Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Questões
Questões de Concurso sobre Diretrizes para o Desenvolvimento de Software Seguro
Disciplina
1
Assunto
5
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
108
questões
encontradas
20
Mais recentes
Conforme o CIS Controls, os controles de ativos criptográficos integram a seção denominada configuração segura de ativos e softwares corporativos.
C
Certo
E
Errado
Devido à demanda por proteção, segurança e confiança, os métodos ágeis precisam de adaptações significativas para serem aplicados rotineiramente na engenharia de sistemas críticos.
C
Certo
E
Errado
Assinale a opção em que é apresentado o princípio de segurança do DevSecOps segundo o qual é recomendável a implementação de controles de segurança no início do ciclo de desenvolvimento de software para melhorar a postura de segurança, incluídas práticas como revisões de código, verificação de vulnerabilidades e testes de segurança para detectar e corrigir bugs rapidamente.
A
infrastructure as code automation
B
shift left
C
system of continuous monitoring
D
continuous integration
E
continuous delivery
Sobre o desenvolvimento de software seguro com banco de dados, assinale a alternativa que NÃO apresenta uma boa prática a adotar:
A
Utilizar sempre consultas parametrizadas, sanitizando a entrada enviada pelo usuário.
B
Definir um usuário com privilégios mínimos de acesso para uso pela aplicação. Não utilizar o usuário com privilégios administrativos.
C
Estabelecer as conexões via SSL entre o servidor de aplicação e o servidor de bancos de dados, de modo a dificultar a interceptação da comunicação entre a aplicação e o banco de dados.
D
Mostrar logs detalhados dos erros a todos os usuários da aplicação, incluindo informações do esquema e versão do banco de dados, de modo a melhorar o processo de resolução de problemas.
Consoante o protocolo de prevenção de incidentes cibernéticos do Poder Judiciário aprovado pela Portaria CNJ n.º 162/2021, todos os órgãos do Poder Judiciário, à exceção do STF, devem instituir, formalmente, equipe de tratamento e resposta a incidentes de segurança cibernética (ETIR), incumbida da detecção, triagem, análise e resposta a incidentes de segurança cibernética.
C
Certo
E
Errado
Ano:
2025
Banca:
Instituto Quadrix - Quadrix
Políticas de segurança estabelecem diretrizes para proteger ativos de informação dentro de uma organização.
C
Certo
E
Errado
Segundo o documento OWASP Top 10 vulnerabilities de 2021, o design inseguro é uma categoria ampla que representa diferentes fraquezas que são expressas como "design de controle ausente ou ineficaz”. O documento destaca que há uma diferença entre design inseguro e implementação insegura e distingue entre falhas de design e defeitos de implementação, pois eles têm diferentes causas e remediações. Um design seguro pode ter defeitos de implementação que levam a vulnerabilidades que podem ser exploradas. Um design inseguro não pode ser corrigido por uma implementação segura, pois, por definição, os controles de segurança necessários nunca foram criados para se defender contra ataques específicos. Avalie se as formas de prevenção contra o design inseguro expressas no OWASP, incluem:
l. Estabelecer e usar um ciclo de vida de desenvolvimento seguro com profissionais de AppSec para ajudar a avaliar e projetar controles relacionados à segurança e privacidade e estabelecer e utilizar uma biblioteca de padrões de projeto seguros.
Il. Escrever testes unitários e de integração para validar se todos os fluxos críticos são resistentes ao modelo de ameaça e compilar casos de uso e casos de uso incorreto para cada camada do aplicativo.
III. Unificar os controles de segurança em histórias de usuários e restringir verificações de plausibilidade em cada camada do seu aplicativo (do frontend ao backend) ao time de design e limitar o consumo de recursos computacionais por usuário ou serviço.
Está correto o que se afirma em
A
Il e III, apenas.
B
l e Il, apenas.
C
l e Ill, apenas.
D
I, apenas.
E
III, apenas.
Em um projeto de desenvolvimento de um novo sistema de gestão documental (GED), a equipe técnica implementou uma estratégia de “shift left” para segurança. Durante a fase de análise de requisitos, foi identificado o potencial risco de que URLs ou parâmetros possam ser manipulados por usuários mal-intencionados para redirecionar vítimas a sites fraudulentos ou carregar conteúdo não confiável. Adicionalmente, há uma preocupação com a exposição de chaves de API em repositórios de código e com a possibilidade de escalonamento de privilégios devido a configurações incorretas de acesso. Baseando-se nas práticas de DevSecOps e na OWASP Top 10, assinale a alternativa que apresenta a abordagem mais abrangente para mitigar os riscos mencionados.
A
Implementar validação de entrada robusta para todos os parâmetros de URL e configurar Content Security Policy (CSP) para prevenir ataques de injeção de script
B
Utilizar um Identity and Access Management (IAM) centralizado e revisar permissões de acesso em tempo de execução, enquanto se foca em eliminar o Cross-Site Scripting (XSS) com sanitização de HTML
C
Adotar ferramentas de Static Application Security Testing (SAST) para identificar credenciais embutidas no código-fonte e promover revisões de código focadas em validação de redirecionamentos e encaminhamentos para prevenir Server-Side Request Forgery (SSRF)
D
Configurar autenticação multifator (MFA) para todos os usuários e implementar Web Application Firewalls (WAFs) para bloquear tentativas de SQL Injection e Broken Authentication
Em relação ao Firmware, analise as seguintes asserções e a relação proposta entre elas:
.
I. O Secure Boot é um recurso da Unified Extensible Firmware Interface (UEFI) que exige que todos os componentes de firmware e software de baixo nível sejam verificados antes do carregamento.
PORQUE
II. Mantém os resumos de assinantes confiáveis (chaves públicas e certificados) do firmware e dos módulos de código de software autorizados para interagir com o firmware da plataforma.
A respeito dessas asserções, assinale a alternativa correta.
A
As asserções I e II são proposições verdadeiras, e a II é uma justificativa da I.
B
As asserções I e II são proposições verdadeiras, mas a II não é uma justificativa da I.
C
A asserção I é uma proposição verdadeira, e a II é uma proposição falsa.
D
A asserção I é uma proposição falsa, e a II é uma proposição verdadeira.
E
As asserções I e II são proposições falsas.
Na estrutura de desenvolvimento de software seguro do NIST, o grupo de prática “Preparar a Organização” inclui a recomendação de que todos os componentes dos ambientes de desenvolvimento de software sejam fortemente protegidos contra ameaças internas e externas, a fim de prevenir comprometimentos.
C
Certo
E
Errado
Um "Computer Security Incident Response Team (CSIRT)", ou Grupo de Resposta a Incidentes de Segurança, é um grupo responsável por receber, analisar e responder a notificações e atividades relacionadas a incidentes de segurança em computadores. Uma estratégia que pode ser utilizada por CSIRTs na avaliação e desenvolvimento de seus procedimentos e uso de ferramentas é a realização de exercícios de simulação do tipo Red Team e Blue Team. Assinale a alternativa que resume as ações de cada um dessas equipes durante esse tipo de exercício.
A
Os membros do Red Team coordenam as ações; enquanto os membros do Blue Team avaliam as decisões tomadas durante o exercício.
B
Os membros do Blue Team coordenam as ações, enquanto os membros do Red Team avaliam as decisões tomadas durante o exercício.
C
Os membros do Blue Team utilizam táticas e técnicas de invasão; enquanto os membros do Red Team utilizam táticas e técnicas de resposta e recuperação.
D
Os membros do Red Team utilizam táticas e técnicas de invasão; enquanto os membros do Blue Team utilizam táticas e técnicas de resposta e recuperação.
Atualmente, existem diversas ferramentas para emprego na área da segurança cibernética, cada uma com suas peculiaridades. Duas delas são caracterizadas a seguir.
I.Foi projetada especificamente para minimizar a tomada de decisões, usando um processo de três etapas para coletar dados de sistemas e dispositivos de TI, que inclui orquestração, automação e resposta. Essa ferramenta busca e identifica vulnerabilidades com base em grandes quantidades de dados coletados, tomando as decisões imediatas e precisas e eliminando o risco de erro humano.
II.Foi projetada como uma solução de segurança cibernética que usa algoritmos e aprendizado de máquina para detectar anomalias no comportamento dos usuários, bem como nos roteadores, servidores e endpoints da rede. È uma ferramenta que busca comportamentos incomuns e irregularidades de padrões e alerta o administrador da rede ou usa funções de desconexão automática para anular ameaças antes que elas se tornem sérias.
Essas ferramentas são conhecidas, respectivamente, pelas siglas:
A
CASB e XDR
B
SOAR e XDR
C
CASB e UEBA
D
SOAR e UEBA
No que se refere a modalidades de disponibilização de infraestrutura computacional, a segurança da informação e a privacidade são diretrizes a serem consideradas.
C
Certo
E
Errado
Durante uma auditoria de segurança no setor de tecnologia de um tribunal, foi constatado que o sistema de tramitação eletrônica não utiliza bibliotecas de componentes seguros e não realiza testes de integração com foco em casos de uso indevido (abuso). Considerando as diretrizes do OWASP Top 10:2021 = Al4: Design Inseguro, a medida mais completa e preventiva para mitigar riscos decorrentes de falhas de projeto é
A
implementar firewalls e monitoramento contínuo para detectar atividades suspeitas durante o uso do sistema.
B
estabelecer um ciclo de vida de desenvolvimento seguro com padrões arquiteturais, testes de fluxo e validação contra ameaças.
C
aplicar criptografia simétrica e controle de integridade sobre os dados transmitidos entre as instâncias do sistema.
D
reduzir validações intemas em componentes menos criticos para evitar lentidão nos processos eletrônicos.
E
substituir o uso de APIs públicas por mecanismos de integração proprietários com controle de acesso restrito.
A técnica sandboxing, ao executar programas em um ambiente compartilhado para observar seu comportamento, altera o sistema principal.
C
Certo
E
Errado
Ano:
2025
Banca:
Instituto Quadrix - Quadrix
As políticas de segurança não podem ser estáticas, pois as ameaças cibernéticas evoluem constantemente. Logo, é necessário que as diretrizes sejam revisadas periodicamente para se adequarem às novas vulnerabilidades e desafios.
C
Certo
E
Errado
DevSecOps é uma abordagem que integra segurança ao ciclo de vida do desenvolvimento de software, garantindo que vulnerabilidades sejam identificadas e corrigidas desde as primeiras etapas do processo. Uma das características dessa abordagem é a
A
dependência exclusiva de ferramentas externas para a garantia da segurança do software.
B
separação total entre desenvolvimento e segurança, que permite que cada equipe trabalhe de forma independente.
C
eliminação da necessidade de monitoramento contínuo, pois os testes são realizados apenas antes da implantação.
D
restrição do acesso ao código-fonte apenas para a equipe de segurança, o que garante maior proteção.
E
automação de testes de segurança, que reduz o tempo necessário para identificação e correção de vulnerabilidades.
Considerando os aspectos fundamentais de uma política de segurança da informação eficaz e as boas práticas descritas em normas internacionais, assinale a alternativa correta.
A
A política de segurança da informação deve ser elaborada exclusivamente pela equipe técnica da TI, pois apenas ela possui conhecimento para lidar com riscos cibernéticos.
B
Uma política de segurança eficaz deve conter instruções operacionais detalhadas, como comandos de firewall e scripts de backup.
C
Uma política de segurança da informação deve estabelecer princípios como confidencialidade, integridade e disponibilidade da informação, definindo papéis, responsabilidades e penalidades.
D
A política de segurança da informação deve ser classificada como documento sigiloso e, portanto, não pode ser acessada por todos os colaboradores da organização.
E
A revisão da política de segurança só é necessária em caso de incidente de segurança ou após auditoria externa.
A exigência de alteração periódica de senhas, sem histórico de senhas antigas e sem reforço de complexidade, é considerada uma prática eficiente para mitigar riscos de vazamento de credenciais.
C
Certo
E
Errado
Analise as seguintes asserções e a relação proposta entre elas:
I. O modelo de segurança Zero Trust baseia-se no princípio de “nunca confiar, sempre verificar”, eliminando a confiança implícita em qualquer elemento da rede.
PORQUE
II. No modelo Zero Trust, todos os usuários, dispositivos e aplicações são considerados não confiáveis por padrão, independentemente de sua localização na rede.
A respeito dessas asserções, assinale a alternativa correta.
A
As asserções I e II são proposições verdadeiras, e a II é uma justificativa da I.
B
As asserções I e II são proposições verdadeiras, mas a II não é uma justificativa da I.
C
A asserção I é uma proposição verdadeira, e a II é uma proposição falsa.
D
A asserção I é uma proposição falsa, e a II é uma proposição verdadeira.
E
As asserções I e II são proposições falsas.
Gerar simulado