Seu próximo nível começa aqui
Seu desenvolvimento não pode ter limites. Garanta sua Assinatura Ilimitada e libere uma preparação completa com os melhores professores do Brasil.
O departamento de TI de um tribunal migrou seu sistema de consulta processual para um p...
1
Q4313322
Teclas de Atalhos
Compartilhar
O departamento de TI de um tribunal migrou seu sistema de consulta processual para um provedor de nuvem pública, adotando o modelo PaaS (Platform as a Service) por meio de um serviço de Web App gerenciado. Seis meses após a migração, o sistema sofreu uma invasão que resultou na exfiltração de dados. A perícia forense digital concluiu que:
• o código-fonte da aplicação desenvolvido pelo tribunal seguia as práticas seguras da OWASP;
• as credenciais e o gerenciamento de identidade (IAM) estavam configurados corretamente pelo Tribunal; e
• a invasão ocorreu estritamente devido à exploração de uma vulnerabilidade conhecida (CVE) e não corrigida no kernel do sistema operacional do servidor que hospedava o ambiente de execução (runtime). Considerando o Modelo de Responsabilidade
Compartilhada aplicável a serviços PaaS, é correto afirmar que a responsabilidade pela falha de segurança que permitiu o incidente é:
A
do tribunal, pois a segurança dos dados e da aplicação é de responsabilidade do cliente e, ao escolher um ambiente compartilhado, o cliente assume o risco residual das vulnerabilidades do sistema operacional subjacente;
B
do provedor de nuvem, pois no modelo PaaS a gestão do sistema operacional, incluindo a aplicação de patches de segurança e a manutenção do ambiente de execução (runtime), é de responsabilidade exclusiva do fornecedor da plataforma;
C
compartilhada, pois, embora o provedor gerencie o hardware, o tribunal tem a obrigação de instalar agentes de segurança baseados em host (HIDS) para monitorar a integridade do sistema operacional, mesmo em ambientes gerenciados;
D
do tribunal, visto que a aplicação de correções no sistema operacional convidado (Guest OS) é uma responsabilidade do cliente em todos os modelos de serviço (IaaS, PaaS e SaaS), exceto quando contratado um serviço de suporte premium dedicado;
E
do provedor de nuvem, apenas se o contrato de nível de serviço (SLA) especificar explicitamente a versão do kernel a ser utilizada; caso contrário, a responsabilidade recai sobre o tribunal por não ter auditado a infraestrutura subjacente antes do deploy.