Questões sobre Segurança da Informação

Analise as afirmações relacionadas à auditoria de segurança da informação e à política de segurança nas organizações:

I - A fase de planejamento da auditoria deve estabelecer todos os recursos necessários à sua execução, iniciando pela busca de fontes de informação, por exemplo, dos responsáveis pelos setores (ou áreas) a serem auditados.

II - O objetivo da fase de execução da auditoria é levantar todas as evidências relevantes aos objetivos da auditoria em si. Por exemplo, considera-se evidência as informações fornecidas pela própria organização, tais como e-mails trocados entre os dirigentes e funcionários.

III - É recomendável efetuar a análise das necessidades de segurança, isto é, identificar as ameaças potenciais, analisar riscos e impactos, antes de definir os objetivos globais de segurança a serem atingidos.

IV - Durante a identificação dos recursos críticos de uma organização, é relevante classificar as informações em públicas, internas ou confi denciais, de acordo com a necessidade específica de proteção contra acessos não-autorizados.

V - Análise de riscos é o ponto-chave da política de segurança e mede ameaças, vulnerabilidades e impactos, em função dos negócios da organização. E, para uma adequada gestão de riscos, deve-se conscientizar todos os funcionários quanto aos riscos e responsabilidades para com a segurança.

Indique a opção correta.

• A. Apenas as afirmações II e III são falsas.
• B. Apenas as afirmações I e IV são falsas.
• C. Apenas as afirmações II e V são falsas.
• D. Apenas as afirmações III e IV são falsas.
• E. Apenas as afirmações III e V são falsas.

Analise as afirmações a respeito de ataques e medidas de segurança associadas e assinale a opção correta.

I - Análise de tráfego de uma rede de computadores é um exemplo de ataque passivo e, este por sua vez, é difícil de prevenir, sendo aplicáveis nestes casos, medidas de detecção.

II - Controles administrativos, tais como o uso de crachás de identificação e princípios da mesa limpa, podem ser usados como meios de prevenção contra ataques à segurança física das organizações.

III - Falsifi cação de IP (Internet Protocol) pode ser usado em ataques de negação de serviço (DoS – Denial of Service) para ocultar a identidade da origem do ataque. É possível evitá-la nos processos de filtragem de pacotes de entrada, durante o tráfego dos pacotes no firewall.

IV - Vírus são códigos maliciosos projetados para se replicarem e se espalharem de um computador para outro, atacando programas, arquivos, disco e aplicativos, por exemplo; e são classificados em parasitas, de setor de boot, camuflados, de macro e polimórficos. Nesse contexto, cavalos de tróia (trojans) são veículos para vírus, sendo o anti-vírus a contramedida aplicável para assegurar prevenção, detecção e reação aos vírus.

V - Um proxy é um servidor de aplicação específico, tal como o de correio eletrônico, de transferência de arquivos e Web por exemplo, no qual os dados de entrada e saída da aplicação devem ser tratados, a fim de que sejam tomadas decisões quanto à negação ou permissão de acesso.

• A. Apenas a afirmação III é falsa.
• B. Apenas a afirmação I é falsa.
• C. Apenas a afirmação V é falsa.
• D. Todas as afirmações são falsas.
• E. Todas as afirmações são verdadeiras.

No sentido de proteger os recursos de processamento de informações e as informações, é relevante aplicar mecanismos de segurança, bem como planos de contingência e de continuidade de negócios. Para este contexto é incorreto incorreta que

• A. a política de backup compreende todos os recursos, infra-estrutura e procedimentos necessários à proteção das informações, indicando assim, a abordagem empregada (completa ou incremental) e a periodicidade, em função da importância da informação para os negócios da organização.
• B. são procedimentos recomendados para proteger os meios de armazenamento para cópias de segurança (backups): efetuar o registro do conteúdo e data de atualização; manter cuidados com o local de armazenamento protegendo-o contra ameaças que envolvam água, por exemplo; e a manutenção de cópia remota com medida preventiva adicional.
• C. a fragilidade do Sistema Operacional compromete a segurança de aplicativos, utilitários e arquivos. Sendo assim, ataques baseados em mapeamento – que compreendem a coleta de informações, tais como endereços IP (Internet Protocol), serviços e características próprias do Sistema Operacional oferecem maior probabilidade de ameaças com impactos à segurança da rede.
• D. um plano de contingências compreende exclusivamente respostas imediatas a desastres, em torno de ações e medidas de segurança adequadas. Em particular, são considerados os seguintes passos: identificação e compreensão do problema, contenção de danos e a eliminação das causas.
• E. uma política de backup e recuperação de bases de dados deve ser definida e testada, para assegurar contra-medidas adequadas de segurança. Os backups, especifi camente para bases de dados, devem ser feitos em vários níveis, em função da hierarquia de meios de armazenamento.

Considere as seguintes afirmações referentes a Servidores Web

I. São pré-configurados para executar os protocolos TLS (SSL) e HTTPS.

 II. Possuem ou se comunicam com um servidor de aplicação para permitir a execução de scripts.

 III. Além do download de informações, permitem a realização de uploads.

 IV. Por default, é instalado no diretório "ServerRoot".

As características e recursos listados acima que são nativos tanto no servidor Web IIS (Internet Information Service) quanto no servidor Web Apache são:

• A.

  I e II

• B.

  I e IV

• C.

  II e III

• D.

  III e IV

Elementos que, se forem explorados por determinados agentes, poderão afetar a confidencialidade, disponibilidade e integridade das informações, em segurança, da área de informática.

Esse é o conceito de

• A.

  riscos.

• B.

  ataques

• C.

  ameaças

• D.

  repúdios.

• E.

  vulnerabilidades.

Analise as afirmativas abaixo referentes a segurança na área de informática.

I. Uma das funções de um Firewall é o de filtro de pacotes.

II. O RSA é um método assimétrico de criptografia, assim como o DES.

III. Na criptografia simétrica, é utilizada a mesma chave na criptografia e na decriptografia.

IV. O processo de redundância de armazenamento RAID 0 utiliza o espelhamento de discos.

V. A política de segurança deve ser um documento restrito ao pessoal técnico da área de informática.

VI. A biometria é o processo de verificação da identidade de um indivíduo através de uma característica física única, como, por exemplo, impressão digital.

Das afirmativas acima, estão corretas, apenas,

• A.

  I, II e IV

• B.

  I, III e VI

• C.

  I, IV e VI

• D.

  II, IV e V

• E.

  II, III e IV

Segurança compreende a proteção de informações, sistemas, recursos e serviços contra desastres, erros e manipulação não-autorizada, reduzindo assim, a probabilidade e o impacto de incidentes de segurança. Em termos de Segurança da Informação, é correto afirmar que:

• A.

  são classificadas como informações confi denciais aquelas cujo acesso interno ou externo de pessoas não autorizadas é crítico para a empresa, sendo imprescindível um número restrito de pessoas autorizadas e o controle total sobre o uso das informações.

• B.

  a segurança de acesso físico tem por objetivo proteger informações contra usuários não autorizados, protegendo o acesso aos recursos, de modo explícito ou implícito (áreas de acesso restrito), englobando ainda, a prevenção de dados provocados por desastres naturais.

• C.

  os elementos fundamentais do controle de acesso lógico podem ser visualizados sob dois aspectos distintos: a partir do recurso computacional que se pretende proteger e a partir do usuário a quem se pretende dar certos privilégios e acessos aos recursos. Tais elementos, em essência, podem ser considerados como a identificação e a autenticação de usuários.

• D.

  A envia uma mensagem encriptada com sua chave privada para B (e que B já possui uma cópia da chave pública de A). Ao receber o criptograma, B usa uma cópia da chave pública de A para decriptar a mensagem. Sendo assim, a mensagem encriptadada servirá como assinatura digital, garantindo autenticidade em termos da origem e integridade da mensagem.

• E.

  considerando que A deseja se comunicar com B, uma possibilidade para resolver a distribuição de chaves convencionais a garantir a autenticidade das partes envolvidas é A gerar um par de chaves públicas e transmitir uma cópia de sua chave pública para B que, por sua vez, gera uma chave secreta e a transmite para A, encriptada com a chave pública de A.

A respeito da detecção de intrusão é incorreto afirmar que

• A.

  a detecção de intrusos baseia-se na suposição de que o comportamento de intrusos difere do comportamento de usuários legítimos.

• B.

  a detecção baseada em regras compreende a definição de um conjunto de regras usadas para decidir a respeito de um dado comportamento.

• C.

  SDIs (Sistemas de Detecção de Intrusos) de rede utilizam fontes de informação tais como auditoria do sistema operacional e logs do sistema.

• D.

  ataques de DoS (Denial of Service) consistem em sobrecarregar um servidor com uma quantidade excessiva de solicitação e são considerados possíveis de detectar por parte de SDIs.

• E.

  um falso negativo ocorre quando uma ação maléfica é classificada como normal, aumentando as vulnerabilidades.

É crescente o número de incidentes de segurança causados por vírus de computador e suas variações. Com isso, as organizações estão enfrentando o problema com o rigor e cuidados merecidos. Nesse contexto, é correto afirmar que

• A.

  cavalos de tróia são variações de vírus que se propagam e possuem um mecanismo de ativação (evento ou data) e uma missão.

• B.

  vírus polimórficos suprimem as mensagens de erro que normalmente aparecem nas tentativas de execução da atividade não-autorizada, utilizando, muitas vezes, criptografia para não serem detectados por anti-vírus.

• C.

  os vírus de macro utilizam arquivos executáveis como hospedeiros, inserindo macros com as mesmas funções de um vírus em tais arquivos.

• D.

  softwares anti-vírus controlam a integridade dos sistemas e compreendem três etapas: prevenção, detecção e reação, nesta ordem.

• E.

  vírus geram cópias de si mesmo a fim de sobrecarregarem um sistema, podendo consumir toda a capacidade do processador, memória ou espaço em disco, eventualmente.

Em termos das questões relacionadas à política de segurança e auditoria é correto afirmar que

• A.

  o âmbito da auditoria compreende aspectos tais como o objeto a ser fiscalizado, período e natureza da auditoria, por exemplo, operacional e financeira.

• B.

  a norma NBR ISO IEC 17799 não define regras para a gestão da continuidade do negócio, com a finalidade de evitar interrupções e proteger processos críticos nas organizações.

• C.

  o Decreto n. 3.505, de 13.06.2000, que institui a Política de Segurança da Informação nos órgãos e entidades da Administração Pública Federal, tem como um de seus pressupostos garantir ao Estado o direito de acesso a qualquer informação que for de seu interesse.

• D.

  a política de segurança deve ser flexível e viável a longo prazo. Todavia, não pode ser definida de modo independente de software e hardware específicos.

• E.

  a auditoria da Segurança da Informação faz parte da auditoria da Tecnologia da Informação e engloba a avaliação da política de segurança, de controles de aspectos de segurança institucional globais (lógico, físico e ambiental) e de planos de contingência e continuidade dos serviços.