resposta Correta:
	 
Engenharia social.
	Comentário da resposta:
	Sua resposta está incorreta. A alternativa está incorreta, pois a ameaça discutida explora o elemento humano. Aproveita-se de novatos ou de pessoas que desconhecem a política de segurança, repassando informações importantes. Esse tipo de ataque é bastante eficaz, visto que, por natureza, as pessoas tendem a ser prestativas quando solicitadas com atenção.
	
	
	
· Pergunta 2
1 em 1 pontos
	
	
	
	Apesar de existirem inúmeros tipos de ataques, efetuá-los de maneira manual é, sem dúvida, dispendioso, pois o ataque deve ser rápido e objetivo. Para isso, pode-se contar com sistemas que visam automatizar seus ataques, trazendo uma maior e mais eficiente organização. Um exemplo desse tipo de ferramenta é o Kali do Linux.
 
KIM, D.; SOLOMON, M. G. Fundamentos de segurança de sistemas de informação . São Paulo: LTC, 2014.
 
Nesse sentido, assinale a alternativa que indique quais os tipos de ferramentas utilizadas em ataques:
	
	
	
	
		Resposta Selecionada:
	 
Varreduras de vulnerabilidades, portas, captura de teclado etc.
	Resposta Correta:
	 
Varreduras de vulnerabilidades, portas, captura de teclado etc.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois as ferramentas visam buscar alvos fáceis em um conjunto de inúmeras possibilidades. Por exemplo, com o Kali do Linux, é possível ver se um determinado sistema possui brecha para SQL Injection, senhas comuns etc. Porém, tais ferramentas podem ser úteis para uma organização, na medida em que se pode identificar suas vulnerabilidades primeiramente.
	
	
	
· Pergunta 3
1 em 1 pontos
	
	
	
	Uma variante do ataque de negação de serviço é o ataque de negação de serviço distribuído. Ele possui o mesmo tipo de ação, mas o que o diferencia é seu grande poder de ataque. Existe um tipo de ataque que explora alguma vulnerabilidade não intencional no sistema (uma falha) ou uma brecha intencional deixa no
software (desenvolvedor).
 
HINTZBERGEN J. et al . Fundamentos de segurança da informação, com base na ISO 27001 e na ISO 27002 . São Paulo: Brasport, 2018.
 
Nesse sentido, assinale a alternativa que descreva o conceito apresentado:
	
	
	
	
		Resposta Selecionada:
	 
Portas dos fundos ( backdoor).
	Resposta Correta:
	 
Portas dos fundos (backdoor).
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois esse ataque é o de portas dos fundos. Enquanto a negação de serviço tenta “bater na porta” inúmeras vezes, esse ataque visa entrar em uma porta (brecha) na qual ninguém está acostumado a entrar. Este tipo de brecha pode ser algum caminho criado pelo desenvolvedor para manutenção do sistema, por exemplo, um usuário administrador e senha 123456.
	
	
	
· Pergunta 4
1 em 1 pontos
	
	
	
	Existe também um tipo de ataque que visa divulgar produtos por e-mail . Diariamente, recebemos alguns desses tipos de mensagens, os quais apresentam títulos interessantes para despertar nossa atenção e curiosidade. Estima-se que, em 2018, 55% de todos os e-mails foram considerados desse tipo de ameaça.
 
KIM, D.; SOLOMON, M. G. Fundamentos de segurança de sistemas de informação . São Paulo: LTC, 2014.
 
Nesse sentido, assinale a alternativa que descreva o conceito apresentado:
	
	
	
	
		Resposta Selecionada:
	 
Spam.
	Resposta Correta:
	 
Spam.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois o spam é, sem dúvida, um tipo de ataque muito antigo, mas que ainda faz inúmeras vítimas. Por meio de seus conteúdos interessantes, as vítimas se sentem atraídas e acabam clicando em algum link e comprando algum produto falso, caindo em golpes bem elaborados. Muitos exemplos disso são de produtos que realizam ações milagrosas, como queda de cabelo etc.
	
	
	
· Pergunta 5
1 em 1 pontos
	
	
	
	No mundo da Internet (ciberespaço), existem diversos tipos de golpes que visam enganar ou se aproveitar da inocência de suas vítimas. Existem vários casos de pessoas que recebem e-mails oferecendo ofertas encantadoras, produtos com preços abaixo do mercado e um botão escrito “clique aqui”, e é ele a armadilha. Ao clicar, o usuário é levado a uma conta falsa e, sem saber, acaba sendo vítima de um golpe.
Nesse sentido, assinale a alternativa que indique golpes de compra e vendas na Internet:
	
	
	
	
		Resposta Selecionada:
	 
Pedir para a vítima realizar um depósito, como sinal de interesse na venda, e logo depois desaparecer.
	Resposta Correta:
	 
Pedir para a vítima realizar um depósito, como sinal de interesse na venda, e logo depois desaparecer.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois, a cada dia que passa, percebemos que os golpes tendem a evoluir, para assim enganar mais gente de forma despercebida. Geralmente, os idosos caem bastante em golpes, pois confiam na palavra e na história contada. Resta-nos sempre alertá-los e termos um pé atrás em relação a qualquer coisa que envolva dinheiro.
	
	
	
· Pergunta 6
1 em 1 pontos
	
	
	
	Avaliação de risco é um termo usado para descrever o processo ou método geral em que você identifica perigos e fatores de risco com potencial para causar danos. Precaver-se de riscos não é uma tarefa fácil; por outro lado, se fosse tão fácil se precaver, poderíamos obter os riscos de outras organizações e aplicá-las à nossa realidade.
 
KIM, D.; SOLOMON, M. G. Fundamentos de segurança de sistemas de informação . São Paulo: LTC, 2014.
 
Sobre a prevenção de riscos, assinale a alternativa que indique os requisitos básicos que uma organização deve considerar:
	
	
	
	
		Resposta Selecionada:
	 
Objetivos e estratégias, leis e regras de negócio.
	Resposta Correta:
	 
Objetivos e estratégias, leis e regras de negócio.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois, de acordo com o que vimos durante nossos estudos, para se conhecer e levantar bem os riscos de uma organização deve-se considerar pelo menos os três requisitos básicos, que são: estratégia, visão e objetivos; leis/regulamentos; e, por fim, regras de negócio/manipulação de dados.
	
	
	
· Pergunta 7
1 em 1 pontos
	
	
	
	Uma medida de repressão é bastante útil quando se identifica uma ameaça. Devem-se criar estratégias eficientes para bloquear/reduzir os prejuízos causados pelo incidente. Sem dúvida, prevenir-se contra uma ameaça é a melhor opção, mas infelizmente nem tudo sai como esperado.
 
HINTZBERGEN, J. et al . Fundamentos de segurança da informação, com base na ISO 27001 e na ISO 27002 . São Paulo: Brasport, 2018.
 
Sobre medidas de proteção, assinale a alternativa que indique a opção que é mais adequada após uma repressão:
	
	
	
	
		Resposta Selecionada:
	 
Correção.
	Resposta Correta:
	 
Correção.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois, de acordo com o descrito no livro-texto, veja que a correção, uma medida de proteção de um sistema de informação, está diretamente relacionada à repressão. Pois, em uma repressão ineficiente, necessitará de medidas de segurança corretivas maiores.
	
	
	
· Pergunta 8
1 em 1 pontos
	
	
	
	Uma organização deve conhecer bem as suas ameaças. Por meio da identificação delas, é possível definir contramedidas que podem resolver, amenizar ou simplesmente aceitar tal dano. Isso está diretamente ligado aos ativos da organização. Em uma organização, têm-se ativos que são os alvos favoritos de ameaças.
 
KIM, D.; SOLOMON, M. G. Fundamentos de segurança de sistemas de informação . São Paulo: LTC, 2014.Nesse sentido, assinale a alternativa que indique os principais ativos de uma organização:
	
	
	
	
		Resposta Selecionada:
	 
Propriedade intelectual, dados financeiros e disponibilidade.
	Resposta Correta:
	 
Propriedade intelectual, dados financeiros e disponibilidade.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois os principais ativos de uma organização são a infraestrutura de TI e rede, propriedade intelectual, dados financeiros e disponibilidade. Cada organização deve gerenciar os riscos, a fim de priorizar seus riscos para a definição apropriada de contramedidas.
	
	
	
· Pergunta 9
1 em 1 pontos
	
	
	
	Um dos ataques mais utilizados na Internet é o de negação de serviço (DoS – Denial of Service). Por meio dele, é possível enviar milhares de requisições (solicitação) a um determinado serviço. Um outro tipo de ameaça é a não definição de políticas de acesso a recursos internos e uso da Internet. Por exemplo, um usuário não pode acessar determinados arquivos contendo informações sigilosas da organização, mas lhe é permitido.
 
HINTZBERGEN J. et al . Fundamentos de segurança da informação, com base na ISO 27001 e na ISO 27002 . São Paulo: Brasport, 2018.
 
Nesse sentido, assinale a alternativa que descreva o conceito apresentado:
	
	
	
	
		Resposta Selecionada:
	 
Política de navegação aceitável.
	Resposta Correta:
	 
Política de navegação aceitável.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois em uma organização devem-se definir políticas para indicar quem deve ter acesso a determinados tipos de recursos. Isso impossibilita que pessoas não autorizadas tenham acesso a arquivos confidenciais dela. Aqui, também se define o que os empregados podem acessar na rede, limitando os tipos de sites, por exemplo sites pornográficos, que pratiquem pirataria etc.
	
	
	
· Pergunta 10
1 em 1 pontos
	
	
	
	Infelizmente, uma ameaça está presente em todas as organizações. Uma das opções de medida de proteção mais simples é a que usa a detecção. Aqui, sabe-se da ameaça e, por meio de um software de monitoramento, é possível saber o momento que ela acontece.
 
HINTZBERGEN, J. et al . Fundamentos de segurança da informação, com base na ISO 27001 e na ISO 27002 . São Paulo: Brasport, 2018.
 
Apesar de a medida de detecção ser bastante utilizada, existe outra medida cujo principal objetivo é solucionar/reduzir o dano causado pelo incidente. Assinale a alternativa que melhor descreva essa outra medida:
	
	
	
	
		Resposta Selecionada:
	 
Repressão.
	Resposta Correta:
	 
Repressão.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois a medida de repressão é executada quando uma ameaça é detectada e deve-se resolver/reduzir os danos causados pelo incidente. Se houve a detecção de uma invasão a uma rede da organização, deve-se o mais rápido possível realizar medidas de repressão para reduzir o dano causado. Com essa medida, pode-se apenas invadir, mas, com ações adequadas, pode-se bloquear o agente causador antes de obter qualquer informação.