Questões de Concurso
Sobre segurança de sistemas de informação em segurança da informação
Foram encontradas 677 questões
Acerca de testes de penetração, julgue o item seguinte.
Na situação apresentada na figura a seguir, de acordo com o OSSTMM (The Open Source Security Testing Methodology Manual), seria correto classificar o teste de penetração como um teste do tipo tandem, mas não como um teste double blind, haja vista que, na técnica tandem, o alvo não recebe notificação prévia referente ao alcance da auditoria, aos canais testados e aos vetores de teste.
Acerca de testes de penetração, julgue o item seguinte.
Situação hipotética: O acesso a uma aplicação web com permissão de administrador é realizado por meio do valor informado em uma variável, conforme a seguir.
http://www.site.com.br/aplicacacao?profile=as cs23f8g7por04
Assertiva: Nesse caso, de acordo com a OWASP (Open Web Application Security Project), o teste de penetração black-box automatizado é efetivo para encontrar uma vulnerabilidade, dados o valor fixo para a variável e a forma de passagem: pedido via GET.
Com o objetivo de direcionar testes de penetração a ser executados em uma organização, um analista deve considerar os seguintes requisitos.
I Devem ser realizados ataques sem que o testador tenha conhecimento prévio acerca da infraestrutura e(ou) aplicação.
II Devem ser enviadas ao testador informações parciais e(ou) limitadas sobre os detalhes internos do programa de um sistema, simulando, por exemplo, um ataque de hacker externo.
Tendo como referência a situação hipotética apresentada, julgue o item que se segue.
O requisito II é uma descrição do teste de penetração do tipo
white-box, que é normalmente considerado uma simulação de
ataque por fonte interna e(ou) usuário privilegiado.
A respeito de inteligência de ameaças em fontes abertas (OSINT), julgue o item a seguir.
Informações obtidas por meio de OSINT são menos confiáveis
e menos precisas que aquelas obtidas usando-se disciplinas de
inteligência tradicionais.
A respeito de inteligência de ameaças em fontes abertas (OSINT), julgue o item a seguir.
OSINT é potencialmente uma fonte de informação rápida e
economicamente viável, e a informação e a inteligência
derivadas de OSINT podem ser potencialmente
compartilhadas.
Julgue o item seguinte, a respeito da análise de artefatos maliciosos.
Executar com sucesso o disassembly não é um problema
simples de resolver haja vista que sequências de código
executável podem ter várias representações — algumas que
podem ser inválidas — e, ao final, pode-se causar erros na
funcionalidade real do programa.
Com relação à análise de linha do tempo e à aquisição de dados em memória, julgue o seguinte item.
A extração de uma imagem da memória de um sistema,
conhecida como dump de memória, permite identificar os
processos que estavam em execução no momento da extração,
bem como os arquivos, as bibliotecas, chaves de registro ou
sockets em uso por cada processo.
Acerca dos conceitos de organização e de gerenciamento de arquivos, dos procedimentos e dos aplicativos para segurança da informação, julgue o item subsequente.
Treinamento e conscientização dos empregados a respeito
de segurança da informação são mecanismos preventivos
de segurança que podem ser instituídos nas organizações,
uma vez que as pessoas são consideradas o elo mais fraco
da cadeia de segurança.
A respeito da gestão de segurança da informação, julgue o item subsequente.
Em um acesso a sistemas e aplicações mediante log-on,
recomenda-se que, caso ocorra uma condição de erro,
o sistema não informe qual parte do dado de entrada está
correta ou incorreta.
Um programador de um sistema com autenticação de usuário, descontente com a empresa que trabalha, incluiu no código uma forma de passar por cima da autenticação convencional documentada, autenticando usuário e senha de forma programática (dentro do próprio código).
Dessa forma, o programador criou um
Uma técnica de esteganografia digital simples consiste em substituir o ruído em uma imagem pela informação que se deseja esconder.
Para camuflar uma mensagem secreta em uma imagem JPEG, de modo que a imagem fique praticamente inalterada e não afete a percepção visual do ser humano, o algoritmo de camuflagem deve substituir sequencialmente o bit
Considere as seguintes definições de termos relativos à Segurança da Informação:
I. Garantia contra negação, por parte das entidades envolvidas em uma comunicação, de sua participação no todo ou em parte dessa comunicação.
II. Garantia de que os dados recebidos estão exatamente como enviados por uma entidade responsável pelo envio sem inserção, exclusão, modificação e/ou repetição de toda ou parte da mensagem, entre outros.
III. Garantia de que as entidades envolvidas na comunicação são, de fato, quem se espera ou que se afirma ser.
As definições I, II e III, nessa ordem, referem-se aos conceitos de
Batizada de Drown, a séria vulnerabilidade descoberta afeta HTTPS e outros serviços que dependem de SSL e TLS, alguns dos protocolos mais essenciais para segurança na internet. O Drown aproveita que na rede, além de servidores que usam TLS por padrão, há outros que também suportam ........ e, explorando a vulnerabilidade do protocolo antigo, podem quebrar a criptografia do padrão TLS. Em testes realizados pelos pesquisadores, um PC normal foi capaz de quebrar a criptografia TLS em um servidor vulnerável em menos de 1 minuto. Durante um período, os pesquisadores realizaram uma ampla varredura na internet e descobriram que 33% de todo tráfego HTTPS pode estar vulnerável ao ataque Drown. É importante ressaltar que a quebra da criptografia depende também da capacidade de monitorar o tráfego TLS, mas isto é facilmente realizável em redes públicas ou a partir da invasão da rede tanto no lado do cliente como do lado do servidor. Como a vulnerabilidade está do lado do servidor, não há nada que possa ser feito no lado do cliente, que nem fica sabendo que o ataque está acontecendo.
(Disponível em: https://blog.leverage.inf.br/2016/03/01/drown-attack-nova-vulnerabilidade-no-tls/. Acessado em: 03 jul. 2017)
Ao ler esta notícia, da qual foi omitido o protocolo de segurança, um Analista Judiciário concluiu, corretamente, que
Conheça nossos planos