Questões de Concurso sobre Análise de vulnerabilidade.

O Guia do Framework de Privacidade e Segurança da Informação da Secretaria de Governo Digital (2024) define o desenvolvimento de um plano para avaliar e rastrear continuamente as vulnerabilidades em todos os ativos dentro da infraestrutura da organização, com o intuito de remediar e minimizar a janela de oportunidades para atacantes. Com base nesse Guia, os profissionais de segurança devem ter informações sobre as seguintes ameaças, EXCETO:

Considerando um eventual cenário de disrupção nos negócios, a NBR ISO/IEC 27002:2022 propõe que planos de continuidade sejam desenvolvidos, implementados, testados, analisados criticamente e avaliados para manter ou restaurar a segurança das informações de processos críticos de negócios.

A análise de vulnerabilidades pode ser feita por ferramentas automatizadas como o Nessus, mas sempre exige validação manual dos resultados.

Enfatiza-se a importância crítica de se estabelecer mecanismos robustos de monitoramento contínuo e de atualização rigorosa de bibliotecas e componentes de terceiros.

De acordo com os CIS controls, a varredura automatizada de vulnerabilidades deve ser realizada trimestralmente e de forma mandatória em ativos corporativos expostos externamente, enquanto a varredura automatizada em ativos internos é opcional e eventual, conforme a criticidade do negócio da organização.

Analise as afirmativas sobre a gestão de vulnerabilidade no âmbito de segurança da informação.

I - Um plano de gestão de vulnerabilidades busca reduzir riscos e aumentar a segurança de seus ativos, buscando identificar, priorizar e mitigar vulnerabilidades em sistemas e redes.

II - Um plano de gestão de vulnerabilidades bem elaborado elimina a necessidade de implantação de firewalls e anti-malwares.

III - A gestão de vulnerabilidades deve ser delegada exclusivamente ao time de segurança (dentro da equipe de TI), sem envolver outras áreas da empresa, pois estas podem trazer insegurança.

Qual(is) afirmativa(s) está(ão) correta(s)?

A equipe de TI do TCE-PI constatou que um sistema corporativo, durante a hora de maior movimento, tornava-se instável, pois o servidor não processava todas as requisições que recebia naquele período.

Assinale a opção que indica o principal aspecto de segurança da informação que não está sendo plenamente atendido por esse sistema.

Como exemplo de melhor prática, o OWASP recomenda que os responsáveis por segurança de uma aplicação monitorem continuamente fontes como CVE (common vulnerability and exposures) e NVD (national vulnerability database) em busca de vulnerabilidades nos componentes usados na aplicação.

A área de segurança do TJMS utilizou uma ferramenta automatizada para procurar vulnerabilidades nos ativos de rede do Tribunal. A ferramenta gerou um relatório que foi entregue para a área de infraestrutura e redes. Esta, após analisar o teor do relatório, agradeceu a atitude proativa da área de segurança, mas decidiu não adotar nenhuma ação, no momento, por estar atuando em outras atividades prioritárias.

A decisão da área de infraestrutura e redes estaria correta se as vulnerabilidades registradas:

Durante uma auditoria de segurança de uma rede corporativa, foi descoberto que alguns servidores apresentavam vulnerabilidades significativas. Entre os problemas identificados foram relacionados vazamentos de senhas, diversas aplicações com falta de atualizações críticas e contas de ex-funcionários ainda ativas com permissões administrativas.

Com base nessa situação hipotética, considerando os problemas encontrados e as boas práticas de hardening, as seguintes combinações de medidas de segurança são as mais apropriadas para proteger esses servidores e mitigar essas vulnerabilidades:

Em um ambiente corporativo onde a proteção contra ameaças cibernéticas é crítica, a análise de vulnerabilidades se destaca como uma prática fundamental para identificar, avaliar e mitigar riscos potenciais nos sistemas de informação. Considere uma grande instituição financeira que recentemente passou por um incidente de segurança significativo, resultando na exposição de dados sensíveis de clientes. Para prevenir futuros incidentes, a instituição decidiu implementar um processo robusto de análise de vulnerabilidades, integrando ferramentas e técnicas avançadas.

A instituição contratou um time de especialistas em segurança da informação para conduzir uma análise abrangente, que inclui a identificação de vulnerabilidades em seus sistemas, avaliação do impacto potencial dessas vulnerabilidades e a implementação de medidas de mitigação apropriadas. Durante as discussões sobre a metodologia a ser adotada, os especialistas debateram várias abordagens e ferramentas disponíveis no mercado.

Tendo em vista as melhores práticas e frameworks internacionais para análise de vulnerabilidades, assinale a alternativa que corretamente apresenta a abordagem considerada a mais abrangente e eficaz para garantir uma proteção proativa contra ameaças cibernéticas.

No plano de continuidade de negócios, é apresentado um estudo do cenário atual da organização, com a avaliação de potenciais riscos, para subsidiar as ações e estratégias necessárias à preservação da confidencialidade, integridade e disponibilidade dos dados e informações importantes.

Um analista de tecnologia da informação de um órgão público está conduzindo uma análise de vulnerabilidade em um sistema crítico de gerenciamento de processos judiciais. Durante a análise, o profissional identifica várias vulnerabilidades que precisam ser avaliadas e tratadas para garantir a segurança do sistema. Considerando as melhores práticas de segurança da informação, qual das ações a seguir é a mais adequada para conduzir uma análise de vulnerabilidade eficaz?

A análise de vulnerabilidades em aplicações web deve ser realizada apenas durante a fase de desenvolvimento do aplicativo.

Ferramentas automatizadas de procura por vulnerabilidades são utilizadas, em computador ou em rede de computadores, para a busca de serviços reconhecidamente vulneráveis que possam gerar falsos positivos.

Nos controles CIS, empresas que geralmente armazenam e processam informações confidenciais de clientes são classificadas como IG2 ou IG3.

O processo de mapeamento de ameaças e aplicação de configurações de segurança de modo a tornar sistemas e infraestruturas de TI mais resistentes a ataques é denominado

Uma empresa de consultoria de segurança da informação está realizando uma análise de vulnerabilidade em um sistema computacional de um cliente. O objetivo é identificar pontos fracos que poderiam ser explorados por atacantes e recomendar medidas de mitigação. Durante a análise, a equipe de segurança discute os diferentes aspectos e técnicas envolvidas no processo de avaliação de vulnerabilidades. Qual das seguintes afirmações sobre análise de vulnerabilidade em sistemas computacionais está CORRETA?