No contexto da Tríade CIA (Confidencialidade, Integridade e Disponibilidade), cada princípio define um aspecto fundamental da segurança da informação. Analise as afirmativas a seguir sobre o princípio da Integridade:
I.A integridade garante que a informação seja acessível apenas por usuários autorizados.
II.A integridade assegura que a informação seja mantida em seu estado correto e protegida contra alterações não autorizadas ou acidentais.
III.A integridade está relacionada à garantia de que a informação esteja disponível sempre que necessário para os usuários. 

É correto o que se afirma em: 

Em arquiteturas de serviços web baseadas em SOAP, a especificação WS-Security estabelece mecanismos para segurança em nível de mensagem, garantindo proteção que independe do protocolo de transporte subjacente. Analise as afirmativas a seguir sobre segurança em serviços web:
I.O WS-Security permite aplicar assinatura digital e criptografia em partes específicas da mensagem SOAP, bem como incluir tokens de autenticação como UsernameToken, certificados X.509 e assertions SAML.
II.A segurança em nível de mensagem proporcionada pelo WS-Security permanece válida mesmo na presença de múltiplos intermediários, diferentemente da segurança baseada exclusivamente em TLS.
III.O OAuth 2.0 é um framework de autorização que não provê, por si só, mecanismos de criptografia ou assinatura de mensagens SOAP em nível de mensagem.

É correto o que se afirma em:

No âmbito da Segurança da Informação, os ataques de Negação de Serviço (DoS − Denial of Service) visam comprometer a operação regular de sistemas e ativos de rede. Considere um cenário em que um servidor web é alvo de um ataque que exaure completamente sua memória RAM, resultando na impossibilidade de processar novas requisições. Analise as assertivas a seguir:
I.O ataque descrito constitui uma violação direta do princípio da Disponibilidade, definido como a propriedade de que a informação e os sistemas estejam acessíveis e utilizáveis sob demanda por usuários ou entidades autorizadas.
II.Por definição conceitual, o sucesso de um ataque de negação de serviço focado em exaustão de recursos não acarreta, de forma intrínseca ou automática, o acesso não autorizado a dados (Confidencialidade) ou a modificação não autorizada de informações (Integridade).
III.A indisponibilidade causada por um ataque DoS é classificada tecnicamente como uma perda de Integridade, uma vez que a interrupção do serviço altera a configuração operacional e o comportamento esperado do sistema.

É correto o que se afirma em:

No contexto de segurança da informação, o armazenamento de senhas deve utilizar técnicas como hashing com salt e pepper para mitigar ataques como rainbow tables e ataques de dicionário. Analise as afirmativas a seguir:
I.O uso de salt garante que usuários com a mesma senha possuam hashes diferentes armazenados no banco de dados.
II.O salt impede ataques de força bruta realizados diretamente contra a interface de autenticação.
III.O pepper deve ser armazenado separadamente do banco de dados, aumentando a segurança em caso de vazamento.

É correto o que se afirma em:

Na área de segurança da informação, a técnica de Envelope Encryption utiliza dois tipos de chaves: a Data Encryption Key (DEK) e a Key Encryption Key (KEK) para proteger dados sensíveis de forma eficiente e escalável. Analise as afirmativas a seguir:
I.Na técnica de Envelope Encryption, a DEK (Data Encryption Key) é utilizada para criptografar os dados, sendo posteriormente protegida por uma KEK (Key Encryption Key).
II.A DEK (Data Encryption Key) deve ser armazenada em texto claro junto com os dados criptografados para reduzir a sobrecarga de processamento durante operações de leitura.
III.A técnica de Envelope Encryption exige a recriptografia completa de todos os dados sempre que a KEK (Key Encryption Key) é rotacionada.

É correto o que se afirma em:

No contexto da categoria Broken Access Control do OWASP Top 10, falhas no controle de acesso estão frequentemente associadas a problemas na definição e implementação de requisitos de segurança ao longo do ciclo de desenvolvimento. Nesse contexto, é correto afirmar que:

Na área de segurança da informação, a criptografia assimétrica (Public-Key Cryptography) é fundamental para a implementação de assinaturas digitais e para a garantia do princípio de Non-Repudiation (não repúdio). Analise as afirmativas a seguir:
I. O não repúdio é alcançado exclusivamente por meio do uso de certificados autoassinados (self-signed certificates).
II.A assinatura digital é gerada ao criptografar o hash da mensagem utilizando a chave pública do remetente.
III.A utilização da chave privada do autor para assinar o hash da mensagem permite que terceiros verifiquem a autoria por meio da chave pública correspondente.

É correto o que se afirma em:

No contexto de segurança da informação, os conceitos de Autenticação (Authentication) e Autorização (Authorization) são fundamentais para o controle de acesso a sistemas e recursos. Analise as afirmativas a seguir:
I.A autenticação verifica a identidade de um usuário, enquanto a autorização define os recursos e ações que esse usuário pode acessar.
II.Uma falha de autenticação pode permitir que um atacante se passe por outro usuário, enquanto uma falha de autorização pode permitir acesso indevido a recursos por um usuário autenticado.
III.A criptografia protege os dados armazenados ou transmitidos, mas não substitui mecanismos de autorização para controle de acesso aos recursos.

É correto o que se afirma em:

No modelo de responsabilidade compartilhada em computação em nuvem, considerando um ambiente típico de Infraestrutura como Serviço (IaaS) não gerenciado, analise as afirmativas a seguir:
(__)O cliente é responsável pela configuração e segurança do sistema operacional convidado, incluindo aplicação de patches e hardening. 
(__)O provedor de nuvem é responsável pela aplicação de atualizações de segurança no sistema operacional do cliente.
(__)O provedor é responsável pela infraestrutura física e camada de virtualização, enquanto o cliente gerencia o sistema operacional e o software.

Assinale a alternativa que apresenta a sequência correta:

A segurança da informação é um pilar fundamental no suporte técnico. Sobre os princípios de confidencialidade, integridade e disponibilidade (CID), analise as seguintes proposições:
I. A confidencialidade garante que a informação seja acessível apenas por pessoas autorizadas, utilizando técnicas como criptografia e controle de acesso.
II. A integridade assegura que a informação não seja alterada de forma não autorizada durante o seu armazenamento ou transmissão pela rede.
III. A disponibilidade garante que os sistemas e dados estejam acessíveis aos usuários autorizados sempre que necessário para as atividades do órgão.
Está correto o que se afirma em: 

Em determinado órgão do Poder Legislativo municipal, um servidor teve acesso a informações administrativas que continham dados institucionais ainda não divulgados oficialmente. Durante conversa informal fora do ambiente de trabalho, o servidor comentou parte dessas informações com terceiros, alegando que não havia restrição expressa de acesso no sistema interno. Considerando os princípios relacionados à segurança da informação e ao sigilo funcional na administração pública, analise as afirmativas a seguir e assinale V, para verdadeiro ou F, para falso: 

(__) O sigilo funcional decorre do dever de preservar informações institucionais às quais o servidor tenha acesso em razão do exercício do cargo, especialmente quando sua divulgação possa comprometer atividades administrativas ou interesses públicos.

(__) A segurança da informação no âmbito da administração pública envolve medidas destinadas a proteger dados institucionais contra acesso indevido, divulgação não autorizada, alteração ou perda.

(__) Informações obtidas pelo servidor em razão do exercício de suas funções podem ser livremente compartilhadas fora do ambiente institucional, desde que não estejam formalmente classificadas como sigilosas.

(__) O respeito ao sigilo funcional contribui para a proteção da integridade das informações institucionais e para a preservação da confiança entre a administração pública e a sociedade.

Assinale a alternativa que apresenta a sequência correta, de cima para baixo: 

Um órgão da administração pública federal está implementando um Sistema de Gestão de Segurança da Informação (SGSI) com base na ABNT NBR ISO/IEC 27001. A equipe precisa selecionar os controles adequados do Anexo A da norma, que são detalhados na ABNT NBR ISO/IEC 27002. Associe os grupos de controles da Coluna A com seus respectivos objetivos na Coluna B. 

Coluna A

 1. A.5 - Políticas de segurança da informação

 2. A.8 - Gestão de ativos

 3. A.9 - Controle de acesso

 4. A.12 - Segurança nas operações

Coluna B

(__) Para assegurar a operação correta e segura das instalações de processamento da informação.

(__) Para prover uma orientação e apoio da direção para a segurança da informação, de acordo com os requisitos do negócio e com as leis e regulamentações pertinentes.

(__) Para limitar o acesso à informação e às instalações de processamento da informação.

(__) Para identificar os ativos da organização e definir as responsabilidades apropriadas para a sua proteção.

A sequência correta de preenchimento dos parênteses, de cima para baixo, é:

Para permitir que servidores públicos acessem a rede interna do órgão de forma segura quando estão em trabalho remoto, a equipe de TI implementou uma solução de VPN (Virtual Private Network). Além disso, para monitorar e prevenir ataques, foram instalados sistemas de IDS e IPS.

Analise as seguintes proposições sobre as tecnologias de segurança de rede:

I. Uma VPN cria um canal de comunicação seguro (um "túnel" criptografado) sobre uma rede pública, como a Internet, garantindo que os dados trocados entre o usuário remoto e a rede do órgão permaneçam confidenciais e íntegros.

II. Um IDS (Intrusion Detection System) é um sistema passivo que monitora a rede, identifica atividades suspeitas com base em assinaturas de ataques conhecidos ou anomalias de comportamento e gera alertas para a equipe de segurança, mas não interfere no tráfego.

III. Um IPS (Intrusion Prevention System) é um sistema ativo que, além de detectar atividades maliciosas como um IDS, pode tomar ações para bloquear a ameaça em tempo real, como descartar pacotes maliciosos ou encerrar a conexão.

Está correto o que se afirma em: 

Um analista de segurança de um tribunal está configurando as regras de um firewall e precisa decidir qual tipo de firewall é mais adequado para inspecionar o tráfego em camadas mais altas do modelo OSI. Julgue os itens a seguir como Verdadeiro (V) ou Falso (F) com base nos tipos e funcionalidades de firewalls.

(__) Um Firewall de Filtragem de Pacotes (Stateless) toma decisões de bloqueio ou permissão com base em informações das camadas 3 e 4 (endereços IP e portas), sem manter o estado das conexões.

(__) Um Firewall de Inspeção de Estado (Stateful) monitora o estado das conexões ativas e usa essas informações para tomar decisões mais inteligentes, permitindo, por exemplo, o tráfego de resposta a uma solicitação que foi iniciada de dentro da rede.

(__) Um Firewall de Próxima Geração (NGFW) integra funcionalidades tradicionais de firewall com recursos mais avançados, como inspeção profunda de pacotes (DPI), reconhecimento de aplicações (camada 7), prevenção de intrusão (IPS) e filtragem de URL.

(__) Um Proxy Firewall opera exclusivamente na Camada de Rede (Camada 3), analisando apenas cabeçalhos de pacotes IP para tomar decisões de filtragem, sem qualquer capacidade de interpretar protocolos de aplicação como HTTP ou FTP.

Marque a alternativa CORRETA que corresponde à sequência de cima para baixo das lacunas acima: 

Ao receber um e-mail inesperado com um anexo identificado como “URGENTE_FATURA.pdf” e um link com uma indicação para “atualizar dados”, a atitude mais segura a ser tomada é: 

No contexto de criptografia, existem dois tipos principais de algoritmos: os de chave simétrica, nos quais a mesma chave é usada para cifrar e decifrar dados, e os de chave assimétrica, que utilizam um par de chaves (pública e privada) para garantir confidencialidade e autenticidade. Cada tipo de algoritmo possui características próprias e é indicado para diferentes cenários de segurança.

Considerando essas informações, assinale a alternativa que apresenta um algoritmo de chave simétrica.

Durante a análise de um incidente de segurança em uma empresa pública, um Técnico de Suporte de TI identificou que um usuário havia instalado um programa aparentemente legítimo para otimização do sistema. Após a instalação, o software funcionava normalmente, porém passou a executar ações ocultas em segundo plano, como abrir portas de acesso no sistema, permitir a instalação de outros códigos maliciosos e tentar coletar informações da máquina infectada. Considerando as características descritas, o tipo de malware envolvido nesse caso é conhecido como:

A norma ISO/IEC 27002 apresenta diretrizes e boas práticas relacionadas à implementação de controles de segurança da informação, incluindo aspectos associados à proteção de redes, softwares e sistemas computacionais. Com base nesses conceitos, analise as assertivas abaixo e julgue-as em Verdadeiras (V) ou Falsas (F):

( ) Gateway é o processo de estocagem de informações sobre eventos que ocorreram em um firewall ou em uma rede.
( ) Sign On (SSO) é um mecanismo pelo qual uma única ação de autenticação do usuário pode permitir que o mesmo acesse vários ambientes, sistemas e aplicações.
( ) Sniffers são dispositivos físicos geradores aleatórios de códigos para uso como forma de autenticação em sistemas.
( ) Wireless é um sistema de comunicação que não requer fios para transportar sinais.

Qual alternativa preenche, CORRETAMENTE, de cima para baixo, os parênteses acima?

Relacione a Coluna 1 à Coluna 2, associando os conceitos de segurança relacionados à Inteligência Artificial (IA) às suas respectivas descrições.

Coluna 1
1. Deepfake.
2. Sistema de detecção de fraude baseado em IA.
3. Uso malicioso de IA em spear phishing.
4. Ferramentas de detecção de deepfake.

Coluna 2
(  ) Utiliza modelos treinados em grandes volumes de transações para identificar padrões atípicos e sinalizar possíveis fraudes financeiras em tempo quase real.
(  ) Emprega IA para gerar e analisar mídia sintética, identificando inconsistências em voz, rosto ou movimentos que indiquem adulteração.
(  ) Aplica modelos generativos para criar e-mails altamente personalizados, com linguagem e contexto ajustados ao perfil da vítima, aumentando a eficácia do golpe.
(  ) Produz imagens, áudios ou vídeos falsos de pessoas reais, com alto grau de realismo, podendo ser usados tanto para entretenimento como para manipulação e extorsão.

A ordem correta de preenchimento dos parênteses, de cima para baixo, é

Um computador de um setor financeiro teve seus arquivos subitamente criptografados, e uma mensagem na tela exige pagamento em criptomoedas para liberar o acesso, indicando também que informações sigilosas foram copiadas e poderão ser expostas se não houver pagamento. Esse cenário descreve, de forma mais precisa, um ataque do tipo: