Questões de Concursos Segurança da Informação

Na criptografia assimétrica

Analise as seguintes afirmações relativas a aspectos que devem ser considerados quanto à política de segurança:

I. Uma boa política de segurança independe do treinamento aplicado aos funcionários.

II. A criptografia pode garantir a integridade dos dados e proteger informações sigilosas enviadas através de linhas inseguras.

III. Controle de acesso é aplicado após a implementação da política de segurança para garantir que todos os itens da política estão sendo cumpridos.

IV. A autenticação é como os usuários informam à infra-estrutura de rede quem são eles.

Estão corretos os itens:

Considere que, utilizando um sniffer junto ao segmento que liga a rede de uma organização à Internet, um dos auditores identifique, durante poucos segundos, a ocorrência de milhares de pacotes SYN e SYN/ACK trafegando na rede, para os quais não havia correspondentes pacotes ACK. Considere ainda que o auditor constate que os endereços fonte dos pacotes SYN e os endereços destino dos pacotes SYN/ACK eram de um host desconhecido pela organização, enquanto os endereços destino dos pacotes SYN e os endereços fonte dos pacotes SYN/ACK eram de um host pertencente à rede DMZ da organização. Nesse caso, a partir dos dados coletados, é correto inferir que a organização poderia estar, naquele momento, sofrendo um ataque de negação de serviço DOS (denial of service).

A política de segurança não deve ter caráter punitivo, mas conscientizador e participativo. Assim, na política de segurança não se definem sanções ou penalidades aplicáveis em caso de descumprimento das normas. Ao contrário, definem-se responsabilidades e o impacto do não cumprimento adequado do papel de cada um na gestão da segurança como um todo.

Um Plano de Continuidade de Negócio visa garantir a continuidade dos serviços essenciais de uma organização, minimizando perdas decorrentes de um evento de segurança de grande impacto. O Plano de Continuidade de Negócio é constituído pelos seguintes planos, EXCETO:

Em um ataque em que o Cracker injeta códigos JavaScript em um campo texto de uma página Web já existente e este JavaScript é apresentado para outros usuários, este JavaScript poderia, por exemplo, simular a página de login do site, capturar os valores digitados e enviá-los a um site que os armazene. Este ataque é denominado

Nas questões de n. 23 a 25, assinale a assertiva correta.

Em relação aos princípios da segurança, a criptografia, por si só, garante

Em relação à segurança da informação, analise os itens a seguir, marcando com (V) a assertiva Verdadeira e com (F) a assertiva Falsa.

( ) Avaliação de riscos é o uso sistemático de informações para identificar fontes e estimar o risco.

( ) Análise de riscos é o processo de comparar o risco estimado com critérios de risco predefinidos para determinar a importância do risco.

( ) Risco é uma medida que combina a probabilidade de uma determinada ameaça se concretizar com os impactos que ela pode trazer.

( ) O conceito de privilégio mínimo é uma estratégia de proteção que prega que não se deve ficar exposto a situações de risco desnecessárias.

Assinale a alternativa com a sequência CORRETA, de cima para baixo:

O estabelecimento de uma política de mesa limpa e tela limpa é um controle diretamente relacionado ao gerenciamento das operações e comunicações, e não ao controle de acessos.

Os sistemas de detecção de intrusão servem para fornecer avisos de invasão para que a área de segurança possa mitigar os danos ou, ainda, impedir o ataque. A esse respeito, julgue os itens a seguir.

I Honeypots são sistemas planejados para atrair um atacante para uma área diferente, longe dos sistemas críticos.

II A detecção de intrusão permite a coleta de informações sobre as técnicas de intrusão e, portanto, pode contribuir para a melhoria da estrutura de prevenção de intrusão.

III A detecção de intrusão é baseada na premissa de que o comportamento do intruso é diferente do comportamento de um usuário legítimo, podendo assim, ser quantificada.

Assinale a opção correta.

Os sistemas de Planejamento de Recursos Empresariais (ERP) são sistemas

De acordo com a norma ABNT NBR ISO/IEC 27.001, a análise crítica do sistema de gestão de segurança da informação deve ser realizada em intervalos planejados e os resultados dessas análises devem ser documentados. Assinale a opção em que é apresentada uma entrada da análise crítica.

A norma NBR ISO/IEC 27005 prescreve que o gerenciamento de incidentes pode ser realizado iniciando-se com uma definição de contexto, seguido por uma análise e avaliação, tratamento, aceitação, comunicação, monitoramento e análise crítica dos incidentes.

A assinatura digital é uma modalidade de assinatura eletrônica que utiliza algoritmos de criptografia assimétrica e permite aferir com segurança a

Uma política de segurança eficaz parte da premissa do uso efetivo de um conjunto de ferramentas de segurança, como firewalls, sistemas de detecção de intrusos, validadores de senha e criptografia forte.

No que se refere à segurança da informação, julgue o item que se segue.