Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Disciplinas
- Tecnologia da Informação
- Controles e testes de segurança para aplicações web.
Questões de Concurso sobre Controles e testes de segurança para aplicações web.
Disciplina
1
Assunto
1
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
55
questões
encontradas
20
Mais recentes
Classificação de Risco para o Top 10 é uma metodologia baseada na OWASP Risk Rating Methodology e consiste em estimar, para cada categoria do Top 10, o risco peculiar que cada falha introduz em uma aplicação web típica e, posteriormente, ordenar o Top 10 de acordo com as falhas que tipicamente introduzem o risco mais significativo para uma aplicação.
C
Certo
E
Errado
PedidosSemEstresse é uma aplicação Web destinada a digitalizar o processo de pedidos de serviços de um órgão da administração pública. A interface de PedidosSemEstresse utilizada pelos usuários faz chamadas a uma API RESTful e não utiliza facilidades de login único (single sign-on – SSO). Recentemente, o usuário interno João utilizou suas próprias credenciais com privilégios somente de execução de métodos GET para explorar vulnerabilidades e teve acesso direto a API RESTful. Assim, João fez chamadas a métodos POST com sucesso.
Com base no OWASP Top Ten, a vulnerabilidade explorada por João é da categoria:
A
Injection;
B
Broken Access Control;
C
Software and Data Integrity Failures;
D
Vulnerable and Outdated Components;
E
Identification and Authentication Failures.
Sobre o ciclo de desenvolvimento seguro de aplicações, assinale V para a afirmativa verdadeira e F para a falsa.
( ) Uma das práticas definidas pelo modelo SDL da Microsoft é a modelagem de ameaças.
( ) Uma análise estática de segurança (SAST) exige que a aplicação já esteja em funcionamento.
( ) O conserto de vulnerabilidades descobertas por meio de análise dinâmica de segurança (DAST) costuma custar mais caro do que aquelas descobertas no início do ciclo de desenvolvimento.
As afirmativas são, respectivamente,
A
F, F, V.
B
F, V, V.
C
V, F, V.
D
V, V, F.
E
F, V, F.
Ano:
2022
Banca:
Fundação Carlos Chagas - FCC
Prova:
FCC - TJ CE - Analista Judiciário - Área Ciência da Computação - Sistemas da Informação - 2022
Para evitar os efeitos indesejáveis de ataques SQL lnjection em aplicações web, uma recomendação correta de programação segura é
A
não utilizar ferramentas Object Relational Mapping (ORM) como Hibernate, NHibernate ou JPA.
B
utilizar as propriedades securi ty= "true" e/ou encode= "secure" nos campos de formulários HTML.
C
realizar a validação dos dados de entrada do lado do servidor por meio de whitelists.
D
validar a entrada de dados no cliente, evitando assim qualquer possibilidade de envio de instruções maliciosas ao servidor.
E
utilizar concatenação de valores nas consultas de dados ao invés de consultas parametrizadas.
Sobre os conceitos de segurança e ferramentas para aplicações Web, bem como as ferramentas e técnicas de exploração de vulnerabilidades e testes de invasão em aplicações Web. Sabemos que o OWASP (Open Web Application Security Project) Top 10 é um livro/documento de referência que descreve as 10 preocupações de segurança mais críticas para a segurança de aplicativos da Web. O relatório é elaborado por uma equipe de especialistas em segurança de todo o mundo. Sobre as principais vulnerabilidades listadas no OWASP Top 10 (ano 2021), assinale a alternativa correta.
A
Vulnerabilidades baseadas em XSS (CrossSite-Scripting) e Design Inseguro (lnsecure Design) não fazem parte dos riscos de segurança de aplicativos Web no OWASP Top 10 (2021).
B
Vulnerabilidades baseadas em Injeção (Injection) e XSS (Cross-Site-Scripting) deixaram de fazer parte dos riscos de segurança de aplicativos Web no OWASP Top 10 (2021).
C
Design inseguro (Insecure Design) é uma nova categoria para no OWASP Top 10 (2021), com foco em riscos relacionados a falhas de projeto.
D
As falhas criptográficas (falhas relacionadas à criptografia), anteriormente conhecidas como Exposição a Dados Sensíveis, que geralmente levam à exposição de dados confidenciais ou ao comprometimento do sistema, simplesmente deixaram de ser ameaças e não fazem parte dos riscos do TOP 10 OWASP 2021.
E
Componentes Vulneráveis e Desatualizados (Vulnerable and Outdated Components), anteriormente chamado Usando Componentes com Vulnerabilidades Conhecidas (Using Components with Known Vulnerabilities), também não faz parte dos riscos do TOP 10 OWASP 2021.
De acordo com o OWASP, uma aplicação web fica vulnerável a ataques de Injeção quando
A
ocorre uso intenso de expressões regulares em operações de validação dados.
B
se impõe o menor nível de privilégio para aplicação conectar a bancos de dados ou outros sistemas de suporte.
C
ferramentas de mapeamento objeto-relacional são adotadas para reduzir a impedância da programação.
D
se utiliza a cláusula LIMIT para especificar o número de linhas que devem ser retornadas no resultado de uma consulta SQL.
E
consultas SQL são concatenadas diretamente com os dados fornecidos pelos usuários por meio de formulários web.
A aplicação Web SiCONTA viabiliza a recuperação de credenciais de acesso por meio da conferência de respostas previamente cadastradas pelo usuário a questionamentos realizados a ele no processo de criação da credencial.
Considerando a metodologia Open Web Application Security Project (OWASP), a aplicação Web SiCONTA possui uma vulnerabilidade classificada na categoria:
A
Broken Access Control;
B
Insecure Identification;
C
Security Misconfiguration;
D
Insecure Design and Implementation;
E
Identification and Authentication Failures.
O teste de penetração (pentest)
A
red box (conhecido como teste de penetração externo) ocorre quando o pen tester recebe pouca ou nenhuma informação sobre a infraestrutura de TI da empresa e visa simular um ataque cibernético do mundo real, no qual o testador assume o papel de um invasor desinformado.
B
social engineering é usado para descobrir vulnerabilidades ou pontos fracos de segurança em aplicativos baseados na web e usa diferentes técnicas de penetração e ataques com o objetivo de invadir o próprio aplicativo da web.
C
black box envolve identificar e examinar as conexões entre todos os dispositivos conectados à rede wireless da empresa, incluindo laptops, tablets, smartphones e qualquer outro dispositivo da Internet das Coisas (IoT).
D
white box ocorre quando o testador tem total conhecimento e acesso ao código-fonte, visando realizar uma auditoria de segurança detalhada dos sistemas da empresa e fornecer ao pen tester o máximo de detalhes possível.
E
logical visa expor fraquezas e vulnerabilidades em controles lógicos (fechaduras, barreiras, câmeras ou sensores) para que as falhas e pontos fracos possam ser mitigados e soluções implementadas para fortalecer a segurança lógica.
A categoria que ocupa a primeira colocação na lista OWSAP Top 10 é a quebra de controle de acesso.
C
Certo
E
Errado
Acerca da segurança em aplicações web, registre V, para verdadeiras, e F, para falsas:
( ) Falha de injeção SQL ocorre quando uma entrada de um campo informado pelo usuário é utilizada em uma consulta de arquivos de configurações no servidor sem validação prévia.
( ) Cross Site Scripting (XSS) ocorre quando uma aplicação inclui dados informados por um usuário em uma página enviada a um navegador, sem realizar validações dos dados de entrada do usuário.
( ) Uma das formas de proteger as aplicações web contra o Cross site Request Forgery (CSRF) é criar uma blacklist de parâmetros inválidos no servidor, permitindo somente a entrada de dados válidos.
Assinale a alternativa com a sequência correta:
A
F – F – V
B
V – V – F
C
F – V – V
D
F – V – F
E
V – F – V
Analise a afirmativa a seguir.
Aplicações WEB que interagem através de navegadores (browsers), são acessadas através de _____ e retornam esses acessos através de _____ . Esta interoperabilidade se dá através do protocolo ____.
Marque a opção que completa CORRETA e respectivamente as lacunas.
A
Try / Catch / HTTP.
B
Request / Response / HTTP.
C
PING/ PONG / AJAX.
D
Request / Response / HTML.
E
Try / Catch / AJAX.
Para que um teste de invasão leve informações úteis à segurança de uma aplicação web, é importante que tal aplicação esteja em um estágio avançado no seu ciclo de desenvolvimento.
C
Certo
E
Errado
No que se refere à segurança de aplicações Web, relacione a coluna da esquerda, que apresenta os nomes das vulnerabilidades mais encontradas nessas aplicações, com a coluna da direita, que apresenta as descrições dessas vulnerabilidades.
1.Cross Site Scripting (XSS)
2.Falha de Injeção de Código
3.Execução Maliciosa de Arquivo
4.Cross Site Request Forgery (CSRF)
( ) Ocorre quando o navegador no qual a vítima está autenticada é forçado a enviar uma requisição para uma aplicação Web vulnerável, que realiza a ação desejada em nome da vítima.
Exemplo em HTML:
<img src=”http://www.exemplo.com.br/logout.php”>
( ) Acontece quando os dados que o usuário fornece de entrada são enviados como parte de um comando ou consulta.
Exemplo em PHP e SQL:
$sql = “SELECT * FROM t1 WHERE id = ‘” . $_REQUEST[‘entrada-do-usuario’] . ”’”;
( ) Ocorre em quaisquer aplicações que recebam dados originados do usuário e os enviem ao navegador sem primeiramente validar ou codificar aquele conteúdo.
Exemplo em PHP:
echo $_REQUEST[‘entrada-do-usuario’];
( ) Ocorre em aplicações que utilizam, diretamente ou por concatenação, entradas potencialmente hostis tanto em funções de arquivo quanto em stream.
Exemplo em PHP:
include $_REQUEST[‘entrada-do-usuario’];
Marque a alternativa que relaciona CORRETAMENTE as descrições da coluna da direita com os nomes da coluna da esquerda:
A
2, 4, 1, 3.
B
1, 2, 4, 3.
C
4, 3, 1, 2.
D
4, 2, 1, 3.
Sobre segurança da informação em aplicações web, considere um caso de vazamento de dados (como o caso do site Ashley Madison, em 2015), no qual uma tabela, contendo apenas os números de cartões de crédito e e-mails dos usuários, foi acessada e publicada na internet.
Considere as seguintes afirmativas.
I. A utilização de técnicas de sumarização (Hash) com variações (Salt) em novos campos da tabela inviabilizaria o reconhecimento dos dados.
II. A verificação de clientes utilizando certificados evitaria a conexão de usuários anônimos no servidor web.
III. A utilização do protocolo HTTPS evitaria a injeção de comandos SQL (SQL Injection).
Assinale a alternativa CORRETA.
A
Somente a afirmativa I está correta.
B
Somente as afirmativas II e III estão corretas.
C
Somente as afirmativas I e III estão corretas.
D
Somente a afirmativa II está correta.
E
Somente as afirmativas I e II estão corretas.
Considere as seguintes afirmativas sobre segurança em aplicações web.
I. Utilizar credenciais do banco de dados com permissão de somente-leitura evita ataques de injeção de SQL (SQL injection).
II. A utilização de certificados digitais pelos usuários (como o e-CPF) pode dispensar a necessidade de autenticação por meio de nome de usuário e senha.
III. Entrar suas credenciais apenas em sites com conexão segura (HTTPS) evita o comprometimento de senhas por registro de teclado (keyloggers).
Assinale a alternativa CORRETA.
A
Somente a afirmativa I está correta.
B
Somente a afirmativa II está correta.
C
Todas as afirmativas estão corretas.
D
Somente a afirmativa III está correta.
E
Nenhuma das afirmativas está correta.
Gerar simulado