Seu próximo nível começa aqui
Com a Assinatura Ilimitada, você tem tudo que precisa para sua aprovação.
Com a Assinatura Ilimitada, você combina prática, teoria e método em uma única assinatura com tudo que você precisa para sua aprovação.
- Gran Questões
- Disciplinas
- Tecnologia da Informação
- Segurança no desenvolvimento.
Questões de Concurso sobre Segurança no desenvolvimento.
Disciplina
1
Assunto
4
Banca
Instituição
Cargo
Ano
Carreira
Área de formação
Escolaridade
Dificuldade
Comentários:
Professores
Alunos
Meus Comentários
Vídeo
Minhas questões:
Resolvidas
Não resolvidas
Certas
Erradas
Tipo de questão:
Certo e errado
Múltipla escolha
Incluir questões:
Anuladas
Desatualizadas
Questões:
Todas as questões
Filtro simplificado
Questões
Todas as questões
83
questões
encontradas
20
Mais recentes
Com relação à segurança dos endpoints, analise as afirmativas a seguir e assinale (V) para a verdadeira e (F) para a falsa.
( ) A segurança de endpoint é uma técnica que visa a impedir que atores e campanhas hostis ataquem endpoints ou pontos de entrada de dispositivos dos usuários finais, por exemplo, desktops, laptops e smartphones. A segurança de endpoint evoluiu de um software antivírus típico para fornecer proteções mais abrangentes contra malware avançado e outras ameaças.
( ) É uma estratégia multicamadas e as soluções de endpoint usam software centralizado que deve ser instalado em cada dispositivo. As plataformas de endpoint usam firewalls, controle de acesso e avaliação de vulnerabilidades para proteção contra ameaças, assim como sistemas maiores.
( ) Os recursos de segurança de endpoint, que devem ser considerados, são a categorização de dados e prevenção de perdas, o monitoramento de ameaças internas, o gerenciamento de rede e o acesso de usuários privilegiados, anti-malware, gateways de e-mails e resposta de detecção de endpoint.
As afirmativas são, respectivamente,
A
V – V – V.
B
F – F – V.
C
V – F – V.
D
V – V – F.
Durante uma aula sobre segurança digital, o professor utiliza "Security Engineering: A Guide to Building Dependable Distributed Systems" de Ross Anderson para discutir a importância das práticas de segurança no desenvolvimento de sistemas. Ele apresenta um cenário em que uma empresa de software está projetando um novo sistema de gerenciamento de dados que deve ser altamente seguro contra ataques cibernéticos. Quais princípios de segurança o professor deve enfatizar para garantir a confiabilidade e a integridade do sistema, segundo Anderson?
A
Implementar segurança desde o início do ciclo de desenvolvimento, utilizar controles de acesso robustos e realizar testes de penetração contínuos.
B
Focar apenas em criptografia de dados em trânsito.
C
Confiar exclusivamente em firewalls para proteção de rede.
D
Utilizar apenas software proprietário para garantir segurança.
E
Realizar atualizações de segurança apenas quando ocorrer um ataque.
É obrigatória a aplicação de controles que implementem uma permissão para acessar as informações dentro do sistema, de modo que os dados fiquem anonimizados para entes externos; uma vez aplicados tais controles, não se deve autorizar o controle do fluxo de informações entre sistemas conectados, para que não se transmute a anonimização dos dados.
C
Certo
E
Errado
O projeto Web Security Testing Guide (WSTG), da Open Worldwide Application Security Project (OWASP), na versão 4.2, mostra que a aplicação de boas práticas de programação podem resultar em códigos seguros.
Considerando as melhores práticas de programação segura e revisão de código, assinale a afirmativa correta.
A
Os testes de segurança devem ser realizados somente nas fases iniciais do projeto e são fundamentais na detecção de vulnerabilidades, assim que elas são introduzidas.
B
A majoritária posição de especialistas em segurança cibernética concorda que não há substituto para a verificação manual, focada em problemas de segurança, do código-fonte de um aplicativo web.
C
O principal objetivo dos testes de segurança, no ponto de vista do desenvolvedor, é identificar o número de defeitos que pode fornecer a medida da vulnerabilidade do software, em conformidade com o Sistema de Métricas de Vulnerabilidades Comuns (CVSS, Common Vulnerability Scoring System), um padrão mantido pelo Fórum de Equipes de Resposta a Incidentes e Segurança (FIRST, Forum of Incident Response and Security Teams).
D
A melhora do Ciclo de Vida de Desenvolvimento de Software (SDLC), incluindo segurança somente nas fases finais do projeto, é um dos melhores métodos para evitar que bugs de segurança apareçam em aplicativos já em ambiente de produção.
A empresa Z criou uma nova aplicação web, mas foi atacada após disponibilizá-la na Internet. A equipe de segurança da empresa Z identificou que a configuração do servidor de aplicações permitia que os detalhes das mensagens de erro fossem retornados aos usuários. Tal fato exibe informações confidenciais ou falhas subjacentes. Para a elaboração do relatório de ataque a ser entregue à empresa Z, a equipe de segurança usou o OWASP.
Ao verificar o OWASP, a equipe definiu o ataque como pertencente à categoria:
A
A09:2021 – Falhas de Registro e Monitoramento de Segurança;
B
A08:2021 – Falhas de Software e Integridade de Dados;
C
A07:2021 – Falhas de Identificação e Autenticação;
D
A06:2021 – Componentes Vulneráveis e Desatualizados;
E
A05:2021 – Configuração Incorreta de Segurança.
Uma empresa de desenvolvimento de softwares adota, em seus projetos de sistemas, princípios de segurança para reduzir os riscos relacionados à segurança e para aumentar a resistência a ataques. Um desses princípios, visa manter o design o mais simples e o menor possível e, como consequência, tornar mais fácil de ser revisada e mais difícil de conter erros a parte desse sistema que depende de segurança.
Esse é o princípio de
A
design aberto
B
privilégio mínimo
C
mediação completa
D
economia de mecanismo
E
separação de privilégios
Assinale a opção que indica a adequada abordagem preventiva para segurança de endpoints.
A
Software antivírus (AV) deve ser o primeiro software de segurança de endpoint instalado, pois possui mais de 95% de eficiência na detecção de ameaças desconhecidas ou técnicas evasivas que exploram aplicações "confiáveis".
B
O Gerenciamento de Privilégios nos Endpoints busca restringir privilégios de usuários finais e impedir ataques de dia zero pois sem privilégios de administrador, o usuário não pode baixar ou executar softwares maliciosos que desencadeiam ataques de ransomwares ou malwares.
C
O controle de aplicações pode ser obtido pelo uso do controle pragmático de aplicações e bloqueio de códigos executáveis ao ser implementada solução de gerenciamento de privilégios nos endpoints como segunda e terceira camadas.
D
O monitoramento contínuo de atividades maliciosas realizados por EDR (Endpoint Detection and Response) possibilitam plena garantia da segurança dos endpoints.
E
O bloqueio de usuários finais com base em análises estatísticas e minimização da superfície de ataque através da implementação de outras ferramentas de segurança para endpoints tools (por exemplo: SEIM, EPP, DLP, Filtragem).
Segurança em aplicações web é uma preocupação essencial para proteger dados e garantir a integridade das informações.
Sobre práticas de segurança em aplicações web, assinale a alternativa que apresenta CORRETAMENTE práticas que contribuem significativamente para mitigar ataques de injeção SQL em aplicações web:
A
Utilizar cookies seguros para autenticação de usuários.
B
Validar e sanitizar entradas de dados do usuário antes de incorporá-las em instruções SQL.
C
Expor detalhes técnicos das mensagens de erro, incluindo informações de SQL, para facilitar a depuração.
D
Armazenar senhas no banco de dados em texto claro para facilitar a recuperação em caso de esquecimento.
Ano:
2023
Prova:
VUNESP - Prefeitura - Programador de Sistemas - 2023
Vulnerabilidades do tipo BOLA (Broken Object Level Authorization) em web services são caracterizadas
A
pelo uso de autenticações fracas.
B
pela suscetibilidade de a infraestrutura onde o web service está hospedado sofrer ataques de negação de serviço.
C
pela possibilidade de um usuário acessar dados de outros usuários devido a falhas nos controles de autorização de acesso a objetos de dados.
D
pela falta de encriptação no canal de comunicação, permitindo que o atacante posicionado entre o usuário e o web service possa capturar e roubar dados em trânsito.
E
pela possibilidade de o atacante injetar código SQL no banco de dados da aplicação devido a fragilidades no processamento de parâmetros da chamada ao web service.
A modelagem de ameaças pode ser aplicada no componente de um software, para apoiar a seleção de recursos de segurança.
C
Certo
E
Errado
Considerando as melhores práticas de codificação segura divulgada pelo Guia de Segurança em Aplicações Web disponibilizado no sítio do Ministério da Economia, no âmbito da Lei Geral de Proteção de Dados, qual opção apresenta uma medida recomendada para evitar ataques do tipo Cross Site Request Forgery(CSRF)?
A
Utilização de mecanismos complementares ao mecanismo padrão de gerenciamento de sessões, como tokens aleatórios ou parâmetros associados à sessão.
B
Utilização de senhas complexas e criptografia de ponta a ponta.
C
Manutenção do software do servidor atualizado com as últimas correções de segurança.
D
Utilização de firewalls de aplicativos web para proteger contra ataques de negação de serviço (DDoS).
E
Utilização de HTTPS para criptografar as comunicações entre o cliente e o servidor.
Considerando as práticas de programação segura e revisão de código, avalie se os itens a seguir são falsos (F) ou verdadeiros (V).
( ) A revisão do código é um método que visa a garantir que as ferramentas de inteligência artificial adotem técnicas de desenvolvimento seguro. Uma regra geral é que um teste de funcionalidade não deve descobrir nenhuma vulnerabilidade em aplicativos relacionadas ao código desenvolvido após o aplicativo ter passado por uma revisão duplo cego adequada do código de segurança.
( ) Todas as revisões de código de segurança são uma combinação de esforço humano e suporte tecnológico. Em uma extremidade é uma pessoa com um editor de texto. No outro extremo da escala está um especialista em segurança com uma ferramenta avançada de análise estática.
( ) As ferramentas de verificação automática de código são boas para avaliar grandes quantidades de código pois podem apontar possíveis problemas, mas um desenvolvedor precisa verificar cada resultado para que se determine se é um problema real e se é realmente explorável e avalie os riscos.
As afirmativas são, respectivamente,
A
V – V – F.
B
V – V – V.
C
V – F – F.
D
F – F – F.
E
F – V – V.
Em relação às abordagens de testes de segurança de aplicações, analise as assertivas e assinale a alternativa que aponta a(s) correta(s).
I. SAST (Static Application Security Testing) analisa o código-fonte de uma aplicação, em busca de vulnerabilidades, sem executar o programa.
II. DAST (Dynamic Application Security Testing) requer acesso ao código-fonte e analisa o programa durante a execução em um ambiente de teste.
III. IAST (Interactive Application Security Testing) combina aspectos do SAST e do DAST, observando o código à medida que a aplicação é executada em tempo real.
A
Apenas I.
B
Apenas II.
C
Apenas I e III.
D
Apenas II e III.
E
I, II e III.
Snort é um sistema de detecção de intrusão de código-fonte aberto, de alto grau de configurabilidade e portabilidade, baseado em estação ou em rede. Ele pode detectar uma variedade de ataques e sondagens, tendo como base um conjunto de regras configurado por um administrador de rede. De acordo com os respectivos componentes lógicos que compõem o Snort, relacione adequadamente as colunas a seguir.
-
1. Decodificador de pacotes.
2. Motor de detecção.
3. Registrador.
4. Alertador.
-
( ) Para cada pacote detectado, um alerta pode ser enviado. A opção de alerta na regra correspondente determina quais informações são incluídas na notificação do evento.
( ) Processa cada pacote capturado para identificar e isolar cabeçalhos de protocolo nas camadas de enlace de dados; rede; transporte; e, aplicação.
( ) Para cada pacote que corresponder à regra, ela especifica quais opções de registro e alerta devem ser adotadas.
( ) Analisa cada pacote tendo como base um conjunto de regras definido para essa configuração do Snort pelo administrador de rede.
-
A sequência está correta em
A
2, 3, 1, 4.
B
4, 1, 3, 2.
C
1, 2, 4, 3.
D
2, 4, 3, 1.
A fase de implementação contempla a aplicação de testes de segurança sem o uso de soluções para análise de código.
C
Certo
E
Errado
Para proteger todas as formas de código contra acesso e alteração não autorizados (PS.1), o NIST Secure Software Development Framework (SSDF), version 1.1, sugere, dentre outras medidas,
A
definir critérios para verificações de segurança de software (por exemplo: medidas de desempenho e gravidade de vulnerabilidade) e acompanhar sua implementação durante todo o ciclo de vida de desenvolvimento.
B
validar entradas, evitar o uso de funções inseguras, detectar e tratar erros, fornecer registros e rastreamento, padronizar o estilo de código e realizar revisões de código por desenvolvedores.
C
armazenar o código em repositórios protegidos, controlar versões, assinar commits e utilizar criptografia para proteger a integridade de arquivos executáveis.
D
coletar e compartilhar dados de procedência para todos os componentes do software e proteger esses dados quanto à integridade e disponibilizá-los a adquirentes de software e equipes de operações e respostas.
E
implementar medidas como autenticação multifator, controle de acesso, segmentação de rede e monitoramento contínuo.
A Equipe de Sistemas (ES) de um tribunal está trabalhando na especificação de requisitos para o Sistema de Protocolos (SisProt). O representante do cliente solicitou que o SisProt funcione 24 horas por dia, durante todo o ano, e explicou que será tolerada a interrupção do serviço prestado pelo SisProt por, no máximo, 1 hora por mês, seja para manutenções, seja por motivos extra sistema.
O requisito solicitado pelo representante do cliente é categorizado como um requisito de:
A
instabilidade;
B
confiabilidade;
C
manutenibilidade;
D
tempo de resposta;
E
responsabilidade (“accountability”).
No contexto do monitoramento de bugs com Sentry, qual é a característica que ajuda a identificar e resolver problemas de forma mais eficiente?
A
Agrupa automaticamente eventos de erro semelhantes para facilitar a análise e resolução.
B
Utiliza exclusivamente notificações por e-mail para alertar sobre novos bugs.
C
Permite apenas o monitoramento de bugs em aplicativos desenvolvidos em Python.
D
Requer que os desenvolvedores registrem manualmente cada bug encontrado no código-fonte.
E
Envia relatórios de bugs apenas para desenvolvedores designados, ignorando a equipe de operações.
Ano:
2023
Banca:
Instituto Quadrix - Quadrix
Em segurança cibernética, o sandbox é usado como um recurso para testar os softwares.
C
Certo
E
Errado
A quebra de controle de acesso é um dos principais riscos de segurança nas aplicações web.
Para prevenir-se desta vulnerabilidade, segundo o OWASP, é recomendado
A
permitir, por padrão, o acesso a todos os recursos da aplicação, ocultando apenas os recursos de configuração.
B
certificar-se de que a aplicação mantenha válidos os tokens JWT no servidor após o logout do usuário.
C
habilitar o recurso de listagem de diretórios e arquivos do servidor web para que terceiros possam auditar o site.
D
implementar mecanismos de controle de acesso uma vez e reutilizá-los em toda aplicação.
E
manter presente no diretório raiz da aplicação web os metadados dos arquivos e os dados de backups.
Gerar simulado