N2 AUDITORIA

Prévia do material em texto

· Pergunta 1
1 em 1 pontos
	
	
	
	O nome “engenharia” é comumente empregado, pelos populares, quando se constroem mecanismos para resolver um problema ou arquitetar uma solução. Na área da segurança da informação, a engenharia social tem um significado bastante particular. Assim sendo, assinale a alternativa correta sobre o que é engenharia social.
	
	
	
	
		Resposta Selecionada:
	 
Engenharia social é quando um atacante consegue informações de uma empresa, fazendo um ataque por meio de técnicas como enganar alguém por conversa.
	Resposta Correta:
	 
Engenharia social é quando um atacante consegue informações de uma empresa, fazendo um ataque por meio de técnicas como enganar alguém por conversa.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois a engenharia social é utilizada justamente para evitar vestígios, então não é usado nenhum tipo de técnica de um computador, somente a lábia, uma ligação telefônica, em que o atacante extrai informações sem que a vítima perceba. O foco da engenharia social são as pessoas, e não diretamente a tecnologia em si. Portanto, a engenharia social tem bastante a ver com conceitos psicológicos do comportamento humano.
	
	
	
· Pergunta 2
1 em 1 pontos
	
	
	
	Há alguns principais tipos de Pentest que são efetuados, quando os testes vão ocorrer, e tudo depende exatamente do que a pessoa que irá contratar o serviço deseja, se vai querer um Pentest interno, externo ou via wi-fi. Existem muitos tipos os testes, de acordo com o que é pretendido pela empresa.
De acordo com a questão, analise as afirmativas a seguir e assinale V para a(s) Verdadeira(s) e F para a(s) Falsa(s).
 
I. ( ) Aplicativos web.
II. ( ) Redes cabeadas.
III. ( ) Antenas.
IV. ( ) VoIP.
	
	
	
	
		Resposta Selecionada:
	 
V, V, F, V.
	Resposta Correta:
	 
V, V, F, V.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois apresenta sequência adequada. Os principais tipos de Pentest são: as redes cabeadas (os testes são realizados numa rede interna dentro da empresa, verificando suas vulnerabilidades), os aplicativos web (sempre também no escopo do Pentest, pois quase tudo gira em torno da internet atualmente, todo software que usamos está on-line via web para utilizarmos) e o VoIP (é muito interessante estar no escopo do Pentest justamente para que a empresa não fique sem a comunicação desejada). Não são todos, mas são tópicos importantes de um teste de invasão numa companhia.
	
	
	
· Pergunta 3
1 em 1 pontos
	
	
	
	Muitas empresas, quando são invadidas, não sabem o que fazer. Procuram todo tipo de profissional, até encontrar um da área de segurança. Muitas vezes, os casos são resolvidos, enquanto, em outras, os profissionais até descobrem de que forma a empresa sofreu a invasão, porém, em diversas vezes, o criminoso não é pego por conseguir ficar anônimo. Assinale a alternativa que apresenta a análise forense computacional.
	
	
	
	
		Resposta Selecionada:
	 
Consiste em utilizar técnicas para rastrear o atacante. Lembre-se de que uma invasão sempre vai gerar rastros.
	Resposta Correta:
	 
Consiste em utilizar técnicas para rastrear o atacante. Lembre-se de que uma invasão sempre vai gerar rastros.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois a análise forense é feita justamente quando se precisa recriar toda a cena do crime, entender como o crime ocorreu, entender como o atacante entrou no sistema e verificar vestígios para que o atacante possa ser até encontrado.
	
	
	
· Pergunta 4
0 em 1 pontos
	
	
	
	Um ataque de engenharia social, caso tenha-se êxito, pode trazer grandes implicações e prejuízos à empresa, e, dependendo de que tipo de informação sigilosa o hacker conseguir, pode vir até a causar a falência de uma empresa e deixar diversas pessoas desempregadas, como já ocorreu.
Assim sendo, assinale a alternativa correta sobre as implicações de um ataque de engenharia social e quais são os agravantes.
	
	
	
	
		Resposta Selecionada:
	 
Fazer com que a empresa tenha seus dados sequestrados.
	Resposta Correta:
	 
Coagir alguém para obter informações que levam a ganhos ilícitos.
	Comentário da resposta:
	Sua resposta está incorreta. A alternativa está incorreta, pois quem faz a empresa ficar off-line seria um ataque de negação de serviço. O Kali Linux pode auxiliar numa engenharia social bem tramada, porém ele não é um SO especializado em ataques de engenharia social. Quem sequestra dados geralmente é ransomware, e quem consegue trocar a senhas dos usuários é somente quem tem acesso ao login do administrador.
	
	
	
· Pergunta 5
1 em 1 pontos
	
	
	
	Há muitos especialistas na área de segurança da informação que dizem não existir sistema seguro, quando se tomam medidas de prevenção e protetiva nos sistemas, as quais fazem com que o seu sistema seja mais difícil de ser invadido, mas não que ele esteja 100% seguro.
Existem dois tipos de ameaças classificadas: a lógica e a física.
 
De acordo com essa afirmação, analise as afirmativas sobre a descrição do que são as ameaças lógica e física.
 
I. Alagamentos, que podem fazer com que o sistema pare de funcionar, fazendo, consequentemente, uma empresa parar, e, caso não tiver backup, ela ainda perde todas as informações obtidas.
II. A quebra de senhas é um ataque mais conhecido como “brute force”, sendo uma das técnicas usadas para entrar em sistemas nos quais não se tem autorização.
III. Um malware tem mil utilidades, dependendo do que foi programado para fazer. É um código em funcionamento, moldado para prejudicar o sistema.
IV. Um terremoto pode destruir toda a estrutura de uma empresa onde o sistema está localizado.
 
Está correto o que se afirma em:
	
	
	
	
		Resposta Selecionada:
	 
I, II, III e IV.
	Resposta Correta:
	 
I, II, III e IV.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois a segurança da informação tem como base dois supostos caminhos de ataques: os físicos e os lógicos. Os físicos são representados por aqueles que a natureza pode acabar estragando o sistema ou a até a empresa. Já os ataques lógicos são programados por algum hacker atacante que quer prejudicar de alguma maneira sua empresa.
	
	
	
· Pergunta 6
1 em 1 pontos
	
	
	
	De acordo com a lei penal no Brasil, invadir qualquer tipo de sistema sem a devida autorização comprovada do dono do que foi vítima da invasão é um crime federal, passível de indenização e até prisão. Portanto, conseguir uma autorização do dono da empresa a qual terá seu sistema testado é muito importante.
 
A seguir, assinale a alternativa correta.
 
	
	
	
	
		Resposta Selecionada:
	 
O profissional de segurança deve buscar sempre uma autorização prévia documentada para que se faça um teste de segurança depois.
	Resposta Correta:
	 
O profissional de segurança deve buscar sempre uma autorização prévia documentada para que se faça um teste de segurança depois.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois, como já dito no procedimento padrão de uma auditoria de segurança, para que se faça uma exploração de falhas, deve-se ter autorização para realizar essa exploração de vulnerabilidade. Fazendo uma breve analogia, seria a mesma coisa que entrar no quintal de uma casa sem permissão, ou seja, é passível de crime. Um hacker ético sempre pedirá permissão antes de fazer qualquer coisa no sistema de outra pessoa, e, mesmo que seja combinado boca a boca, o profissional sempre deverá ter a assinatura do possível cliente autorizando um teste de invasão.
	
	
	
· Pergunta 7
0 em 1 pontos
	
	
	
	Não adianta saber fazer uma auditoria de segurança como ninguém, saber todas as técnicas de invasões possíveis, saber apresentar um relatório perfeito para o cliente, se não tiver os recursos necessários para conseguir executar tudo isso, desde o hardware, sistemas operacionais, até programas.
Assim sendo, assinale a alternativa correta sobre qual é a melhor maneira, tratando-se de hardware, para usar os sistemas operacionais focadosem segurança.
	
	
	
	
		Resposta Selecionada:
	 
Instalar o SO num servidor.
	Resposta Correta:
	 
Instalar o SO na máquina física.
	Comentário da resposta:
	Sua resposta está incorreta. A alternativa está incorreta, pois, em um servidor, seria muito incoerente instalar um SO, já que o hardware é para um servidor, ou seja, não usaria o máximo de seu hardware. A máquina virtual é muito boa e é utilizável, porém não utiliza o máximo do hardware. A Live CD e a LIVE USB conseguem ser melhores que a máquina virtual em relação ao uso de hardware, mas ainda assim perde para a instalação física.
	
	
	
· Pergunta 8
1 em 1 pontos
	
	
	
	Para uma empresa se proteger, principalmente na parte técnica, é fundamental trabalhar na sua prevenção, para que atacantes criminosos não consigam entrar facilmente no sistema dela. Quanto mais a empresa se encontra blindada e com prevenções bem definidas, mais difícil é algum atacante hacker conseguir ter êxito no hackeamento.
 
A respeito da questão colocada sobre prevenção, analise as afirmativas a seguir e assinale V para a(s) Verdadeira(s) e F para a(s) Falsa(s).
 
I. ( ) Para que as empresas estejam prevenidas, é muito importante contratar ou ter um profissional de segurança para fazer um teste de invasão no próprio sistema. Assim, verifica-se se existem vulnerabilidades e, caso existam, confirmam-se quais são.
II. ( ) É muito importante esperar a empresa ser atacada primeiro, para depois verificar e fazer a prevenção.
III. ( ) Sem que a empresa seja atacada por criminosos, não há como saber quais medidas de segurança se deve tomar.
IV. ( ) Para uma segurança forte e preventiva, basta colocar qualquer funcionário de TI para fazer as seguranças básicas, mesmo não sendo especialista na área, pois todo TI entende de tudo o que envolve tecnologia.
 
Assinale a alternativa que apresenta a sequência correta.
	
	
	
	
		Resposta Selecionada:
	 
V, F, F, F.
	Resposta Correta:
	 
V, F, F, F.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois apresenta sequência adequada. Para que as empresas tenham uma segurança acertada, é bastante recomendado pelo menos um teste de invasão a cada seis meses, pois a tecnologia se renova a cada dia, mais atualizações são feitas, e as vulnerabilidades vão surgindo. Quando espera sofrer um ataque antes de ser feita uma prevenção, você não estará prevenindo a empresa, e sim estancando apenas uma sangria. Você mesmo pode simular um ataque na empresa ou pedir para um terceirizado fazer isso, procurando vulnerabilidades e sempre ir blindando a empresa. E, de preferência, esse profissional deve ser especialista na área e segurança da informação.
	
	
	
· Pergunta 9
1 em 1 pontos
	
	
	
	Depois de descobrir as vulnerabilidades de uma empresa e como mitigá-las, o report é um passo importante da auditoria, pois é nesse momento que você estará entregando o produto que o cliente pagou, e esse report deve ser descrito de uma maneira que as vulnerabilidades devam ser entendidas.
De acordo com o enunciado, assinale a alternativa sobre a maneira correta de escrever um report .
	
	
	
	
		Resposta Selecionada:
	 
O report deve ser organizado de maneira que mostre a prioridade das vulnerabilidades, entre alto perigo e baixo perigo.
	Resposta Correta:
	 
O report deve ser organizado de maneira que mostre a prioridade das vulnerabilidades, entre alto perigo e baixo perigo.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois todas as vulnerabilidades devem ser organizadas de uma maneira que todos entendam, explicando-se quais geram pouco, médio e grande impacto. É muito importante colocar graus e separações por escalas de quais vulnerabilidade são maiores quais são menores.
	
	
	
· Pergunta 10
1 em 1 pontos
	
	
	
	As normas ISO têm como objetivo garantir padrões e qualidade para uma melhor gestão e administração do negócio. Assim, as empresas utilizam desses certificados que são ganhos para propagandear e mostrar que estão preocupados com a segurança dos dados de seus clientes. Assim, geralmente a empresa consegue demonstrar muito mais confiança no mercado.
 
De acordo com a introdução, assinale a norma descrita que está correta.
	
	
	
	
		Resposta Selecionada:
	 
ISO 27001 – Norma antiga substituída pela atual norma BS779-2.
	Resposta Correta:
	 
ISO 27001 – Norma antiga substituída pela atual norma BS779-2.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois a ISO 27001, na verdade, é bastante atual. A BS779-2 foi trocada pela 27001, e a ISO 27001 está muito relacionada a padrões da segurança da informação, sendo um certificado muito interessante e que dá credibilidade ao profissional.
	
	
	
· Pergunta 1
1 em 1 pontos
	
	
	
	Existem diversos sistemas operacionais para fazer teste de invasões e focados na parte de segurança nos dias atuais, porém é importante saber no que esses sistemas foram baseados, onde começaram e qual é sua base. Tecnicamente, são informações importantes que ajudam o profissional de segurança da informação a resolver algumas situações. Nesse sentido, assinale a alternativa que indica um sistema operacional de propósito geral, que não é focado especificamente em testes de invasão.
	
	
	
	
		Resposta Selecionada:
	 
Ubuntu Linux.
	Resposta Correta:
	 
Ubuntu Linux.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois o Ubuntu Linux é somente uma distribuição Linux, para usuários comuns utilizarem para fazer suas tarefas do dia a dia, e não para realizar testes de segurança. É possível baixar ferramentas no Ubuntu, porém não é o foco dele.
	
	
	
· Pergunta 2
1 em 1 pontos
	
	
	
	De acordo com a lei penal no Brasil, invadir qualquer tipo de sistema sem a devida autorização comprovada do dono do que foi vítima da invasão é um crime federal, passível de indenização e até prisão. Portanto, conseguir uma autorização do dono da empresa a qual terá seu sistema testado é muito importante.
 
A seguir, assinale a alternativa correta.
 
	
	
	
	
		Resposta Selecionada:
	 
O profissional de segurança deve buscar sempre uma autorização prévia documentada para que se faça um teste de segurança depois.
	Resposta Correta:
	 
O profissional de segurança deve buscar sempre uma autorização prévia documentada para que se faça um teste de segurança depois.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois, como já dito no procedimento padrão de uma auditoria de segurança, para que se faça uma exploração de falhas, deve-se ter autorização para realizar essa exploração de vulnerabilidade. Fazendo uma breve analogia, seria a mesma coisa que entrar no quintal de uma casa sem permissão, ou seja, é passível de crime. Um hacker ético sempre pedirá permissão antes de fazer qualquer coisa no sistema de outra pessoa, e, mesmo que seja combinado boca a boca, o profissional sempre deverá ter a assinatura do possível cliente autorizando um teste de invasão.
	
	
	
· Pergunta 3
1 em 1 pontos
	
	
	
	Muitas pessoas confundem o teste de invasão com a análise de vulnerabilidade, cometendo erros até na prática na hora de entregar o produto para a empresa. Dessa forma, assinale a alternativa correta que descreva o que seria o processo de análise de vulnerabilidade.
	
	
	
	
		Resposta Selecionada:
	 
A análise de vulnerabilidade apenas encontra vulnerabilidades, não precisando consertá-las.
	Resposta Correta:
	 
A análise de vulnerabilidade apenas encontra vulnerabilidades, não precisando consertá-las.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois a análise de vulnerabilidade resume-se somente a encontrar as falhas, mas não falar onde encontrou nem como encontrou, pois é um teste menor do que um Pentest, e, geralmente, até tem uma diferenciação de preços entre um Pentest e uma análise de vulnerabilidade.
	
	
	
· Pergunta 4
1 em 1 pontos
	
	
	
	Depois de descobrir as vulnerabilidades de uma empresa e como mitigá-las, o report é um passo importante da auditoria,pois é nesse momento que você estará entregando o produto que o cliente pagou, e esse report deve ser descrito de uma maneira que as vulnerabilidades devam ser entendidas.
De acordo com o enunciado, assinale a alternativa sobre a maneira correta de escrever um report .
	
	
	
	
		Resposta Selecionada:
	 
O report deve ser organizado de maneira que mostre a prioridade das vulnerabilidades, entre alto perigo e baixo perigo.
	Resposta Correta:
	 
O report deve ser organizado de maneira que mostre a prioridade das vulnerabilidades, entre alto perigo e baixo perigo.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois todas as vulnerabilidades devem ser organizadas de uma maneira que todos entendam, explicando-se quais geram pouco, médio e grande impacto. É muito importante colocar graus e separações por escalas de quais vulnerabilidade são maiores quais são menores.
	
	
	
· Pergunta 5
1 em 1 pontos
	
	
	
	Hoje, muito se fala em recursos para hacking, contudo existem também recursos que nos possibilitam chegar longe na área de segurança da informação quando combinados com o conhecimento técnico necessário, podendo ajudar muito a vida de indivíduos e organizações. Assinale a alternativa correta que aponta um desses recursos.
	
	
	
	
		Resposta Selecionada:
	 
Kali Linux.
 
 
	Resposta Correta:
	 
Kali Linux.
 
 
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois o Kali Linux, baseado em Debian, foi criado justamente para auditoria de segurança, seja para um Pentest interno ou externo. É possível usá-lo em máquina física, máquina virtual e até em Live CD.
	
	
	
· Pergunta 6
1 em 1 pontos
	
	
	
	Na segurança da informação, temos alguns fundamentos que são a raiz de todo o processo de uma auditoria de segurança, ou seja, a estrutura de um modelo que precisa ser seguido para que toda a auditoria seja feita de forma correta e coerente. Sem essas colunas-base, o profissional de segurança se encontra perdido no meio de tanta informação para proteger e auditar. Desse modo, assinale a alternativa mais adequada sobre quais são os fundamentos corretos.
	
	
	
	
		Resposta Selecionada:
	 
Autenticidade, confidencialidade, disponibilidade, integridade, legalidade.
	Resposta Correta:
	 
Autenticidade, confidencialidade, disponibilidade, integridade, legalidade.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois a autenticidade garante que uma mensagem não seja alterada; a confidencialidade, que haja sigilo; a disponibilidade, que a informação esteja sempre disponível; a integridade, que se mantenha íntegra; e a legalidade, que todo o processo não tenha problemas com a lei.
	
	
	
· Pergunta 7
1 em 1 pontos
	
	
	
	Há alguns principais tipos de Pentest que são efetuados, quando os testes vão ocorrer, e tudo depende exatamente do que a pessoa que irá contratar o serviço deseja, se vai querer um Pentest interno, externo ou via wi-fi. Existem muitos tipos os testes, de acordo com o que é pretendido pela empresa.
De acordo com a questão, analise as afirmativas a seguir e assinale V para a(s) Verdadeira(s) e F para a(s) Falsa(s).
 
I. ( ) Aplicativos web.
II. ( ) Redes cabeadas.
III. ( ) Antenas.
IV. ( ) VoIP.
	
	
	
	
		Resposta Selecionada:
	 
V, V, F, V.
	Resposta Correta:
	 
V, V, F, V.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois apresenta sequência adequada. Os principais tipos de Pentest são: as redes cabeadas (os testes são realizados numa rede interna dentro da empresa, verificando suas vulnerabilidades), os aplicativos web (sempre também no escopo do Pentest, pois quase tudo gira em torno da internet atualmente, todo software que usamos está on-line via web para utilizarmos) e o VoIP (é muito interessante estar no escopo do Pentest justamente para que a empresa não fique sem a comunicação desejada). Não são todos, mas são tópicos importantes de um teste de invasão numa companhia.
	
	
	
· Pergunta 8
1 em 1 pontos
	
	
	
	Não basta ter somente um “OK” do contratante para o teste de invasão, pois, se o profissional falar que fará X e, na verdade, fizer Y, de nada adiantou a documentação. A documentação deve estar sempre explícita, falando o que deverá ser feito para que o contratante consiga entender o que será feito e pelo que está pagando.
 
De acordo com o enunciado, analise as afirmativas a seguir sobre que tipos de informações deve ter na documentação para que ela seja válida e assinale V para a(s) Verdadeira(s) e F para a(s) Falsa(s).
 
I. ( ) Um projeto de segurança.
II. ( ) Somente assinatura do contratante liberando os testes.
III. ( ) Uma programação de testes.
IV. ( ) Um escopo do que será testado.
 
Assinale a alternativa que apresenta a sequência correta.
	
	
	
	
		Resposta Selecionada:
	 
V, F, V, V
	Resposta Correta:
	 
V, F, V, V
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois apresenta sequência adequada. É muito importante que um projeto seja apresentado, que seja especificado tudo o que será testado e se determinarem datas para os testes que não atrapalhem a produção da empresa. O projeto de segurança deve ter todo um escopo, mostrando cada detalhe do projeto. A programação de testes deve sempre mostrar o que será alterado, que horário, que dia da semana, sempre o mais específico possível, e o escopo do que será testado sempre deverá estar em ordem e atualizado para que o contratante saiba exatamente o que será testado. Desse modo, ele se sentirá mais seguro e confiará melhor no profissional de segurança.
	
	
	
· Pergunta 9
1 em 1 pontos
	
	
	
	Quando falamos da área de segurança da informação, o Hardening atualmente é muito pouco protegido. Em 2012, por exemplo, foram descobertas falhas nos processadores fabricados pela Intel, ocasionando uma falha de segurança notada por usuários em todo o mundo. Desde então, muitas pessoas abriram seus olhos e começaram a se especializar mais em Hardening. Assinale a alternativa que apresenta no que consiste o Hardening.
	
	
	
	
		Resposta Selecionada:
	 
Consiste na implementação de máquinas seguras.
	Resposta Correta:
	 
Consiste na implementação de máquinas seguras.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois a ideia do Hardening é justamente saber se aquele hardware está seguro para uso ou não. Acredite-se ou não, existem hackers especializados somente em achar vulnerabilidades usando hardware.
	
	
	
· Pergunta 10
1 em 1 pontos
	
	
	
	O teste de stress, mais conhecido como teste de estresse, é muito utilizado independente se o penetration testing é interno ou externo, pois esse teste possibilita que se tenha noção se existe algum ataque iminente dando prejuízo ou se é a tecnologia que é fraca. Acredite, é ótimo conseguir reconhecer e diferenciar isso.
 
Assinale a alternativa correta sobre a função do teste de stress em um Pentest.
	
	
	
	
		Resposta Selecionada:
	 
Consiste em sobrecarregar o servidor com excesso de dados, para determinar se ele aguenta a sobrecarga.
	Resposta Correta:
	 
Consiste em sobrecarregar o servidor com excesso de dados, para determinar se ele aguenta a sobrecarga.
	Comentário da resposta:
	Resposta correta. A alternativa está correta, pois um teste de stress é feito para se verificar até quanto seu servidor aguenta, ou sua aplicação. Inclusive, ele consegue identificar quando seu servidor está caindo se a culpa é de um ataque DoS (negação de serviço) ou se simplesmente não está aguentando o fluxo.