Questões de Concurso sobre Ataque na Camada de Aplicação

Em um ambiente web corporativo, foi implantado um componente especializado em inspecionar o tráfego HTTP/ HTTPS com base em regras específicas de camada de aplicação, capaz de bloquear ataques como injeção SQL, Cross-Site Scripting (XSS) e inclusão remota de arquivos. Esse dispositivo opera acima da camada de transporte e entende a semântica dos protocolos web para proteger aplicações contra exploração de vulnerabilidades lógicas. Trata-se de:

O Portal da Transparência e o sistema de protocolo eletrônico da Assembleia Legislativa constituem aplicações web de caráter crítico, estando continuamente expostos a ataques direcionados à camada de aplicação, como SQL Injection e Cross-Site Scripting (XSS), que exploram vulnerabilidades no código das aplicações.

Diante desse cenário, assinale a alternativa que identifica o dispositivo de segurança especificamente projetado para proteger servidores web e suas aplicações, por meio da inspeção e filtragem do tráfego HTTP/HTTPS, mitigando ataques típicos da camada de aplicação.

Considere as seguintes afirmações sobre os tipos de ataques de Negação de Serviço Distribuída, do inglês Distributed Denial-of-Service (DDoS).

I. Ataques volumétricos buscam congestionar a largura de banda da rede alvo, utilizando técnicas como a amplificação de DNS para inundar o link com um tráfego massivo.

II. Ataques na camada de transporte, como o SYN (synchronize) Flood, focam em exaurir os recursos dos dispositivos de rede (firewalls, balanceadores de carga) ao explorar o processo de handshake do protocolo TCP.

III. Ataques na camada de aplicação, como o HTTP (Hypertext Transfer Protocol) Flood, são geralmente mais silenciosos e difíceis de detectar, pois mimetizam o comportamento de usuários legítimos ao solicitar recursos específicos de um servidor web.

Está(ão) correta(s)

O celular de uma autoridade foi comprometido e o perito precisa identificar onde o malware pode ter interceptado dados, analisando a arquitetura de segurança do Android. Associe corretamente cada componente com sua função:

1. Application Sandbox

2. SELinux (enforcing)

3. GateKeeper

4. Android Keystore

A associação correta é

Um provedor de acesso à Internet identificou tráfego anômalo consistente com ataque DDoS dirigido a um serviço de aplicação hospedado externamente, o que pode comprometer a rede e afetar outros usuários.

De acordo com a Lei n.º 12.965/2014 (Marco Civil da Internet) e os dispositivos legais aplicáveis, antes de uma ordem judicial o provedor poderá

Um analista de segurança da informação de uma Assembleia Legislativa Estadual precisa proteger o sistema de consulta de processos licitatórios, hospedado em um ambiente de nuvem híbrida. O sistema é acessado por servidores públicos internos, prefeitura municipal e cidadãos em geral, armazenando dados sigilosos sobre lances e propostas comerciais. O analista identificou tentativas recentes de ataque do tipo Path Traversal e um ataque de DDoS do tipo HTTP Slowloris, que sobrecarrega a camada de aplicação. A infraestrutura atual conta com um firewall de última geração (NGFW) com inspeção superficial de tráfego HTTPS e um balanceador de carga básico, sem proteção específica para ataques de camada 7. Considerando o cenário e as boas práticas de segurança para proteção de aplicações web e de perímetro, a solução que o analista deve implementar consiste em

No desenvolvimento de um sistema de gerenciamento de benefícios sociais, a equipe de segurança da informação está revisando as vulnerabilidades mais críticas, segundo o OWASP Top 10 de 2024. Durante a análise, identificou-se que o sistema permite que usuários alterem o identificador na URL para acessar registros de outros cidadãos sem a devida autorização, como no exemplo:

https://beneficios.org/cadastro/452

Após testar sequências como /453, /454, os técnicos confirmaram que dados confidenciais de terceiros podiam ser acessados sem barreiras. De acordo com o OWASP 2024, esta vulnerabilidade é diagnosticada como

Um WAF (Web Application Firewall) está sendo configurado para proteger aplicações web críticas. Sobre a implementação e limitações de WAF, é correto afirmar que o WAF.

O designer é responsável por identificar a superfície de ataque de uma aplicação, a qual abrange todas as partes expostas do sistema que sejam suscetíveis a ataques.

Um servidor corporativo ficou indisponível após receber um grande número de requisições provenientes de um único computador, sobrecarregando os recursos e impedindo que usuários legítimos acessassem os serviços. Com base nesse cenário, qual tipo de ataque esse servidor está sofrendo?

Uma empresa, ao aplicar o modelo STRIDE para identificar os pontos cegos de ameaça e segurança da sua rede, verificou que precisava tratar de arquivos de log para auxiliar no reconhecimento de alterações não autorizadas em dados importantes.

Nesse caso, essa aplicação do modelo STRIDE auxiliou na área do modelo identificada como

Sobre Segurança em aplicações web, é um ataque que consiste em digitar comandos SQL nos inputs de formulários da aplicação:

Com o crescente número de ataques cibernéticos, o Tribunal Regional Federal da 1ª Região (TRF1) resolveu criar um departamento de cybersegurança. Esse departamento conterá inicialmente os times A e B. A diferença entre eles é que o time A é responsável por ataques e o time B, pela defesa. João, Denise e Sônia foram contratados para o departamento. João realizará coleta de dados, análises dos dados, sistemas, redes e servidores que devem ser protegidos, além de produzirem avaliações de riscos. Denise fará prevenção, identificação, contenção e mitigação de qualquer tentativa de acesso indevido. Sônia buscará vulnerabilidades conhecidas e testará novas combinações de ataques e de engenharia social para obter acesso aos sistemas.

De acordo com o que cada um executará, João, Denise e Sônia serão alocados, respectivamente, nos times:

Um analista estava acessando uma página de Internet Banking autêntica, e realizou normalmente sua autenticação, recebendo um cookie de sessão.

Em paralelo a isso, também estava verificando sua caixa de correio eletrônico, e clicou em um link suspeito que recebeu em um e-mail. Mais tarde, ao verificar seu extrato bancário, percebeu inúmeras operações que ele não realizou.

Ao fazer contato com seu banco, o mesmo informou que as operações foram realizadas a partir do usuário autenticado do cliente.

Com base nessas informações, assinale a opção que apresenta o ataque sofrido.

Uma fábrica de software está abrindo uma filial. A fim de identificar antecipadamente possíveis vulnerabilidades na arquitetura de suas aplicações, e seguindo orientações da matriz, ela está implementando o modelo de ameaças STRIDE. Para verificar a correta implementação, a matriz encaminhou um projeto para execução na filial. Esta identificou que a aplicação encaminhada fazia alterações em dados persistentes no banco de dados.

Na abordagem STRIDE, a filial está trabalhando na categoria:

Um firewall do tipo WAF (Web Application Firewall) é classificado como um firewall de camada

Um firewall de borda é considerado como o elemento capaz de fazer a mitigação de ataques DDoS de maneira eficiente, já que o tráfego da camada de aplicação tem que ser bloqueado na entrada da rede.

O código malicioso é aquele programa de computador que tem o potencial de danificar sua vítima, mas nem sempre age dessa forma. Alguns códigos maliciosos optam por furtar dados pessoais, enquanto outros usam recursos de computação da vítima em benefício próprio, sem o conhecimento ou a autorização da vítima. Dentre esses códigos maliciosos, existe uma certa categoria que visa utilizar código Javascript malicioso para furtar dados de cartão de crédito e outras informações preenchidas em páginas de pagamento de web sites de e-Commerce.

Essa categoria de códigos maliciosos é conhecida como

Existe um tipo de ataque malicioso que se aproveita das vulnerabilidades de um website para a instalação de um script capaz de roubar dados pessoais do usuário. Geralmente o sucesso do ataque se baseia em falhas na entrada e validação de dados do usuário e na reposta do servidor web. Esse tipo de ataque é chamado:

Em uma API que apresenta a vulnerabilidade conhecida como BOLA (Broken Object Level Authorization), há o risco de que