Prévia do material em texto

Cybersecurity
Professor(a): Marcelo Ramillo (Especialização)
1)
2)
O Programa de dependência e recuperação (PDR) é a última oportunidade de conquistar a sua APROVAÇÃO na disciplina. A avaliação é
realizada eletronicamente, composta por questões objetivas e é permitida a consulta ao material de estudos. Ela tem duração de 30 (trinta)
dias corridos para realização e você tem até três tentativas para “Enviar” as questões, que são automaticamente corrigidas. Boa prova!
A política de segurança deve ser um fator importantíssimo para proteção aos diferentes serviços e recursos em se tratando de nuvem.
Tratando-se do modelo IaaS (Infrastructure as a Service), fica ainda mais complexo estabelecer regras de segurança devido À
arquitetura ampla de serviços. Neste caso, podemos afirmar que as principais ameaças à segurança são:
I. Uma falha de segurança pode aparecer em qualquer lugar em sua infraestrutura de nuvem. Testes de penetração, em muitos casos,
irão identificá-los e realizar a correção.
II. As ameaças podem se esconder em seu ambiente de nuvem e esperar o momento perfeito para atacar. Monitorar seu ambiente de
nuvem poderá identificar ameaças ocultas e tomar medidas proativas para removê-las.
III. Sem direitos de acesso aos seus dados armazenados em sua nuvem, a menos que tenha a autorização adequada. Ao gerenciar
controle de acesso por meio da aprovação de políticas de controle de acesso, permite que você monitore quem tenta entrar em seu
ambiente de nuvem.
IV. Às vezes, a ameaça à segurança de suas tecnologias de nuvem é sua própria empresa e seus funcionários. Um funcionário que faz
mau uso de seu ambiente de nuvem, seja por negligência ou falta de conhecimento, pode abrir as portas para atores prejudiciais que
procuram invadir sua estrutura.
V. É possível que sua empresa troque de provedor, deixando o ambiente de nuvem que está usando atualmente. Estabelecer políticas de
exclusão de dados na nuvem impede que, ao migrar para um novo provedor, os dados fiquem disponíveis na estrutura anterior.
São verdadeiras:
Alternativas:
II – III – IV – V.
I – II – IV.
I – II – IV – V.
I – II – III – IV.
I – II – III – IV – V.  CORRETO
Código da questão: 60028
Após um incidente de segurança, uma variável de ransomware criptografou todos os dados de um servidor Windows de arquivos;
você não tem um plano de restauração pronto para executar. Quais serão suas iniciativas em um primeiro momento? Assinale a
alternativa correta:
Alternativas:
Tentar entrar em contato com o atacante solicitando o valor de resgate.
Reinstalar o sistema operacional mantendo os arquivos.
Rever o último backup de dados realizado, reinstalar o sistema operacional em outro servidor e voltar o backup para validar. 
CORRETO
Tentar descobrir se existe uma forma de vacina para corrigir o problema.
Acessar o sistema operacional e restaurar a um estado do sistema mais antigo.
Resolução comentada:
a afirmação I é correta, bugs em sistemas de terceiros são comuns em apresentar falhas abrindo brechas e provocando
vulnerabilidades que poderão ocasionar invasão. A II é correta, um malware pode se manter escondido em seu ambiente de nuvem
e esperar o momento perfeito para atacar. Por meio de monitoramento, você poderá acompanhar seu ambiente e identificar sua
ação no início sem ter grandes perdas. A III é correta, no controle de acesso, é possível identificar acessos múltiplos por erro de
senhas e bloquear de onde está partindo a conexão. Além de estabelecer privilégios conforme o nível de cada colaborador,
restringindo acessos às informações confidenciais. A IV é correta, é um dos maiores desafios você desconfiar de alguém que tem
uma relação de confiança dentro de um sistema. Existe uma proporção enorme de ataques internos que causam grandes
prejuízos. Por isso o treinamento é importante. E a V é correta, além do caso apresentado na resposta, pode ser necessário excluir
os dados de um ex-cliente. Independente de qual seja o caso, haverá dados que você precisará excluir do seu ambiente de nuvem
em algum momento.
Resolução comentada:
3)
4)
5)
Código da questão: 60050
_____________é um tipo de fraude, cujo objetivo é obter acesso a dados confidenciais, como ___________ e __________. O usuário
pensa que está indo para o site ___________, mas na verdade é redirecionado para um site falso. Os usuários são seduzidos por
mensagens que supostamente vêm de ___________ confiáveis.
Assinale a alternativa que completa adequadamente as lacunas:
Alternativas:
Ataque negação de serviço; número de cartão crédito; código de segurança; seguro; clientes.
Phishing; número de cartão crédito; código de segurança; seguro; contatos
Phishing; usuário; senha; seguro; remetentes.  CORRETO
Torrent; usuário; senha; seguro; acesso a dados.
Injeção SQL; credencial de rede; senha; seguro; acesso a dados.
Código da questão: 59996
É dever da TI compreender a importância de cada sistema, aplicativos, tráfego de dados, tipos de armazenamentos e maneiras de
conexões para atender aos requisitos de segurança e não correr riscos de indisponibilidade nos serviços. A partir desta compreensão,
que ações deverão ser desenvolvidas pela tecnologia da informação para evitar que ataques direcionados sejam bem-sucedidos?
Assinale a alternativa correta.
Alternativas:
• Treinamento de conscientização de funcionários e processos de negócios.
Hardware e software, treinamento de conscientização de funcionários, planos de restauração.
Planos de restauração, treinamento de conscientização de funcionários e processos de negócios.
Análises de riscos, treinamento de conscientização de funcionários.
Hardware e software, treinamento de conscientização de funcionários e processos de negócios.  CORRETO
Código da questão: 60041
Sobre os métodos de arquitetura e desenvolvimento seguro, podemos afirmar que:
I. A arquitetura de sistemas descreve como um software codificado e elaborado quais componentes serão utilizados e relacionados entre
si por meio de interfaces.
II. Na construção da arquitetura, será necessário compreender somente o negócio, informações sobre software serão descartadas,
hardware, interações, integrações e interfaces.
III. Para uma equipe de desenvolvimento executar de forma ideal o que se espera do software, será preciso ser capaz de reconhecer
quais elementos são importantes.
IV. Os bugs se tornam aspectos sem intenção quando dependentes da execução de outros programas que podem ser explorados para
quebrar a segurança.
V. As falhas apresentadas nos testes de penetração poderiam ser evitadas e identificadas com maior facilidade no início do ciclo de vida.
São verdadeiras:
somente o backup poderá restabelecer os serviços e disponibilizar os arquivos novamente. Por isso a importância de criar e ter
um plano para caso algo dê errado. Este procedimento servirá também para resolver problemas de hardwares, como um HD
queimado.
Resolução comentada:
phishing é um tipo de fraude, cujo objetivo é obter acesso a dados confidenciais, como usuário e senha. O usuário pensa que está
indo para o site seguro, mas na verdade é redirecionado para um site falso. Os usuários são seduzidos por mensagens que
supostamente vêm de remetentes confiáveis.
Resolução comentada:
somente haverá uma forma de evitar ataques que visam invadir e roubar informações da empresas, atingir todos os pontos onde
pode haver vulnerabilidades, em bugs de softwares, acessos indevidos a hardwares, falta de conscientização a funcionários sobre
formas de ataques e limitar os processos de negócios a oferecer serviços por meio de aplicativos que oferecerão fraquezas no
desenvolvimento.
6)
7)
Alternativas:
II – IV – V.
I – III – IV.
I – II – V.
I – II – IV.
III – IV – V.  CORRETO
Código da questão: 60012
A elaboração de um conjunto de etapas para que um usuário tenha acesso a um recurso computacional dentro de uma organização
deve sempre passar por controles de segurança fundamentais. Esta prática é projetada para que os usuários reconheçam que existemregras pelas quais eles serão responsabilizados se houver erro operacional. Por exemplo, usar senha de outro usuário ou disponibilizar a
sua senha.
Considere as seguintes afirmações e classifique-as em verdadeiras (V) ou falsas (F) quanto à relação com as regras de segurança da
informação:
( ) Política de segurança da informação.
( ) Vulnerabilidade.
( ) Confidencialidade.
( ) Disponibilidade.
( ) Procedimentos de segurança.
Assinale a alternativa que contenha a sequência correta:
Alternativas:
F – V – F – V – F.
V – F – V – V – V.
V – F – F – F – V.  CORRETO
F – F – F – V – V.
F – V – V – V – F.
Código da questão: 60007
Qual a categoria de tecnologia de computação em nuvem que fornece aos clientes serviços que evitam investimentos para aquisição
de infraestrutura física, em que o provedor de serviços em nuvem gerencia a infraestrutura enquanto os usuários podem se concentrar
na instalação, configuração e gerenciamento de seus serviços? Assinale a alternativa correta.
Alternativas:
DaaS ou DBaaS (Database as a Service).
Nuvem privada (private cloud).
IaaS (Infrastructure as a Service).  CORRETO
• TaaS (Testing as a Service).
PaaS (Platform as a Service).
Resolução comentada:
a afirmação I é falsa, na fase de arquitetura é como um software deverá ser elaborado, a codificação será após a conclusão da
arquitetura. A II é falsa, na construção da arquitetura, será necessário compreender software, hardware, interações, integrações e
interfaces, não somente as informações do negócio. Já a III é correta, pois é muito importante para o bom funcionamento do
software identificar quais elementos são importantes nesta fase do projeto. A IV é correta, os bugs não intencionais são casos de
frameworks que possuam falhas de segurança, ou seja, a segurança depende de outros softwares que poderão ter
vulnerabilidades. E a V é correta, é possível ter um acerto maior na previsão e no tratamento de possíveis falhas de segurança no
início do ciclo de vida de um software.
Resolução comentada:
a política de segurança da informação juntamente com os procedimentos de segurança são processos que implementam medidas
de proteção, garantindo as melhores práticas de segurança da informação, utilizando várias formas de tecnologia desenvolvidas
para controlar acessos a armazenamentos, por exemplo. A vulnerabilidade, confidencialidade e disponibilidade estão uma camada
abaixo da política de segurança da informação e dos procedimentos.
8)
9)
10)
Código da questão: 60021
O critério de uma __________________ completa e detalhada dependerá do tamanho e da ________________do ambiente de TI; será
preciso deixar claros os _____________ precisos e uma priorização pontual nos pontos_______________. Dessa forma, ficará
determinado de forma assertiva como serão alocados os recursos para as________________.
Assinale a alternativa que completa adequadamente as lacunas:
Alternativas:
Avaliação de risco; complexidade; ameaças; vulneráveis; correções.
Vulnerabilidade; autorização; riscos; vulneráveis; ameaças.
Controle do acesso; correções; acessos indevidos; autorizações; riscos.
Avaliação de risco; complexidade; riscos; vulneráveis; correções.  CORRETO
Controle do acesso; avaliação de riscos; ameaças; de disponibilidade; complexidades.
Código da questão: 60043
O gerenciamento das regras de _______________ e das permissões atribuídas a usuários distintos com regras de acessos diferentes
precisarão ser concedidas pelos administradores mediante a ______________, identificação de _________________e _________________
relacionados ao tipo de aplicação e área de negócio.
Assinale a alternativa que completa adequadamente as lacunas:
Alternativas:
Integridade; acessos indevidos; ameaças, fraquezas.
Controle do acesso; acessos indevidos; autorizações, riscos.
Vulnerabilidades; autorização; ameaças, riscos.
Controle do acesso; avaliação de riscos; ameaças, disponibilidade.
Controle do acesso, avaliação de riscos; ameaças; vulnerabilidades.  CORRETO
Código da questão: 60023
O uso de credenciais comprometidas é situação recorrente. Isso ocorre quando os usuários, por descuido, se tornam vítimas de
ataques de phishing e inserem suas credenciais de login em sites falsos. Por meio desta prática, fornecem aos atacantes formas de
acessos legítimos, tornando dificílima a identificação pela equipe de segurança. Em muitos casos, os atacantes permanecem longos
períodos acessando os sistemas até serem detectados.
Considere as seguintes afirmações e classifique-as em verdadeiras (V) ou falsas (F) quanto aos principais problemas que este tipo de
invasão provoca:
( ) Alteração e roubo de informações.
( ) Rastreamento desativado para identificação.
( ) Dificuldade na detecção do invasor.
Resolução comentada:
o cliente poderá gerenciar os recursos fundamentais (processadores, armazenamento, redes, etc.) no local onde esses recursos
podem ser implantados e executar sistemas operacionais e aplicativos. Os clientes têm a tarefa de proteger tudo o que fica
empilhado sobre um sistema operacional, incluindo aplicativos, dados, tempos de execução, middleware e o próprio sistema
operacional.
Resolução comentada:
as avaliações de riscos devem contemplar detalhes que farão parte do plano de recuperação, portanto será necessário deixar
clara a complexidade de cada risco, para poder criar as correções pontuais e não haver perda de informações no caso de
incidentes de segurança.
Resolução comentada:
por meio das regras de controle de acesso, será possível conceder os direitos somente à sua área de negócio específica, isolando
a possibilidade de acessos indevidos a áreas protegidas do sistema. Por exemplo, um usuário deverá somente ter acesso à sua
área de negócio. Usuários do setor de finanças não deverão ter autorização para acessos à área de recursos humanos.
( ) Indisponibilidade de serviços.
( ) Alteração nos direitos de acesso.
Assinale a alternativa que contenha a sequência correta:
Alternativas:
F – F – F – V – V.
F – V – V – V – F.
V – F – V – F – V.  CORRETO
F – V – F – V – F.
F – F – V – F – F.
Código da questão: 60045
Resolução comentada:
em se tratando de roubo de credenciais, o invasor se comportará como um usuário de confiança na rede, terá acesso ao ambiente
interno e poderá realizar operações sem deixar rastros detectáveis, complicando a forma de identificação. Por isso é importante
ter um gerenciamento de sessão bem elaborado para rastrear atividades de usuários. Normalmente, com uma configuração de
acesso bem elaborada e testada, o atacante, mesmo com acesso indevido, não conseguirá causar indisponibilidade nos serviços.
Arquivos e Links