Segundo o documento OWASP Top 10 vulnerabilities de 2021, o design inseguro é uma categoria ampla que representa diferentes fraquezas que são expressas como "design de controle ausente ou ineficaz". O documento destaca que há uma diferença entre design inseguro e implementação insegura e distingue entre falhas de design e defeitos de implementação, pois eles têm diferentes causas e remediações. Um design seguro pode ter defeitos de implementação que levam a vulnerabilidades que podem ser exploradas. Um design inseguro não pode ser corrigido por uma implementação segura, pois, por definição, os controles de segurança necessários nunca foram criados para se defender contra ataques específicos. Avalie se as formas de prevenção contra o design inseguro expressas no OWASP, incluem:

I. Estabelecer e usar um ciclo de vida de desenvolvimento seguro com profissionais de AppSec para ajudar a avaliar e projetar controles relacionados à segurança e privacidade e estabelecer e utilizar uma biblioteca de padrões de projeto seguros.

II. Escrever testes unitários e de integração para validar se todos os fluxos críticos são resistentes ao modelo de ameaça e compilar casos de uso e casos de uso incorreto para cada camada do aplicativo.

III. Unificar os controles de segurança em histórias de usuários e restringir verificações de plausibilidade em cada camada do seu aplicativo (do frontend ao backend) ao time de design e limitar o consumo de recursos computacionais por usuário ou serviço.


Está correto o que se afirma em

Um algoritmo criptográfico pode ser definido como um procedimento computacional bem definido, pertencente à criptografia, que recebe entradas variáveis, muitas vezes incluindo uma chave criptográfica, que produz uma saída. Os algoritmos criptográficos são divididos nas seguintes categorias:

Uma arquitetura de chaves públicas (PKI) oferece suporte à distribuição e identificação de chaves criptográficas públicas, permitindo que os participantes (usuários e computadores) troquem dados com segurança através da Internet e verifiquem as identidades das partes. Considerando as arquiteturas PKI, analise as afirmativas a seguir.

I. Somente alguns participantes podem ler um certificado para determinar se o nome ou a chave pública do proprietário do certificado são válidas.
II. Qualquer participante pode verificar se o certificado foi originado pela autoridade de certificação e se não é falsificado.
III. Somente a autoridade de certificação pode criar e atualizar certificados.
IV. Qualquer participante pode verificar se o certificado está válido no momento.


Está correto o que se afirma em

O fundamento da segurança da informação que assegura que o nível necessário de sigilo seja aplicado em cada elemento de processamento de dados e que impede a divulgação não autorizada de dados se chama:

As contramedidas da ISO/IEC 27001 são ações que visam mitigar os riscos de segurança da informação. Com relação às categorias de contramedidas dispostos na norma, analise as afirmativas a seguir

I. As contramedidas preditivas visam evitar incidentes futuros enquanto as de redução visam diminuir a probabilidade de uma ameaça ocorrer.

II. As contramedidas de detecção visam detectar incidentes e as repressivas visam reprimir e punir os causadores de um incidente.

III. A aceitação de risco também é uma possibilidade que dependendo do nível dos riscos uma organização pode optar por aceitá-lo.


Está correto o que se afirma em

OWASP Top 10 (ano base 2021) é um documento de conscientização voltado para desenvolvedores e para a segurança de aplicativos da Web. Ele representa um amplo consenso sobre os riscos de segurança mais críticos para aplicativos da Web. Um dos ataques descritos no documento é injeção de códigos maliciosos. Com relação às medidas de evitar esse tipo de ataque, analise as afirmativas a seguir.

I. A opção preferida é usar APIs seguras que evitam usar o interpretador de comandos, elas fornecem uma interface parametrizada ou migram para Object Graph Navigation Library (OGNL)

II. Recomenda-se o uso da cláusula UNIQUE em consultas SQL para evitar a divulgação em massa de registros em caso de injeção de SQL.

III. Recomenda-se o uso de validação de entrada positiva do lado do servidor. Esta não é uma defesa completa, pois muitos aplicativos exigem caracteres especiais, como áreas de texto ou APIs para aplicativos móveis.


Está correto o que se afirma em

O framework de cibersegurança do NIST (versão 2.0) é composto por um core, perfis organizacionais e diversas camadas. As camadas caracterizam o rigor das práticas de governança e gestão de riscos de segurança cibernética de uma organização. Elas fornecem contexto sobre como uma organização vê os riscos de segurança cibernética.
A quantidade de camadas presentes no framework de cibersegurança do NIST é

A segurança do banco de dados é uma área importante, que tenta resolver muitos problemas que variam desde questões legais e éticas até questões mais técnicas relacionadas às configurações e medidas de segurança lógica e física, como os níveis de sistema em que várias funções devem ser impostas para evitar ou mitigar ataques.
Em relação aos ataques mais frequentes em bancos de dados, avalie as afirmativas a seguir e assinale (V) para a verdadeira e (F) para a falsa.

( ) O ataque do tipo abuso de escalada de privilégios não autorizada é caracterizado por um atacante que tenta elevar seus privilégios e reduzir os dos usuários autorizados para atacar pontos vulneráveis nos sistemas de bancos de dados ou sequestrar dados.

( ) Em ataques de injeção de SQL, o atacante injeta uma de cadeia de caracteres através da aplicação, que muda ou manipula a instrução SQL para o proveito do atacante. Esse ataque pode prejudicar o banco de dados de várias maneiras, como por exemplo, na manipulação não autorizada do banco de dados ou na recuperação de dados confidenciais. Ele também pode ser usado para executar comandos em nível do sistema que podem fazer o sistema negar serviço à aplicação.

( ) Os ataques do tipo navegação oculta são tentativas de tornar recursos indisponíveis para usuários ilegítimos. Esta é uma categoria de ataques em que o acesso a aplicações ou dados da rede é negado aos usuários legítimos pela remoção de dados ou mudanças nas autorizações e privilégios de acesso ao banco de dados.


As afirmativas são, respectivamente,