Questões CESPE Seguranca Da Informação

5/25/2018 Quest es CESPE Seguranca Da Informa o

1/22

SEGURANA DA INFORMAO PROF. SCRATES FILHO http://socratesfilho.wordpress.com

Lista de exerccios de TI Segurana da Informao

(CESPE Secretaria de Estado do Controle e Transparncia/ES 2010 Auditor do

Estado Especialidade: Tecnologia da Informao)

Um rgo pblico responsvel pelo controle externo do Poder Executivo de umaunidade da Federao desenvolveu um conjunto de processos de auditoria deconformidade na gesto da segurana da informao. As organizaes para as quaiso rgo presta servio implementaram sistemas de gesto da segurana dainformao, por fora de normas, em aderncia aos modelos desenvolvidos pelaABNT e ISO/IEC, especialmente os prescritos nas normas 15.999, 27.001, 27.002 e27.005. Uma vez que vrias organizaes a serem auditadas j passaram cerca dedois anos implementando seus sistemas de gesto, um questionrio de avaliaopreliminar foi aplicado pelo rgo de controle externo nas organizaes clientes.Diferentes controles do sistema de segurana da informao foram avaliados pelos

respondentes, tanto os de natureza fsica e lgica quanto os organizacionais. A partirdo recebimento dos resultados do questionrio preliminar, os auditores efetuaram umavisita organizao e produziram diversos julgamentos acerca da possvel adequaodos controles implementados aos modelos das normas mencionadas.

Tendo como referncia as informaes contidas na situao hipottica apresentadaacima, julgue os itens a seguir, a respeito do julgamento realizado pelos auditores.

96) Se a equipe de uma organizao realizou o processo formal de anlise/avaliaode riscos apenas aps a elaborao da primeira declarao de aplicabilidade, correto afirmar que esse procedimento est aderente ao prescrito na Norma 27.001.97) Considere que, em uma organizao, os auditores observaram que algumas dasatividades de identificao de riscos foram efetuadas parcialmente, na seguintesequncia: inventrio dos ativos; identificao de ameaas; e identificao devulnerabilidades. Nesse caso, a sequncia de levantamento de dados realizada estcoerente com o indicado na Norma 27.005.98) Se a anlise do plano de tratamento de riscos de uma das organizaes, noescopo de seu centro de dados, revelou que, para a eliminao de todos os riscosidentificados no escopo, foi adotada a reduo por meio de controles, correto afirmarque tal abordagem est coerente com a prtica do gerenciamento de riscos desegurana.99) Considere que o plano de classificao de ativos de uma das organizaesauditadas valore os ativos usando uma metodologia mista, isto , empregando ora a

valorao qualitativa, ora a valorao quantitativa. Nesse caso, tal abordagem produzdesconformidades com o prescrito em modelos da ABNT e da ISO/IEC, uma vez quese deve adotar um ou outro modelo, mas no ambos simultaneamente.100) Para que o plano de continuidade de negcios apresentado por uma dasorganizaes avaliadas seja considerado conforme a Norma NBR ISO/IEC 15.999, eledeve ter referncias implcitas ou explcitas a um dos seguintes documentos: plano degerenciamento de incidentes; plano de recuperao de negcios; declarao depoltica de gesto de continuidade dos negcios (GCN); e relatrio de anlise deimpactos sobre negcios BIA (business impact analysis).

Um rgo pblico, visando identificar o atual nvel de proteo da rede decomputadores das organizaes pblicas para as quais presta servios, desenvolveu

um conjunto de processos de avaliao de segurana da informao em redes decomputadores. Empregando mtodos analticos e prticos, os auditores coletaramvrias informaes acerca da rede e produziram diversas declaraes, sendo algumas


2/22


delas consistentes com o estado da prtica e outras incorretas. A esse respeito, julgueos itens de 101 a 105.

101) O uso de firewalls na rede de computadores mais eficaz na preveno deincidentes que para o tratamento dos eventuais incidentes que nela ocorrem. Osfirewalls stateless, ou de filtragem de pacotes, so especialmente eficazes no bloqueioa vrios tipos de ataques, como phishing e spoofing.102) Considere que, utilizando um sniffer junto ao segmento que liga a rede de umaorganizao Internet, um dos auditores identifique, durante poucos segundos, aocorrncia de milhares de pacotes SYN e SYN/ACK trafegando na rede, para os quaisno havia correspondentes pacotes ACK. Considere ainda que o auditor constate queos endereos fonte dos pacotes SYN e os endereos destino dos pacotes SYN/ACKeram de um host desconhecido pela organizao, enquanto os endereos destino dospacotes SYN e os endereos fonte dos pacotes SYN/ACK eram de um hostpertencente rede DMZ da organizao. Nesse caso, a partir dos dados coletados,

correto inferir que a organizao poderia estar, naquele momento, sofrendo um ataquede negao de servio DOS (denial of service).103) Considere que os auditores identifiquem, entre a rede de uma organizao e aInternet, um sistema em funcionamento que realiza a filtragem e correo automticado fluxo de pacotes e datagramas estabelecidos entre os hosts da organizao eaqueles da Internet. Considere tambm que o referido sistema realiza inspeo eeventuais ajustes nos pedidos e respostas http que trafegam em ambos sentidos.Nesse caso, diante das informaes mencionadas, correto afirmar que tal sistemapode ser classificado como de preveno de intruso em rede NIPS (network intrusionprevention system) e no apenas como de deteco de intruso IDS (intrusiondetection system).104) Considere que, em uma organizao, os auditores tenham detectado o uso deum certificado digital no servidor web, para oferta de servios de comunicao seguracom os usurios da extranet da organizao. Considere ainda que, ao navegar parauma pgina servida por esse servidor web, usando o protocolo https, um auditor tenhaobservado que o seu navegador web emitiu um alerta, informando que o certificadoapresentado no foi reconhecido como vlido. Nesse caso, tal comportamento donavegador deve-se normalmente ao fato de o certificado no ser assinado por umaautoridade certificadora que seja de confiana do software navegador.105) Se uma das organizaes utiliza o protocolo https para estabelecer algumascomunicaes seguras com seus usurios da extranet, ento, sempre que umasesso https for estabelecida com esse servidor, todos os fluxos de dados quetransitam nessa sesso sero criptografados por meio de algoritmos de criptografia

assimtrica, utilizando-se, para isso, um algoritmo de cifra de fluxo, como o AES.

(CESPE Banco da Amaznia - 2010 Tcnico Cientfico Especialidade:Tecnologia da Informao Produo e Infraestrutura)

Com relao aos protocolos de segurana para redes sem fio, julgue os itensseguintes.

87) O WPA um termo utilizado para proteo de redes sem fio. A sua principalimplementao foi o WEP (wired equivalent privacy).88) O WPA2 implementa os elementos mandatrios especificados pelo padro IEEE

802.11i.89) O EAP foi definido para autenticao extensvel em redes e est relacionado aocontrole de acesso, em que o protocolo IP no est disponvel, no primeiro momento.


3/22


90) No WPA2, previsto o uso do protocolo RC4, que considerado robusto eeficiente para redes sem fio.

(CESPE Banco da Amaznia - 2010 Tcnico Cientfico Especialidade:Tecnologia da Informao Redes e Telecomunicaes)

I 0.771929 IP (tos 0x10, ttl 64, id 46018, offset 0, flags [DF], proto: TCP (6), length: 60)1.1.1.1.1111 > 2.2.2.2.2222: S, cksum 0x1db2 (correct), 0:0(0) win 5840 II 0.994556 IP (tos 0x0, ttl 50, id 20037, offset 0, flags [DF], proto: TCP (6), length: 44)2.2.2.2.2222 > 1.1.1.1.1111: S, cksum 0x9e62 (correct), 0:0(0) ack 1 win 5840 III 0.994605 IP (tos 0x10, ttl 64, id 46019, offset 0, flags [DF], proto: TCP (6), length: 40)1.1.1.1.1111 > 2.2.2.2.2222: ., cksum 0xb61f (correct), 1:1(0) ack 1 win 5840IV 3.909380 IP (tos 0x10, ttl 64, id 46020, offset 0, flags [DF], proto: TCP (6), length: 47)1.1.1.1.1111 > 2.2.2.2.2222: P, cksum 0xa89d (correct), 1:8(7) ack 1 win 5840

V 4.220509 IP (tos 0x0, ttl 50, id 20038, offset 0, flags [DF], proto: TCP (6), length: 40)2.2.2.2.2222 > 1.1.1.1.1111: ., cksum 0xb618 (correct), 1:1(0) ack 8 win 5840VI 4.220591 IP (tos 0x0, ttl 50, id 20041, offset 0, flags [DF], proto: TCP (6), length: 40)2.2.2.2.2222 > 1.1.1.1.1111: F, cksum 0xae04 (correct), 2068:2068(0) ack 8 win 5840VII 4.220607 IP (tos 0x10, ttl 64, id 46021, offset 0, flags [DF], proto: TCP (6), length: 40)1.1.1.1.1111 > 2.2.2.2.2222: ., cksum 0xb618 (correct), 8:8(0) ack 1 win 5840VIII 4.223374 IP (tos 0x0, ttl 50, id 20040, offset 0, flags [DF], proto: TCP (6), length: 647)2.2.2.2.2222 > 1.1.1.1.1111: P, cksum 0xe4c5 (correct), 1461:2068(607) ack 8 win 5840IX 4.223381 IP (tos 0x10, ttl 64, id 46022, offset 0, flags [DF], proto: TCP (6), length: 40)1.1.1.1.1111 > 2.2.2.2.2222: ., cksum 0xb618 (correct), 8:8(0) ack 1 win 5840X 4.229617 IP (tos 0x0, ttl 50, id 20039, offset 0, flags [DF], proto: TCP (6), length: 1500)2.2.2.2.2222 > 1.1.1.1.1111: ., cksum 0xbf1b (correct), 1:1461(1460) ack 8 win 5840XI 4.229632 IP (tos 0x10, ttl 64, id 46023, offset 0, flags [DF], proto: TCP (6), length: 40)

1.1.1.1.1111 > 2.2.2.2.2222: ., cksum 0xa29c (correct), 8:8(0) ack 2069 win 8760XII 4.231280 IP (tos 0x10, ttl 64, id 46024, offset 0, flags [DF], proto: TCP (6), length: 40)1.1.1.1.1111 > 2.2.2.2.2222: F, cksum 0xa29b (correct), 8:8(0) ack 2069 win 8760XIII 4.452312 IP (tos 0x0, ttl 50, id 20042, offset 0, flags [DF], proto: TCP (6), length: 40)2.2.2.2.2222 > 1.1.1.1.1111: ., cksum 0xae03 (correct), 2069:2069(0) ack 9 win 5840

Considerando a captura de trfego apresentada acima, na forma de segmentosnumerados de I a XIII, julgue os itens que se seguem.

91) A captura apresenta apenas uma conexo TCP, estabelecida nos segmentos de Ia III e encerrada nos segmentos VI e de XI a XIII.92) O segmento XII consiste em uma retransmisso do segmento XI.

93) No consistente a afirmativa de que a captura foi realizada no host 1.1.1.1.94) Houve entrega fora de ordem nos segmentos de IV a X.95) consistente a afirmativa de que houve perda de segmentos na captura.

Com relao segurana de redes, julgue os itens que se seguem.

101) A poltica de segurana cumpre trs principais funes: define o que e mostra porque se deve proteger; atribui responsabilidades pela proteo; e serve de base parainterpretar situaes e resolver conflitos que venham a surgir no futuro.102) possvel atingir confidencialidade e integridade com o uso de sistemascriptogrficos simtricos.103) possvel obter autenticao e no repdio, alm de confidencialidade eintegridade, por meio dos sistemas criptogrficos assimtricos.


4/22


104) No padro RSA, a assinatura digital um cdigo de verificao concatenado auma mensagem que o hash da mensagem cifrada com a chave privada de quememite a mensagem.

105) Um certificado digital a assinatura digital de uma chave pblica, cifrada com achave pblica da autoridade certificadora.

I host.somewhere.org - - [DD/MMM/YYYY:00:24:11 -0200] "GET/IISADMPWD/..%c0%af..%c0%af.. %c0%af..%c0%af..%c0%af...%c0%af..%c0%af..%c0%af/winnt/system32/cmd.exe?/c+echo+0wnd+by+m3+>c:\inetpub \wwwroot\Default.htm HTTP/1.0" 500 87II host.somewhere.org - - [DD/MMM/YYYY:00:24:28 -0200] "GET/IISADMPWD/.. %c0%af..%c0%af.. %c0%af..%c0%af..%c0%af...%c0%af..%c0%af..%c0%af/winnt/system32/cmd.exe?/c+echo+0wnd+by+m3+>c:\inetpub \wwwroot\Default.htm HTTP/1.0" 500 87III host.somewhere.org - - [DD/MMM/YYYY:00:25:55 -0200] "GET/IISADMPWD/.. %c0%af..

%c0%af.. %c0%af..%c0%af..%c0%af...%c0%af..%c0%af..%c0%af/winnt/system32/s3.exe?/c+echo+0wnd+by+m3+>c:\inetpub\ wwwroot\Default.htm HTTP/1.0" 404 461IV host.somewhere.org - - [DD/MMM/YYYY:00:27:34 -0200] "GET/IISADMPWD/.. %c0%af..%c0%af..%c0%af..%c0%af..%c0%af...%c0%af..%c0%af..%c0%af/winnt/s3.exe?/c+echo+0wnd+by+m3+>c:\inetpub\w wwroot\Default.htm HTTP/1.0" 502 215V host.somewhere.org - - [DD/MMM/YYYY:00:30:09 -0200] "GET/IISADMPWD/.. %c0%af..%c0%af..%c0%af..%c0%af..%c0%af...%c0%af..%c0%af..%c0%af/winnt/s3.exe?/c+echo+0wnd+by+m3+>c:\inetpub\w wwroot\Default.htm HTTP/1.0" 502 215VI host.somewhere.org - - [DD/MMM/YYYY:00:30:30 -0200] "GET/IISADMPWD/.. %c0%af..%c0%af..

%c0%af..%c0%af..%c0%af...%c0%af..%c0%af..%c0%af/winnt/s3.exe?/c+echo+0wnd+by+m3+>c:\inetpub\w wwroot\myweb.dll HTTP/1.0" 502 215VII host.somewhere.org - - [DD/MMM/YYYY:00:30:51 -0200] "GET/IISADMPWD/.. %c0%af..%c0%af.. %c0%af..%c0%af..%c0%af...%c0%af..%c0%af..%c0%af/winnt/system32/cmd.exe?/c+dir+c: HTTP/1.1"200 880VIII host.somewhere.org - - [DD/MMM/YYYY:00:34:38 -0200] "GET/IISADMPWD/.. %c0%af..%c0%af..%c0%af..%c0%af..%c0%af...%c0%af..%c0%af..%c0%af/winnt/s3.exe?/c+echo+0wnd+by+m3+>c:\inetpub\w wwroot\myweb.dll HTTP/1.0" 200 215

Com relao ao log apresentado acima, na forma dos eventos de I a VIII, julgue os

itens que se seguem.106) Trata-se de uma tentativa de desfigurao (defacement) de uma pgina web.107) Existe em IPs no servidor em questo, conforme demonstrado pelos eventos VIIe VIII.108) A evoluo temporal consistente com um ataque realizado por ferramentaautomtica, sem interveno humana.109) Nas tentativas exploratrias, referentes aos eventos de I a VI, o atacante procurapelo diretrio onde estaria o arquivo com a pgina inicial.

Com relao a dispositivos de segurana de redes, julgue os prximos itens.

110) Nos firewalls que utilizam inspeo de estado, esta realizada no estado dasconexes TCP.


5/22


111) Os firewalls que usam filtragem de pacote tomam decises de encaminhamento apartir de informaes presentes nos cabealhos dos pacotes.112) Os IDS e IPS embasados em deteco por assinatura podem apresentar

ocorrncia de falsos-positivos, sendo mais severos os efeitos nos IPS que nos IDS.113) Os vrus geralmente se disseminam sem a ao do usurio e distribuem cpiascompletas de si mesmos, possivelmente modificadas, atravs das redes.114) Um worm um mtodo oculto para contornar os mecanismos de autenticao emsistemas computacionais.

(CESPE Banco da Amaznia - 2010 Tcnico Cientfico Especialidade:Tecnologia da Informao Suporte tcnico)

Considerando a conexo de redes ilustrada na figura acima, julgueos prximos itens.

77) Para criptografar a comunicao entre os roteadores WAN, pode-se utilizar IPSec,sendo mais apropriada, nesse caso, a utilizao do modo de tunelamento.

Quanto a conceitos relacionados a firewall, julgue os itens subsequentes.

87) O firewall, recurso projetado para atuar na camada 3 do modelo OSI, incapaz deanalisar informaes inerentes s camadas superiores desse modelo.88) importante que o sistema operacional da mquina na qual o firewall est sendoexecutado seja confivel e seguro para que ela no seja facilmente invadida e o

firewall, comprometido.89) Uma zona desmilitarizada (DMZ) uma poro da rede onde encontram-se,geralmente, os servidores de acesso externo da organizao, como por exemplo,WWW e FTP. A DMZ criada com o intuito de isolar e proteger a rede interna daorganizao contra acessos externos. Nesse caso, o firewall deixa passar os acessosdestinados DMZ e bloqueia os acessos destinados rede interna.

Em algumas redes, as informaes de autenticao podem estar espalhadas emvrios repositrios, como bancos de dados e servidores LDAP. O protocolo RADIUS(remote authentication dial-in user service) capaz de centralizar e facilitar aadministrao dessas informaes. A respeito desse protocolo, julgue os itens que seseguem.


6/22


104) Os conceitos de autenticao, autorizao e contabilizao so implementadospelo RADIUS. Dessa forma, o RADIUS capaz de verificar a identidade digital dousurio, controlar o acesso a determinados recursos e guardar informaes de

utilizao dos servios.105) A soluo RADIUS embasada na arquitetura clienteservidor, por isso noexiste a possibilidade de servidores RADIUS agirem como um proxy.106) Um pacote de dados do RADIUS composto por cinco campos: cdigo,identificador, tamanho, autenticador e atributos. Este ltimo possui tamanho varivel epode conter dados como nome do usurio e senha.

(CESPE Banco da Amaznia - 2010 Tcnico Cientfico Especialidade:Tecnologia da Informao Segurana da Informao)

A segurana da informao procura garantir a preservao da confidencialidade, a

integridade e a disponibilidade da informao. Relativamente s normas ISO 27001,ISO 27002, ISO 27005 e ISO 15999, julgue os itens seguintes.

51) Um incidente de segurana da informao refere-se a um ou mais riscos nodesejados ou esperados que possuem significativa probabilidade de comprometer osativos de informao e ameaam a segurana da informao.52) So exemplos de ativos de uma organizao a informao e os processos deapoio, sistemas e redes. Os requisitos de segurana, em uma organizao, soidentificados por meio de anlise sistemtica dos riscos de segurana.53) Entre os ativos associados a sistemas de informao em uma organizao,incluem-se as bases de dados e arquivos, os aplicativos e os equipamentos decomunicao (roteadores, secretrias eletrnicas etc.).54) Uma organizao deve ser capaz de inventariar seus ativos, identificar seusrespectivos valores e importncias e indicar um proprietrio responsvel por eles. Ainformao deve ser classificada em termos de sua utilidade, adequabilidade e nvelde segurana.55) conveniente que, na classificao das informaes e seu respectivo controle deproteo, considerem-se as necessidades de compartilhamento ou restrio deinformaes. Ao se tornar pblica, uma informao frequentemente deixa de sersensvel ou crtica.

No que se refere s normas ISO 27001, ISO 27002, ISO 27005 e ISO 15999 e aosassuntos correlatos, julgue os itens de 56 a 76.

56) O acesso fsico e lgico de terceiros aos recursos de processamento dainformao da organizao devem ser controlados. Um exemplo de acesso lgico oacesso aos bancos de dados da organizao.57) A necessidade de conexo com terceiros deve considerar o tipo de acessorequerido, o valor da informao, os controles empregados por terceiros e asimplicaes desse acesso segurana da informao da organizao.58) Recomenda-se que as responsabilidades de segurana sejam atribudas nas fasesde seleo de pessoal, includas em acordos informais de trabalho e monitoradasdurante a vigncia de cada contrato de trabalho.59) Acordos de confidencialidade fazem parte de uma poltica de pessoal cujo objetivo assegurar que no haja acesso a sistemas sensveis por pessoas no autorizadas.

60) O documento da poltica de controle de acesso contm as polticas paraautorizao e distribuio de controle de acesso.


7/22


recomendvel a existncia de um procedimento formal de registro e cancelamentode usurio para obteno de acesso a todos os sistemas de informao e servios,com exceo dos sistemas multiusurios.

61) Privilgio qualquer caracterstica ou facilidade de um sistema de informaomultiusurio que permita ao usurio sobrepor controles do sistema ou aplicao. Aconcesso e uso de privilgios deve ser restrito e controlado, e sua utilizaoinadequada considerada fator de vulnerabilidade de sistemas.62) As senhas fornecem um meio de validao da autoridade do usurio e oestabelecimento dos direitos de acesso para os recursos ou servios de leitura dainformao.63) O controle de acesso rede busca assegurar o uso de interfacesapropriadasentre a rede da organizao e as redes de outras organizaes ou redes pblicas econtrolar o acesso dos usurios aos servios de informao. Tambm busca utilizarmecanismos de autenticao apropriados para usurios e equipamentos.

64) Conexes externas que utilizam mtodos dial-up devem ser validados conforme onvel estabelecido por avaliaes de risco. Controles e procedimentos de discagemreversa, conhecidos por call forwarding, expem e fragilizam a organizao, uma vezque utilizam dispositivos roteadores com discagem reversa e levam o usurio a mantera linha aberta com a pretenso de que a verificao da chamada reversa tenhaocorrido.65) Os controles baseiam-se nos requisitos de segurana selecionados considerando-se as restries de implementao, sua eficcia em relao aos riscos que seroreduzidos e s perdas potenciais, caso as falhas na segurana ocorram. Pode-se,ainda, considerar fatores financeiros, como prejuzos reputao da organizao.66) O documento da poltica de segurana da informao estabelece as suas linhasmestras, expressa as preocupaes da administrao e por ela aprovado ecomunicado a todos os funcionrios.67) So exemplos de contedos que constam no documento de poltica dainformao: conformidade com a legislao e clusulas contratuais, requisitos naeducao de segurana, gesto da continuidade do negcio e regras para controle deacesso.68) Convm que a poltica de segurana da informao tenha um patrocinadorresponsvel por sua manuteno e anlise crtica e que esteja de acordo com umprocesso de submisso definido.69) Alguns controles devero salvaguardar sistemas operacionais e ferramentas deauditoria durante as auditorias de sistema. O escopo de verificao deve ser acordadoe controlado.

70) Na reviso peridica da conformidade dos sistemas com as polticas e normasorganizacionais de segurana, devem-se incluir sistemas de informao, provedoresde sistemas, proprietrios da informao, ativos de informao, usurios eadministrao.71) Controles de ambiente e software devem se corretamente implementados paraque a validao da conformidade tcnica e cientfica assegure que os sistemas deinformao sejam verificados em conformidade com as normas de seguranaimplementadas.72) Quando o processo envolver a lei, civil ou criminal, as evidncias apresentadasdevem se conformar s regras para evidncias estabelecidas pela lei,independemente do tribunal de justia especfico onde o caso ser julgado. Para obteradmissibilidade da evidncia, recomenda-se que as organizaes garantam que seus

procedimentos operacionais estejam em conformidade com qualquer norma ou cdigode conduta publicado para produo de evidncia admissvel.


8/22


73) Gerenciamento de risco refere-se anlise das ameaas, impactos evulnerabilidades da informao e das instalaes de processamento da informao eda probabilidade de sua ocorrncia. Anlise de risco o processo de identificao,

controle e maximizao ou eliminao dos riscos de segurana que possam, a umcusto aceitvel, afetar os sistemas de informao.74) A anlise crtica peridica dos riscos de segurana e dos controles implementadosdeve, entre outros, confirmar que os controles permanecem eficientes e adequados.75) Anlises crticas devem ser executadas em nveis de profundidade distintos e seapiam nas anlises de riscos anteriormente realizadas. As probabilidades de falhasso embasadas, entre outros, nas ameaas e vulnerabilidades mais frequentes e noscontroles implementados.76) A relevncia de qualquer controle determinada pelos riscos especficos aque ospatrocinadores esto expostos.

A continuidade do negcio objetiva no permitir a interrupo das atividades do

negcio e proteger os processos crticos contra efeitos de falhas ou desastressignificativos. Com base nas normas ISO 27001, ISO 27002, ISO 27005 e ISO 15999,julgue os itens seguintes.

77) Pela combinao entre aes de preveno e de recuperao, trata-se ainterrupo causada por inconsistncias e falhas da segurana que podem serresultantes de controles de acesso, desastres naturais, acidentes, falhas deequipamentos e aes intencionais.78) O desenvolvimento e a manuteno da continuidade do negcio deve sersustentado por um processo de gesto que permeie toda a organizao. A gesto dacontinuidade do negcio deve estar incorporada aos processos e estrutura daorganizao.79) A anlise do risco realizada sobre os eventos que possam causar interrupesnos processos do negcio e auxiliam na determinao de seus impactos em termos deescala de dano e em relao ao perodo de recuperao. Nessa anlise, devem-seconsiderar os processos de negcio impactados, limitando-se aos recursos, semconsiderar as instalaes de processamento de dados.80) No caso de ocorrerem interrupes ou falhas em processos crticos, devem-seexecutar planos de continuidade para recuperar as operaes do negcio, emconformidade com os requisitos de segurana da informao.

A respeito de ataques a redes de computadores e de incidentes de segurana, julgueos itens de 81 a 85.

81) O incidente denominado DDoS deve ser tratado de maneira diferente de outrostipos de incidente de segurana, pois dificilmente um firewall ou IDS gerar log. Suanotificao de incidente deve informar o cabealho e o contedo completos damensagem recebida pelo usurio.82) Um ataque de negao de servio (DoS) no uma invaso do sistema e objetivatornar os recursos de um sistema indisponveis para seus utilizadores. O ataque tentaindisponibilizar pginas hospedadas em servidores web e produz como efeito umainvalidao por sobrecarga.83) No phishing, diversas mquinas zumbis comandadas por um mestre fazemrequisies ao mesmo tempo, gerando sobrecarga do recurso atacado, o que podelevar a mquina servidora a reiniciar ou a travar.

84) No ping flood, o atacante sobrecarrega o sistema vtima com pactos ICMP echorequest (pacotes ping). Para o ataque ser bem sucedido, o atacante deve possuirmaior largura de banda que a vtima, que, ao tentar responder aos pedidos, ir


9/22


consumir a sua prpria largura de banda, impossibilitando-a de responder a pedidosde outros utilizadores. Uma das formas de prevenir esse tipo de ataque limitar otrfego de pacotes ICMP echo request.

85) No syn flood ou ataque syn, o atacante envia uma sequncia de requisies synpara um sistema-alvo visando uma sobrecarga direta na camada de transporte eindireta na camada de aplicao do modelo OSI.

Com relao a malwares, julgue os prximos itens.

86) Um adware difere de um spyware pela inteno. O primeiro projetado paramonitorar atividades de um sistema e enviar informaes coletadas para terceiros, e osegundo projetado especificamente para apresentar propagandas.87) O cavalo de troia (trojan horse) no embute cpias de si mesmo em outrosprogramas ou arquivos e no necessita ser executado para se propagar. Suapropagao se d por meio da explorao de vulnerabilidades existentes ou de falhas

na configurao de software instalados em computadores.88) Ao se executar um programa previamente infectado como, por exemplo, ao seabrir arquivo anexado a e-mail ou ao se instalar programas de procedncia duvidosaou desconhecida , um vrus pode infectar o computador. Um vrus de macro partede um arquivo normalmente manipulado por algum aplicativo que utiliza macros e que,para ser executado, necessita que o arquivo que o contm esteja aberto para que eleexecute uma srie de comandos automaticamente e infecte outros arquivos nocomputador.89) Um worm pode realizar diversas funes maliciosas, como a instalao dekeyloggers ou screenloggers, o furto de senhas e outras informaes sensveis, comonmeros de cartes de crdito, a incluso de backdoors, para permitir que umatacante tenha total controle sobre o computador, e a alterao ou destruio dearquivos.90) O worm costuma ser apenas um nico arquivo que necessita ser executado paraque infecte o computador destinatrio e, de modo distinto do vrus ou do cavalo detroia, no costuma infectar outros arquivos e nem propagar, automaticamente, cpiasde si mesmo.

Com relao a segurana de redes de computadores, julgue os itens a seguir.

91) A poltica de segurana define o que deve ser feito para proteger a informao,seja ela armazenada ou esteja em trnsito.92) recomendvel que a poltica de segurana determine medidas especficas a

serem implementadas e a forma de implement-las.93) A defesa em profundidade uma arquitetura de defesa que estratifica as medidasde proteo, obtendo nveis de conteno entre a rede externa e a rede interna que sedeseja proteger.94) O estabelecimento de um permetro da rede visa separao entre a rede externae a rede interna que se deseja proteger.95) A defesa em profundidade recomenda que o permetro da rede tenha mltiplospontos de interface entre a rede externa e a interna.

Acerca dos dispositivos de segurana de redes de computadores, julgue os itenssubsequentes.96) Um proxy, ao agir no lugar do cliente ou do usurio para prover acesso a um

servio de rede, protege tanto o cliente quanto o servidor de uma conexo direta.97) IDS e IPS so sistemas que protegem a rede de intruses, diferindo no tratamentodado quando uma intruso detectada. Especificamente, o IPS limita-se a gerar


10/22


alertas e ativar alarmes, e o IDS executa contramedidas, como interromper o fluxo dedados referente intruso detectada.98) A ocorrncia de falsos positivos normalmente acarreta consequncias mais graves

para as redes que utilizam IDS do que para aquelas que usam IPS.99) A inspeo de estados visa determinar se um pacote pode entrar ou sair de umarede, tendo por base a verificao de informaes localizadas no cabealho do pacote.100) Tanto na filtragem quanto na inspeo que se baseiam em estado, a informaode estado mantida em uma tabela at que a conexo se encerre (como no trfegoTCP) ou ao atingir um limite de tempo (como no caso de trfego TCP, UDP e ICMP).

Conjunto Iallow tcp from any to anydeny tcp from any to any 80deny tcp from any to any 21Conjunto II

permit tcp any any eq 22permit tcp any any eq 25permit tcp any any eq 53permit tcp any any eq 80permit tcp any any eq 110permit tcp any any eq 443permit udp any any eq 53permit icmp any any

A respeito de firewalls, e considerando os conjuntos de regras acima e que os serviosestejam utilizando as suas portas default, julgue os itens que seguem.

101) As regras do conjunto I permitem todo o trfego TCP, exceto para as portas 21 e80.102) O conjunto II implementa uma poltica para DNS que permite consultas, masbloqueia transferncias de zona.103) Os trfegos http e HTTPS so permitidos pelas regras dos conjuntos I e II.104) Os dois conjuntos apresentados permitem correio eletrnico.105) Apenas o conjunto II permite o trfego ICMP.

Acerca dos sistemas criptogrficos, julgue os itens de 106 a 109.

106) Enquanto uma cifra de bloco atua em um bit ou byte do fluxo de dados por vez,

uma cifra de fluxo atua sobre um conjunto de caracteres de texto em claro, que sotratados como um todo e usados para produzir um criptograma de igual comprimento.107) Nos sistemas simtricos, os usurios usam a mesma chave para cifrar e decifrarmensagens, enquanto nos sistemas assimtricos mais de uma chave usada.108) Em um sistema de chaves assimtricas, cada usurio tem um par de chaves,sendo que uma delas mantida secreta e a outra pblica.109) Nos sistemas assimtricos, as chaves so escolhidas de forma que se umamensagem cifrada usando uma das chaves, o criptograma correspondente decifrado utilizando a outra chave do par.

Com relao s cifras criptogrficas, julgue os itens seguintes.110) O padro DES, que utiliza chave de 64 bits, no mais recomendado,

considerando a sua vulnerabilidade a ataques de fora bruta.111) O padro 2DES consiste em duas rodadas consecutivas do DES, com duaschaves distintas de 56 bits, tendo assim uma chave equivalente a 112 bits.


11/22


112) O padro 3DES com duas chaves consiste em trs rodadas consecutivas doDES, com chaves distintas de 56 bits, sendo que a primeira e a ltima usam a mesmachave, tendo assim uma chave equivalente a 112 bits.

113) O padro AES define uma cifra na qual os comprimentos do bloco e da chavepodem ser especificados independentemente para 128 bits, 192 bits ou 256 bits. Ostrs tamanhos de chave determinam vrios parmetros da cifra, como nmero derodadas, e podem ser usados limitando o bloco a 128 bits.

No que concerne a sistemas de chave pblica, assinatura e certificao digital, julgueos itens subsequentes.

114) Sejam A e B usurios de um sistema de chaves pblicas, cada umconhecendoas prprias chaves e a chave pblica do outro. Se A cifra uma mensagem com achave pblica de B e cifra o resultado com a prpria chave privada, somente Bconsegue decifrar a mensagem cifrada por A.

115) Na assinatura digital RSA, calcula-se um hash da mensagem a ser assinada, que cifrado usando a chave pblica de quem assina, gerando a assinatura que concatenada com a mensagem original. Na verificao, decifra-se a assinatura usandoa chave pblica de quem assinou e calcula-se o hash da mensagem, sendo amensagem considerada vlida se tanto a chave quanto o hash coincidirem.116) Um certificado digital a chave pblica de um usurio assinada por umaautoridade certificadora confivel.117) Com o uso de sistemas de chave pblica, juntamente com assinatura ecertificao digital, consegue-se obter confidencialidade, integridade, autenticidade,no repdio e disponibilidade.

Com relao a VPN, julgue os itens que se seguem.118) Uma VPN uma conexo estabelecida sobre uma infraestrutura pblica oucompartilhada, usando tecnologias de tunelamento e criptografia para manter segurosos dados trafegados.119) Apesar de ser uma opo disponvel, no se recomenda o uso de autenticaojunto com cifrao em VPNs, considerando a diminuio de desempenho.120) Preferencialmente, as VPNs so implementadas sobre protocolos de redeorientados conexo como o TCP.

(FUNRIO MPOG 2009 Analista em Tecnologia da Informao)

25) Para determinao de uma chave compartilhada para a criptografia de chavessimtricas, utiliza-se um intermedirio de confiana chamado:A) RSAB) DESC) KDCD) PGPE) IPSEC

30) Uma estratgia para tratamento de riscos positivos em projetos :A) Compartilhar.B) Mitigar.C) Transferir.

D) Prevenir.E) Evitar.


12/22


(FUNRIO FURNAS 2009 TI Infraestrutura / Rede)

22)Quanto as caractersticas de segurana, o algoritmo de criptografia usado em umaVPN atende a necessidade de garantia deA) AutenticidadeB) No repudioC) PrivacidadeD) DisponibilidadeE) Integridade

(Fundao Carlos Chagas Cmara dos Deputados 2007 Analista de InformticaLegislativa)

71) NO um mecanismo de proteo para restringir o acesso de um usurio logadoaos recursos de informao:(A) Listas de controle de acesso.(B) Controles de menu e de funes.(C) Controles de acesso associados aos arquivos.(D) Identificao e autenticao do usurio.(E) Direitos e permisses de acesso aos usurios.

72) A filtragem de pacotes pelos endereos IP, colocada no ponto de entrada da rede,NO possibilita(A) bloquear totalmente um protocolo.(B) controlar acesso somente para algumas mquinas.(C) dificultar tentativas de DoS.(D) proibir tentativas de spoofing.(E) bloquear o trfego de alguns pontos.

73). Efetuar o XOR de certos bits no texto simples e no texto cifrado para, examinandoo resultado, identificar padres, uma tcnica de criptoanlise(A) consumo de energia.(B) diferencial.(C) linear.(D) sincronismo.(E) lgica.

(Funiversa GDF/SEPLAG 2009 Analista de Finanas e Controle Auditoria eFiscalizao Tecnologia da Informao)

61) Redes de computadores possibilitam o compartilhamento da informao comtransparncia de localizao. Por outro lado, cuidados com segurana sonecessrios para se garantir a disponibilidade, confidencialidade e integridade,conforme necessrio. No mbito da Segurana da Informao, correto afirmar queA) a Segurana Ambiental, com controle de variaes trmicas, umidade, vapores,poeira e radiaes, est dentro do escopo de Segurana Lgica.B) identificao pessoal para acesso, cuidados com a rede eltrica e uso de Firewall

so quesitos relacionados com a Segurana Fsica.C) um plano de contingncia utilizado para a implantao e configurao de listas decontrole de acesso em Firewalls.


13/22


D) o inventrio de ativos de TI em uma instituio um aspecto importante daAdministrao de Riscos.E) so definidos, nas diretrizes da poltica de segurana, o modelo, a arquitetura e o

tipo de firewall que deve ser utilizado em uma instituio.

62) Os sistemas Intrusion-prevention System (IPS) so utilizados em instituies quetrabalham com tecnologia da informao, com o intuito de auxiliar na segurana dainformao. Assinale a alternativa que contm a definio de um IPS.A) Sistema integrado de cmeras de segurana, munidas de sensores de movimento eviso noturna, capaz de identificar pessoas atravs de casamento de padrespredefinidos em um banco de dados (biometria).B) Conjunto de equipamentos e programas de computador desenvolvidos pararastrear mensagens eletrnicas (e-mails) que chegam a uma rede de computadores,em busca de vrus, worms e cavalos de troia.C) Sistema especializado que recebe requisies de acesso a servidores externos

(Internet) e realiza esse acesso para o requisitante, devolvendo a resposta para omesmo e podendo manter uma cpia (cache) para consultas futuras.D) Dispositivo que monitora a atividade de uma rede ou sistema em busca deatividades maliciosas ou comportamento no desejado, podendo reagir, em temporeal, bloqueando ou prevenindo tais incidentes.E) Equipamento que trabalha entre duas ou mais redes de computadores de umainstituio, fazendo com que todas as conexes entre essas redes passem por umtnel virtual seguro (VPN), com uso de criptografia forte.

(Funiversa GDF/SEPLAG 2009 Analista de Finanas e Controle Tecnologia daInformao Desenvolvimento de Sistemas)75) A Poltica de Segurana da Informao o conjunto de normas e procedimentosque devem ser seguidos visando proteger os ativos informacionais da organizao.Quanto Poltica de Segurana da Informao, julgue os itens que se seguem eassinale a alternativa correta.I Mecanismos de controle de acesso fsico no fazem parte dessa poltica, poisenvolvem recursos externos ao parque computacional da organizao.II Ativos so tudo para o qual a organizao determina um valor econsequentemente exige proteo.III A etapa de classificao da informao deve ser deixada para o ltimo momento,pois existem requisitos mais urgentes a serem observados.IV O acesso lgico aos sistemas levado em conta e envolve tambm o uso de

senhas e logs de transaes.A) Todos os itens esto errados.B) H apenas um item certo.C) H apenas dois itens certos.D) H apenas trs itens certos.E) Todos os itens esto certos.

76) Com o crescimento da internet e conseqente ligao das redes locais decomputadores das organizaes a esta, cresceram as ameaas e ataques s redes decomputadores. Com relao a formas de ataques, correto afirmar queA) vrus, worms, e Cavalos de Troia representam formas de ataques a redes e se

propagam da mesma forma.B) ataques do tipo varredura de portas (scanners) verificam antecipadamente se ocomputador alvo possui algum perifrico com vulnerabilidades.


14/22


C) programas do tipo Porta dos fundos (backdoor) so instalados por ataques do tipospoofing ou mascaramento.D) Cavalos de Troia so variaes de vrus e, como esses tambm se propagam

fazendo cpias de si mesmos.E) os ataques do tipo Negao de Servios (DoS ou Denial of Service) consistem emtentativas de impedir usurios legtimos de utilizarem um determinado servio de umcomputador.

78) Em relao segurana dos sistemas de informao, considere as seguintesafirmaes:I Entre os seus objetivos, est a identificao de ativos informacionais daorganizao e suas ameaas, e quantificao dos impactos dessas ameaas.II Deve prevenir a ocorrncia de falhas indesejveis e definir as medidas a seremtomadas se essas falhas vierem a ocorrer de fato. Deve ser testado periodicamente eatualizado sempre que necessrio.

III Eventos que interrompem os procedimentos operacionais normais e causamalgum nvel de crise na empresa. Ataques de negao de servio podem ser umexemplo.As afirmaes I, II e III relacionam-se, respectivamente, aA) Plano de contingncia, Plano de redundncia, Riscos operacionais.B) Anlise de riscos, Plano de contingncia, Incidente de segurana.C) Plano de contingncia, Plano de redundncia, Ameaas e ataques.D) Plano de disponibilidade, Anlise de riscos, Riscos operacionais.E) Anlise de riscos, Plano de testes, Ameaas externas.

79) A assinatura digital foi criada a partir da necessidade de assinarem-se documentosdigitais. A respeito da assinatura digital, julgue os itens a seguir e assinale a alternativacorreta.I Para que uma assinatura digital seja vlida, basta que a propriedade de integridadeinerente mesma seja verificada.II Pode ser com base em chaves simtricas; contudo, nesse caso, requer que umrgo central armazene e controle essas chaves.III Utiliza criptografia assimtrica e infraestrutura de chaves pblicas.A) Todos os itens esto errados.B) Apenas os itens I e II esto certos.C) Apenas os itens I e III esto certos.D) Apenas os itens II e III esto certos.E) Todos os itens esto certos.

(Funiversa GDF/SEPLAG 2009 Analista de Planejamento e Oramento Tecnologia da Informao)

69) A segurana da informao visa proteo de todo e qualquer contedo (ou dado)que tenha valor para uma organizao ou pessoa. Seus principais atributos soconfidencialidade, integridade e disponibilidade. Acerca desses atributos, assinale aalternativa correta.A) Confidencialidade refere-se ao no-repdio da informao, ou seja, garantia deque o emissor realmente autor da mensagem.B) Integridade a propriedade que limita o acesso informao a pessoas

autorizadas pelo proprietrio da informao.C) Disponibilidade refere-se garantia de que a informao esteja sempre acessvels pessoas autorizadas a consult-la.


15/22


D) Disponibilidade e confidencialidade so atributos restritos a informaes eletrnicase podem ser garantidos por meio de uso de chaves criptogrficas.E) Confidencialidade e integridade so garantidas pela implantao de sistema de

firewall na organizao.

70) A poltica de segurana um conjunto formal de regras que devem ser seguidaspor todas as pessoas ou sistemas que utilizam as informaes. Ela primordial para acriao de procedimentos que levaro implementao de mecanismos de proteoda informao. A respeito da poltica da informao, correto afirmar queA) suas diretrizes devem ter regras gerais, claras e objetivas a respeito de guarda euso da informao.B) os procedimentos de uso da informao, como cpias desegurana, devem estarbem detalhados em suas diretrizes.C) todos os procedimentos de recuperao de dados, como os planos decontingncia, devem estar detalhados na poltica de informao.

D) a sua elaborao deve ser feita por tcnicos da rea de tecnologia da informao,com auxlio dos usurios dos recursos computacionais.E) os modelos e arquiteturas dos firewalls a serem utilizados pela instituio devemestar definidos na poltica da informao.

71) Os vrus de computador so constantes ameaas contra a segurana dainformao. Eles podem causar, entre outras coisas, a indisponibilidade dainformao. Que tipo de atitude pode comprometer um sistema, com relao contaminao por vrus?A) usar nobreak para alimentao dos equipamentos, em locais onde h variao ouinterrupo de energia eltrica.B) Cuidar para no abrir anexos suspeitos ao receber e-mail de procedncia duvidosaou de pessoas desconhecidas.C) Manter atualizados os sistemas de preveno contra vrus nos servidores de rede,em especial nos servidores de e-mail.D) No utilizar ou manter desatualizados softwares antivrus em computadoresconectados na rede de computadores da instituio.E) Fazer um bom planejamento da arquitetura da rede, considerando o uso defirewalls nos pontos de conexo externa.

72) Os sistemas de firewall so mecanismos que ajudam na proteo das redes decomputadores contra ataques ou acessos no-autorizados. Entre eles, h osdedicados a filtro de pacotes. Assine a alternativa que apresenta funo de um

mecanismo de filtro de pacotes.A) Selecionar pacotes de acordo com o tamanho, em bytes, para otimizao de banda.B) Impedir o estabelecimento de uma conexo TCP em portas no-autorizada.C) Evitar a passagem de informao que contenha vrus ou outros males conhecidos.D) Bloquear o acesso a sites de contedo indesejvel ou no autorizado.E) Efetuar troca de endereos de rede locais para endereos externos ou vlidos.

73) Certificado Digital um documento eletrnico que possibilita comprovar aidentidade de uma pessoa, uma empresa ou um computador. Ele serve, entre outrascoisas, para assegurar a troca eletrnica de mensagens e documentos, com garantiade sua procedncia. Acerca dos certificados digitais, assinale a alternativa correta.A) Possuem informaes como: dados pessoais, perodo de validade, chave pblica e

chave privada de criptografia, assinatura da autoridade certificadora (CA).B) Aps emitidos e assinados eletronicamente por uma autoridade certificadora, tmprazo de validade indeterminado.


16/22


C) Podem ser emitidos e assinados por uma autoridade certificadora (CA), que dgarantia de autenticidade aos dados contidos no certificado.D) Os certificados emitidos para computadores so utilizados para registro e

localizao e endereamento IP, na Internet.E) Qualquer pessoa fsica pode possuir um certificado digital, contanto que possuaregistro profissional na rea de tecnologia da informao.


17/22


Gabaritos:

(CESPE Secretaria de Estado do Controle e Transparncia/ES 2010 Auditor do

Estado Especialidade: Tecnologia da Informao)

96) ERRADO. A declarao de aplicabilidade a lista de todos os objetivos decontrole e controles da norma, separando os que foram selecionados e as justificativaspara sua seleo; os que j esto implementados atualmente, e os s que foramexcludos, com as justificativas para sua excluso. Essa lista somente feita aps aobteno da aprovao dos riscos a serem tratados pela alta direo.97) CERTO98) ERRADO. O gerenciamento de riscos de segurana prev que a implementaodos controles deve estar de acordo com a relao custo-benefcio. Se o custo paraimplementao dos controles, visando reduzir todos os riscos identificados no escopo,for maior que o benefcio potencial promovido, essa abordagem se torna incoerente

com a prtica de gerenciamento de riscos.99) ERRADO. A ISO 27005 especifica os dois modelos de valorao, mas no himpedimento para que os dois modelos sejam usados simultaneamente. O que a ISO27005 afirma que a valorao quantitativa nem sempre pode ser realizada poisdepende de um conjunto de informaes prvias como os valores de prejuzos que jaconteceram por conta dos incidentes.100) CERTO101) ERRADO. Firewall stateless no so capazes de barrar ataques de phishing, poisno atuam na camada de aplicao.102) CERTO103) CERTO104) ANULADA. O problema que os softwares navegadores s conseguem decidirse um certificado de confiana ou no com a anuncia do usurio.105) ERRADO. Primeiro, no HTTPS (HTTP sobre SSL/TLS), s so utilizadosalgoritmos de criptografia assimtricos apenas para o estabelecimento da sesso. Noestabelecimento da sesso, h a definio do algoritmo de criptografia simtrica e dachave utilizados na troca de mensagens. Alm disso, o AES no algoritmo de cifrade fluxo, mas de cifra de bloco.

(CESPE Banco da Amaznia - 2010 Tcnico Cientfico Especialidade:Tecnologia da Informao Produo e Infraestrutura)

87) ERRADO. O WEP foi o protocolo de segurana de redes sem fio implementadoanteriormente ao WPA. Ele possui uma srie de vulnerabilidades que provocaram asua substituio pelo WPA e WPA2.88) CERTO89) CERTO90) ERRADO. O protocolo RC4 era o protocolo usado no WEP e era considerado umdos pontos fracos desse protocolo..

(CESPE Banco da Amaznia - 2010 Tcnico Cientfico Especialidade:Tecnologia da Informao Redes e Telecomunicaes)

91) CERTO92) ERRADO. Os dois segmentos tem ID diferentes (46023 e43024).


18/22


93) ERRADO. A captura pode ter sido realizada no host, devido a pequena diferenade tempo entre o recebimento de um pacote do host 2.2.2.2 e a resposta do host1.1.1.1 em cada pacote enviado.

94) O gabarito definitivo est ERRADO, mas os pacotes VI e VIII foram enviados pelohost 2.2.2.2.2222 com ID 20041 e 20040, respectivamente. A meu ver, o gabaritodeveria ser CERTO. Infelizmente, o CESPE apronta de vez em quando!95) ERRADO. Ao analisar os IDs dos pacotes, verifica-se que houve envio de pacotesfora de ordem, mas no h nenhum pacote faltando entre os primeiros e os ltimospacotes enviados por cada host.101) CERTO102) CERTO103) CERTO104) ERRADO. Na questo, ele descreveu como feita a assinatura digital no padroDSA (Digital Signature Algorithm) como se fosse o algoritmo de criptografia RSA. ORSA apenas um dos algoritmos utilizados no padro DSA.

105) ERRADO. O certificado digital cifrado com a chave privada da autoridadecertificadora.106) CERTO107) ERRADO. No h nenhuma informao sobre o endereo IP do servidor noataque. Ele atua na camada de aplicao, no protocolo HTTP.108) ERRADO. Pela diferena de tempo entre um pacote e outro, e pelas diferenasentre os pacotes, h evidncias de que o ataque feito com interveno humana deforma manual.109) CERTO.110) CERTO111) CERTO112) CERTO.113) ERRADO. Nomalmente, a disseminao dos vrus depende da ao de umusurio que executa algum arquivo que provoca a sua replicao.114) ERRADO. A descrio acima de um Rootkit, e no de um Worm.

(CESPE Banco da Amaznia - 2010 Tcnico Cientfico Especialidade:Tecnologia da Informao Suporte tcnico)

77) CERTO87) ERRADO. Os firewalls podem atuar na camada 3 (rede) ou em camadassuperiores como a 4 (transporte), quando se tratam de firewalls stateful.88) CERTO

89) CERTO104) CERTO105) ERRADO. No protocolo RADIUS, o servidor pode atuar como um Proxy deacesso aos recursos por ele controlados.106) CERTO

(CESPE Banco da Amaznia - 2010 Tcnico Cientfico Especialidade:Tecnologia da Informao Segurana da Informao)

51) ERRADO. Esse conceito acima o de ameaa. O incidente de segurana umevento que pode representar a ocorrncia de uma das ameaas segurana da

informao.52) CERTO


19/22


53) ERRADO. Os ativos de uma organizao devem estar ligados aos negcios desta.Se os aplicativos e equipamentos no tiverem ligao com os negcios, eles nopodem ser classificados como ativos associados aos sistemas de informao, como

no caso das secretrias eletrnicas.54) ERRADO. A empresa s deve classificar a informao se o custo associado aessa classificao for justificvel em relao aos benefcios de segurana. Aclassificao da informao no obrigatria, mas opcional.55) CERTO56) CERTO, apesar de a ISO 27002 tratar como uma recomendao de carteropcional.57) CERTO.58) ERRADO. As responsabilidades de segurana devem ser includas nos acordosde trabalho formalmente, para que os empregados selecionados estejam cientes dasmesmas durante as suas atividades no trabalho.59) ERRADO. Os objetivos da poltica de pessoal no assegurar que no haja

acesso a sistemas sensveis por pessoas no autorizadas, mas sim garantir que osempregados da organizao tenham conscincia dos riscos das suas atividadesquanto a segurana da informao e permitir que eles sejam responsabilizados nocaso de alguma violao na poltica de segurana da informao.60) ERRADO. A poltica de controle de acesso no tem polticas de distribuio docontrole de acesso, apenas as polticas para autorizao.61) CERTO62) ERRADO. As senhas fazem apenas a validao ao acesso aos recursos ouservios de informao, mas o estabelecimento dos direitos de acesso feito pelaspolticas de autenticao do acesso, por meio de perfis.63) CERTO64) ERRADO. O erro que o call forwarding mantm a linha aberta no lado daorganizao, permitindo que um usurio malicioso faa uma discagem e tenha acessodiscado empresa, caso no haja nenhum mecanismo de autenticao do usurio.65) ERRADO. Normalmente, no se consideram as restries de implementao naseleo dos controles. Em regra, se consideram primeiro as perdas potenciais no casode falhas e a eficcia dos controles em relao aos riscos que eles combatem.66) CERTO.67) ERRADO. A poltica de informao no trata da gesto da continuidade donegcio. A GCN fica a cargo de outro documento que a poltica de continuidade donegcio.68) ERRADO. O patrocinador da PSI, que geralmente a alta direo no ,necessariamente, a responsvel pela sua manuteno e anlise crtica. Essa tarefa

fica a cargo de um setor da organizao responsvel por isso. Entretanto, a PSI, apsa reviso, deve ser aprovada pela alta direo.69) CERTO.70) CERTO71) ERRADO. Quem deve validar a conformidade dos sistemas da informao com asnormas de segurana o setor responsvel pela implantao da poltica de seguranada informao (PSI), por meio de uma reviso peridica. Nem sempre a implantaocorreta de um controle garante que as normas de segurana sejam seguidas, deacordo com a PSI.72) ERRADO. As evidncias devem se conformar s regras estabelecidas em lei, masessas regras variam de acordo com cada tribunal. Dessa forma, as provas devem serapresentadas de acordo com os requisitos exigidos em cada tribunal onde elas sero

apresentadas.73) ERRADO. A anlise de riscos no faz a maximizao dos riscos, mas sim amitigao.


20/22


74) CERTO75) CERTO76) ERRADO. A relevncia dos controles no s determinada somente pelos riscos,

mas pelas probabilidades do acontecimento dos riscos e seus respectivos impactos naorganizao.77) ERRADO. As interrupes causadas j ocorridas por inconsistncias ou falhas desegurana so tratadas por aes de recuperaes exclusivamente. As aes depreveno s so utilizada nas situaes em potencial que podem provocarinterrupes.78) CERTO.79) ERRADO. As instalaes de processamento de dados devem ser considerados naanlise de risco, com objetivo de verificar os riscos decorrentes de causasnaturais.80) ERRADO. Os planos de continuidade deve recuperar as operaes de acordo comos requisitos de continuidade dos negcios81) ERRADO. Normalmente, os firewalls e IDS geram logs para que seja possvel

monitorar a origem dos ataques. Alm disso, no obrigatria a incluso doscontedos das mensagens emitidas aos usurios na notificao do incidente.82) CERTO83) ERRADO. O ataque descrito no o de phishing, mas o DDoS.84) CERTO85) CERTO86) ERRADO. Na verdade, houve uma troca, sendo descrito o adware como spyware.87) ERRADO. O cavalo de troia necessita ser executado para que o cdigo sejainstalado no computador da vtima. A sua propagao se d por meio de e-mails queinduzem a vtima a executar o arquivo, por achar que se trata de um programainofensivo.88) CERTO89) ERRADO. Normalmente, o worm um vrus que tem a capacidade de se auto-replicar. Entretanto, ele no capaz de fazer furto de senhas, nem instalar keyloggers,screenloggers e backdoors.90) ERRADO. O worm capaz de se autopropagar, ao contrrio dos vrus e do cavalode troia, que necessitam ser executados.91) CERTO.92) ERRADO. A poltica de segurana s deve fazer um esboo das medidas a seremimplementadas, sem indicar a forma como elas sero implementadas.93) CERTO.94) CERTO.95) ERRADO. Na defesa em profundidade, recomenda-se que o permetro de rede

seja isolado para apenas um ponto de interface entre a rede externa e interna.96) CERTO97) ERRADO. Houve uma troca, descrevendo as caractersticas do IPS como as doIDS, e vice-versa.98) ERRADO. A ocorrncia de falsos positivos, normalmente, tem consequncias maisgraves no IPS, porque ele toma contramedidas que interferem no funcionamento darede.99) ERRADO. A inspeo de estados leva em considerao o estado das conexesque trafegam pela rede, para determinar se um pacote pode entrar ou sair de umarede.100) CERTO.101) ERRADO. As regras permitem todo o trafego TCP, mas bloqueiam apenas o

envio de pacotes TCP para as portas 21 e 80, permitindo o recebimento de pacotesoriundos dessas portas.


21/22


102) ERRADO. O DNS roda sobre UDP na porta 53, mas para transferncia de zonas,usa o TCP. Dessa forma, o conjunto II permite tanto consultas DNS, comotransferncias de zona.

103) CERTO. O HTTP porta 80 e o HTTPS porta 443.104) CERTO. O SMTP usa porta 25/TCP, o POP3 usa porta 110/TCP.105) CERTO.106) ERRADO. Houve uma troca, citando as caractersticas da cifra de bloco comocifra de fluxo e vice-versa.107) CERTO108) CERTO.109) CERTO.110) ERRADO. O padro DES utiliza chave de 56 bits.111) ERRADO. O padro 2DES tem uma chave efetiva de 56 bits, devido ao ataquemeet-in-the-middle.112) CERTO.

113) CERTO.114) CERTO.115) ERRADO. Na assinatura, o hash da mensagem cifrado com a chave privada doemissor. A mensagem considerada vlida quando o hash calculado da mensagem eo hash extrado da assinatura coincidirem.116) CERTO117) ERRADO. O uso desses sistemas no consegue obter a disponibilidade. Ela dependente da implantao de mecanismos de redundncia.118) CERTO.119) ERRADO. altamente recomendvel o uso de autenticao em conjunto comcifrao em VPNs.120) ERRADO. Preferencialmente, as VPNs so implementadas na camada de enlace(IP), por diminuir a sobrecarga (overhead) do tamanho dos pacotes, por meio deprotocolos como o IPSec.

(FUNRIO MPOG 2009 Analista em Tecnologia da Informao)

25) Gabarito: C30) Gabarito: A

(FUNRIO FURNAS 2009 TI Infraestrutura / Rede)

22) Gabarito: C

(Fundao Carlos Chagas Cmara dos Deputados 2007 Analista de InformticaLegislativa)

71) Gabarito: D. Esse mecanismo apenas faz a identificao e autenticao dousurio, para que os demais mecanismos listados faam a restrio ao acesso, casoele no tenha permisso.72) Gabarito: A. Essa filtragem usando apenas o endereo IP, no permite o bloqueiodos protocolos, uma vez que os campos que indicam os protocolos se localizam na

camada de transporte (TCP/UDP).73). Gabarito: C.


22/22


(Funiversa GDF/SEPLAG 2009 Analista de Finanas e Controle Auditoria eFiscalizao Tecnologia da Informao)

61) Gabarito: D.62) Gabarito: D

(Funiversa GDF/SEPLAG 2009 Analista de Finanas e Controle Tecnologia daInformao Desenvolvimento de Sistemas)

75) Gabarito: C. Os itens corretos so II e IV.76) Gabarito: E78) Gabarito: B79) Gabarito: D. Cabe ressaltar que o item II est considerando apenas a teoria, mas

na prtica, a implantao de assinaturas digitais feita com chaves assimtricas, emregra.

(Funiversa GDF/SEPLAG 2009 Analista de Planejamento e Oramento Tecnologia da Informao)

69) Gabarito: C.70) Gabarito: A71) Gabarito: D.72) Gabarito: B73) Gabarito: C. Quanto ao item A, vale lembrar que um certificado digital no contma chave privada para criptografia.

Bons estudos e at a prxima!

Questões CESPE Seguranca Da Informação

Documents

Transcript of Questões CESPE Seguranca Da Informação