Segurança da Informação 3ºSEM EXERCICIOS

Prévia do material em texto

TEMPORADA I
Introdução e Conceitos Básicos de Segurança da Informação
1. 
Uma das ameaças à segurança da informação mais conhecidas e que causa grandes transtornos quando confirmada, é a ameaça por meio de vírus.
Como pode ser classificada essa ameaça?
Involuntária.
Por que esta resposta é a correta?
A ameaça por vírus é uma ameaça involuntária, uma vez que é causada por um incidente, como, por exemplo, a abertura de um anexo de e-mail contaminado.
2. 
Ativos de informação são partes importantes da área de segurança da informação. Em síntese, a existência dos ativos justifica a existência da área de segurança da informação.
Sobre os ativos, assinale a alternativa correta
E. 
Ativo é tudo aquilo que a empresa tem e que representa parte da informação desta, podendo ser físico ou digitalizado.
Por que esta resposta é a correta?
Ativo é tudo aquilo que armazena o todo ou parte da informação de uma empresa. Esses ativos podem ser físicos, como, por exemplo, um papel; ou informatizados, como um banco de dados.
3. 
Sobre a segurança da informação e alguns dos motivos para se preocupar e investir nela, assinale a alternativa correta.
C. 
A principal forma de evitar problemas com sequestro de dados é utilizar softwares originais, mantendo estes sempre atualizados.
Por que esta resposta é a correta?
Alguns tipos de falha em sistemas não são consideradas falhas de segurança, como, por exemplo, as falhas de preenchimento de formulários, as quais são classificadas como falhas funcionais. Algumas falhas de segurança podem causar danos financeiros graves para as empresas e para os clientes, sendo um exemplo dessa situação, casos em que existe a perda ou o vazamento de dados de clientes. Evitar vazamento de dados é um compromisso da área de segurança da informação, independentemente da forma como esses dados são armazenados. Além da preocupação com o vazamento e a perda de dados, os responsáveis pela segurança da informação devem garantir sempre a utilização de softwares autênticos e atualizados para evitar sequestro de dados.
4. 
No contexto de segurança de computadores, confidencialidade é evitar a revelação não autorizada de informação, ou seja, confidencialidade envolve a proteção de dados, propiciando acesso apenas a aqueles que são autorizados.
Sobre as principais ferramentas utilizadas para proteger informações sensíveis, assinale a alternativa correta.
C. 
Controle de acesso: define regras e políticas que limitam o acesso à informação confidencial apenas para um usuário ou grupo específico.
Por que esta resposta é a correta?
As principais ferramentas utilizadas para proteger informações sensíveis são: encriptação, controle de acesso, autenticação, autorização e segurança física. O processo de determinação da identidade do usuário que acessa um sistema é responsabilidade da ferramenta de autenticação. A ferramenta de autorização determina se uma pessoa ou sistema tem permissão para acessar determinado recurso. A ferramenta de controle de acesso define regras e políticas que limitam o acesso à informação confidencial apenas para um usuário ou grupo específico. Outra ferramenta utilizada para auxiliar na segurança da informação é a encriptação, sendo esta a transformação da informação, usando um segredo, chamado de chave de encriptação, de modo que essa informação apenas possa ser lida utilizando outro segredo, chamado de chave de decriptação. Um sistema de encriptação deve sempre ser decriptado apenas com o uso da chave de decriptação e de forma que seja extremamente difícil quebrá-lo sem a chave de decriptação.
5. 
Um aspecto importante de segurança da informação é zelar pela integridade dos dados. A integridade é a propriedade que visa a garantia de que a informação não foi alterada de maneira não autorizada. Para isso, existem várias ferramentas especialmente projetadas para apoiar nesse processo.
Sobre essas ferramentas, assinale a alternativa que apresenta uma ferramenta de apoio à integridade, assim como a sua definição correta.
C. 
Códigos de correção de dados: métodos para armazenar dados de tal maneira que pequenas alterações podem ser facilmente detectadas e automaticamente corrigidas.
Por que esta resposta é a correta?
Um exemplo de ferramenta que é utilizada para garantir a integridade e a disponibilidade dos dados do sistema são as cópias de segurança, mais conhecidas como backup. Estas previnem a perda de dados, seja por danos intencionais ou não. Além desta, existem outras ferramentas para a garantia da integridade, sendo a característica comum das ferramentas para obtenção de integridade o uso de redundância. Quando se fala de integridade não se refere apenas ao conteúdo de um arquivo de dados, mas também aos metadados de cada arquivo. Uma função de soma de verificação, também utilizada como ferramenta de integridade, depende do conteúdo completo do arquivo, sendo projetada de maneira que mesmo uma pequena alteração no arquivo de entrada é altamente provável de resultar em um valor de saída diferente. Somas de verificação são como detonadores usados para detectar a ocorrência de uma brecha na integridade de dados.
Conceito e Valor da Informação
1. 
Os ativos de informação são considerados os meios que a empresa utiliza para armazenar, processar e transmitir as informações, incluindo a própria informação. Assinale a alternativa que contém apenas ativos de informação.
D. 
Banco de dados, documentação de sistemas, planos de continuidade, informações arquivadas, etc.
Por que esta resposta é a correta?
Ativos da informação são tudo aquilo que armazena o todo ou parte da informação. Desta forma, apenas equipamentos ou ferramentas que contêm informações são considerados ativos. Banco de dados, documentação de sistemas, planos de continuidade, informações arquivadas são exemplos de ativos; já materiais de escritório ainda não utilizados, mobiliário, acomodações da empresa não são ativos de informação.
2. 
A informação deve ser protegida por todo o seu ciclo de vida, pois ela  passa por transformações durante este período. Assim, informações que eram confidenciais na concepção de um projeto, com o término deste, podem ser patenteadas tornando-se, assim, informações públicas. Desse modo, o ciclo de vida das informações é dividido em quatro etapas.
Sobre as quatro etapas do ciclo de vida da informação, assinale a alternativa correta.
A. 
Manuseio, armazenamento, transporte, descarte.
Por que esta resposta é a correta?
As etapas do ciclo de vida da informação são: manuseio, armazenamento, transporte e descarte.
Manuseio: trata-se do momento da criação e da manipulação da informação.
Armazenamento: trata-se do armazenamento da informação.
Transporte: momento em que a informação é transportada.
Descarte:  ato de descartar a informação quando esta deixa de ser relevante.
3. 
As empresas classificam as informações conforme suas necessidades e prioridades. Assinale a alternativa que contém a classificação correta das informações.
Pública, interna, confidencial, secreta.
Por que esta resposta é a correta?
A classificação da informação de acordo com necessidades e prioridades é dividida em: pública, interna, confidencial e secreta.
Pública – informação que pode ser pública sem danos à empresa.
Interna – informação interna, porém não causa grandes danos ao se tornar pública.
Confidencial – informação que, caso torne-se pública, causaria grandes danos à empresa.
​​​​​​​Secreta – esta informação é crítica para empresa, deve ser preservada e deve ser investido nela o maior esforço possível para sua segurança. 
4. 
A Segurança de Informação protege a informação de diversos tipos de ameaças para garantir a continuidade dos negócios, minimizar os danos e maximizar o retorno de investimentos e as oportunidades de negócio.
A Segurança da Informação é composta por três conceitos básicos. Assinale a alternativa que indica corretamente esses 3 conceitos básicos.
Confidencialidade, integridade e disponibilidade.
Por que esta resposta é a correta?
Os conceitos básicos da Segurança da Informação são: confidencialidade,integridade e disponibilidade. 
Confidencialidade: diz respeito à segurança de acesso aos dados, de forma que dados sigilosos sejam mantidos em sigilo.
Integridade: diz respeito à não violação de dados.
Disponibilidade: diz respeito ao tempo que o sistema e os dados ficam disponíveis.
5. 
Existem vários tipos de sistemas de informações e cada um pode atender a uma necessidade específica da empresa. Os sistemas de informações podem se dividir em 4 grupos. Marque a alternativa que indica corretamente os 4 grupos.
A. 
Sistemas de nível operacional, conhecimento, gerencial e estratégico.
Por que esta resposta é a correta?
Os 4 grupos de sistemas de informação são: sistemas de nível operacional, conhecimento, gerencial e estratégico.
Sistemas de nível operacional: utilizados pelos gerentes operacionais no suporte a transações elementares das organizações.
Sistemas de nível de conhecimento: permitem  às empresas integrar novos conhecimentos e controlar o fluxo de documentos.
Sistema de nível gerencial: são utilizados na tomada de decisões e no monitoramentode atividades e processos.
Sistema de nível estratégico: subsidiam a direção da empresa quanto a questões de longo prazo. 
Criptografia Assimétrica
1. 
Leia as opções abaixo e indique o tipo de criptografia no qual a chave para cifrar e decifrar é compartilhada entre remetente e destinatário.
D. 
Criptografia simétrica.
Por que esta resposta é a correta?
A criptografia simétrica utiliza chave para cifrar e decifrar, e esta é compartilhada entre remetente e destinatário. A criptografia assimétrica, criptografia WEB e criptografia quântica possuem outras funcionalidades. Já a RSA é sistema de criptografia assimétrica que usa a fatoração de 2 números primos grandes para a geração das chaves a fim de criptografar e descriptografar.
2. 
Analise as alternativas a seguir e marque a que corresponde ao modo de utilização das chaves na criptografia assimétrica.
B. 
Apenas a chave de encriptação é compartilhada.
Por que esta resposta é a correta?
Na criptografia assimétrica, compartilha-se apenas a chave de encriptação. Já, na criptografia simétrica, utiliza-se a mesma chave a fim de criptografar e descriptografar os dados.
É importante ressaltar que não existe limite técnico para o uso das chaves e, caso seja solicitada a troca de chave, consistiria em política de segurança somente.
3. 
A criptografia assimétrica utiliza de chaves e algoritmos para criptografar e descriptografar.
A seguir, temos opções de algoritmos que podem ser empregados. Verifique as alternativas e marque a que corresponde aos algoritmos usados na criptografia assimétrica.
B. 
DSS e RSA.
Por que esta resposta é a correta?
Na criptografia assimétrica, são utilizados algoritmos para criptografar e descriptografar. Dentre eles, podemos citar: Diffie-Helman, ElGamal, DSS, RSA.
PKI – infrastrutura para chaves públicas de certificados digitais; DES – algoritmo de chave simétrica considerado inseguro para os padrões atuais; TCP – conjunto de protocolos largamente utilizados na Internet; MD5 – algoritmo de hash; DMZ (zona desmilitarizada) – mantém o acesso externo separado da rede local; IMAP – protocolo de gerenciamento de e-mails; AES – algoritmo de chave simétrica; RAID – subsistema de armazenamento redundante composto de vários discos individuais.
4. 
Analise o texto a seguir.
"O usuário Carlos deseja enviar um e-mail para Adriana de modo seguro. Para isso, ele utilizará a criptografia assimétrica a fim de cifrar o conteúdo da mensagem."
Marque a alternativa que descreve o processo a ser efetuado por ambos a fim de realizar a operação.
E. 
Carlos deve criptografar a mensagem, utilizando a chave pública de Adriana. Por sua vez, ela deve descriptografar a mensagem, usando a sua chave privada.
Por que esta resposta é a correta?
Adriana não conseguirá descriptografar a mensagem, usando a chave pública ou a privada de Carlos, e também não conseguirá com a sua chave pública. Do mesmo modo, Carlos não poderá criptografar a mensagem, utilizando a chave privada de Adriana.
Portanto, Carlos deve criptografar a mensagem empregando a chave pública de Adriana. Ela precisa descriptografar a mensagem, utilizando a sua chave privada. 
5. 
Assinale a alternativa que corresponde a uma característica da criptografia assimétrica.
A. 
Usa algoritmo de chave pública.
Por que esta resposta é a correta?
A criptografia assimétrica utiliza chave pública e chave privada para minimizar o problema de troca de chaves, e a segurança é unidirecional, pois usa uma chave para cifrar e outra para decifrar.
Planejamento e Anatomia de Ataques
1. 
É notório que, com o passar dos tempos, a tecnologia evoluiu significantemente e nos trouxe diversos benefícios. Em contrapartida, estamos susceptíveis a diversos tipos de ataques. Selecione, dentre as opções a seguir, os conceitos referentes ao ataque denominado ativo.​​​​​​​
A. 
Envolve a criação de um fluxo falso.
Por que esta resposta é a correta?
Esse tipo de ataque pode ser reconhecido pela ação por meio de modificação de mensagens e de negação de serviços.
2. 
Alguns ataques são extremamente difíceis de serem detectados, pois o tráfego de mensagens ocorre, aparentemente, de maneira normal. A análise do tráfego é uma ação que pode exemplificar esse tipo de ataque. Assinale a alternativa que se enquadra nas definições aqui citadas.​​​​​​​
D. 
Ataque passivo.
Por que esta resposta é a correta?
A liberação de conteúdo da mensagem também caracteriza esse tipo de ataque, tendo em vista que o intuito é sempre o de apenas monitorar transmissões e não o de alterar algo.
3. 
Todos nós já passamos por uma situação em que, quando acessamos a nossa conta de e-mail, nos deparamos com mensagens indesejadas. Esse tipo de ação recebe um nome. Qual é?
E. 
Spam.
Por que esta resposta é a correta?
Um software malicioso pode necessitar de um programa hospedeiro, bem como pode agir de forma independente.
4. 
Existem diversos tipos de ataques, dentre eles os direcionados às organizações, sempre com o intuito de obter informações pessoais. Nesse caso, destacam-se os que envolvem transações financeiras. Assinale a alternativa que traz a expressão definida para ataques com esse tipo de perfil.​​​​​​​
C. 
Advanced Persistent Threats.
Por que esta resposta é a correta?
O objetivo desse tipo de ataque é lucrar em cima de alguém a longo prazo, mas não precisa ser “avançado” ou “persistente” para satisfazer os objetivos. É comum acontecer em ambientes sociais, governamentais, industriais e políticos.
5. 
A análise do perfil do alvo, a varredura e a enumeração, não se limitando apenas a estas, são etapas cruciais para se planejar um ataque cibernético. Pode-se afirmar que, com essas ações, é possível colher diversas informações relevantes para que o ataque ocorra. Assinale a alternativa que traz o nome e a definição correta de um dos diversos tipos de ataques.
A. 
Exploit : é específico para uma vulnerabilidade única ou para um conjunto de vulnerabilidades.
Por que esta resposta é a correta?
A grande maioria das ameaças de sistemas de computador é feita a partir programas que exploram as vulnerabilidades da máquina. Estes podem ser desde simples fragmentos até programas hospedeiros.
TEMPORADA II
Varredura de Portas e Serviços
1. 
Um sistema de detecção de intrusão (intrusion detection system - ISD) é utilizado para detecção de atividades maliciosas em uma rede ou, até mesmo, em um computador específico, podendo este ser pessoal ou corporativo. Assinale a alternativa que traz uma das possíveis ameaças que o ISD é capaz de detectar.​​​​​​​
E. 
O acesso a funcionalidades do sistema – as quais não condizem com o perfil do usuário – caracteriza a ação de um infrator.
Por que esta resposta é a correta?
O IDS possui um gerente que compila dados dos sensores IDS pra que seja determinado se ocorreu ou não uma intrusão. Para isso, existem diversas regras e condições estatísticas que definem prováveis intrusões.
2. 
No decorrer dos anos, os sistemas computacionais passaram por diversas mudanças. Entretanto, deve-seter em mente que algumas características acabaram sendo herdadas, uma delas é o acesso à Internet. Contudo, muitos ainda acreditam que todos os sistemas são sempre confiáveis. Assinale a alternativa que traz o conceito acerca da etapa de reconhecimento de perfil.
A. 
É um processo que pode ser realizado em uma base de dados do tipo WHOIS, na qual o hacker busca informações de domínio, contatos e endereços IP.
Por que esta resposta é a correta?
Essas informações são públicas na Internet e acessá-las não representa nenhum tipo de delito. No Brasil, o registro BR é o responsável pela base de dados de qualquer empresa .br.
3. 
Conforne Goodrich et al. (2013,p.302), "qualquer técnica que permita a um usuário enumerar quais portas em uma máquina estão aceitando conexões é conhecida como varredura de porta. " Assinale a alternativa que traz o conceito acerca dos aspectos que representam um ponto de contato entre a Internet e a aplicação que está ouvindo essa porta particular.​​​​​​​
B. 
Portas abertas.
Por que esta resposta é a correta?
Num contexto em que haja a descoberta de uma vulnerabilidade do serviço remoto, um atacante poderia elaborar uma exploração que causaria uma condição de overflow de buffer nesse serviço, permitindo a execução de código remoto e controle completo da máquina alvo. Evitar o acesso à porta que estivesse executando esse serviço poderia impedir, com sucesso, a exploração.
4. 
Como pode ser difícil encontrar uma zumbi com números de sequência previsíveis, essa varredura não é frequentemente utilizada na prática, porém, fornece uma maneira eficaz de fazer uma varredura em um alvo sem deixar qualquer registro do endereço IP do atacante na rede-alvo. Sobre qual tipo de varredura estamos falando?​​​​​​​
C. 
Varredura ociosa.
Por que esta resposta é a correta?
É um tipo de varredura que procura outra máquina, conhecida como “zumbi”, que tenha números de sequência TCP previsíveis . O atacante pode usar a implementação fraca do TCP na máquina zumbi como uma ferramenta para realizar uma varredura de portas em um alvo separado, sem deixar nenhuma evidência na rede-alvo.
5. 
A possibilidade de se conectar a host(s)-alvo(s), a análise de host-alvo para descobrir serviços que estão armazenados e sendo executados nele e a verificação de vulnerabilidades conhecidas são características de qual etapa de um ataque malicioso?​​​​​​​
D. 
Serviços de varredura/escaneamento.
Por que esta resposta é a correta?
Esses recursos foram desenvolvidos, originalmente, para ajudar profissionais de segurança e administradores de sistemas a examinarem redes em busca de vulnerabilidades de segurança.
Funções Hash
1. 
Qual é o conceito de função de hash?
D. 
Algoritmo matemático que transforma dados originais, de tamanho variável, em dados menores, de tamanho fixo.
Por que esta resposta é a correta?
A função de hash, ou resumo, é um algoritmo matemático que faz a transformação de uma grande quantidade de dados, com tamanho variável, em pequenos dados, de tamanho fixo. As funções de hash são conhecidas por resumirem os dados, tendo como principal objetivo a comparação de dados grandes ou sigilosos.
2. 
São características das funções de hash:
C. 
unidirecionalidade, resistência à colisão e recorrência.
Por que esta resposta é a correta?
As principais características das funções de hash são a unidirecionalidade: é impossível recuperar um dado partindo do seu hash; a resistência à colisão: evitar ou saber lidar com as possíveis colisões de hashes gerados; e a recorrência: sempre que a função for aplicada, o mesmo hash será gerado.
3. 
Como é o funcionamento básico de uma função de hash?
E. 
Uma função é aplicada nos dados originais de tamanho variável, gerando um conjunto de dados de hash ou resumo, menor que o original, de tamanho fixo.
Por que esta resposta é a correta?
O funcionamento básico de uma função de hash envolve uma função matemática, que é aplicada em um conjunto de dados, gerando um outro número aleatório, bem menor, conhecido como hash ou resumo. O bloco de dados gerado pela função de hash tem um comprimento fixo, enquanto que os dados de entrada apresentam tamanho variável. Qualquer que seja o comprimento dos dados de entrada, o hash de saída vai ser sempre com o mesmo comprimento.
4. 
São conhecidos algoritmos de hash:
B. 
MD5 e SHA-1.
Por que esta resposta é a correta?
Atualmente, as funções de hash mais conhecidas são algoritmos que geram resumos de 16 bytes ou de 128 bits. Os mais comuns são os algoritmos da família MD e, também, os algoritmos da família SHA: MD4, MD5, MD6, SHA-0, SHA-1, SHA-2 e SHA-3.
5. 
O principal motivo para os ataques às funções hash é:
A. 
provar que os algoritmos utilizados estão obsoletos.
Por que esta resposta é a correta?
O principal motivo para os ataques às funções hash é provar que a tecnologia que utilizam está obsoleta, que é hora de mudar e que é necessário passar a utilizar um outro algoritmo para uma determinada aplicação.
Análise de vulnerabilidade em serviços de informação
1. 
Por que as vulnerabilidades são uma das maiores preocupações da área de segurança da informação?
B. 
As vulnerabilidades podem permitir que uma tentativa de ataque seja bem-sucedida, resultando em perda da integridade da informação.
Por que esta resposta é a correta?
As vulnerabilidades são uma das maiores preocupações da segurança da informação, pois deixam os sistemas e as informações armazenadas por eles expostos para atacantes. Elas reduzem a segurança da informação, permitindo que uma tentativa de ataque seja bem-sucedida, o que resulta na perda da integridade da informação.
2. 
O ataque de negação de serviço ataca principalmente qual dos atributos da segurança da informação?
A. 
Disponibilidade.
Por que esta resposta é a correta?
A negação de serviço é um ataque à disponibilidade das informações, pois consiste na impossibilidade de executar funcionalidades básicas e na interrupção dos serviços de servidores, causando impedimento na máquina ou sistema atacados.
3. 
Quais são os 2 tipos gerais de ataques de negação de serviço?
E. 
Negação de serviço ou denial of service (DoS) e negação de serviço distribuída ou distributed denial of service (DDoS).
Por que esta resposta é a correta?
Os ataques de negação de serviço se dividem em negação de serviço ou denial of service (DoS), em que o atacante utiliza uma máquina de excelente configuração para atacar a da vítima, e negação de serviço distribuída ou distributed denial of service (DDoS), por meio da qual o atacante usa um computador-master e vários computadores-zumbis para atacar a máquina-vítima ao mesmo tempo.
4. 
São formas de ataque ou subdivisões dos ataques de negação de serviço:
D. 
Por inundação, de vulnerabilidade e na infraestrutura de rede.
Por que esta resposta é a correta?
Os ataques de negação de serviço podem ser: por inundação, por amplificação, na infraestrutura da rede, de vulnerabilidade e de protocolo.
5. 
Uma das medidas mais comuns para prevenir um ataque de negação de serviço é a utilização de servidores proxy. Como ele funciona?
C. 
O servidor proxy funciona como ponte entre a Internet e a máquina-vítima, filtrando o tráfego indesejado e deixando passar o verdadeiro.
Por que esta resposta é a correta?
A utilização de servidores proxy consiste na análise das requisições às máquinas da rede, funcionando como ponte entre a Internet e o computador-vítima. Esse tipo de servidor filtra o tráfego indesejado, permitindo que o tráfego verdadeiro passe.
Assinatura Digital
1. 
A assinatura digital traz inúmeras vantagens aos usuários, dentre elas a economia no armazenamento, no volume e no envio de papéis. A seguir, marque o item que apresenta outra informação correta quanto à assinatura digital.
C. 
É uma forma de provar a autenticidade das informações contidas em documentos digitais em substituição às assinaturas convencionais, que validam documentos em papel.
2. 
O que é e para que serve a Infraestrutura de Chaves Públicas (ICP)?
E. 
A ICP-Brasil é um sistema de serviços,de políticas e de recursos que permite a autenticação das partes envolvidas em uma transação digital.
Por que esta resposta é a correta?
A Infraestrutura de Chaves Públicas, conforme você viu nesta Unidade, é um sistema de serviços, de políticas e de recursos que dá suporte para a utilização de criptografia de chave pública, possibilitando fazer a autenticação das partes envolvidas em uma transação digital. Ela gerencia os certificados digitais e, também, as chaves públicas.
3. 
Sobre a criptografia simétrica, é correto afirmar que:
B. 
utiliza somente uma chave secreta para codificar e decodificar a mensagem.
Por que esta resposta é a correta?
A criptografia simétrica utiliza uma chave única, conhecida como chave secreta. Esta é usada para codificar e decodificar a mensagem e é conhecida por todos os envolvidos na transação.
4. 
Sobre a criptografia assimétrica, é correto afirmar que:
A. 
utiliza uma chave pública para codificar a mensagem e uma chave privada para decodificar a mensagem.
Por que esta resposta é a correta?
A criptografia assimétrica utiliza um par de chaves, sendo uma pública e uma privada. A chave pública será utilizada para codificar a mensagem e é conhecida por todos os envolvidos na transação. A chave privada será utilizada para decodificar a mensagem e é conhecida somente pelo destinatário da mensagem.
5. 
O que diz a Medida Provisória n.º 2.200-2/2001 a respeito da autoridade oficial de gestão de certificados digitais?
D. 
A ICP-Brasil é a autoridade oficial para gerenciar certificados digitais, mas considera a utilização de outros meios de validação.
Por que esta resposta é a correta?
Conforme a Medida Provisória nº 2.200-2/2001, a ICP-Brasil é a autoridade oficial para gerenciar a geração de certificados digitais válidos. No entanto, tenha em mente que ela não impede que outras entidades ou meios sejam usados para a validação, desde que as partes envolvidas na transação concordem com a sua utilização.
TEMPORADA III
Protocolo de Autenticação de Acesso Remoto
1. 
O que é acesso remoto?
D. 
É a tecnologia que possibilita que um dispositivo conecte-se remota e não fisicamente a um servidor para que troquem informações de maneira segura e confiável.
Por que esta resposta é a correta?
É a tecnologia que possibilita que um dispositivo acesse um servidor privado, de maneira remota, sem que precise estar conectado fisicamente à rede. Seu objetivo é estabelecer um ambiente de trabalho com operações autenticadas, que faça a troca de informações de maneira segura e confiável.
2. 
O que é autenticação de acesso?
A. 
A autenticação envolve o usuário, que quer estabelecer o acesso remoto, e uma unidade autenticadora, que se vale de um conjunto de regras que irão executar a validação do acesso do indivíduo ou dispositivo.
Por que esta resposta é a correta?
A autenticação do acesso é o que assegura que um dispositivo ou indivíduo é quem está dizendo ser. Para que a autenticação seja feita com sucesso, é necessária a implementação de um conjunto de regras pré-estabelecidas, e estas envolverão verificações para validar o nível de segurança necessário.
3. 
São métodos de autenticação de acesso remoto:
B. 
TELNET e SSH.
Por que esta resposta é a correta?
O TELNET é um protocolo de autenticação usado para fazer a comunicação de dispositivos ligados em rede não segura, pois os dados não são codificados até chegarem ao destino. Já o SSH é um método extremamente seguro de comunicação, que criptografa os dados na saída para o destino e os descriptografa quando são entregues.
4. 
Quais são os principais elementos envolvidos no método Secure Shell (SSH)?
E. 
Autenticação, cifragem e integridade.
Por que esta resposta é a correta?
O SSH envolve autenticação, para determinar a identidade de alguém e estabelecer a conexão somente se o acesso for autorizado; cifragem, para fazer a criptografia e embaralhar os dados até que estes cheguem ao destino; e integridade, garantindo que a informação chegará íntegra ao seu destino, sem sofrer alterações.
5. 
Por que se diz que a Virtual Private Network (VPN)trabalha com tunelamento seguro?
A. 
Porque ela estabelece uma ligação entre o dispositivo e o servidor requerido, e os dados trafegam através de uma espécie de túnel protegido, pois são criptografados na saída e descriptografados somente na chegada ao destino.
Por que esta resposta é a correta?
A VPN estabelece uma ligação entre o dispositivo e o servidor requerido, para que eles possam compartilhar conteúdo entre si através de um caminho protegido na Internet, a um custo menor que o de equipamentos wireless ou que o da conexão de duas pontas por cabo de rede, por exemplo. A VPN usa criptografia e codificação de informações, e, assim que os dados chegam ao destinatário, são descriptografados e podem ser acessados normalmente pelo usuário autorizado.
Infraestrutura de Chaves Públicas
1. 
O que é um certificado digital?
B. 
É um documento eletrônico que é assinado digitalmente por uma autoridade certificadora da ICP-Brasil.
Por que esta resposta é a correta?
Um certificado digital é um documento eletrônico que é assinado digitalmente por uma autoridade certificadora pertencente à ICP-Brasil. Ele contém informações do emissor, do seu titular, da chave pública e da sua validade, que, para usuários finais, varia de 1 a 3 anos. Normalmente, os certificados digitais são armazenados em forma de arquivo.
2. 
O que é uma infraestrutura de chaves públicas?
E. 
É uma cadeia hierárquica de confiança que viabiliza a emissão de certificados digitais, que servirão para fazer a identificação virtual de alguém.
Por que esta resposta é a correta?
A ICP é um conjunto de recursos, serviços e políticas que fornece apoio à utilização de criptografia de chave pública para fazer a autenticação das partes envolvidas em uma transação. Ela serve para gerenciar os certificados digitais por meio de uma cadeia hierárquica de confiança, que viabiliza a sua emissão, visando à identificação virtual de alguém.
3. 
O que é criptografia simétrica?
A. 
É o processo que criptografa e descriptografa mensagens, utilizando apenas uma chave, que é privada.
Por que esta resposta é a correta?
A criptografia simétrica é o processo de criptografar e descriptografar mensagens, utilizando uma mesma chave, que é compartilhada entre as partes envolvidas na transação.
4. 
O que é criptografia assimétrica?
D. 
É o processo que criptografa, utilizando uma chave pública, e descriptografa, utilizando uma chave privada, ou seja, utiliza um par de chaves para fazer o processo de comunicação.
Por que esta resposta é a correta?
A criptografia assimétrica é o processo de criptografar e descriptografar mensagens, utilizando um par de chaves, ou seja, uma chave para fazer a criptografia e outra chave para fazer a descriptografia dos dados. Somente uma parte tem a chave privada, que é usada para descriptografar, e todas as partes têm acesso à chave pública, que é usada para criptografar.
5. 
Estão entre as principais autoridades certificadoras da ICP-Brasil:
C. 
SERPRO e AC Defesa.
Por que esta resposta é a correta?
O SERPRO e a AC Defesa estão entre as principais autoridades certificadoras da ICP-Brasil. O SERPRO foi a primeira autoridade certificadora credenciada na ICP-Brasil, e a AC Defesa garante a emissão e o fornecimento de certificados digitais para o Ministério da Defesa.
Técnicas e tecnologias disponíveis para defesa da informação
1. 
Quais são os pilares da segurança da informação?
B. 
Disponibilidade, confidencialidade, autenticidade e integridade.
Por que esta resposta é a correta?
Os fundamentos da segurança da informação são: a disponibilidade, que envolve o fato de um sistema de informação ficar disponível pelo máximo de tempo possível; a confidencialidade, que é o fato de a informação ser divulgada somente para quem tem autorização de acessá-la; a autenticidade, que diz que quanto mais próxima da original for uma informação que chega ao destinatário, mais confiável ela será; e a integridade, que é o fato de uma informação chegar ao destinatário inalterada.2. 
Quais são os tipos de mecanismos de segurança utilizados na segurança da informação?
C. 
Controles físicos e lógicos.
Por que esta resposta é a correta?
A segurança da informação se utiliza de: controles físicos, que são barreiras materiais que limitam ou impedem o acesso às informações ou à infraestrutura onde elas se encontram; e controles lógicos, que são barreiras abstratas que limitam ou impedem o acesso às informações que estão em ambientes controlados.
3. 
O que é phishing?
E. 
É um tipo de ataque que normalmente se configura em forma de mensagem.
Por que esta resposta é a correta?
O phishing é um tipo de ataque que normalmente vem em forma de mensagem. Por isso é comum que seja um e-mail com uma mensagem parecida com a que seria enviada originalmente de alguma instituição conhecida, na tentativa de fazer o leitor aceitar o que está escrito e ainda executar, por vontade própria, a instalação de algum programa, serviço ou arquivo danoso no seu próprio dispositivo
4. 
O que são ataques do tipo scan?
A. 
São varreduras feitas nos computadores da rede para analisar seus detalhes e seus serviços disponíveis.
Por que esta resposta é a correta?
O scan envolve varreduras feitas em redes de computadores com o objetivo de identificar as máquinas ativas e os serviços que podem estar sendo disponibilizados por elas, visando a analisar detalhes dos computadores que estão ligados na rede.
5. 
Assinale a alternativa que contém técnicas de defesa para ataques a informações.
D. 
Antivírus, biometria, cartão inteligente.
Por que esta resposta é a correta?
Antivírus são programas desenvolvidos para fazer a prevenção, a detecção e a eliminação de vírus encontrados no dispositivo. Biometria é um mecanismo utilizado para reconhecer pessoas baseando-se em suas características físicas. Cartão inteligente é um documento eletrônico assinado digitalmente por uma autoridade certificadora pertencente à ICP-Brasil.
Modelo de Segurança em Ambientes Cooperativos
1. 
No ambiente cooperativo:
D. 
várias organizações se conectam em rede e cooperam entre si para atingirem objetivos em comum.
Por que esta resposta é a correta?
Várias organizações trocam informações por meio da integração entre as suas redes (não apenas filiais). As partes cooperam entre si para atingir objetivos em comum, importantes para que qualquer tipo de organização tenha sucesso na sua atividade. Ou seja, a empresa não isola sua rede interna das demais, a fim de evitar problemas de segurança. Também não cria uma conexão entre a sua matriz e as suas filiais, mas não se permitem clientes ou fornecedores compartilhando a rede.
2. 
Escolha a alternativa que melhor completa a frase.
Em um ambiente cooperativo, quanto maior for a conectividade entre as partes:
C. 
maior será a possibilidade de um ataque acontecer, e por isso aumenta a preocupação com a segurança da informação. 
Por que esta resposta é a correta?
Em um ambiente cooperativo, quanto maior for a conectividade entre as partes, maior será a possibilidade de um ataque acontecer, devido ao aumento das oportunidades trazido pela quantidade de partes envolvidas na troca de informações e pela interação entre os diferentes ambientes, o que resulta num aumento considerável dos pontos de vulnerabilidade.
3. 
Para que servem as regras de filtragem ou de conexão?
A. 
Servem para proteger máquinas públicas da organização e locais que separam a organização do ambiente externo.
Por que esta resposta é a correta?
As regras de filtragem ou de conexão serão necessárias para proteger tanto máquinas públicas da organização quanto locais que separam a organização do mundo exterior. Ou seja, não servem para definir quais pessoas vão poder fazer parte do ambiente cooperativo, nem o tipo de conectividade entre os computadores de uma área da empresa. Também não servem para estabelecer quantos usuários poderão se conectar ao mesmo tempo na rede interna da empresa, tampouco estipular os tipos de vírus que serão excluídos das máquinas dos usuários em tempo real de conexão.
4. 
Quem são os insiders?
B. 
São pessoas de dentro da própria organização que representam ameaças maliciosas, como, por exemplo, funcionários insatisfeitos.
Por que esta resposta é a correta?
São pessoas de dentro da própria organização que configuram ameaças maliciosas, podendo ser funcionários insatisfeitos, ex-funcionários, terceirizados ou parceiros de negócios. Ou seja, não são pessoas de fora que atacam as informações da organização, conhecidos como engenheiros sociais, nem clientes que desejam se conectar à rede da empresa para conhecer os preços dos produtos. Também não são parceiros de negócios que atuam como patrocinadores, devido ao alto custo das infraestruturas de rede da atualidade, tampouco são os atacantes que se utilizam do phishing para invadir as informações de uma organização.
5. 
Qual é o objetivo de um firewall cooperativo?
E. 
Facilitar a administração da segurança da informação, posicionando e integrando as tecnologias para que o ambiente e os usuários fiquem protegidos.
Por que esta resposta é a correta?
O objetivo de um firewall cooperativo é facilitar a administração da segurança da informação no ambiente cooperativo, posicionando corretamente e integrando tecnologias específicas para que o ambiente e os usuários fiquem protegidos. Ou seja, seu objetivo não é auxiliar os funcionários a entrar em sites da Internet durante o horário de expediente, nem impedir que máquinas ligadas à Internet possam se conectar à rede interna da organização. Também não é impedir que os computadores da rede interna da organização se conectem à Internet, evitando problemas de segurança, tampouco instalar os aplicativos antivírus necessários à proteção em todas as máquinas da rede interna da organização e das partes envolvidas.
TEMPORADA IV
Normas de Segurança em TI
1. 
Qual o objetivo das normas da família ISO 27000?
B. 
As normas ISO 27000 visam à implementação de um SGSI, desde a sua criação até o seu funcionamento e sua melhoria.
Por que esta resposta é a correta?
As normas da família ISO 27000 visam à criação, manutenção, melhoria, revisão, ao funcionamento e à análise de um Sistema de Gestão de Segurança da Informação.
2. 
Quais são os princípios básicos de um Sistema de Gestão de Segurança da Informação?
A. 
Confidencialidade, autenticidade, disponibilidade e integridade. 
Por que esta resposta é a correta?
Os princípios básicos de um SGSI são: confidencialidade (a informação é divulgada somente para quem tem autorização para acessá-la), autenticidade (a informação veio do remetente informado e não foi alterada por alguém desautorizado), disponibilidade (a informação é disponibilizada pelo máximo de tempo possível, resistindo a falhas de equipamento e de energia) e integridade (a informação chega ao destinatário como o remetente queria, sigilosa e só com as alterações permitidas).
3. 
Qual o objetivo das normas da família ISO 31000?
C. 
Servir de guia e diretriz para todos os tipos de gestão de riscos.
Por que esta resposta é a correta?
As normas da ISO 31000 têm como objetivo servir de guia, trazendo informações e diretrizes que auxiliem em todos os tipos de gestão de riscos, inclusive na tomada de decisão em todos os níveis organizacionais.
4. 
Segundo a norma ISO 31000, quais os requisitos necessários para uma gestão de riscos de sucesso?
E. 
Comunicação e consulta, estabelecimento do contexto, identificação, análise, avaliação, tratamento de riscos, monitoramento e análise crítica.
Por que esta resposta é a correta?
Os requisitos para uma gestão de riscos de sucesso são: comunicação consulta, estabelecimento do contexto, identificação de riscos, análise de riscos, avaliação de riscos, tratamento de riscos, monitoramento e análise crítica.
5. 
Quais são os subplanos que compõem um plano de gestão da continuidade de negócios?
D. 
Planos de: contingência, gerenciamento de crises, recuperação de desastres e continuidade operacional.
Por que esta resposta é a correta?
Os 4 subplanos envolvidos em um plano de gestão da continuidade de negóciossão: plano de contingência (utilizado quando as ações de prevenção de incidentes falharem), plano de gerenciamento de crises (funções e responsabilidades de cada equipe envolvida nas ações de contingência), plano de recuperação de desastres (usado para que a organização retome seus níveis originais de operação e produção), e plano de continuidade operacional (restabelece o funcionamento dos processos que suportam a operação da empresa).
Recursos de Autenticação
1. 
Para que serve um recurso de autenticação?
B. 
Serve para comprovar se o usuário é quem ele realmente está dizendo ser.
Por que esta resposta é a correta?
O recurso de autenticação serve para verificar a identidade digital de um usuário, confirmando se ele realmente é quem diz ser.
2. 
Quais são os princípios nos quais se baseiam os recursos de autenticação?
A. 
O que o usuário sabe, tem ou é.
Por que esta resposta é a correta?
Os princípios dos recursos de autenticação são: o que o usuário sabe (envolve algo que ele saiba ou conheça), o que o usuário tem (envolve algo que ele tem ou possui), e o que o usuário é (envolve uma característica física dele).
3. 
Quais são os processos que formam o controle de acesso?
E. 
Identificação, autenticação, autorização e auditoria.
Por que esta resposta é a correta?
O processo de controle de acesso é formado pela união dos processos ou serviços de identificação, autenticação, autorização e auditoria de usuários para entrada em um sistema.
4. 
Para que serve o processo de controle de acesso?
D. 
Serve para restringir o acesso a um sistema, permitindo ou negando o acesso de usuários conforme suas permissões.
Por que esta resposta é a correta?
O processo de controle de acesso serve para restringir o acesso a um sistema. Ele tem o objetivo de permitir ou negar acesso à utilização de um objeto – que pode ser uma funcionalidade, um arquivo ou um sistema – por um sujeito – que pode ser um usuário, um processo ou até mesmo um outro sistema.
5. 
São recursos de autenticação:
C. 
senha, token e biometria.
Por que esta resposta é a correta?
Alguns dos principais tipos de recursos de autenticação são: senhas, tokens, cartões inteligentes e sistemas biométricos.
Aplicação de Normas, Padrões Internacionais ​​​e Certificações
1. 
1.    Por que os clientes podem vir a exigir, para fechar um negócio, que as organizações sejam certificadas ou demonstrem sua vinculação a uma norma ou padrão internacional?
D. 
Porque, assim, a empresa demonstra sua preocupação com boas práticas internacionais e com a qualidade do que faz.
Por que esta resposta é a correta?
Porque, sendo certificada ou seguindo as diretrizes de uma norma, a organização demonstra que está preocupada com as boas práticas internacionais, o que assegura a qualidade de seus produtos e serviços com relação à gestão, à segurança, à inovação e aos processos.
2. 
2.    São exemplos de macroáreas estabelecidas na Norma 17799:
B. 
controle de acessos e política de segurança.
Por que esta resposta é a correta?
As macroáreas estabelecidas pela Norma 17799 são: política de segurança, segurança organizacional, classificação e controle dos ativos de informação, segurança de recursos humanos, segurança física e do ambiente, gerenciamento das operações e comunicações, controle de acessos, desenvolvimento e manutenção de sistemas de informação, gestão de continuidade de negócios e conformidade.
3. 
3.    O que é um ativo, segundo a norma ISO 27002?
A. 
É qualquer coisa para a qual a organização atribua valor e importância, devendo ser protegido.
Por que esta resposta é a correta?
Um ativo é qualquer coisa que tenha importância e valor para a organização e que, por isso, precisa ser protegido de alguma maneira. Os ativos devem ser identificados, avaliados e ter regras para o tipo de uso a que se destinam, para que a organização possa manter um inventário deles.
4. 
4.    Para um profissional, para que serve uma certificação em segurança da informação?
C. 
Serve como forma de valorizar seu currículo, atestando sua vasta experiência em determinado assunto.
Por que esta resposta é a correta?
Uma certificação serve para valorizar o currículo dos profissionais que a possuem, representando uma espécie de atestado de que o indivíduo certificado tem grande conhecimento ou experiência nos assuntos relacionados à certificação obtida.
5. 
5.    Qual é a certificação mais adequada para quem está começando como profissional de segurança da informação?
E. 
 ISO 27002.
Por que esta resposta é a correta?
A certificação ISO 27002 é a certificação que serve para quem está começando como profissional da área de segurança da informação, pois seu foco está nos conceitos básicos de segurança da informação, o que vai auxiliar na compreensão de quais são as informações vulneráreis em uma organização e quais são as medidas mais adequadas para protegê-las.
Uma certificação serve para valorizar o currículo dos profissionais que a possuem, representando uma espécie de atestado de que o indivíduo certificado tem grande conhecimento ou experiência nos assuntos relacionados à certificação obtida.
Identificação e Solução de Problemas Reais
1. 
São problemas reais de segurança da informação:
B. 
 roubos de informações.
Por que esta resposta é a correta?
Os roubos de informações, juntamente com os ataques de vírus e a indisponibilidade de serviços, são alguns dos problemas reais de segurança da informação mais comuns. Disponibilidade de serviços, integridade de informações, confidencialidade e restrição de acesso são objetivos da segurança da informação.
2. 
Para solucionar problemas relativos à segurança da informação e até mesmo evitá-los, é importante:
A. 
garantir o sigilo das informações e ter controles de acesso bem definidos.
Por que esta resposta é a correta?
Para evitar problemas de segurança da informação é fundamental garantir o sigilo das informações, ferramentas de segurança atualizadas, backup periódico das informações, plano de continuidade de negócio, controles de acesso bem definidos para os usuários que precisam e elaborar uma boa política de segurança da informação, que inclua a gestão e todos os demais envolvidos na empresa. 
3. 
Por que o fator humano é tão importante para a segurança da informação?
E. 
Porque são as pessoas que comandam as organizações e utilizam os sistemas, portanto são elas que garantem o sucesso da segurança na informação.
Por que esta resposta é a correta?
O fator humano é importante para a segurança da informação, pois é o que assegura que se tire proveito do que a tecnologia proporciona, uma vez que são as pessoas que comandam as organizações, desenvolvem e utilizam os sistemas. Além disso, é normal que as pessoas cometam erros na realização das atividades, por isso a importância de mantê-las atualizadas sempre.
4. 
O que é engenharia social?
D. 
É um método de ataque à segurança da informação.
Por que esta resposta é a correta?
A engenharia social é um método de ataque à segurança da informação, no qual o invasor utiliza a persuasão, abusando da ingenuidade, da confiança e da falta de habilidade do usuário, para obter informações que podem ser utilizadas para efetivar acessos não autorizados a informações ou a computadores. Ou seja, não está relacionada à conscientização das empresas a respeito de questões ambientais e sociais, nem às políticas educacionais, tampouco à Engenharia Civil.
5. 
São métodos de testes de segurança da informação:
B. 
injeção de código e força bruta.
Por que esta resposta é a correta?
Os principais métodos de testes de segurança da informação são: sondagem e mapeamento, força bruta, avaliação de servidores, análise do tráfego e injeção de código. Não estão nessa lista: ataque de vírus, análise de acessos, conscientização de usuários e política de segurança ou envolvimento da alta gestão.