Questões de Concursos Segurança da Informação

A política de segurança não deve ter caráter punitivo, mas conscientizador e participativo. Assim, na política de segurança não se definem sanções ou penalidades aplicáveis em caso de descumprimento das normas. Ao contrário, definem-se responsabilidades e o impacto do não cumprimento adequado do papel de cada um na gestão da segurança como um todo.

Os sistemas de detecção de intrusão servem para fornecer avisos de invasão para que a área de segurança possa mitigar os danos ou, ainda, impedir o ataque. A esse respeito, julgue os itens a seguir.

I Honeypots são sistemas planejados para atrair um atacante para uma área diferente, longe dos sistemas críticos.

II A detecção de intrusão permite a coleta de informações sobre as técnicas de intrusão e, portanto, pode contribuir para a melhoria da estrutura de prevenção de intrusão.

III A detecção de intrusão é baseada na premissa de que o comportamento do intruso é diferente do comportamento de um usuário legítimo, podendo assim, ser quantificada.

Assinale a opção correta.

Em TI, uma política de segurança adequada deve conter recomendações de filtros que permitam o bloqueio de portas e protocolos no firewall para os serviços que mais são explorados em tentativas de invasão. Todavia, essa tarefa deve levar em conta o cuidado de não paralisar os serviços necessários no ambiente de rede privado. Nesse sentido, os bloqueios podem ser implementados

I. nos pacotes originários do ambiente exterior, com origem em endereços internos previstos na RFC 1918 (redes privadas) e endereços IP 127.

II. nas portas de DNS para todas as máquinas que não sejam servidores de DNS e também para as que sejam servidores de DNS secundária.

III. nos protocolos HTTP e SSL, exceto para servidores que provêm serviços Web para acesso externo, bem como as portas altas utilizadas por serviços HTTP como Proxy.

IV. nas requisições de echo request, de saída de echo replies, time exceeded, e mensagens do tipo unreachable.

É correto o que consta em

A respeito de segurança em redes de computadores e criptografia, julgue o item seguinte.

Os ataques de phishing caracterizam-se pelo envio de mensagens eletrônicas que despertam a atenção de usuários por meio da sugestão de vantagens ou ameaças de prejuízos e também por induzirem os usuários a fornecer dados pessoais e(ou) financeiros.

Riscos residuais referem-se aos riscos para os quais ainda não foram estabelecidos controles dentro do tratamento de riscos.

O plano de continuidade de negócios deve ser testado, de forma que se garanta sua correta execução a partir de instruções suficientemente detalhadas. Adotado esse plano, não convém que a organização providencie auditoria externa, já que essa auditoria poderá comprometer os dados sigilosos da organização.

O estabelecimento de uma política de mesa limpa e tela limpa é um controle diretamente relacionado ao gerenciamento das operações e comunicações, e não ao controle de acessos.

Em redes IP que utilizam switches, pode-se realizar a escuta do tráfego com o ARP spoofing.

A VPN pode ser uma alternativa para conexão remota de um usuário, via Internet, à rede privada de uma empresa, a partir de um provedor de acesso.

A utilização de sistemas biométricos dispensa a segurança de dados de forma isolada, uma vez que o acesso é mais restrito em decorrência do alto controle de erro, não havendo necessidade de intervenção do programador no testamento dos dados.

É o padrãomais utilizado para certificação digital:

Analise as seguintes afirmações relacionadas às responsabilidades da gerência quanto à manipulação e salvaguarda dos ativos da organização do ponto de vista de um processo de Auditoria de Controles de hardware, acesso, suporte técnico e operação de computadores.

I. A gerência é responsável por planejar e executar os backups dos servidores de banco de dados da organização.

II. A gerência é responsável por desenvolver os procedimentos de conscientização em todos os níveis da organização.

III. A gerência é responsável por implementar sistemas seguros para atender às políticas de Tecnologia da Informação.

IV. A gerência é responsável por realizar suporte técnico aos usuários do ambiente.

Indique a opção que contenha todas as afirmações verdadeiras.

Determinado órgão público permite que cidadãos efetuem, no sistema de cadastro, alterações de seus próprios dados. Para garantir a autenticidade de seus usuários, o sistema exige que o login seja feito mediante apresentação de certificado digital ICP-Brasil de pessoa física. Sobre essa situação, analise as afirmativas a seguir.

I - Um usuário poderá adquirir seu certificado em uma autoridade certificadora direta ou indiretamente subordinada, na hierarquia, à raiz ICP-Brasil.
II - O órgão precisa de infraestrutura para armazenar cada senha associada ao certificado digital de cada usuário, utilizando SHA256 como forma de proteção da senha.
III - Embora a autenticidade do usuário seja verificada, não há mecanismos de controle de integridade com esse tipo de certificado.

Está(ão) correta(s) a(s) afirmativa(s)

IDS (intrusion detection system) pode ser utilizado para incrementar o trabalho do firewall e permitir que o tráfego de dados de uma rede seja monitorado para correção imediata de problemas ou falhas.

Um Plano de Continuidade de Negócio visa garantir a continuidade dos serviços essenciais de uma organização, minimizando perdas decorrentes de um evento de segurança de grande impacto. O Plano de Continuidade de Negócio é constituído pelos seguintes planos, EXCETO:

No que se refere à segurança da informação, julgue o item que se segue.