Questões de Concurso Sobre segurança da informação
Foram encontradas 14.644 questões
Ano: 2025
Banca:
Quadrix
Órgão:
CRA-SP
Prova:
Quadrix - 2025 - CRA-SP - Assistente de Atendimento - Atendimento e Cobrança |
Q3784089
Segurança da Informação
Um dos pilares da segurança da informação nas
organizações púbicas preceitua a garantia de que os
sistemas e as informações estejam acessíveis para uso
pelos servidores e cidadãos quando necessário, o que
envolve a redundância de sistemas e planos de recuperação
de desastres. Assinale a opção que apresenta o designativo
para esse pilar.
Ano: 2025
Banca:
Quadrix
Órgão:
CRA-SP
Provas:
Quadrix - 2025 - CRA-SP - Assistente de Atendimento - Atendimento e Cobrança
|
Quadrix - 2025 - CRA-SP - Assistente II - Técnica em Manutenção |
Q3784067
Segurança da Informação
Texto associado
Na questão que avalia conhecimento de informática,
a menos que seja explicitamente informado o contrário,
considere que: todos os programas mencionados estejam em
configuração‑padrão, em português; o mouse esteja configurado
para pessoas destras; expressões como clicar, clique simples
e clique duplo refiram‑se a cliques com o botão esquerdo do
mouse; e teclar corresponda à operação de pressionar uma tecla
e, rapidamente, liberá-la, acionando-a apenas uma vez. Considere
também que não haja restrições de proteção, de funcionamento e
de uso em relação aos programas, arquivos, diretórios, recursos e
equipamentos mencionados.
A área de cobrança do CRA-SP trabalha com dados pessoais
e sigilosos, o que exige o máximo rigor em segurança da
informação. Em um treinamento, um consultor enfatizou
os pilares da segurança. Em um outro momento, durante
uma auditoria, verificou‑se que apenas os funcionários
autorizados
puderam visualizar os relatórios de
inadimplência, mas que a data de criação desses relatórios
foi modificada por um erro de sincronização do sistema.
Com base nessa situação hipotética, assinale a opção que apresenta os pilares da segurança da informação que foram mantidos e o que foi violado, respectivamente.
Com base nessa situação hipotética, assinale a opção que apresenta os pilares da segurança da informação que foram mantidos e o que foi violado, respectivamente.
Ano: 2025
Banca:
FEPESE
Órgão:
Prefeitura de Joaçaba - SC
Prova:
FEPESE - 2025 - Prefeitura de Joaçaba - SC - Professor de Informática - Edital nº 2 |
Q3783361
Segurança da Informação
A cidadania digital envolve o uso responsável e
ético das tecnologias da informação e comunicação.
Qual prática exemplifica o exercício da cidadania digital no ambiente online?
Qual prática exemplifica o exercício da cidadania digital no ambiente online?
Ano: 2025
Banca:
FGV
Órgão:
Prefeitura de Rio de Janeiro - RJ
Prova:
FGV - 2025 - Prefeitura de Rio de Janeiro - RJ - Gestor de Segurança Municipal |
Q3782907
Segurança da Informação
A interoperabilidade entre sistemas como os da Guarda Municipal,
CET-Rio, Defesa Civil e COR-Rio pode se beneficiar de padrões de
federação de identidade para a gestão de identidade e acesso
(IAM).
Nesse contexto, e referente aos padrões SAML 2.0, Liberty Identity Web Services Framework (ID-WSF) e OpenID, é correto afirmar que
Nesse contexto, e referente aos padrões SAML 2.0, Liberty Identity Web Services Framework (ID-WSF) e OpenID, é correto afirmar que
Q3781831
Segurança da Informação
Códigos maliciosos (malwares) são usados como intermediários para a prática de
golpes, realização de ataques e envio de spam (1ª parte), sendo sempre possível reverter ações já
feitas ou recuperar dados vazados ou perdidos (2ª parte). Aplicativos antivírus podem ajudar a
detectar, prevenir a infecção e/ou remover códigos maliciosos (3ª parte).
Quais partes estão corretas?
Quais partes estão corretas?
Q3781830
Segurança da Informação
Sobre os princípios da segurança da informação, analise as assertivas abaixo:
I. A autenticidade garante que a informação deve ser protegida de acordo com o grau de sigilo aplicado ao seu conteúdo.
II. A integridade garante que a informação deve ser mantida da mesma forma, na mesma condição em que foi disponibilizada por seu proprietário.
III. A conformidade garante que a informação gerada ou adquirida por um indivíduo ou instituição deve estar acessível e operacional para usuários autorizados sempre que necessário.
Quais estão corretas?
I. A autenticidade garante que a informação deve ser protegida de acordo com o grau de sigilo aplicado ao seu conteúdo.
II. A integridade garante que a informação deve ser mantida da mesma forma, na mesma condição em que foi disponibilizada por seu proprietário.
III. A conformidade garante que a informação gerada ou adquirida por um indivíduo ou instituição deve estar acessível e operacional para usuários autorizados sempre que necessário.
Quais estão corretas?
Ano: 2025
Banca:
IF-SP
Órgão:
IF-SP
Provas:
IF-SP - 2025 - IF-SP - Médico/Área: Psiquiatria
|
IF-SP - 2025 - IF-SP - Nutricionista |
Q3781675
Segurança da Informação
Existem diversos tipos de códigos maliciosos (Malware) que podem comprometer a Segurança da Informação. Qual dos seguintes códigos
é usado para criptografar os arquivos do usuário,
tornando-os inacessíveis?
Ano: 2025
Banca:
IF-SP
Órgão:
IF-SP
Provas:
IF-SP - 2025 - IF-SP - Assistente em Administração
|
IF-SP - 2025 - IF-SP - Técnico em Contabilidade |
IF-SP - 2025 - IF-SP - Técnico de Laboratório/Área: Mecânica |
IF-SP - 2025 - IF-SP - Técnico em Laboratório/Área: Mecatrônica |
Q3781364
Segurança da Informação
Um software malicioso, ou malware, constitui uma categoria de ameaças a sistemas computacionais, comprometendo a confiabilidade,
integridade ou disponibilidade de dados. Sobre
os tipos de malware, existe um que é um programa de computador que pode ser executado independentemente, propagando uma cópia funcional
completa de si mesmo para outras estações em
uma rede e, usualmente, explorando vulnerabilidades de software no sistema-alvo. Assinale a alternativa correta, que representa o tipo de malware apresentado na descrição acima.
Q3781227
Segurança da Informação
É um mecanismo técnico destinado a garantir a integridade de dados, permitindo
verificar se um arquivo digital não sofreu alterações desde sua coleta até sua apresentação em juízo.
O trecho refere-se ao(à):
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781150
Segurança da Informação
Um órgão estadual está implementando arquitetura SASE (Secure
Access Service Edge) para modernizar a segurança de rede e o
acesso em contexto de força de trabalho híbrida e a adoção de
aplicações SaaS. A solução proposta integra SD-WAN, CASB, ZTNA
e FWaaS em plataforma cloud-native.
Um auditor interno questiona a arquitetura, citando que o órgão já possui firewall de borda tradicional, VPN IPsec para acesso remoto e proxy web on-premises.
Nesse contexto, assinale a opção que apresenta corretamente as limitações da arquitetura tradicional e os benefícios da abordagem SASE.
Um auditor interno questiona a arquitetura, citando que o órgão já possui firewall de borda tradicional, VPN IPsec para acesso remoto e proxy web on-premises.
Nesse contexto, assinale a opção que apresenta corretamente as limitações da arquitetura tradicional e os benefícios da abordagem SASE.
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781147
Segurança da Informação
Um órgão público está planejando a contratação de serviços de
desenvolvimento de sistema de auditoria com recursos de
Inteligência Artificial.
O gestor do contrato questiona a aplicabilidade da Instrução Normativa SGD/ME nº 01/2019 e da Instrução Normativa ME nº 40/2020.
Com base nesse contexto, assinale a opção que apresenta corretamente o escopo e a aplicação dessas normativas.
O gestor do contrato questiona a aplicabilidade da Instrução Normativa SGD/ME nº 01/2019 e da Instrução Normativa ME nº 40/2020.
Com base nesse contexto, assinale a opção que apresenta corretamente o escopo e a aplicação dessas normativas.
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781138
Segurança da Informação
Em um ambiente que adota a cultura DevSecOps, a segurança é
integrada em todas as fases do Secure SDLC.
Um engenheiro de segurança está automatizando ferramentas para identificar vulnerabilidades. Ele usa uma ferramenta que analisa o código-fonte ou binário sem executá-lo, focando em erros de programação segura e falhas de design, e outra que interage com a aplicação em execução (ambiente de staging ou teste) para encontrar vulnerabilidades como XSS ou SQL Injection.
Assinale a opção que apresenta o termo que define, respectivamente, a análise de segurança que opera sem executar o código-fonte ou binário (focando em padrões inseguros) e a análise de segurança que opera interagindo com a aplicação em tempo de execução.
Um engenheiro de segurança está automatizando ferramentas para identificar vulnerabilidades. Ele usa uma ferramenta que analisa o código-fonte ou binário sem executá-lo, focando em erros de programação segura e falhas de design, e outra que interage com a aplicação em execução (ambiente de staging ou teste) para encontrar vulnerabilidades como XSS ou SQL Injection.
Assinale a opção que apresenta o termo que define, respectivamente, a análise de segurança que opera sem executar o código-fonte ou binário (focando em padrões inseguros) e a análise de segurança que opera interagindo com a aplicação em tempo de execução.
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781106
Segurança da Informação
Sobre as categorias de soluções de proteção, no contexto de
segurança em ambientes cloud-native, avalie as afirmativas a
seguir.
I. CWPP (Cloud Workload Protection Platform) é responsável pela análise de vulnerabilidades em imagens de contêineres armazenadas em registries e pelo escaneamento de código de infraestrutura (IaC) antes do deployment, não provendo proteção durante a execução (runtime) das workloads.
II. CSPM (Cloud Security Posture Management) identifica e corrige configurações inadequadas de recursos cloud através de avaliação contínua contra benchmarks de segurança e frameworks de compliance, focando em postura de segurança e misconfigurations como buckets públicos, criptografia desabilitada e security groups permissivos.
III. CNAPP (Cloud Native Application Protection Platform) unifica funcionalidades de CSPM e CWPP em uma plataforma única, adicionando capacidades como análise de IaC, segurança de APIs, CIEM (Cloud Infrastructure Entitlement Management) e correlação de eventos através do ciclo de vida completo de aplicações cloud-native.
Está correto o que se afirma em
I. CWPP (Cloud Workload Protection Platform) é responsável pela análise de vulnerabilidades em imagens de contêineres armazenadas em registries e pelo escaneamento de código de infraestrutura (IaC) antes do deployment, não provendo proteção durante a execução (runtime) das workloads.
II. CSPM (Cloud Security Posture Management) identifica e corrige configurações inadequadas de recursos cloud através de avaliação contínua contra benchmarks de segurança e frameworks de compliance, focando em postura de segurança e misconfigurations como buckets públicos, criptografia desabilitada e security groups permissivos.
III. CNAPP (Cloud Native Application Protection Platform) unifica funcionalidades de CSPM e CWPP em uma plataforma única, adicionando capacidades como análise de IaC, segurança de APIs, CIEM (Cloud Infrastructure Entitlement Management) e correlação de eventos através do ciclo de vida completo de aplicações cloud-native.
Está correto o que se afirma em
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781105
Segurança da Informação
No contexto da segurança de sistemas de Inteligência Artificial,
diversas técnicas de ataque e defesa foram desenvolvidas para
lidar com vulnerabilidades específicas de modelos de Machine
Learning.
Relacione os tipos de ataques e técnicas de segurança em IA apresentados a seguir, às suas respectivas características.
1. Adversarial Evasion Attack 2. Model Poisoning Attack 3. Model Extraction Attack 4. Adversarial Training
( ) Técnica defensiva que consiste em treinar o modelo utilizando exemplos adversariais junto com dados legítimos para aumentar a robustez do sistema contra perturbações maliciosas.
( ) Ataque realizado durante a fase de inferência, no qual entradas são sutilmente modificadas para induzir o modelo a classificações incorretas, mantendo-se imperceptíveis ao usuário humano.
( ) Ataque executado na fase de treinamento, no qual dados maliciosos são injetados no conjunto de dados de treinamento para comprometer o comportamento do modelo resultante.
( ) Ataque que visa replicar a funcionalidade de um modelo proprietário através de consultas sistemáticas, permitindo ao atacante obter uma cópia funcional sem acesso direto aos parâmetros originais.
Assinale a opção que indica a relação correta, segundo a ordem apresentada.
Relacione os tipos de ataques e técnicas de segurança em IA apresentados a seguir, às suas respectivas características.
1. Adversarial Evasion Attack 2. Model Poisoning Attack 3. Model Extraction Attack 4. Adversarial Training
( ) Técnica defensiva que consiste em treinar o modelo utilizando exemplos adversariais junto com dados legítimos para aumentar a robustez do sistema contra perturbações maliciosas.
( ) Ataque realizado durante a fase de inferência, no qual entradas são sutilmente modificadas para induzir o modelo a classificações incorretas, mantendo-se imperceptíveis ao usuário humano.
( ) Ataque executado na fase de treinamento, no qual dados maliciosos são injetados no conjunto de dados de treinamento para comprometer o comportamento do modelo resultante.
( ) Ataque que visa replicar a funcionalidade de um modelo proprietário através de consultas sistemáticas, permitindo ao atacante obter uma cópia funcional sem acesso direto aos parâmetros originais.
Assinale a opção que indica a relação correta, segundo a ordem apresentada.
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781104
Segurança da Informação
Uma equipe identificou que um servidor web crítico foi
comprometido por um atacante que explorou uma
vulnerabilidade de aplicação. A análise inicial revelou que o
atacante instalou uma webshell e está usando o servidor para
movimentação lateral na rede. O servidor processa transações
financeiras e está em produção atendendo clientes.
O analista de segurança precisa decidir a ação imediata mais adequada na fase de contenção do incidente, conforme boas práticas de resposta a incidentes (NIST SP 800-61 e ISO/IEC 27035).
Assinale a opção que apresenta a estratégia de contenção apropriada para esse cenário.
O analista de segurança precisa decidir a ação imediata mais adequada na fase de contenção do incidente, conforme boas práticas de resposta a incidentes (NIST SP 800-61 e ISO/IEC 27035).
Assinale a opção que apresenta a estratégia de contenção apropriada para esse cenário.
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781103
Segurança da Informação
No âmbito da ICP-Brasil, certificados digitais podem ser
revogados antes do término da validade quando há
comprometimento da chave privada.
Nesse contexto, assinale a opção que apresenta o mecanismo usado para verificar o estado de revogação de certificados digitais em tempo real.
Nesse contexto, assinale a opção que apresenta o mecanismo usado para verificar o estado de revogação de certificados digitais em tempo real.
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781102
Segurança da Informação
Considerando técnicas de testes de segurança em aplicações,
analise as afirmativas a seguir.
I. SAST (Static Application Security Testing) pode identificar vulnerabilidades de lógica de negócio e falhas de autorização baseadas em contexto de execução, sendo mais efetivo que DAST para detectar quebras de controle de acesso horizontal (IDOR - Insecure Direct Object Reference).
II. IAST (Interactive Application Security Testing) utiliza instrumentação de código para correlacionar entrada de dados com fluxo de execução em runtime, reduzindo falsos positivos em comparação com SAST puro, mas introduzindo overhead de performance que pode inviabilizar uso em ambientes de produção.
III. Fuzzing (Fuzz Testing) é técnica eficaz para identificar vulnerabilidades de corrupção de memória (buffer overflow, use-after-free) em aplicações compiladas, mas tem limitação em detectar falhas de lógica de negócio que requerem sequências específicas de operações válidas.
IV. DAST (Dynamic Application Security Testing) consegue identificar todas as rotas e endpoints de uma API REST automaticamente por meio de spidering, sem necessidade de documentação OpenAPI/Swagger, sendo mais abrangente em cobertura de código que SAST.
Está correto o que se afirma em
I. SAST (Static Application Security Testing) pode identificar vulnerabilidades de lógica de negócio e falhas de autorização baseadas em contexto de execução, sendo mais efetivo que DAST para detectar quebras de controle de acesso horizontal (IDOR - Insecure Direct Object Reference).
II. IAST (Interactive Application Security Testing) utiliza instrumentação de código para correlacionar entrada de dados com fluxo de execução em runtime, reduzindo falsos positivos em comparação com SAST puro, mas introduzindo overhead de performance que pode inviabilizar uso em ambientes de produção.
III. Fuzzing (Fuzz Testing) é técnica eficaz para identificar vulnerabilidades de corrupção de memória (buffer overflow, use-after-free) em aplicações compiladas, mas tem limitação em detectar falhas de lógica de negócio que requerem sequências específicas de operações válidas.
IV. DAST (Dynamic Application Security Testing) consegue identificar todas as rotas e endpoints de uma API REST automaticamente por meio de spidering, sem necessidade de documentação OpenAPI/Swagger, sendo mais abrangente em cobertura de código que SAST.
Está correto o que se afirma em
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781101
Segurança da Informação
Soluções DLP (Data Loss Prevention) utilizam diferentes métodos
para identificar e classificar dados sensíveis que precisam ser
protegidos.
Assinale a opção que descreve corretamente o método de classificação de dados por “Exact Data Match” (EDM) em soluções DLP.
Assinale a opção que descreve corretamente o método de classificação de dados por “Exact Data Match” (EDM) em soluções DLP.
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781100
Segurança da Informação
No contexto da segurança de redes e aplicações corporativas,
diferentes tipos de ataques requerem medidas de proteção
específicas e adequadas às suas características técnicas.
Relacione os tipos de ataque listados a seguir, às suas respectivas medidas de proteção primárias.
1. Ransomware 2. Credential Stuffing 3. DNS Spoofing 4. Server-Side Request Forgery (SSRF)
( ) Implementar segmentação de rede com micro-segmentação, backup imutável (immutable backup) com retenção offline, EDR com detecção comportamental, e Application Control para bloquear executáveis não autorizados.
( ) Implementar DNSSEC (Domain Name System Security Extensions) para autenticação de respostas DNS, configurar resolvers DNS confiáveis, e utilizar DoH (DNS over HTTPS) ou DoT (DNS over TLS) para criptografar consultas.
( ) Implementar validação rigorosa de URLs de entrada, utilizar allowlist de destinos permitidos, restringir acesso de servidores a recursos internos através de firewalls internos, e sanitizar/validar todos os parâmetros que constroem requisições HTTP.
( ) Implementar rate limiting por IP e por conta de usuário, CAPTCHA após tentativas falhadas, monitoramento de credenciais vazadas em bases públicas (Have I Been Pwned), autenticação multifator (MFA), e detecção de anomalias baseada em geolocalização e dispositivos.
Assinale a opção que indica a relação correta na ordem apresentada.
Relacione os tipos de ataque listados a seguir, às suas respectivas medidas de proteção primárias.
1. Ransomware 2. Credential Stuffing 3. DNS Spoofing 4. Server-Side Request Forgery (SSRF)
( ) Implementar segmentação de rede com micro-segmentação, backup imutável (immutable backup) com retenção offline, EDR com detecção comportamental, e Application Control para bloquear executáveis não autorizados.
( ) Implementar DNSSEC (Domain Name System Security Extensions) para autenticação de respostas DNS, configurar resolvers DNS confiáveis, e utilizar DoH (DNS over HTTPS) ou DoT (DNS over TLS) para criptografar consultas.
( ) Implementar validação rigorosa de URLs de entrada, utilizar allowlist de destinos permitidos, restringir acesso de servidores a recursos internos através de firewalls internos, e sanitizar/validar todos os parâmetros que constroem requisições HTTP.
( ) Implementar rate limiting por IP e por conta de usuário, CAPTCHA após tentativas falhadas, monitoramento de credenciais vazadas em bases públicas (Have I Been Pwned), autenticação multifator (MFA), e detecção de anomalias baseada em geolocalização e dispositivos.
Assinale a opção que indica a relação correta na ordem apresentada.
Ano: 2025
Banca:
FGV
Órgão:
CGE-SP
Prova:
FGV - 2025 - CGE-SP - Auditor Estadual de Controle - Tecnologia da Informação - tarde |
Q3781099
Segurança da Informação
Um órgão público sofreu um ataque direcionado com a seguinte
sequência de eventos:
• T0 (13:00): Funcionário do setor financeiro recebeu e-mail de phishing com documento Excel malicioso (.xlsm) que explorou macro habilitada.
• T1 (13:02): O Excel executou PowerShell ofuscado que baixou payload da segunda etapa de domínio legítimo comprometido (pastebin.com) via HTTPS.
• T2 (13:05): Payload injetou shellcode em processo legítimo (svchost.exe) por meio de process hollowing, estabelecendo persistência via registro do Windows (Run key).
• T3 (13:15): Atacante realizou credential dumping extraindo hashes NTLM da memória do LSASS usando técnica living-offthe-land (Mimikatz reflective injection).
• T4 (13:30): Movimentação lateral via PsExec para servidor de aplicação usando credenciais roubadas, sem exploração de vulnerabilidade.
• T5 (14:00): Exfiltração de 500MB de dados para servidor C2 externo via DNS tunneling, fragmentando dados em queries DNS aparentemente legítimas.
Com base nos eventos T0–T5, assinale a opção que indica a tecnologia adequada para identificar o padrão observado e sustentar a investigação e a contenção do incidente
• T0 (13:00): Funcionário do setor financeiro recebeu e-mail de phishing com documento Excel malicioso (.xlsm) que explorou macro habilitada.
• T1 (13:02): O Excel executou PowerShell ofuscado que baixou payload da segunda etapa de domínio legítimo comprometido (pastebin.com) via HTTPS.
• T2 (13:05): Payload injetou shellcode em processo legítimo (svchost.exe) por meio de process hollowing, estabelecendo persistência via registro do Windows (Run key).
• T3 (13:15): Atacante realizou credential dumping extraindo hashes NTLM da memória do LSASS usando técnica living-offthe-land (Mimikatz reflective injection).
• T4 (13:30): Movimentação lateral via PsExec para servidor de aplicação usando credenciais roubadas, sem exploração de vulnerabilidade.
• T5 (14:00): Exfiltração de 500MB de dados para servidor C2 externo via DNS tunneling, fragmentando dados em queries DNS aparentemente legítimas.
Com base nos eventos T0–T5, assinale a opção que indica a tecnologia adequada para identificar o padrão observado e sustentar a investigação e a contenção do incidente
Conheça nossos planos