prova

Prévia do material em texto

Prova Impressa VOLTAR GABARITO Avaliação da Disciplina (Cod.:858956) A+ Alterar modo de visualização Peso da Avaliação 10,00 Prova 101330011 Qtd. de Questões 20 Nota 8,00 1 O firewall foi desenvolvido pela Bell Labs em meados de 1980, a pedido de uma das maiores empresas de telecomunicações do mundo a AT&T, primeiro firewall do mundo foi desenvolvido com objetivo de "filtrar" informações que entravam e saiam da sua rede empresarial, de forma que fossem flexíveis para a manipulação seguindo especificações presentes as regras definidas pelos cientistas e desenvolvedores da Bell Labs (NETO, 2004, p. 10). Fonte: NETO, U. Dominando Linux Firewall IPTABLES. Rio de Janeiro: Ciência Moderna, 2004. Considerando as arquiteturas que servem como base para a implantação de um firewall, assinale a alternativa CORRETA: A Screened host: adiciona uma camada extra de segurança que isola a rede interna de uma rede externa não confiável. B Dual-Homed Host: pode ser implementada por um host que apresenta duas interfaces de rede, uma para LAN e outra para a rede externa, tornando-se a única porta de entrada. Screened subnet: formada por um filtro de pacotes que age em um primeiro nível de defesa, sendo responsável por restringir conexões externas que não sejam direcionadas a um host específico. D Screened host: roteamento é desabilitado, fazendo com que os pacotes não possam ser roteados entre as redes, garantindo isolamento do tráfego. 2 Os roteadores têm como objetivo distribuir sinal de internet, ou seja, são importantes para fazer roteamento e a interligação de uma rede para outra. Atualmente os roteadores possuem antenas para que os dispositivos, incluindo os estáticos, consigam realizar conexão sem fios. Em determinados modelos é preciso ter um adaptador para captar sinal wireless 2014). Fonte: SÊMOLA, M. Gestão da segurança da informação: uma visão executiva. Rio de Janeiro: Campus, 2 ed, 2014. Considerando as etapas para garantir a segurança da informação dos roteadores, assinale a alternativa CORRETA: A maior parte das vulnerabilidades é observada em aparelhos recém-lançados. Verificar as atualizações de segurança do firmware para que usuários mantenham os equipamentos seguros. B O WPA3.2 é um protocolo de certificação que utiliza APS (Advanced ption Standard), sistema de encriptação mais seguro e mais pesado do que WPA2 original. C Rede invisível com SSDI apresenta maior parte das vulnerabilidades é observada em aparelhos recém-lançados. D Hd externo é um ajuste que modifica a rede sem fio em um Wi-Fi invisível, deste modo, usuários não autorizados não conseguem localizar roteador, dificultando uma possível invasão.3 A informação é um recurso que tem valor agregado definido pelo usua'rio e, tendo como propo'sito, a garantia que a organização obtenha seus objetivos pelo uso eficiente e eficaz dos recursos financeiros e humanos, bem como, dos recursos tecnológicos e a informac A segurança da informação representa a adoção de práticas para proteger a informação, e ainda promover um alinhamento da tecnologia com às estratégias da organização 2003). Fonte: SE^MOLA, M. Gesta~0 da seguranc, da uma visa~o executiva Rio de Janeiro: Campus, 2003. Considerando a segurança na internet, assinale a alternativa CORRETA: A A conscientização é um processo curto e rápido, que pretende criar uma consciência de uso seguro da internet, principalmente, das redes sociais, que ganham milhares de novos adeptos todos os dias. B As empresas também precisam tomar muito cuidado com os dados que postam na internet, sendo os próprios sites, blogs, Facebook ou Instagram. C O treinamento da conscientização da equipe não é estruturado, planejado e não pode ser adaptável às situações e aos indivíduos. O desafio em relação à segurança na internet é que as mudanças no mundo digital são lentas e D graduais. Por isso, não é válido implementar controles e tentar resolver todos os problemas identificados imediatamente; mais vale priorizar e conscientizar. 4 A segurança da informação integrada combina inúmeras tecnologias de a com compatibilidade de gerenciamento, e suporte, e pesquisa para proteger as informações. Portanto, essa combinação de va'rias possibilita uma proteção mais eficiente e eficaz contra a grande variedade de ameac as minimizando os efeitos dos ataques (SANTOS; SOARES, 2019). Fonte: SANTOS, E. E. dos: SOARES, T. M. M. K. Riscos, ameaças e vulnerabilidades: impacto da segurança da informação nas organizações. Revista Tecnológica da Fatec Americana, vol. 07, n. 02, abril/setembro de 2019. Considerando a segurança da informação integrada, assinale a alternativa CORRETA: A Proteção antimalware: possibilita a da de seguranc,a da rede descobrindo falhas de e sugerindo melhorias. B Gerenciamento de vulnerabilidades: permite as conexo~es ale'm do peri'metro da rede local, assegurando que redes locais se comuniquem com seguranc, por meio da Internet. C Filtragem de conteúdo: responsável por identificar acesso autorizado e dispara alertas e D Firewall: responsável por controlar todo de dados verificando as informac que entram e saem da rede assegurando para não ocorrer acessos autorizados. 5 O ato de estabelecer ou confirmar algo é chamado de autenticação, para segurança da informação este processo pode ter várias camadas. Sabendo disso, existem vários mecanismos de autenticação que compõem processo estes são os principais: senhas, impressão digital, padrão de voz, assinatura, token, biometria, padrão ocular 2014).Fonte: M. Gestão da segurança da informação: uma visão executiva. Rio de Janeiro: Campus, 2 ed, 2014. Considerando processo de autenticação, assinale a alternativa CORRETA: O conceito básico de senha é que, primeiramente, ela é privada, ou seja, algo que apenas seu ID de login registrado deve saber. Se outra pessoa sabe sua senha, ela já não é mais privada e seus dados registrados já não estão mais seguros. Armazenamento dos parâmetros do usuário: uma solução viável para esse problema é B encaminhamento de parâmetros dinâmicos não mensurados a partir da senha e que não possibilitam, quando capturados por um intruso, a dedução da própria. C Transmissão das informações entre usuário e entidade autenticadora: ocorre quando a senha do usuário é armazenada na base de dados da entidade autenticadora. Elaboração das senhas: quando usuário possui a possibilidade de criar a sua própria senha, é D comum a seleção de termos que tenham significado para usuário, ou seja, datas, nomes de pessoas conhecidas, estas informação são consideradas as ideias para elaborar uma senha. 6 A segurança da informação integrada combina inúmeras tecnologias de segurança com compatibilidade de políticas, gerenciamento, serviço e suporte, e pesquisa para proteger as informações. Deste modo, uma das medidas para garantir a segurança da informação é a implementação dos controles físicos e lógicos para barrar acessos não autorizados (MAZIERO, 2019). Fonte: MAZIERO, C. Sistemas Operacionais: Conceitos e Mecanismos. Universidade Federal do Paraná. UFBR: 2019. Considerando a segurança integrada das informações, assinale a alternativa CORRETA: Rede privadas virtuais (VPN): permitem as conexões, além do perímetro da rede local, assegurando que redes locais se comuniquem com segurança por meio da Internet. B Filtragem de firewall: controla todo tráfego de dados verificando as informações que entram e saem da rede assegurando para ocorrer acessos não autorizados. C Framework de detecção de intrusos: identifica acesso não autorizado e dispara alertas e relatórios. D Firewall: identifica acesso não autorizado e dispara alertas e relatórios. 7 A ética da informação diz respeito às questões éticas e morais referentes ao desenvolvimento e ao uso das tecnologias da informação. Além disso, contempla a elaboração, coleta, duplicação, distribuição e processamento de informação (FONTES, 2006). Fonte: FONTES, Edson. Segurança da Informação: usuário faz a diferença. São Paulo: Saraiva, 2006. Considerando a ética da informação, assinale a alternativa CORRETA: A ética da Informação estuda as questões normativas relacionadas com a elaboração, preservação, organização, acesso, apresentação e controle da informação. B A ética é conjunto de valores e costumes difundidos por uma determinada sociedade, enquanto a moral é a prática coletiva influenciada por esse conjunto de valores éticos individuais. C A informação tem como característica a ética, isso significa que os indivíduos que possuem a informação devem estabelecer os padrões éticos sobre modo de como gerir as informações.D A moral determina como as informações serão utilizadas e como seu uso afetará os indivíduos da organização. 8 A hierarquia de uma instituição é considerada uma ferramenta importante de comunicação para os tomadores de decisões, gerentes de negócio, desenvolvedores, auditores e outros, para explicar quais documentos estão disponíveis e quais são aplicáveis a cada caso (CARVALHO, 2017). Fonte: CARVALHO, E. T. R. Criação de um Guia de Boas Práticas para Desenvolvimento Seguro. Monografia submetida ao curso de graduação em Engenharia de Software da Universidade de Brasília, como requisito parcial para obtenção do Título de Bacharel em Engenharia de Software. Brasília, 2017. Considerando a arquitetura de segurança da informação, assinale a alternativa CORRETA: A A conformidade considera tempo de restabelecimento do negócio, em caso de contingência ou de desastres. B A gestão de acesso aos dados usa programas e de produtos que atendam à necessidade de segurança da organização. A gestão de usuário assegura que os controles adequados à gestão dos usuários, desde sua admissão até pós-desligamento. D Produtos de segurança contemplam as regras para liberar e, posteriormente, cancelar acesso às informações. 9 Um sistema informático compreende inúmeros fatores além do sistema operacional, ou seja, a em si manutenção das propriedades de segurança estão relacionadas ao funcionamento adequado de todos os elementos do sistema (hardware até usuário final) (MAZIERO, 2019). Fonte: MAZIERO, C. Sistemas Operacionais: Conceitos e Mecanismos. Universidade Federal do Paraná. UFBR: 2019. Considerando os aspectos básicos do sistema de segurança, assinale a alternativa CORRETA: A Aplicativos de backup: manter sempre atualizados e testados os arquivos de segurança em mídia confiável e separados logicamente dos servidores. B Proteção de perímetro: ferramentas de firewall e routers cuidam desse aspecto, mantendo a rede protegida contra tentativas de intrusão. Auditoria: alerta os responsáveis pela segurança sobre qualquer sinal de invasão ou mudança suspeita no comportamento da rede que possa significar um padrão de ataque. D Proteção de arquivos: a segurança física impede acessos físicos não autorizados à infraestrutura da rede. 10 Com propósito de orientar as organizações em relação as melhores práticas de segurança da informação, diversos órgãos consolidam inúmeros elementos de segurança com normas e boas práticas para alcançar efetivamente a segurança em seu ambiente (DONDA, 2016). Considerando as normas da NBR/ISO, assinale a alternativa CORRETA: Norma 27000 proporciona uma visão geral de sistemas de gestão de segurança da informação, de termos e de definições comumente usados na família ISMS de normas.B A Norma 27001 estabelece diretrizes para as práticas de gestão de segurança da informação e normas de segurança da informação para as organizações. C A Norma 27004 trata dos aspectos críticos necessários para a implantação de um projeto bem- sucedido de um Sistema de Gestão da Segurança da Informação (SGSI). D A Norma 27005 especifica os requisitos para estabelecer, implementar, manter e melhorar continuamente um sistema de gestão da segurança da informação no contexto da organização. 11 Com propósito de orientar as organizações em relação as melhores práticas de segurança da informação, diversos órgãos consolidam inúmeros elementos de segurança com normas e boas práticas para alcançar efetivamente a segurança em seu ambiente. Conforme Sêmola (2003, p. 43): "Uma norma tem propósito de definir regras, padrões e instrumentos de controle que deem uniformidade a um processo, produto ou serviço". Fonte: SÊMOLA, Marcos. Gestão da segurança da informação: uma visão executiva Rio de Janeiro: Campus, 2003. Considerando as características da ISO 17799, assinale a alternativa CORRETA: A Os recursos de informação que serão usados para identificar anomalias técnicas precisam ser identificados, ou seja, identificar quais hardwares e outras tecnologias utilizadas no processo. B A organização define e estabelece as funções e responsabilidades associadas à gestão de vulnerabilidades técnicas. C Os patches precisam ser avaliados antes de serem testados. Isso é necessário para garantir que tragam efeitos positivos necessários ao sistema. D Conforme a urgência exigida para tratar uma anomalia técnica é necessário a tomada da ação conforme os controles relacionados com a gestão de mudanças. 12 A informação está presente em todos os segmentos da organização. A informação organizacional surge em diferentes níveis, formatos e granularidades, ou seja, detalhamento da informação (BALTZAN e PHILLIPS, 2012). Então cada indivíduo necessita correlacionar os diferentes níveis, formatos e granularidades da informação para tomar a decisão estratégica adequada à organização (BALTZAN e PHILLIPS, 2012; MAZIERO, 2019). Fonte: BALTZAN, P. e PHILLIPS, A. Sistemas de informação. Porto Alegre: AMGH, 2012. Fonte: MAZIERO, C. Sistemas Operacionais: Conceitos e Mecanismos. Universidade Federal do Paraná. UFBR: 2019. Considerando a qualidade da informação no contexto das organizações, assinale a alternativa CORRETA: A Informação confidencial é primordial à manutenção da sua integridade. O armazenamento precisa ser em áreas de acesso reservado. B Informação interna não precisa de investimento com segurança e armazenamento, e descarte da informação pode ser realizado de forma simples. C Informação pública é primordial à manutenção da sua integridade. O acesso externo dos dados que integram esse tipo de informação deve ser evitado.D A crescente demanda por informações em tempo real decorre da necessidade das empresas tomarem decisões mais rápidas e eficazes, 13 A informação pode ser considerada um conjunto de dados que poderá resultar em novas informações, sendo um ativo valioso para a organização. Transformar esses dados em informação é transformar algo com pouco significado em um recurso de valor para a nossa vida pessoal e profissional (FONTES, 2006). Fonte: FONTES, Edson. Segurança da Informação: usuário faz a diferença. São Paulo: Saraiva, 2006. Considerando conceito de dados e informação, assinale a alternativa CORRETA: Os dados são considerados fatos brutos que apresentam as características de um determinado evento, ou seja, são registros que podem estar vinculados a algum evento. B O dado é um conjunto de informações com valor, que diminui a incerteza ou amplia conhecimento. C O dado é considerado uma informação processada que apresenta as características de um determinado evento. D A informação é de fácil estruturação e obtida de modo ágil por máquinas. Além disso, a informação pode ser transferível e quantificável. 14 CORAS é um método que integra diversas técnicas para avaliação de risco com base em Unified Modeling Language (UML). O projeto foi iniciado em 2001 por quatro países da União Europeia (Grécia, Alemanha, Noruega e Reino Unido), com apoio de empresas de TI (Intracom, Solinet e Telenor) e de sete institutos (CTI, FORTH, IFE, NCT, NR, RAL e Sintef), além da universidade QMUL, no Reino Unido (MARTINS, 2014, p. 50). Fonte: MARTINS, A. B. Desenvolvimento de uma metodologia para gestão de risco com base no método coras e avaliação quantitativa para aplicação em plantas de saneamento. Tese apresentada à Escola Politécnica da Universidade de São Paulo para obtenção do título de Doutora em Ciências. São Paulo, 2014. Considerando método CORAS (The Coras Method), assinale a alternativa CORRETA: A A linguagem CORAS é uma linguagem de modelagem gráfica para documentação, comunicação e análise de ameaças à segurança e cenários de risco no processo de análise dos passivos das ameaças. B Um ponto positivo do método CORAS é que exige pouco conhecimento especializado de áreas distintas, sendo de fácil aplicação. O método CORAS apresenta uma forte preocupação em compreender os alvos dos passivos da C organização, contexto e os objetivos da avaliação efetuada nas principais operações da organização. D A metodologia CORAS disponibiliza uma ferramenta computacional desenvolvida para documentar, manter e gerar relatórios de análise através da modelagem de risco. 15 Um ataque usa uma determinada vulnerabilidade para infringir uma propriedade de segurança do sistema. Uma das principais ameaças aos sistemas estão relacionadas a destruição de informações ou recursos, alterações ou deturpação da informação, bem como,roubo, eliminação ou exposição de informação, podendo paralisar os serviços da organização (MAZIERO, 2019).Fonte: MAZIERO, C. Sistemas Operacionais: Conceitos e Mecanismos. Universidade Federal do Paraná. UFBR: 2019. Considerando as características de um ataque, assinale a alternativa CORRETA: A Interrupção: obtém acesso de modo não autorizado a um fluxo de informações, porém sem alterá- las, ou seja, é um ataque vinculado à confidencialidade B Interceptação: impede fluxo normal das informações ou acessos, ou seja, corresponde a um ataque à disponibilidade do sistema. Um ataque ocorre quando uma ameaça intencional é realizada. Os ataques ocorrem por motivos diversos. Variam desde a pura curiosidade, passando pelo interesse em adquirir maior conhecimento sobre os sistemas, até extremo, envolvendo ganhos financeiros, extorsão ou chantagem de algum tipo. É preciso considerar que existem ataques ativos que visam obter informações confidenciais, D entretanto, os ataques passivos inserem alterações no sistema para favorecer atacante ou bloquear sua utilização pelos usuários autorizados. 16 A gestão de riscos é considerada essencial na gestão estratégica de qualquer organização, pois analisa de modo metódico os riscos específicos de cada atividade, com objetivo de obter uma vantagem sustentada em cada atividade individual e no conjunto de todas as atividades. Então, a ponderação de um risco é avaliada através da combinação da probabilidade ou frequência de ocorrência e da magnitude das consequências ou impacto dessa ocorrência (FERREIRA, 2019). Fonte: FERREIRA, D. G. Arquitetura segura no desenvolvimento de software: Abordagem à plataforma digital U. Mestrado em Segurança Informática Departamento de Ciência de Computadores. Faculdade de Letras da Universidade do Porto, 2019. Considerando a matriz de risco, assinale a alternativa CORRETA: A A matriz de risco é considerada uma ferramenta muito usada que ajuda desenvolvedor na classificação e priorização de riscos e ainda facilita a comunicação visual. B A matriz de risco é representada por meio de eixos de escalas numéricas inteiras de ocorrência e impacto para um determinado fator de risco e ameaça. C Após a representação visual da matriz, cada um dos fatores de risco precisa ser identificado e avaliado em relação a sua probabilidade de não ocorrência. D A matriz de risco avalia um processo sistemático da probabilidade de ocorrência de uma falha e do impacto desta na organização, considerando as perdas de confidencialidade, integridade e disponibilidade dos passivos. A Após a representação visual da matriz, cada um dos fatores de risco precisa ser identificado e avaliado em relação a sua probabilidade de não ocorrência. B A matriz de risco é representada por meio de eixos de escalas numéricas inteiras de ocorrência e impacto para um determinado fator de risco e ameaça. A matriz de risco é considerada uma ferramenta muito usada que ajuda desenvolvedor na classificação e priorização de riscos e ainda facilita a comunicação visual. A matriz de risco avalia um processo sistemático da probabilidade de ocorrência de uma falha e do D impacto desta na organização, considerando as perdas de confidencialidade, integridade e disponibilidade dos passivos.17 Em relação à análise de risco de segunrança da informação, a análise qualitativa é utilizada, geralmente, quando não existe a disponibilidade de dados ou quando eles são precários, e sua análise é realizada com base em valores referenciais. Já a análise quantitativa é utilizada quando os dados são confiáveis, estão disponíveis e sua análise é baseada em valores absolutos (DANTAS, 2011). Fonte: DANTAS, L. M. Segurança da informação: uma abordagem focada em gestão de riscos. Olinda: Livro Rápido, 2011. Considerando os métodos qualitativos e quantitativos, assinale a alternativa CORRETA: A O método qualitativo aborda técnicas subjetivas e fornece estimativas numéricas e não realizam tratamento de dados estatísticos e dados históricos. B O método qualitativo usa técnicas objetivas, caras e complexas, porém suprem as deficiências dos métodos quantitativos. C O método quantitativo não consegue ranquear os riscos identificados e utilizam questionários e matrizes de risco. D O método quantitativo ajusta-se bem quando não se tem conhecimento profundo do objeto da análise, a incerteza é grande. 18 Uma anomalia é definida como algo diferente, anormal, peculiar ou que não seja facilmente classificado. No contexto de segurança, uma anomalia pode ser definida como ações ou dados que não sejam considerados normais por um determinado sistema, usuário ou rede (PINHEIRO, 2007). Fonte: J. M. dos S. Ameaças e Ataques aos Sistemas de Informação: Prevenir e Antecipar. Caderno UniFOA.n05, dezembro de 2007. Considerando a definição de anomalia, assinale a alternativa CORRETA: A Anomalias em padrões de comportamento: esses sistemas tendem a variar conforme a implementação, porém os mais eficientes são implementados como sistemas de modelo rígido. B Anomalias em padrões de comportamento: estão relacionadoq normalmente ao comportamento de usuários. Anomalias em padrões de protocolos: são consideradas de natureza estatística, incluindo algumas C características como volume de tráfego, mistura de protocolos e inúmeras distribuições na origem e no destino. D Anomalias em padrões de protocolos: estão relacionadas normalmente ao comportamento de usuários 19 A política da segurança da informação são objetivos documentados e transformados em valores, princípios e requisitos para se obter um padrão de proteção para as informações. Seguindo essa linha de raciocínio, pode-se definir a política de segurança da informação como: um documento que determina princípios, valores, compromissos e requisitos para a segurança da informação (DANTAS, 2011). Fonte: L. M. Segurança da informação: uma abordagem focada em gestão de riscos. Olinda: Livro Rápido, 2011. Considerando os conceitos e definições da política de segurança da informação, assinale a alternativa CORRETA:A Manutenção da política: avaliação da conformidade e da efetividade da política implementada, bem como elaborar ações corretivas para a não conformidade. B Implementação da política: responsável pelo gerenciamento da fase de identificação das necessidades da política até a autorização da política final. C Aprovação da política: responsável pela solicitação e recebimento do apoio executivo. Nesta etapa, é elaborado um programa de conscientização de segurança corporativa. D Desenvolvimento da Política: responsável pela definição dos requisitos corporativos da política de segurança da informação, bem como estabelecimento de padrões para documentação. 20 As medidas de segurança são consideradas práticas, procedimentos e mecanismos utilizados para a proteção da informação, bem como, de seus ativos. Nesse sentido, as barreiras de segurança são importantes para reduzir os riscos e, por isso, precisam ser dimensionadas de modo adequado para assegurar a interação e integração com os sistemas de segurança (FONTES, 2006). Fonte: FONTES, E. L. G. Segurança da Informação: usuário faz a diferença. São Paulo: Saraiva, 2006. Considerando as barreiras de segurança, assinale a alternativa CORRETA: Desencorajar: responsável por desencorajar as ameaças, ou seja, ações que são desmotivadas pela presença de mecanismos físicos, tecnológicos ou humanos. B Dificultar: identificação e gerenciamento de acessos para definir os perfis e autorizar as permissões. C Discriminar: objetivo dessa barreira é a adoção efetiva dos controles que dificultarão acesso indevido. D Deter: representa elo de ligação com a primeira barreira, criando um movimento cíclico e contínuo. Imprimir