Questões de Concurso sobre Vulnerabilidade

A gestão de riscos em segurança da informação envolve a correta compreensão de conceitos como ameaça, vulnerabilidade e risco, que são fundamentais para a análise e tratamento de riscos. Analise as afirmativas a seguir:

I.Vulnerabilidade é uma fraqueza em um ativo, processo ou controle que pode ser explorada por uma ameaça.

II.Ameaça é uma causa potencial de um incidente indesejado que pode explorar uma vulnerabilidade e resultar em dano a um ativo de informação.

III.Risco é a combinação da probabilidade de uma ameaça explorar uma vulnerabilidade e do impacto resultante dessa exploração sobre o ativo de informação.

É correto o que se afirma em:

No contexto da Segurança da Informação, as vulnerabilidades são classificadas em diferentes categorias. Diante disso, assinale a alternativa CORRETA que apresenta um exemplo clássico de vulnerabilidade tecnológica.

No fim do expediente, chega um e-mail que imita uma cobrança e pede atualização urgente de dados, usando link encurtado. Assinale a alternativa correta sobre ameaça, vulnerabilidade e controle.

A gestão de riscos em segurança da informação envolve a correta compreensão de conceitos como ameaça, vulnerabilidade e risco, que são fundamentais para a análise e tratamento de riscos. Analise as afirmativas a seguir:

I.Vulnerabilidade é uma fraqueza em um ativo, processo ou controle que pode ser explorada por uma ameaça.

II.Ameaça é uma causa potencial de um incidente indesejado que pode explorar uma vulnerabilidade e resultar em dano a um ativo de informação.

III.Risco é a combinação da probabilidade de uma ameaça explorar uma vulnerabilidade e do impacto resultante dessa exploração sobre o ativo de informação.

É correto o que se afirma em:

A segurança da informação é um campo crucial, que visa proteger dados e sistemas contra acesso não autorizado, uso, divulgação, modificação ou destruição.

Sobre os conceitos de ameaça, ataque e vulnerabilidade, analise as afirmativas a seguir.

I. Vulnerabilidade: É uma falha ou fraqueza em um sistema, processo ou controle que pode ser explorada por uma ameaça para causar danos.

II. Tipos de Ataques: Um ataque de negação de serviço (DoS) tem como objetivo sobrecarregar um sistema para torná‑lo indisponível para seus usuários legítimos.

III. Ameaça: Consiste na exploração de uma vulnerabilidade por um agente mal‑intencionado, resultando em um impacto negativo ao sistema.

Estão corretas as afirmativas

Uma vulnerabilidade em um sistema de segurança pode ser definida como:

A segurança de computadores se define como a proteção oferecida a um sistema de informação automatizado para atingir os objetivos apropriados de preservação da confidencialidade, integridade e disponibilidade (Tríade CID) de ativos de sistemas de informação (incluindo hardware, software, firmware, informações/dados e telecomunicações). Porém, ao longo do tempo, foram acrescentados outros elementos para fortalecer as políticas de proteção de dados. Posto isso, analise as afirmativas abaixo:

I - Integridade: defender contra a modificação ou destruição imprópria de informações.

II- Confidencialidade: preservar restrições autorizadas ao acesso e revelação de informações, incluindo meios para proteger a privacidade pessoal e as informações proprietárias.

III - Disponibilidade: assegurar que o acesso e o uso das informações seja confiável e realizado no tempo adequado.

IV - Irretratabilidade (não repúdio): protege contra a confirmação, por parte do remetente ou destinatário, da autenticidade ou recebimento de dados, assegurando que eles possam recusar sua participação ou autoria, se desejarem.

V - Ameaça: tentativa de violação da segurança do sistema.

VI - Vulnerabilidade: falha, defeito ou fraqueza no projeto, implementação ou operação e gerenciamento de um sistema que poderia ser explorado para violar a política de segurança do sistema.

VII - Risco: expectativa de perda de segurança expressa como a probabilidade de que uma ameaça particular explore uma vulnerabilidade particular com resultado danoso particular.

VIll - Ataque: um potencial para violação de segurança que existe quando há circunstância, capacidade, ação ou evento que poderia infringir a segurança e causar dano.

Estão corretas:

As sentenças abaixo são inspiradas no texto de Ramos (2006) sobre Segurança da Informação:

I. Evento que tem potencial em si próprio para comprometer os objetivos da organização e pode trazer danos diretos aos ativos, ou prejuízos decorrentes de situações inesperadas.

II. Ausência de um mecanismo de proteção ou falhas em um mecanismo de proteção existentes.

III. Medida indicativa de probabilidade de uma ocorrência que possa comprometer os objetivos da organização, combinada com os impactos que ela trará.

Fonte: (RAMOS, Anderson. Security Officer - 1: guia oficial para formação de gestores em segurança da informação. Porto Alegre: Zouk, 2006.)

Tais sentenças descrevem, respectivamente, as definições de:

São exemplos de vulnerabilidade, EXCETO:

As vulnerabilidades relativas à área de segurança do tipo hardware incluem

Vulnerabilidade é o grau de suscetibilidade de um objeto a uma ameaça.

Uma aplicação web pode ser atacada por meio da exploração de vulnerabilidades, como, por exemplo, quando os dados fornecidos pelos usuários não são validados, filtrados ou mesmo limpos pela aplicação; pela não renovação dos identificadores de sessão após o processo de autenticação ter sido bem-sucedido; pela elevação de privilégios, atuando como usuário sem autenticação, ou como administrador, mas tendo perfil de usuário regular. Aplicações com essas características são vulneráveis à falha de

I injeção;

II quebra de autenticação;

III quebra de controle de acesso.

Assinale a opção correta.

Durante a manutenção de rotina, foi descoberto um defeito de segurança em um software da gestão de redes de computadores do ITEP que estava sendo utilizado. Assinale a alternativa que apresenta corretamente o nome técnico dado a defeitos encontrados em software.

A inadequada configuração de segurança, um dos riscos da OWASP Top 10, pode ocorrer em qualquer nível de serviço de uma aplicação; em razão disso, o uso de scanners e testes automatizados é ineficaz na tarefa de detectar falhas de configuração.

Sobre segurança na internet, analisar a sentença abaixo:

Varredura em redes, ou scan, é uma técnica que consiste

em efetuar buscas minuciosas em redes, com o objetivo

de identificar computadores ativos e coletar informações

sobre eles como, por exemplo, serviços disponibilizados e

programas instalados (1ª parte). Com base nas

informações coletadas nas varreduras de rede, não é

possível associar possíveis vulnerabilidades aos serviços

disponibilizados e aos programas instalados nos

computadores ativos detectados (2ª parte).

A sentença está:

Essa técnica pode ser utilizada para a obtenção de informações sobre uma rede remota protegida por um firewall. Ela permite que pacotes passem por portas em um gateway, além de determinar se um pacote com várias informações de controle pode passar pelo gateway. Pode-se ainda mapear roteadores encontrados antes do firewall. Isso é possível devido à possibilidade de modificar o campo Time To Live (TTL) do pacote e as portas utilizadas, que permitem que as portas abertas pelo firewall sejam utilizadas para o mapeamento da rede.

Essa técnica que explora as vulnerabilidades descritas chama-se:

Sobre as ameaças ao conectar o computador à rede, analisar os itens abaixo:

I. Informações pessoais e outros dados podem ser obtidos tanto pela interceptação de tráfego como pela exploração de possíveis vulnerabilidades existentes no computador.

II. Um atacante pode usar a rede para enviar grande volume de mensagens para um computador, até tornálo inoperante ou incapaz de se comunicar.

Uma das vulnerabilidades mais comuns em aplicações Web é conhecida como XSS. Destaque abaixo o nome real do XSS.

Segurança é um item crucial para o andamento do dia a dia de uma empresa de tecnologia, tanto que muitas delas contratam hackers para testar vulnerabilidades de sistemas. Para isso, existem empresas que listam essas empresas que querem ser testadas e disponibilizam essa lista para hackers cadastrados que trabalham justamente tentando encontrar vulnerabilidades.

Assinale nas opções abaixo o nome desse tipo de teste.

Considere o texto a seguir: “É uma falha ou fraqueza de procedimento, design, implementação, ou controles internos de um sistema que possa ser acidentalmente ou propositalmente explorada, resultando em uma brecha de segurança ou violação da política de segurança do sistema”.

No contexto de segurança da informação, essa é a definição de: