No que se refere à segurança da informação, assinale a opção que apresenta a definição de gray box.

Question

No que se refere à segurança da informação, assinale a opção que apresenta a definição de gray box.  Alternativa A: Teste cujo objetivo é simular um ataque de alguém com acesso limitado ao sistema e que é útil para verificar como um
insider malicioso ou usuário comprometido poderia explorar o sistema. Ou Alternativa B: Teste cujo objetivo é avaliar profundamente todas as camadas de segurança e que é ideal para auditorias internas e
revisão de segurança de código. Ou Alternativa C: Teste cujo objetivo é simular um ataque real externo e que é útil para testar exposição real à Internet. Ou Alternativa D: Teste realizado exclusivamente em ambientes de produção com acesso total às credenciais administrativas, visando
validar a resposta de segurança em tempo real. Ou Alternativa E: Teste conduzido sem qualquer conhecimento prévio sobre o sistema, simulando um ataque feito por usuários legítimos
com acesso privilegiado à aplicação.

Qconcursos · Accepted Answer

Alternativa [A] Teste cujo objetivo é simular um ataque de alguém com acesso limitado ao sistema e que é útil para verificar como um
insider malicioso ou usuário comprometido poderia explorar o sistema. Gabarito: AFundamento decisivo: A distinção decisiva era o nível de conhecimento ou acesso prévio ao alvo: a alternativa correta é a que indica acesso limitado, próprio do gray box.Tema central: Definição de gray boxAnálise das alternativasACertaA alternativa A está correta porque descreve um teste em que há acesso limitado ao sistema, isto é, conhecimento parcial sobre o alvo. Esse é o critério técnico que define o gray box.BErradaEstá errada porque fala em avaliação profunda de todas as camadas de segurança e revisão de código, o que remete a abordagem de white box. O erro está em usar conhecimento interno amplo e análise extensa do sistema, quando gray box se define por conhecimento parcial.CErradaEstá errada porque descreve simulação de ataque real externo e teste de exposição à Internet, traços típicos de black box. O confronto decisivo é este: ataque externo sem conhecimento interno relevante não corresponde a gray box.DErradaEstá errada porque menciona acesso total às credenciais administrativas, o que afasta a ideia de conhecimento parcial e aproxima o cenário de white box. Além disso, a expressão 'exclusivamente em produção' não define a modalidade gray box.EErradaEstá errada porque afirma 'sem qualquer conhecimento prévio', o que é característica de black box, não de gray box. Além disso, a própria alternativa é conceitualmente inconsistente ao combinar ausência total de conhecimento com usuários legítimos de acesso privilegiado.Pegadinha da questãoA confusão explorada foi trocar o critério definidor do gray box. O ponto decisivo é o nível de conhecimento ou acesso prévio: parcial.Dica para questões semelhantesClassifique box testing pelo nível de conhecimento prévio: nenhum ou irrelevante = black box; parcial ou limitado = gray box; amplo ou interno = white box.Não use profundidade da auditoria como critério de classificação; o definidor é o grau de conhecimento ou acesso ao sistema.Se a alternativa mencionar revisão de código ou visão completa das camadas internas, a tendência é white box, não gray box.Se a alternativa combinar 'sem conhecimento prévio' com acesso privilegiado, há incompatibilidade conceitual a ser eliminada.

No que se refere à segurança da informação, assinale a opção...

Gabarito comentado

Gabarito: A

Clique para visualizar este gabarito

Questões de assuntos semelhantes

Provas relacionadas