Aluno - Apostila Cissp (1301)

SEGURANÇA CIBERNÉTICA
O ELO MAIS FRACO
Visão Holística da Segurança da

Informação
CORTESIA DO GATO TIÃO

1
TEKNOBANK – TREINAMENTOS EM SEGURANÇA DA INFORMAÇÃO – CURSO CISSP ®
Jaime Orts e Lugo (ortsylugo@gmail.com)
Engenheiro eletrônico com especialização em telecomunicações.

MBA em Gestão de Segurança da Informação.
CEO da Teknobank, consultoria especializada em Treinamento em Segurança da
Informação.
Certificado CISSP (ISC) ², Instrutor CISSP da “Trainning”, ISSA BRASIL, TEKNOBANK e
treinamentos "in company"
Fundador da Associação de Segurança em Sistemas de Informação - ISSA Brasil.
Fundador da CSA - Capítulo Cloud Security Alliance Brasil.
Fundador do (ISC) ² Capítulo São Paulo.
Colaborador da Comissão Organizadora do CNASI - Congresso Nacional de Auditoria e
Segurança da Informação.
Colaborador da ABNT / CB-21, CE-21 Comissão de Estudo de Segurança da Informação.
Colaborador da Comissão de Direito Digital e Conformidade da OAB (SP / Santos /
Campinas)
Palestrante do CNASI, Líderes de Segurança, Seminário de Tecnologia PRODESP.
JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM


TESTE DE AVALIAÇÃO
Take the assessment test before you start reading the

material. This will give you an idea of the areas in
which you need to spend additional study time as well
as those areas in which you may just need a brief
refresher.
Faça o teste de avaliação antes de começar a ler o

material. Isso lhe dará uma idéia das áreas nas quais
você precisa gastar mais tempo de estudo, bem como
aquelas nas quais você pode precisar apenas de uma
breve atualização.
1. Which of the following types of access control seeks to discover evidence of

unwanted, unauthorized, or illicit behavior or activity?
A. Preventive
B. Deterrent
C. Detective
D. Corrective
1. Qual dos seguintes tipos de controle de acesso busca descobrir evidências de

comportamento ou atividade indesejada, não autorizada ou ilícita?
A. Preventiva
B. Dissuasor
C. Detetive
D. Corretivo

ANOTAÇÕES DO ALUNO/A

2. Define and detail the aspects of password selection that distinguish

good password choices from ultimately poor password choices.
A. Difficult to guess or unpredictable

B. Meet minimum length requirements
C. Meet specific complexity requirements
D. All of the above
2. Defina e detalhe os aspectos da seleção de senha que distinguem boas

escolhas de senha de escolhas de senha ruins.
A. Difícil de adivinhar ou imprevisível

B. Atender aos requisitos de comprimento mínimo
C. Atender aos requisitos específicos de complexidade
D. Todas as opções acima


3. Which of the following is most likely to detect DoS attacks?
A. Host-based IDS
B. Network-based IDS
C. Vulnerability scanner
D. Penetration testing
3. Qual das opções a seguir tem maior probabilidade de detectar ataques

DoS?
A. IDS baseado em host

B. IDS baseado em rede
C. Scanner de vulnerabilidade
D. Teste de penetração


4. Which of the following is considered a denial-of-service attack?
A. Pretending to be a technical manager over the phone and asking a receptionist to

change their password
B. While surfing the Web, sending to a web server a malformed URL that causes the
system to consume 100 percent of the CPU
C. Intercepting network traffic by copying the packets as they pass through a specific
subnet
D. Sending message packets to a recipient who did not request them simply to be annoying
4. Qual das opções a seguir é considerada um ataque de negação de serviço?
A. Fingir ser um gerente técnico pelo telefone e pedir a uma recepcionista que altere a
senha
B. Ao navegar na Web, enviar para um servidor da Web uma URL malformada que faz com
que o sistema consuma 100 por cento da CPU
C. Interceptar o tráfego de rede copiando os pacotes conforme eles passam por uma sub-
rede específica
D. Enviar pacotes de mensagens a um destinatário que não os solicitou simplesmente para
ser irritante


5. At which layer of the OSI model does a router operate?
A. Network layer
B. Layer 1
C. Transport layer
D. Layer 5
5. Em qual camada do modelo OSI um roteador opera?
A. Camada de rede
B. Camada 1
C. Camada de transporte
D. Camada 5


6. Which type of firewall automatically adjusts its filtering rules based on

the content of the traffic of existing sessions?
A. Static packet filtering

B. Application-level gateway
C. Circuit level gateway
D. Dynamic packet filtering
6. Que tipo de firewall ajusta automaticamente suas regras de filtragem

com base no conteúdo do tráfego das sessões existentes?
A. Filtragem estática de pacotes

B. Gateway de nível de aplicativo
C. Gateway de nível de circuito
D. Filtragem de pacotes dinâmicos


7. A VPN can be established over which of the following?
A. Wireless LAN connection

B. Remote access dial-up connection
C. WAN link
D. All of the above
7. Uma VPN pode ser estabelecida sobre qual das seguintes

opções?
A. Conexão LAN sem fio

B. Conexão dial-up de acesso remoto
C. Link WAN

8. What type of malware uses social engineering to trick a victim into

installing it?
A. Viruses
B. Worms
C. Trojan horse
D. Logic bomb
8. Que tipo de malware usa a engenharia social para induzir a vítima a

instalá-lo?
A. Vírus
B. Worms
C. cavalo de Tróia
D. Bomba lógica


9. The CIA Triad comprises what elements?
A. Contiguousness, interoperable, arranged

B. Authentication, authorization, accountability
C. Capable, available, integral
D. Availability, confidentiality, integrity
9. A Tríade da CIA compreende quais elementos?
A. Contiguidade, interoperabilidade, arranjada

B. Autenticação, autorização, responsabilidade
C. Capaz, disponível, integral
D. Disponibilidade, confidencialidade, integridade


10. Which of the following is not a required component in the support of

accountability?
A. Auditing
B. Privacy
C. Authentication
D. Authorization
10. Qual dos itens a seguir não é um componente obrigatório no apoio à

responsabilidade?
A. Auditoria
B. Privacidade
C. Autenticação
D. Autorização


11. Which of the following is not a defense against collusion?
A. Separation of duties
B. Restricted job responsibilities
C. Group user accounts
D. Job rotation
11. Qual das opções a seguir não é uma defesa contra conluio?
A. Separação de funções
B. Responsabilidades de trabalho restritas
C. Contas de usuário do grupo
D. Rotação de trabalho


12. A data custodian is responsible for securing resources after

______________________ has assigned the resource a security label.
A. Senior management
B. The data owner
C. An auditor
D. Security staff
12. Um guardião de dados é responsável por proteger os recursos depois

que ______________________ atribuiu ao recurso um rótulo de
segurança.
A. Gerência sênior
B. O proprietário dos dados
C. Um auditor
D. Pessoal de segurança


13. In what phase of the Capability Maturity Model for Software

(SWCMM) are quantitative measures utilized to gain a detailed
understanding of the software development process?
A. Repeatable
B. Defined
C. Managed
D. Optimizing
13. Em que fase do Capability Maturity Model for Software (SWCMM) as

medidas quantitativas são utilizadas para obter uma compreensão
detalhada do processo de desenvolvimento de software?
A. Repetível
B. Definido
C. Gerenciado
D. Otimizando


14. Which one of the following is a layer of the ring protection scheme
that is not normally implemented in practice?
A. Layer 0
B. Layer 1
C. Layer 3
D. Layer 4
14. Qual das opções a seguir é uma camada do esquema de proteção do

anel que não é normalmente implementada na prática?
A. Camada 0
B. Camada 1
C. Camada 3
D. Camada 4


15. What is the last phase of the TCP/IP three-way handshake

sequence?
A. SYN packet
B. ACK packet
C. NAK packet
D. SYN/ACK packet
15. Qual é a última fase da sequência de handshake de três vias

TCP / IP?
A. Pacote SYN
B. Pacote ACK
C. Pacote NAK
D. Pacote SYN / ACK


16. Which one of the following vulnerabilities would best be countered by

adequate parameter checking?
A. Time of check to time of use

B. Buffer overflow
C. SYN flood
D. Distributed denial of service
16. Qual das seguintes vulnerabilidades seria melhor combatida por uma
verificação de parâmetro adequada?
A. Tempo de verificação até o tempo de uso

B. Estouro de buffer
C. inundação SYN
D. Negação de serviço distribuída


17. What is the value of the logical operation shown here?
X: 0 1 1 0 1 0
Y: 0 0 1 1 0 1
_________________
X ∨ Y: ?
A. 0 1 1 1 1 1
B. 0 1 1 0 1 0
C. 0 0 1 0 0 0
D. 0 0 1 1 0 1
17. Qual é o valor da operação lógica mostrada aqui?
X: 0 1 1 0 1 0
S: 0 0 1 1 0 1
_________________
X ∨ Y:?
A. 0 1 1 1 1 1
B. 0 1 1 0 1 0
C. 0 0 1 0 0 0
D. 0 0 1 1 0 1


18. In what type of cipher are the letters of the plain-text

message rearranged to form the cipher text?
A. Substitution cipher
B. Block cipher
C. Transposition cipher
D. Onetime pad
18. Em que tipo de cifra as letras da mensagem de texto simples

são reorganizadas para formar o texto cifrado?
A. Cifra de substituição
B. Bloquear cifra
C. Cifra de transposição
D. Bloco único


19. What is the length of a message digest produced by the MD5

algorithm?
A. 64 bits
B. 128 bits
C. 256 bits
D. 384 bits
19. Qual é o comprimento de um resumo da mensagem produzido pelo

algoritmo MD5?
A. 64 bits
B. 128 bits
C. 256 bits
D. 384 bits


20. If Renee receives a digitally signed message from Mike, what key does
she use to verify that the message truly came from Mike?
A. Renee’s public key

B. Renee’s private key
C. Mike’s public key
D. Mike’s private key
20. Se Renée receber uma mensagem assinada digitalmente de Mike, que

chave ela usa para verificar se a mensagem realmente veio de Mike?
A. A chave pública de Renee

B. Chave privada de Renee
C. Chave pública de Mike
D. Chave privada de Mike


21. Which of the following is not a composition theory related to

security models?
A. Cascading
B. Feedback
C. Iterative
D. Hookup
21. Qual das alternativas a seguir não é uma teoria de

composição relacionada a modelos de segurança?
A. Cascata
B. Feedback
C. Iterativo
D. Conexão


22. The collection of components in the TCB that work together to

implement reference monitor functions is called the
______________________ .
A. Security perimeter
B. Security kernel
C. Access matrix
D. Constrained interface
22. A coleção de componentes na TCB que trabalham juntos para

implementar as funções do monitor de referência é chamada de
______________________.
A. Perímetro de segurança
B. kernel de segurança
C. Matriz de acesso
D. Interface restrita


23. Which of the following statements is true?
A. The less complex a system, the more vulnerabilities it has.

B. The more complex a system, the less assurance it provides.
C. The less complex a system, the less trust it provides.
D. The more complex a system, the less attack surface it generates.
23. Qual das seguintes afirmações é verdadeira?
A. Quanto menos complexo um sistema, mais vulnerabilidades ele possui.

B. Quanto mais complexo um sistema, menos garantia ele oferece.
C. Quanto menos complexo um sistema, menos confiança ele fornece.
D. Quanto mais complexo um sistema, menos superfície de ataque ele
gera.


24. Ring 0, from the design architecture security mechanism known as

protection rings, can also be referred to as all but which of the following?
A. Privileged mode
B. Supervisory mode
C. System mode
D. User mode
24. O anel 0, do mecanismo de segurança da arquitetura de design

conhecido como anéis de proteção, também pode ser referido como
todos, mas qual dos seguintes?
A. Modo privilegiado
B. Modo de supervisão
C. Modo do sistema
D. Modo de usuário


25. Audit trails, logs, CCTV, intrusion detection systems, antivírus software,
penetration testing, password crackers, performance monitoring, and
cyclic redundancy checks (CRCs) are examples of what?
A. Directive controls
B. Preventive controls
C. Detective controls
D. Corrective controls
25. Trilhas de auditoria, logs, CCTV, sistemas de detecção de intrusão,

software antivírus, teste de penetração, crackers de senha,
monitoramento de desempenho e verificações de redundância cíclica
(CRCs) são exemplos de quê?
A. Controles diretores
B. Controles preventivos
C. Controles de detetive
D. Controles corretivos

26. System architecture, system integrity, covert channel analysis, trusted

facility management, and trusted recovery are elements of what security
criteria?
A. Quality assurance
B. Operational assurance
C. Lifecycle assurance
D. Quantity assurance
26. Arquitetura do sistema, integridade do sistema, análise de canal

secreto, gerenciamento de instalação confiável e recuperação confiável
são elementos de quais critérios de segurança?
A. Garantia de qualidade
B. Garantia operacional
C. Garantia de ciclo de vida
D. Garantia de quantidade


27. Which of the following is a procedure designed to test and perhaps

bypass a system’s security controls?
A. Logging usage data

B. War dialing
C. Penetration testing
D. Deploying secured desktop workstations
27. Qual das opções a seguir é um procedimento projetado para testar e

talvez contornar os controles de segurança de um sistema?
A. Registro de dados de uso

B. Discagem de guerra
C. Teste de penetração
D. Implantando estações de trabalho de desktop protegidas


28. Auditing is a required factor to sustain and enforce what?
A. Accountability
B. Confidentiality
C. Accessibility
D. Redundancy
28. A auditoria é um fator necessário para sustentar e fazer

cumprir o quê?
A. Responsabilidade
B. Confidencialidade
C. Acessibilidade
D. Redundância


29. What is the formula used to compute the ALE?
A. ALE = AV * EF * ARO
B. ALE = ARO * EF
C. ALE = AV * ARO
D. ALE = EF * ARO
29. Qual é a fórmula usada para calcular a ALE?
A. ALE = AV * EF * ARO
B. ALE = ARO * EF
C. ALE = AV * ARO
D. ALE = EF * ARO


30. What is the first step of the business impact assessment process?
A. Identification of priorities
B. Likelihood assessment
C. Risk identification
D. Resource prioritization
30. Qual é a primeira etapa do processo de avaliação de impacto nos

negócios?
A. Identificação de prioridades
B. Avaliação de probabilidade
C. Identificação de risco
D. Priorização de recursos


31. Which of the following represent natural events that can pose
a threat or risk to an organization?
A. Earthquake
B. Flood
C. Tornado
D. All of the above
31. Qual dos itens a seguir representam eventos naturais que

podem representar uma ameaça ou risco para uma organização?
A. Terremoto
B. Dilúvio
C. Tornado


32. What kind of recovery facility enables an organization to resume

operations as quickly as possible, if not immediately, upon failure of the
primary facility?
A. Hot site
B. Warm site
C. Cold site
D. All of the above
32. Que tipo de instalação de recuperação permite que uma organização

retome as operações o mais rápido possível, se não imediatamente, em
caso de falha da instalação principal?
A. Hot site
B. Local quente
C. Local frio


33. What form of intellectual property is used to protect words, slogans,

and logos?
A. Patent
B. Copyright
C. Trademark
D. Trade secret
33. Que forma de propriedade intelectual é usada para proteger palavras,

slogans e logotipos?
Uma patente
B. Copyright
C. Marca Registrada
D. Segredo comercial


34. What type of evidence refers to written documents that are

brought into court to prove a fact?
A. Best evidence
B. Payroll evidence
C. Documentary evidence
D. Testimonial evidence
34. Que tipo de prova se refere a documentos escritos que são

trazidos ao tribunal para provar um fato?
A. Melhor evidência
B. Provas da folha de pagamento
C. Provas documentais
D. Provas de depoimento


35. Why are military and intelligence attacks among the most serious computer crimes?
A. The use of information obtained can have far-reaching detrimental strategic effects on
national interests in an enemy’s hands.
B. Military information is stored on secure machines, so a successful attack can be
embarrassing.
C. The long-term political use of classified information can impact a country’s leadership.
D. The military and intelligence agencies have ensured that the laws protecting their
information are the most severe.
35. Por que os ataques militares e de inteligência estão entre os crimes informáticos mais
graves?
A. O uso das informações obtidas pode ter efeitos estratégicos prejudiciais de longo
alcance sobre os interesses nacionais nas mãos de um inimigo.
B. As informações militares são armazenadas em máquinas seguras, portanto, um ataque
bem-sucedido pode ser constrangedor.
C. O uso político de longo prazo de informações classificadas pode impactar a liderança de
um país.
D. As agências militares e de inteligência garantiram que as leis que protegem suas
informações sejam as mais severas.


36. What type of detected incident allows the most time for na
investigation?
A. Compromise
B. Denial of service
C. Malicious code
D. Scanning
36. Que tipo de incidente detectado permite mais tempo para uma
investigação?
A. Compromisso
B. Negação de serviço
C. Código malicioso
D. Scanning


37. If you want to restrict access into or out of a facility, which

would you choose?
A. Gate
B. Turnstile
C. Fence
D. Mantrap
37. Se você quiser restringir o acesso para dentro ou fora de uma

instalação, qual você escolheria?
A. Gate
B. Catraca
C. Fence
D. Mantrap


38. What is the point of a secondary verification system?
A. To verify the identity of a user

B. To verify the activities of a user
C. To verify the completeness of a system
D. To verify the correctness of a system
38. Qual é o objetivo de um sistema de verificação secundário?
A. Para verificar a identidade de um usuário

B. Para verificar as atividades de um usuário
C. Para verificar a integridade de um sistema
D. Para verificar a exatidão de um sistema


39. Spamming attacks occur when numerous unsolicited messages are

sent to a victim. Because enough data is sent to the victim to prevent
legitimate activity, it is also known as what?
A. Sniffing
B. Denial of service
C. Brute-force attack
D. Buffer overflow attack
39. Ataques de spam ocorrem quando várias mensagens não solicitadas

são enviadas a uma vítima. Como dados suficientes são enviados à vítima
para evitar atividades legítimas, isso também é conhecido como o quê?
A. Sniffing
C. Ataque de força bruta
D. Ataque de estouro de buffer


40. Which type of intrusion detection system (IDS) can be

considered an expert system?
A. Host-based
B. Network-based
C. Knowledge-based
D. Behavior-based
40. Que tipo de sistema de detecção de intrusão (IDS) pode ser

considerado um sistema especialista?
A. Baseado em host
B. Baseado em rede
C. Baseado no conhecimento
D. Com base no comportamento


Domínio 1
Gerenciamento da Segurança e Riscos

CIA Triad
Confidencialidade é o princípio de que os objetos

não são divulgados a sujeitos não autorizados.
Integridade é o princípio de que os objetos
mantêm sua veracidade e são intencionalmente
modificados apenas por sujeitos autorizados.
Disponibilidade é o princípio de que objetos
autorizados recebem acesso oportuno e
ininterrupto a objetos.

Identificação
Identificação é o processo pelo qual um sujeito

professa uma identidade e a responsabilidade é
iniciada. Um sujeito deve fornecer uma identidade
a um sistema para iniciar o processo de
autenticação, autorização e responsabilidade.

Autenticação.
Autenticação é o processo de verificar ou testar se

uma identidade reivindicada é válida. A
autenticação requer informações do sujeito que
devem corresponder exatamente à identidade
indicada.

Autorização
Depois que um sujeito é autenticado, seu acesso

deve ser autorizado. O processo de autorização
garante que a atividade solicitada ou o acesso ao
objeto seja possível, dados os direitos e privilégios
atribuídos à identidade autenticada.

Governança da segurança.
Governança da segurança é o conjunto de práticas

relacionadas ao suporte, definição e direção dos
esforços de segurança de uma organização.

Processo de auditoria
Auditoria, ou monitoramento, é o meio programático

pelo qual os sujeitos são responsabilizados por suas
ações enquanto autenticados em um sistema. A
auditoria também é o processo pelo qual atividades
não autorizadas ou anormais são detectadas em um
sistema. A auditoria é necessária para detectar ações
maliciosas de indivíduos, tentativas de invasão e falhas
no sistema e para reconstruir eventos, fornecer
evidências para processos e produzir relatórios e
análises de problemas.
Responsabilidade
A política de segurança de uma organização pode

ser aplicada adequadamente somente se a
responsabilidade for mantida. Em outras palavras,
a segurança pode ser mantida apenas se os
sujeitos forem responsabilizados por suas ações. A
responsabilidade efetiva depende da capacidade
de provar a identidade de um sujeito e
acompanhar suas atividades.

Não repúdio
O não repúdio garante que o sujeito de uma

atividade ou evento não possa negar que o evento
ocorreu. Impede que um sujeito afirme não ter
enviado uma mensagem, não tenha executado
uma ação ou não tenha sido a causa de um evento.

Planejamento do gerenciamento da segurança
O gerenciamento é baseado em três tipos de

planos: estratégico, tático e operacional. Um plano
estratégico é um plano de longo prazo que é
bastante estável. Isto define as metas, missão e
objetivos da organização. O tático é um plano
intermediário desenvolvido para fornecer mais
detalhes sobre cumprir as metas estabelecidas no
plano estratégico. Operacional são planos de curto
prazo e altamente detalhados, baseados nos
planos táticos.
Estrutura de diretivas de segurança formalizadas
Para criar um plano de segurança abrangente, você

precisa dos seguintes itens em vigor: política de
segurança, padrões, linhas de base, diretrizes e
procedimentos. Essa documentação indica
claramente os requisitos de segurança e cria a
devida diligência dos responsáveis.

Principais funções da segurança
As principais funções da segurança são gerente

sênior, proprietário da organização, alta gerência,
profissional da segurança, usuário, proprietário dos
dados, guardião dos dados e auditor. Ao criar uma
hierarquia de funções de segurança, você limita o
risco geral.

Conscientização em segurança
Antes do treinamento real, a conscientização da segurança

como uma entidade deve ser criada para os usuários. Uma
vez feito isso, treinamento, ou ensinar os funcionários a
executar suas tarefas de trabalho e a cumprir a política de
segurança, pode começar. Todos os novos funcionários
exigem algum nível de treinamento para que possam
cumprir todos os padrões, diretrizes, e procedimentos
determinados pela política de segurança. A educação é mais
esforço detalhado no qual estudantes / usuários aprendem
muito mais do que realmente precisam saber para executar
suas tarefas de trabalho. A educação é mais frequentemente
associado a usuários que buscam certificação ou procuram
promoção no emprego.
Segurança em camadas
Camadas é o uso de vários controles em série. O

uso de uma solução multicamada permite
inúmeros controles para se proteger contra
ameaças.

Conceito de abstração (abstraction)
Abstração é usado para juntar elementos

semelhantes em grupos, classes ou funções aos
quais são atribuídos controles de segurança,
restrições ou permissões como um coletivo.
Acrescenta eficiência à execução de um plano de
segurança.

Ocultação de dados (data hiding)
Ocultar dados é exatamente o que parece: impedir

que dados sejam descobertos ou acessados por
um sujeito. Isto é
frequentemente um elemento chave nos controles
de segurança e na programação.

Criptografia
Criptografia é a arte e ciência de ocultar o

significado ou a intenção de uma comunicação de
destinatários não intencionais. Pode assumir várias
formas e ser aplicado a todos os tipo de
comunicação eletrônica, incluindo texto, áudio e
vídeo arquivos, bem como os próprios programas.
A criptografia é um importante elemento nos
controles de segurança, especialmente no que se
refere à transmissão de dados entre sistemas.
Controle e gestão de mudança
A mudança em um ambiente seguro pode

introduzir brechas, sobreposições, objetos
ausentes e descuidos que podem levar a
novas vulnerabilidades. A única maneira de manter
a segurança diante de mudança é gerenciar
sistematicamente a mudança.

Classificação dos dados
Os dados são classificados para simplificar o

processo de atribuição de controles de segurança a
grupos de objetos ao invés de objetos individuais.
Os dois esquemas mais comuns de classificação
são os setores de negócios governamentais /
militares e comerciais / privados.

Lembre-se que os itens rotulados como

confidenciais, secretos e extremamente secretos
são coletivamente conhecidos como classificados.

A classificação de dados “private” em empresas

comerciais / setor privado é usada para proteger
informações sobre indivíduos.

Desclassificação.
A desclassificação é necessária quando um ativo

não precisa a proteção de seu nível de classificação
ou sensibilidade atualmente atribuído.

Control Objectives for Information and Related

Technologies (COBIT)
Objetivos de controle para informações e

tecnologias relacionadas (COBIT) é uma
infraestrutura de conceito de segurança usada
para organizar as complexas soluções de segurança
das empresas.

Modelagem de ameaças
A modelagem de ameaças é a processo de

segurança onde ameaças potenciais são
identificadas, categorizadas, e analisadas. A
modelagem de ameaças pode ser realizada como
um processo proativo, medido durante o projeto e
desenvolvimento ou como uma medida reativa
uma vez que o produto foi implantado.

Os principais conceitos e modelos de ameaças incluem

ativos, invasores, software, STRIDE, MASSA, Trike, VAST, e
DREAD.
STRIDE da Microsoft é usado para avaliação de ameaças

contra aplicativos ou sistemas operacionais. STRIDE é um
acrônimo para o seguinte:
Falsificação (spoofing): Um ataque com o objetivo de obter

acesso a um sistema através do uso de uma identidade
falsificada.
Violação (tampering): Qualquer ação que resulte em

alterações não autorizadas ou manipulação de dados, seja
em trânsito ou em armazenamento.

Repúdio (repudiation): A capacidade de um usuário ou

invasor negar ter realizado uma ação ou atividade.
Divulgação da informação (information disclosure): A

revelação ou distribuição de informações privadas,
confidenciais ou controladas para entidades externas
ou não autorizadas.
Negação de serviço (DoS): Um ataque que tenta

impedir o uso autorizado de um recurso.
Elevação de privilégio: Um ataque em que uma conta

de usuário limitada é transformada em uma conta
com maiores privilégios, poderes, e acesso.
Gerenciamento baseado em riscos
Aplicando gerenciamento baseado em risco para a

cadeia de suprimentos é um meio de garantir uma
maior robustez e estratégia de segurança bem-
sucedida em organizações de todos os tamanhos.
Quando compras e aquisições são feitas sem
considerações de segurança, os riscos inerentes a
esses produtos permanecem por toda a vida útil
da implantação.

D1-RISCOS
SIMULADO-1

1. Qual das alternativas a seguir contém as

principais metas e objetivos da segurança?
A. Perímetro fronteiriço de uma rede
B. A tríade (CIA)
C. Um sistema stand-alone
D. A Internet

2. Vulnerabilidades e riscos são avaliados com base

em suas ameaças contra qual das seguintes?
A. Um ou mais dos princípios da tríade da CIA
B. Utilidade dos dados
C. Due care (Devido cuidado)
D. Extensão da responsabilidade

3. Qual das alternativas a seguir é um princípio da

tríade da CIA que significa que sujeitos autorizados
recebem acesso oportuno e ininterrupto para objetos?
A. Identificação
B. Disponibilidade
C. Criptografia
D. Camadas


4. Qual das alternativas a seguir não é considerada

uma violação de confidencialidade?
A. Roubar senhas
B. Bisbilhotar
C. Destruição de hardware
D. Engenharia social

5. Qual das alternativas a seguir não é verdadeira?
A. Violações de confidencialidade incluem erro humano.
B. As violações da confidencialidade incluem a supervisão da

gerência.
C. As violações de confidencialidade limitam-se a ataques

intencionais.
D. Violações de confidencialidade podem ocorrer quando

uma transmissão não é devidamente criptografado.


6. STRIDE é frequentemente usado em relação à

avaliação de ameaças contra aplicações ou sistemas
operacionais. Qual das alternativas a seguir não é
elemento do STRIDE?
A. Spoofing
B. Elevação de privilégio
C. Repúdio
D. Divulgação

7. Se um mecanismo de segurança oferece

disponibilidade, ele oferece umalto nível garantia de
que indivíduos autorizados podem
_____________________ os dados, objetos e
recursos.
A. Ao controle
B. Auditoria
C. Acesso
D. Repudiar

8. _______________ refere-se a manter informações

confidenciais que são pessoalmente identificáveis ou
que podem causar danos, constrangimento ou
desgraça para alguém, se revelado.
A. Reclusão
B. Ocultação
C. Privacidade
D. Criticidade

9. Todos, exceto qual dos seguintes itens, exige

conscientização para todos os indivíduos afetados?
A. Restringindo o e-mail pessoal
B. Gravando conversas telefônicas
C. Coletando informações sobre hábitos de navegação
D. O mecanismo de backup usado para reter

mensagens de e-mail


10. Que elemento do gerenciamento de

categorização de dados pode substituir todas as
outras formas de controle de acesso?
A. Classificação
B. Acesso físico
C. Responsabilidades do custodiante
D. Assumindo a propriedade (ownership)


11. O que garante que o sujeito de uma atividade

ou evento não pode negar que o evento ocorreu?
A. CIA Tríade
B. Abstração
C. Não-repúdio
D. Hash totais

12. Qual dos seguintes é o conceito mais

importante e distinto em relação à segurança em
camadas?
A. Múltiplos
B. Série
C. Paralelo
D. Filtro

13. Qual das alternativas a seguir não é considerada um

exemplo de dados escondidos (data hiding)?
A. Previne que um leitor autorizado de um objeto possa

excluir o objeto
B. Impedir que um banco de dados seja acessado por

visitantes não autorizados
C. Restringir um sujeito em um nível de classificação mais

baixo de acessar dados em um nível de classificação mais
alto
D. Impedir que um aplicativo acesse o hardware diretamente


14. Qual é o objetivo principal da gestão de mudanças

(change management)?
A. Manutenção da documentação
B. Mantendo os usuários informados sobre as

alterações
C. Permitindo a reversão de alterações fracassadas
D. Impedindo comprometimento da segurança


15. Qual é o objetivo principal dos esquemas de classificação

de dados?
A. Controlar o acesso dos sujeitos autorizados aos objetos
B. Formalizar e estratificar o processo de proteção de dados

com base em rótulos atribuídos de importância e
sensibilidade
C. Estabelecer uma trilha da transação para auditar a

responsabilidade
D. Manipular controles de acesso para fornecer os meios

mais eficientes para conceder ou restringir a funcionalidade


16. Qual das alternativas a seguir normalmente

não é uma característica considerada quando
classificamos os dados?
A. Valor
B. Tamanho do objeto
C. Tempo útil de vida
D. Implicações na segurança nacional


17. Quais são os dois esquemas comuns de

classificação de dados?
A. Setor militar e privado
B. Pessoal e governo
C. Setor privado e setor irrestrito
D. Classificado e não classificado


18. Qual das alternativas a seguir é a mais baixa

classificação de dados militares para dados
classificados?
A. Sensível
B. Segredo
C. Proprietário
D. Privado

19. Qual classificação de dados do setor comercial

/ setor privado é usado para informações de
controle sobre indivíduos dentro a organização?
A. Confidencial
B. Privado
C. Sensível
D. Proprietário

20. A classificação dos dados é utilizada para

concentrar os controles de segurança em todos os
itens abaixo menos qual?
A. Armazenamento
B. Em processamento
C. Camadas (layering)
D. Transferência

Contratação de novos funcionários
Para planejar adequadamente a segurança, você

deve ter descrições de trabalho padronizadas,
classificação de trabalhos, tarefas de trabalho,
responsabilidades, prevenção de conluio, triagem
de candidatos, verificação de antecedentes,
autorizações de segurança, acordos de emprego e
acordos de não divulgação. Ao implantar esses
mecanismos, você garante que novos contratados
estejam cientes dos padrões de segurança
exigidos, protegendo os ativos da sua organização.
Separação de tarefas (separation of duties)
A separação de funções é o conceito de segurança

de dividir o trabalho crítico, significativo e tarefas
sensíveis entre vários indivíduos. Ao separar os
deveres dessa maneira, você garante que ninguém
possa comprometer a segurança do sistema.

Princípio do menor privilégio (least privilege)
O princípio de menor privilégio afirma que em um

ambiente seguro, os usuários devem receber a
quantidade mínima de acesso necessária para
concluir suas tarefas ou responsabilidades de
trabalho necessárias. Limitando o acesso do
usuário apenas aos itens necessários para concluir
seu trabalho e tarefas, você limita a
vulnerabilidade de informações confidenciais.

Rotação de trabalho e férias obrigatórias (job

rotation e mandatory vacations)
A rotação de tarefas tem duas funções. Fornece

um tipo de redundância de conhecimento e a
transferência de pessoal reduz o risco de fraude,
modificação de dados, roubo, sabotagem e mau
uso da informação. Férias obrigatórias de uma a
duas semanas são usadas para auditar e verificar
as tarefas e privilégios dos funcionários. Isso
freqüentemente resulta na fácil detecção de
abuso, fraude ou negligência.
Controles de fornecedores, consultores e

contratados
Os controles de fornecedor, consultor e contratado

são usados para definir os níveis de desempenho,
expectativa, compensação e consequências para
entidades, pessoas ou organizações externas ao
setor primário da organização. Geralmente esses
controles são definidos em um documento ou
políticas conhecidas como contrato de nível de
serviço (Service-level agreement - SLA).
Políticas de rescisão adequadas
Uma política de rescisão define o procedimento

para demitir funcionários. Deveria incluir itens
como sempre ter uma testemunha, desativar o
acesso à rede do funcionário e realização de uma
entrevista de saída. A política de rescisão deve
incluir também escolta de funcionário para fora
das instalações exigindo o retorno de tokens de
segurança e crachás de propriedade da empresa.

Governança da segurança de terceiros
Governança é o sistema de supervisão que pode

ser exigido por lei, regulamentos, padrões da
indústria ou requisitos de licenciamento.

Gerenciamento geral de riscos
Gerenciamento de riscos é o processo de

identificar os fatores que possam danificar ou
divulgar dados, avaliando esses fatores à luz do
valor dos dados, do custo das contramedidas, e
implementando soluções econômicas para mitigar
ou reduzir o risco. Ao executar o gerenciamento de
riscos, você estabelece a base para reduzir o risco
global.

Análise de risco
Análise de risco é o processo pelo qual a alta gerência

é informada com detalhes para tomar decisões sobre
quais riscos devem ser mitigados, quais devem ser
transferidos e aceitos.
Para avaliar completamente os riscos e,
posteriormente, tomar as devidas precauções, você
deve analisar o seguinte: ativos, avaliação de ativos,
ameaças, vulnerabilidade, exposição, risco, risco
realizado, salvaguardas, contramedidas, ataques e
violações.

Avaliar ameaças
As ameaças podem vir de inúmeras fontes,

incluindo TI, seres humanos e a natureza. A
avaliação de ameaças deve ser realizada como um
esforço da equipe para fornecer a mais ampla
gama de perspectivas. Ao avaliar completamente
os riscos de todos os ângulos, você reduz a
vulnerabilidade do seu sistema.

Análise quantitativa de riscos
Análise quantitativa de risco concentra-se em

valores e porcentagens rígidos. Uma análise de
risco completamente quantitativa não é possível
devido aos aspectos intangíveis do risco. O
processo envolve avaliação de ativos e
identificação de ameaças e, em seguida,
determinar a frequência potencial de ocorrência e
o dano resultante; o resultado é uma análise do
custo / benefício das salvaguardas.
Fator de exposição (EF)
O fator de exposição é um elemento da análise de

risco quantitativa que representa a porcentagem
de perda que uma organização experimenta se um
ativo específico foi violado por um risco realizado.
Calculando fatores de exposição, você pode
implementar uma sólida política de gerenciamento
de risco.

Expectativa de perda única (SLE)
Single loss expectancy - SLE é um elemento da

análise de riscos quantitativa que representa o
custo associado a um único risco realizado contra
um ativo específico. A fórmula é SLE = valor do
ativo (AV) * fator de exposição(EF)

Taxa de ocorrência anualizada (ARO)
ARO é um elemento da análise de risco

quantitativa que representa a expectativa de
frequência com que uma ameaça ou risco
específico ocorrerá (em outras palavras, risco
realizado) dentro de um único ano. Entender o
ARO permite calcular o risco e tomar as devidas
precauções.

Expectativa de perda anualizada (ALE)
ALE é um elemento da análise de risco quantitativa

que representa o possível custo anual de todas as
instâncias do desempenho de uma determinada
ameaça contra um ativo específico. A fórmula é
ALE = expectativa de perda única (SLE) * taxa de
ocorrência anualizada (ARO).

Avaliação de salvaguardas
Para determinar o custo anual de uma

salvaguarda, você deve calcular ALE para o ativo
para o caso da salvaguarda ser implementada. Use
a fórmula: ALE antes da salvaguarda - ALE após a
implementação da salvaguarda - custo anual da
salvaguarda = valor da salvaguarda para a
empresa, ou (ALE1 - ALE2) - ACS.

Análise de riscos qualitativa
A análise qualitativa dos riscos é baseada mais em

cenários do que em cálculos. Os números exatos
em moeda corrente não são atribuídos a possíveis
perdas; em vez disso, as ameaças são classificadas
em uma escala para avaliar seus riscos, custos e
efeitos. Essa análise ajuda os responsáveis a criar
políticas adequadas de gerenciamento de riscos.

Técnica Delphi
A técnica Delphi é simplesmente um processo

anônimo de feedback e resposta usado para
chegar a um consenso. Esse consenso dá às partes
responsáveis a oportunidade de avaliar
adequadamente os riscos e implementar soluções.

Opções para lidar com riscos
Reduzindo o risco, ou mitigação do risco, é a

implementação de salvaguardas e contramedidas.
Atribuir risco ou transferir um risco coloca o custo da
perda para outra entidade ou organização. Compra de
seguro é uma forma de atribuir ou transferir riscos.
Aceitar riscos significa que a administração avaliou a
análise de custo / benefício de possíveis salvaguardas
e determinou que o custo da contramedida supera em
muito o possível custo de perda devido a um risco.
Também significa que a administração concordou em
aceitar as conseqüências e as perdas se o risco for
realizado.

Risco total, residual e a lacuna de controle
Risco total é a quantidade de risco que uma

organização enfrentaria se não fossem implementadas
salvaguardas. Para calcular o risco total, use esta
fórmula conceitual: Risco total = ameaças *
vulnerabilidades * valor do ativo. O risco residual é o
risco que a gerência optou por aceitar em vez de
mitigar. A diferença entre o risco total e o risco
residual é a lacuna de controle que é a quantidade de
risco reduzida pela implementação das proteções.
Para calcular o risco residual, use a seguinte fórmula:
Risco residual = risco total - gap de controle.
Entenda os tipos de controle.
O termo controle refere-se a uma ampla gama de

controles que executam tarefas como garantir que
apenas usuários autorizados podem fazer logon e
impedir que usuários não autorizados acessem os
recursos. Os tipos de controle incluem preventivo,
detetivo, corretivo, dissuasor, recuperação, diretivo
e compensação. Os controles também podem ser
categorizados pela maneira como são
implementados: administrativo, lógico ou físico.
Treinamento em conscientização e educação
Antes que o treinamento real possa ocorrer, a

conscientização sobre a segurança como uma entidade
reconhecida deve ser criada para os usuários. Uma vez que
isso é realizado, podemos começar a treinar ou ensinar os
funcionários a executar seu trabalho e tarefas para cumprir
com a política de segurança. Novos os funcionários precisam
de algum nível de treinamento para poderem cumprir com
todas as normas, diretrizes e procedimentos exigidos pela
política de segurança. A educação é um esforço mais
detalhado em que alunos / usuários aprendem muito mais
do que realmente precisam saber para executar suas tarefas
de trabalho. A educação é mais frequentemente associada a
usuários buscando certificação ou buscando promoção no
emprego.

Gerenciar a função da segurança
Uma organização deve implementar suficiente

governança da segurança para gerenciar a função
da segurança . O ato de realizar uma avaliação de
risco para conduzir a política de segurança é o
exemplo mais claro e direto de gerenciamento da
função de segurança. Isso também se refere ao
orçamento, métricas, recursos, estratégias de
segurança da informação e avaliação da
integridade e eficácia do programa de segurança.
As seis etapas da estrutura de gerenciamento de

riscos
As seis etapas da estrutura de gerenciamento de

riscos são:
Categorizar,
Selecionar,
Implemente,
avalie,
autorize e monitore.

D1-RISCOS
SIMULADO-2

1. Qual das alternativas a seguir é o elemento mais

fraco de qualquer solução de segurança?
A. Programas de software
B. Conexões com a Internet
C. Políticas de segurança
D. Humanos

2. Ao procurar contratar novos funcionários, qual é

o primeiro passo?
A. Criar uma descrição do trabalho.
B. Definir a classificação da posição.
C. Verificar dados do candidato.
D. Solicitação de currículos.

3. Qual das alternativas a seguir é o principal objetivo

de uma entrevista de saída?
A. Devolver os pertences pessoais do funcionário que

está saindo
B. Revisar o contrato de confidencialidade
C. Avaliar o desempenho do funcionário que está

saindo
D. Cancelar as contas de acesso à rede do funcionário

que está saindo

4. Quando um funcionário está para ser demitidos, qual das

seguintes opções devemos realizar?
A. Informe o funcionário algumas horas antes de ele ser

oficialmente demitido.
B. Desabilite o acesso à rede do funcionário assim que ele

for informado da rescisão.
C. Envie um email informando a todos que um funcionário

específico será demitido.
D. Espere até você e o funcionário serem as únicas pessoas

remanescentes no prédio antes de anunciar a rescisão.


5. Se uma organização contrata entidades externas

para fornecer funções ou serviços de negócios
importantes, como contas ou suporte técnico, qual é o
processo para garantir que estas entidades apoiem e
suportem de forma suficiente a segurança?
A. Identificação de ativos
B. Governança de terceiros
C. Entrevista de saída
D. Análise qualitativa

6. Uma parte do __________________ é a investigação lógica e

prática dos processos de negócios e políticas organizacionais.
Essa análise de processo / política garante que as tarefas,
sistemas e metodologias de negócios declarados e
implementados sejam práticos, eficientes e econômicos, mas
acima de tudo (pelo menos em relação à governança de
segurança), eles suportem a segurança por meio da redução de
vulnerabilidades bem como evitar, reduzir ou mitigar riscos.
A. Avaliação híbrida
B. Processo de aversão ao risco
C. Seleção de contramedidas
D. Revisão da documentação


7. Qual das seguintes afirmações não é verdade?
A. Segurança de TI pode fornecer proteção apenas contra

ataques lógicos ou técnicos.
B. O processo pelo qual os objetivos do gerenciamento de

riscos são alcançados é conhecido como análise de risco.
C. Os riscos para uma infraestrutura de TI são todos

baseados em computador.
D. Um ativo é qualquer coisa usada em um processo ou

tarefa de negócios.


8. Qual das seguintes opções não é um elemento do

processo de análise de risco?
A. Análise do meio ambiente em busca de riscos
B. Criação de um relatório de custo / benefício para

apresentar as salvaguardas aos superiores da gestão
C. Selecionando salvaguardas apropriadas e implementando-

as
D. Avaliar cada evento de ameaça quanto à probabilidade de

ocorrência e custo do dano resultante


9. Qual das seguintes opções geralmente não deve

ser considerada como um dos ativos da análise de
risco ?
A. Um processo de desenvolvimento
B. A infraestrutura de TI
C. Um recurso de um sistema proprietário
D. Arquivos pessoais dos usuários


10. Qual das alternativas a seguir representa uma

exploração acidental ou intencional de
vulnerabilidades?
A. Eventos de ameaça
B. Riscos
C. Agentes da ameaça
D. Violações

11. Quando uma salvaguarda ou contramedida não

está presente ou não é suficiente, o que
permanece?
A. Vulnerabilidade
B. Exposição
C. Risco
D. Penetração

12. Qual dos seguintes não é uma definição válida

para risco?
A. Uma avaliação de probabilidade, possibilidade ou

chance
B. Tudo o que remove uma vulnerabilidade ou protege

contra um ou mais ameaças específicas
C. Risco = ameaça * vulnerabilidade
D. Toda instância de exposição


13. Ao avaliar salvaguardas, qual é a regra que deve ser

seguida na maioria dos casos?
A. O custo anual esperado da perda de ativos não deve

exceder o custo anual das proteções.
B. Os custos anuais das salvaguardas devem ser iguais ao

valor dos ativos.
C. Os custos anuais de salvaguardas não devem exceder o

custo anual da perda de ativos esperado.
D. Os custos anuais de salvaguardas não devem exceder 10%

do a orçamento de segurança.


14. Como é calculada a expectativa de perda única

(SLE) ?
A. Ameaça + vulnerabilidade
B. Valor do ativo ($) * fator de exposição
C. Taxa anualizada de ocorrência * vulnerabilidade
D. Taxa anualizada de ocorrência * valor do ativo *

fator de exposição

15. Como é calculado o valor de uma salvaguarda para

uma empresa?
A. ALE antes da salvaguarda - ALE após a

implementação da salvaguarda – custo anual da
salvaguarda [(ALE1 – ALE2) – ACS]
B. ALE antes da salvaguarda * ARO da salvaguarda
C. ALE após a implementação da salvaguarda + custo

anual da salvaguarda - controles Gap = Gap
D. Risco total - lacuna de controle


16. Qual controle de segurança está diretamente

focado na prevenção de conluio?
A. Princípio do menor privilégio
B. Descrição do trabalho
C. Separação de funcões
D. Análise de risco qualitativa


17. Qual processo ou evento é normalmente

patrocinado por uma organização e é direcionado para
grupos de funcionários com funções similares?
A. Educação
B. Conscientização
C. Treinamento
D. Terminação


18. Qual dos seguintes não é especificamente ou

diretamente relacionado ao gerenciamento da função
de segurança de uma organização?
A. Satisfação do trabalhador
B. Métricas
C. Estratégias de segurança da informação
D. Orçamento


19. Ao executar uma análise de risco, você identifica

uma ameaça de incêndio e uma vulnerabilidade
porque não há extintores de incêndio. Com base
nessas informações, qual dos seguintes é um risco
possível?
A. Vírus infecção
B. Danificar equipamentos
C. Mal funcionamento do sistema
D. Acesso não autorizado a informações confidenciais


20. Você realizou uma análise quantitativa básica dos

riscos em uma relação específica de ameaça /
vulnerabilidade / risco. Você seleciona uma possível
contramedida. Ao executar os cálculos novamente,
qual dos seguintes fatores será alterado?
A. Fator de exposição
B. Expectativa de perda única (SLE)
C. Valor patrimonial
D. Taxa anualizada de ocorrência


Emergências imprevisíveis - Cada organização dependente

de recursos tecnológicos para sua sobrevivência deve ter um
plano abrangente de continuidade de negócios para garantir
a viabilidade sustentada da organização quando ocorrerem
emergências imprevistas.
Escopo e planejamento – Há vários conceitos importantes

subjacentes às práticas sólidas de planejamento de
continuidade de negócios, incluindo escopo e planejamento
do projeto, avaliação de impacto nos negócios,
planejamento da continuidade, aprovação e implementação.
Retôrno às operações normais - Cada organização deve ter

planos e procedimentos para ajudar a mitigar os efeitos que
um desastre tem sobre operações contínuas e acelerar o
retorno às operações normais.
BIA - Para determinar os riscos que seus negócios enfrentam e que exigem
mitigação, você deve trabalhar com uma equipe multifuncional para
conduzir uma avaliação de impacto nos negócios dos pontos de vista
quantitativo e qualitativo.
Prioridade de identificação - A parte quantitativa da identificação

prioritária deve atribuir valores aos ativos em unidades monetárias.
A expectativa de perda anualizada (ALE) representa a quantia de dinheiro
que uma empresa espera perder para um determinado risco a cada ano.
Esta figura é bastante útil ao realizar uma avaliação quantitativa e
priorização da alocação de recursos de continuidade do negócio.
Estratégia de continuidade - Você deve tomar as medidas apropriadas no

desenvolvimento de uma estratégia de continuidade para sua organização
e saber o que fazer para enfrentar futuros desastres.

Efetivamente comunicado - Finalmente, você deve criar a documentação

necessária para garantir que o seu plano será efetivamente comunicado
aos presentes e futuros participantes da equipe BCP.
Tal documentação deve incluir as diretrizes de continuidade do
planejamento.
Afirmações de importância - O plano de continuidade de negócios

também deve conter declarações de importância, prioridades,
responsabilidade organizacional, urgência e cronometragem.
Documentação - A documentação deve incluir:

Planos de avaliação de risco,
Aceitação e mitigação;
Um programa de registros vitais;
Diretrizes para resposta a emergências;
Planos de manutenção e teste.

Quatro etapas do processo de planejamento do BC
O planejamento de continuidade do negócio envolve quatro fases

distintas:
1-Projeto escopo e planejamento,
2-Avaliação de impacto nos negócios - O tempo de inatividade máximo

tolerável (MTD) representa o período mais longo que uma função
comercial pode estar indisponível antes de causar prejuízos irreparáveis
aos negócios. MTD é útil para determinar o nível de recursos de
continuidade de negócios a serem atribuidos para cada função em
particular,
3-Planejamento da continuidade,
4-Aprovação e implementação.

Cada tarefa contribui para o objetivo geral de garantir

que as operações de negócios continuem ininterruptas
diante de uma situação de emergência.
Durante a fase de planejamento, a utilização mais

significativa dos recursos será o tempo dedicado pelos
membros da equipe BCP para o processo de
planejamento.
Isso representa um uso significativo dos recursos de

negócios e é outro motivo para a adesão de executivos
seniores.
Gestão é essencial.
Realizar a análise da organização do negócio
Na análise da organização empresarial, os

indivíduos responsáveis por liderar o processo BCP
devem determinar quais departamentos e
indivíduos têm uma participação no plano de
continuidade de negócios.
Esta análise é usada como base para a seleção da

equipe BCP e, após validação pela equipe do BCP, é
usada para orientar os próximos estágios do
desenvolvimento do BCP.
A análise da organização comercial ajuda os

planejadores iniciais a selecionar os membros da
equipe BCP e, em seguida, orienta o processo BCP.
A primeira tarefa da equipe do BCP deve ser a revisão

e validação da análise da organização empresarial
inicialmente realizada pelos indivíduos responsáveis
pela liderança do esforço do BCP.
Isto garante que o esforço inicial, realizado por um

pequeno grupo de indivíduos, reflita as crenças de
toda a equipe do BCP.

Membros da equipe de planejamento de continuidade
A equipe do BCP deve conter, no mínimo representantes de

cada:
Departamentos operacional e de suporte;

Especialistas técnicos do departamento de TI;
Pessoal de segurança física e de TI com habilidades em BCP;
Representantes legais familiarizados com responsabilidades
legais, regulatórias e contratuais corporativas;
Representantes da gerência sênior.
Membros adiconais à equipe vai depender da estrutura e

natureza da organização.

Requisitos legais e regulatórios
Líderes do negócio devem exercer a devida diligência para garantir que os

interesses dos acionistas estejam protegidos caso ocorra um evento de
desastre.
A alta gestão e diretores da empresa estão legalmente obrigados a exercer

a devida diligência na condução de suas atividades. Este conceito cria uma
responsabilidade fiduciária para garantir que planos adequados de
continuidade estão em vigor.
Algumas indústrias também estão sujeitas a, regulamentos locais que

exigem procediemntos de BCP.
Muitas empresas também têm obrigações contratuais com seus clientes

que devem ser cumpridos antes e depois de um desastre.

Passos do processo de avaliação do impacto nos

negócios
As cinco etapas do processo de avaliação do impacto

nos negócios são:
1-Identificação das prioridades - A parte quantitativa

da identificação prioritária deve atribuir valores aos
ativos em unidades monetárias,
2-Identificação dos riscos,
3-Avaliação das probabilidades,
4-Avaliação de impacto,
5-Priorização de recursos.
Processo usado para desenvolver uma estratégia de

continuidade
Durante a fase de desenvolvimento da estratégia, a equipe

BCP determina quais riscos serão atenuados.
Na fase de provisões e processos, são desenhados

mecanismos e procedimentos que mitigarão os riscos.
O plano deve ser aprovado pela gerência sênior (senior

management) e implementado.
O pessoal também deve receber treinamento sobre seus

papéis no processo BCP.

Documentando o BCP da organização
O compromisso em escrever o plano fornece à

organização um registro escrito dos procedimentos
a seguir quando ocorrer um desastre.
Isto impede o "está em minha cabeça” e garanto o

progresso ordenado dos eventos em uma
emergência.

D1-RISCOS
SIMULADO-3

1. Qual é o primeiro passo que os indivíduos

responsáveis pelo desenvolvimento de um plano de
continuidade de negócios deve executar?
A. Seleção de uma equipe de BCP
B. Análise da organização do negócio
C. Análise da necessidade de recursos
D. Avaliação legal e regulatória


2. Uma vez a equipe BCP for selecionada, qual

deve ser o primeiro item colocado na agenda da
equipe?
A. Avaliação do impacto no negócio
B. Análise da organização do negócio
C. Análise de requisitos de recursos
D. Avaliação legal e regulatória


3. Qual é o termo usado para descrever a

responsabilidade dos diretores da empresa para
garantir que medidas adequadas sejam implantadas
minimizando o efeito de um desastre de continuidade
na organização?
A. Responsabilidade corporativa
B. Requisitos do desastre
C. Devida diligência (due diligence)
D. Preocupação com a responsabilidade do cargo


4. Qual será o principal recurso consumido pelo

processo BCP durante o estágio de planejamento?
A. Hardware
B. Programas
C. Tempo de processamento
D. Pessoal

5. Que unidade de medida deve ser usada para

atribuir aos ativos valores quantitativos na fase de
identificação prioritária da análise de impacto no
negócio?
A. Monetário
B. Utilitário
C. Importância
D. Tempo

6. Qual dos seguintes termos da BIA identifica a

quantidade de dinheiro que uma empresa espera
perder para um determinado risco a cada ano?
A. ARO
B. SLE
C. ALE
D. EF

7. Qual métrica da BIA pode ser usada para expressar

o prazo máximo que uma função de negócio pode
estar indisponível sem causar danos irreparáveis para
a organização?
A. SLE
B. EF
C. MTD
D. ARO

8. Você está preocupado com o risco que uma avalanche representa para
sua instalação de transporte de $ 3 milhões.
Especialistas determinam que há 5% de chance de uma avalanche
acontecer a cada ano.
Especialistas dizem que uma avalanche pode destruir completamente o
prédio e exigir que você o reconstrua no mesmo terreno.
Noventa por cento do valor de US $ 3 milhões da instalação é atribuído ao
edifício, e 10% são atribuídos ao terreno.
Qual é a expectativa de perda única de sua instalação para avalanches?
A. $ 3.000.000
B. $ 2.700.000
C. $ 270.000
D. $135.000


9. Referindo-se ao cenário da questão 8, qual é a

expectativa de perda anualizada?
A. $ 3.000.000
B. $ 2.700.000
C. $ 270.000
D. $135.000

10. Você está preocupado com o risco que um furacão representa

para sua empresa sede no sul da Flórida. O edifício vale $15
milhões. Após consulta ao Serviço Meteorológico Nacional, você
determina que há 10% de probabilidade de um furacão atacar ao
longo de um ano. Você contratou uma equipe de arquitetos e
engenheiros que determinaram que o furacão médio destruiria
aproximadamente 50% do edifício.
Qual é a expectativa de perda anualizada (ALE)?
A. $ 750.000
B. $ 1,5 milhões
C. $ 7,5 milhões
D. $ 15 milhões

11. Qual tarefa do BCP faz a ponte entre a avaliação do

impacto nos negócios e as fases de planejamento da
continuidade?
A. Priorização de recurso
B. Avaliação da probabilidade
C. Desenvolvimento da estratégia
D. Provisões e processos


12. Qual recurso você deve proteger primeiro ao

projetar disposições e processos do plano de
continuidade?
A. Planta física
B. Infraestrutura
C. Recursos financeiros
D. Pessoas

13. Qual das seguintes preocupações não é

adequada para medição quantitativa durante a
avaliação de impacto nos negócios?
A. Perda de uma planta
B. Danos a um veículo
C. Publicidade negativa
D. Interrupção de energia

14. ACME espera perder US$ 10 milhões se um

furacão atingir suas instalações de operações de
aeronaves. A expectativa é que um tornado possa
atingir a instalação uma vez a cada 100 anos. Qual a
expectativa de perda simples para esse cenário?
A. 0,01
B. $ 10.000.000
C. $ 100.000
D. 0,10

15.
Referindo-se ao cenário da questão 14, qual é a
expectativa de perda anualizada?
A. 0,01
B. $ 10.000.000
C. $ 100.000
D. 0,10

16. Em qual tarefa do planejamento de continuidade

de negócios você realmente projetaria procedimentos
e mecanismos para mitigar riscos considerados
inaceitáveis pela equipe do BCP?
A. Desenvolvimento de estratégia
B. Avaliação de impacto empresarial
C. Provisões e processos
D. Priorização de recursos

17. Que tipo de mitigação é utilizada quando são

instalados links redudantes de comunicação?
A. Hardening de sistemas
B. Definindo sistemas
C. Reduzindo sistemas
D. Sistemas alternativos

18. Que tipo de plano aborda os controles técnicos

associados a instalações alternativas de
processamento, backups e tolerância a falhas?
A. Plano de continuidade de negócios
B. Avaliação de impacto empresarial
C. Plano de recuperação de desastres
D. Avaliação de vulnerabilidade


19. Qual é a fórmula usada para calcular a

expectativa de perda única para um cenário de
risco?
A. SLE = AV × EF
B. SLE = RO × EF
C. SLE = AV × ARO
D. SLE = EF × ARO

20. Dos indivíduos listados, quem forneceria o melhor

endosso para a declaração de importância de um
plano de continuidade de negócios?
A. Vice-presidente de operações comerciais
B. CIO – Chief Information Officer
C. CEO – Chief Executive Officer
D. Gerente de continuidade de negócios


Segurança computacional implica necessariamente num alto grau de

envolvimento da comunidade jurídica.
Este capítulo fala sobre leis que governam as questões de segurança, como crime
de computador, propriedade intelectual, privacidade de dados e licenciamento de
software.
Existem três categorias principais de leis que impactam profissionais de

segurança da informação.
Direito Criminal descreve as regras e sanções para violações graves da confiança

do público.
Direito Civil fornece uma estrutura para realizar negócios.
Direito Administrativo é utilizado por agências governamentais para promulgar os
regulamentos do dia-a-dia que interpretam a lei existente.

Leis que regem as atividades de segurança da informação são

diversas e envolvem as três categorias.
A Lei de Privacidade das Comunicações Eletrônicas e o Digital

Millennium lei de direitos autorais, são leis criminais em que
violações podem resultar em multas e/ou tempo de prisão.
Outras, como leis de marcas e patentes, são leis civis leis que
governam as transações comerciais. Finalmente, muitas agências
governamentais promulgam leis administrativas, como o HIPAA,
que afeta setores e tipos de dados específicos.
Profissionais de segurança da informação devem estar cientes

dos requisitos de conformidade específicos para suas atividades
industriais e comerciais.

Rastreamento desses requisitos é uma tarefa complexa e deve

ser atribuída a um ou mais especialistas em conformidade que
monitoram mudanças na lei, mudanças no ambiente de negócios
e na intersecção dos dois.
Também não é suficiente simplesmente se preocupar com sua

própria segurança e conformidade.
Com a maior adoção da computação em nuvem, muitas

organizações agora compartilham dados confidenciais e pessoais
com fornecedores que atuam como prestadores de serviços.
Profissionais de segurança devem tomar medidas para garantir

que os fornecedores tratem os dados com tanto cuidado quanto
a própria organização e também atender a quaisquer requisitos
de conformidade aplicáveis.

Diferenças entre direito penal, direito civil e direito administrativo
O direito penal protege a sociedade contra atos que violam os

princípios básicos em que acreditamos. Violações do direito penal são
processadas pelos governos federal e estadual.
O direito civil fornece o marco para a transação de negócios entre

pessoas e organizações. As violações do direito civil são levadas ao
tribunal e argumentadas pelas duas partes afetadas.
A lei administrativa é usada por agências governamentais para

efetivamente realizar o seu dia-a-dia dos negócios.

Leis projetadas contra crimes de computador
Computer Fraud and Abuse Act protege

computadores usados pelo governo ou no
comércio interestadual de uma variedade de
abusos.
The Electronic Communications Privacy Act (ECPA)

torna um crime invadir a privacidade eletrônica de
um indivíduo.

Diferenças entre direitos autorais, marcas registradas,

patentes e segredos comerciais
Os direitos autorais (Copyrights) protegem obras originais de

autoria, como livros, artigos, poemas e canções.
Marcas comerciais (Trademarks) são nomes, slogans e

logotipos que identificam uma empresa, produto ou serviço.
Patentes fornecem proteção aos criadores de novas

invenções.
A lei secreta (Trade secret law) do comércio protege os

segredos operacionais de uma empresa.

Disposições básicas do Digital Millennium

Copyright Act of 1998
O Digital Copyright do milênio proíbe a desativação

dos mecanismos de proteção contra cópia
colocados nas mídias digitais bem como limita a
responsabilidade dos fornecedores de serviços de
internet em relação às atividades de seus
usuários.

Disposições básicas do Economic Espionage Act of

1996
Esta lei prevê penalidades para indivíduos

considerados culpados pelo roubo de segredos
comerciais (trade secrets).
As penalidades são mais rígidas quando se aplicam

a um indivíduo que sabe que a informação
beneficiará um govêrno estrangeiro.

Contratos de licença de software
São contratos escritos entre um fornecedor de

software e o usuário.
Os contratos Shrink-wrap são escritos na embalagem

do software e fazem efeito quando um usuário abre o
pacote.
Os contratos click-wrap estão incluídos em um pacote,

mas exigem que o usuário aceite os termos durante o
processo de instalação do software.
Violação de dados - California’s SB 1386
O SB 1386 da Califórnia implementou o primeiro

requisito estadual para notificar os indivíduos de uma
violação de suas informações pessoais.
Todos, exceto três estados, eventualmente seguiram o

exemplo com leis semelhantes.
Atualmente, a lei federal só exige a notificação de

indivíduos quando uma entidade coberta de HIPAA
viola suas informações de saúde protegidas.
Privacidade nos Estados Unidos e na União Europeia
Os Estados Unidos têm uma série de leis de

privacidade que afetam o uso de informações pelo
governo, bem como o uso de informações por
indústrias específicas, como empresas de serviços
financeiros e organizações de saúde que lidam com
informações confidenciais.
A UE tem um regulamento geral de proteção de dados

(GDPR) mais abrangente que rege o uso e a troca de
informações pessoais.

Programa de conformidade
A maioria das organizações está sujeita a uma

ampla variedade de requisitos legais e regulatórios
relacionados à segurança da informação.
A construção de um programa de conformidade

garante que você se torne e permaneça em
conformidade com esses requisitos muitas vezes
sobrepostos.

Segurança em aquisição e governança de

fornecedores
O uso expandido de serviços em nuvem por muitas

organizações requer mais atenção à realização de
revisões dos controles de segurança da informação
durante o processo de seleção de fornecedores e
como parte da governança contínua dos
fornecedores.

D1-RISCOS
SIMULADO-4

1. Qual lei penal foi a primeira a implementar

penalidades para os criadores de vírus, worms e
outros tipos de código malicioso que causam
danos aos sistemas de computador?
A. Computer Security Act
B. National Infrastructure Protection Act
C. Computer Fraud and Abuse Act
D. Electronic Communications Privacy Act


2. Qual lei rege as operações de segurança da

informação em agências federais?
A. FISMA
B. FERPA
C. CFAA
D. ECPA

3. Que tipo de lei não exige que um ato do Congresso

seja implementado no âmbito federal, mas sim
promulgado pelo Poder Executivo sob a forma de
regulamentos, políticas e procedimentos?
A. Direito penal
B. Direito comum
C. Direito civil
D. Direito administrativo

4. Qual agência do governo federal é responsável por

garantir a segurança de sistemas de computador do
governo que não são usados para processar
informação sensível e / ou classificada?
A. Agencia de Segurança Nacional (NSA)
B. Departamento Federal de Investigação (FBI)
C. Instituto Nacional de Padrões e Tecnologia (NIST)
D. Serviço secreto

5. Qual é a categoria mais ampla de sistemas de

computador protegidos pela Lei de Fraude e Abuso
de Computadores?
A. Sistemas de propriedade do governo
B. Sistemas de interesse federal
C. Sistemas usados no comércio interestadual
D. Sistemas localizados nos Estados Unidos


6. Que lei protege o direito dos cidadãos à

privacidade, colocando restrições à autoridade
concedida às agências governamentais para procurar
residências e instalações privadas?
A. Ato de Privacidade
B. Quarta Emenda
C. Segunda Emenda
D. Lei Gramm-Leach-Bliley

7. Lugui recentemente foi autor de um algoritmo inovador para

resolver um problema matemático, e ele quer compartilhá-lo
com o mundo.
No entanto, antes de publicar o código de software em uma
revista técnica, ele quer obter algum tipo de proteção à
propriedade intelectual.
Que tipo de proteção é mais adequada às necessidades dele?
A. Copyright
B. Trademark
C. Patent
D. Trade secret


8. Vilma é co-fundadora da Acme, uma empresa fabricante de

lubrificantes. Juntamente com seu parceiro, Lugui, ela desenvolveu um
óleo especial que melhorará drasticamente o processo de fabricação. Para
manter a fórmula em segredo, Vilma e Lugui planejam fazer grandes
quantidades do óleo sozinhos na fábrica depois que os outros
trabalhadores partirem. Eles querem proteger esta fórmula pelo maior
tempo possível. Que tipo de proteção à propriedade intelectual melhor se
adequa às suas necessidades?
A. Copyright
B. Trade mark
C. Patent
D. Trade secret


9. Diego recentemente desenvolveu um grande nome para um

novo produto que ele planeja começar a usar imediatamente. Ele
falou com seu advogado e apresentou o pedido apropriado para
proteger seu nome de produto, mas ainda não recebeu uma
resposta do governo sobre sua aplicação. Ele quer começar a usar
o nome imediatamente. Que símbolo ele deve usar ao lado do
nome para indicar seu status protegido?
A. ©
B. ®
C. ™
D. †


10. Que lei impede as agências governamentais de

divulgar informações pessoais que um indivíduo
fornece ao governo em circunstâncias protegidas?
A. Privacy Act
B. Electronic Communications Privacy Act
C. Health Insurance Portability and Accountability Act
D. Gramm-Leach-Bliley Act


11. Que framework permite que as empresas dos

EUA certifiquem a conformidade com as leis de
privacidade da EU (União Européia)?
A. COBiT
B. Privacy Shield
C. Privacy Lock
D. EuroLock

12. A Children’s Online Privacy Protection Act (COPPA) foi

projetada para proteger a privacidade das crianças que usam
a internet. Qual é a idade mínima que uma criança deve ter
antes que as empresas possam coletar informações pessoais
de identificação delas sem o consentimento dos pais?
A. 13
B. 14
C. 15
D. 16


13. Qual dos seguintes não é uma exigência que os provedores de serviços
de Internet devem satisfazer para obter proteção sob a cláusula de
"atividades transitórias" da Lei de Direitos Autorais do Milênio Digital
(Digital Millennium Copyright Act)?
A. O provedor de serviços e o originador da mensagem devem estar

localizados em diferentes estados.
B. A transmissão, roteamento, fornecimento de conexões ou cópia deve

ser realizada por um processo técnico automatizado sem seleção de
material pelo prestador de serviços.
C. Quaisquer cópias intermediárias não devem ser normalmente acessíveis

a ninguém além dos destinatários e não devem ser retidas por mais tempo
do que razoavelmente necessário.
D. A transmissão deve ser originada por outra pessoa que não seja o
provedor.


14. Qual das seguintes leis não foi projetada para

proteger os direitos de privacidade dos consumidores
e dos usuários da internet?
A. Health Insurance Portability and Accountability Act
B. Identity Theft Assumption and Deterrence Act
C. USA PATRIOT Act
D. Gramm-Leach-Bliley Act


15. Qual dos seguintes tipos de contratos de

licenciamento não exige que o usuário reconheça que
leu o acordo antes de executá-lo?
A. Acordo de licenciamento padrão
B. Shrink-wrap agreement
C. Click-wrap agreement
D. Acordo verbal


16. Que indústria é mais diretamente impactada

pelas disposições do Gramm-Leach-Bliley Act?
A. Healthcare
B. Banking
C. Law enforcement
D. Defense contractors

17. Qual é a duração padrão da proteção de patentes

nos Estados Unidos?
A. 14 anos a partir da data de solicitação
B. 14 anos a partir da data em que a patente é

concedida
C. 20 anos a partir da data de solicitação
D. 20 anos a partir da data em que a patente é

concedida

18. Qual das seguintes leis da EU é abrangente e

rege a privacidade de dados aprovada em 2016
mas que entrou em vigor em 2018?
A. DPD
B. GLBA
C. GDPR
D. SOX

19. Qual a obrigação de conformidade relacionada

ao processamento de informações de cartão de
crédito?
A. SOX
B. HIPAA
C. PCI DSS
D. FERPA

20. Que ato atualizou os requisitos de privacidade

e segurança do Health Insurance Portability and
Accountability Act (HIPAA)?
A. HITECH
B. CALEA
C. CFAA
D. CCCA

DOMÍNIO 2
SEGURANÇA DOS ATIVOS

A segurança patrimonial se concentra na coleta, manuseio e proteção de informações ao

longo de seu ciclo de vida.
Isso inclui informações confidenciais armazenadas ou processadas em sistemas de

computação ou transferidas por uma rede e os ativos utilizados nesses processos.
Informações confidenciais são qualquer informação que uma organização mantém privada
e pode incluir vários níveis de classificações.
Um passo fundamental nesse processo é definir rótulos de classificação em uma política

de segurança ou política de dados.
Os governos usam rótulos como ultra secretos, secretos, confidenciais e não classificados.
As organizações não governamentais podem usar qualquer rótulo que escolherem. A

chave é que eles definem os rótulos em uma política de segurança ou uma política de
dados. Os proprietários de dados (normalmente pessoal de gerenciamento sênior)
fornecem as definições de dados.

As organizações tomam medidas específicas para marcar, manusear, armazenar e destruir dados
confidenciais e ativos de hardware, e essas medidas ajudam a evitar a perda de confidencialidade devido à
divulgação não autorizada.
Além disso, as organizações geralmente definem regras específicas para retenção de registros para garantir
que os dados estão disponíveis quando necessário.
As políticas de retenção de dados também reduzem o passivo resultante da manutenção dos dados por
muito tempo.
Um método-chave para proteger a confidencialidade dos dados é com a criptografia. Protocolos de

criptografia simétricos (como a AES) podem criptografar dados em repouso (armazenados na mídia). Os
protocolos de criptografia de transporte protegem os dados em trânsito criptografando-os antes de
transmiti-lo (dados em trânsito).
Os aplicativos protegem os dados em uso, garantindo que eles sejam mantidos apenas em buffers de
armazenamento temporários, e esses buffers são limpos quando o aplicativo não está mais usando os dados.
O pessoal pode cumprir muitas funções diferentes ao lidar com dados. Os proprietários de dados são, em
última análise, responsáveis por classificar, rotular e proteger dados. Os proprietários do sistema são
responsáveis pelos sistemas que processam os dados. Os proprietários de empresas e missões são donos dos
processos e garantem que os sistemas forneçam valor à organização. Os processadores de dados são muitas
vezes entidades de terceiros que processam dados para uma organização.

Os administradores concedem acesso aos dados com base nas diretrizes fornecidas pelos
proprietários de dados. A um custodiante é delegado no dia-a-dia responsabilidades por
armazenar e proteger adequadamente os dados. Um usuário (muitas vezes chamado de
usuário final) acessa dados em um sistema.
O Regulamento Geral de Proteção de Dados (GDPR) da UE determina a proteção de dados

de privacidade e restringe a transferência de dados para dentro ou fora da UE. Um
controlador de dados pode contratar um terceiro para processar dados, e neste contexto,
o terceiro é o processador de dados. Os processadores de dados têm a responsabilidade
de proteger a privacidade dos dados e não usá-los para qualquer outro propósito que não
seja dirigido pelo controlador de dados.
Dois dos principais controles de segurança mencionados no GDPR são criptografia e

pseudônimo. Pseudônimo refere-se à substituição de dados por pseudônimos. As linhas de
base de segurança fornecem um conjunto de controles de segurança que uma organização
pode implementar como um ponto de partida seguro. Algumas publicações (como NIST SP
800-53) identificam linhas de base de controle de segurança. No entanto, essas linhas de
base não se aplicam igualmente a todas as organizações. Em vez disso, as organizações
usam técnicas de escopo e adaptação para identificar os controles de segurança para
implementar em suas linhas de base. Além disso, as organizações garantem que
implementem controles de segurança exigidos por padrões externos que se aplicam à sua
organização.

Classificações de dados e ativos
Os proprietários de dados são responsáveis por definir

classificações de dados e ativos e garantir que os dados e
sistemas sejam devidamente marcados.
Além disso, os proprietários de dados definem requisitos

para proteger os dados em diferentes classificações, como
criptografar dados confidenciais em repouso e em trânsito.
As classificações de dados são tipicamente definidas em

políticas de segurança ou políticas de dados.

PII e PHI
Informações pessoalmente identificáveis (PII) são

qualquer informação que possa identificar um
indivíduo.
As informações de saúde protegidas (PHI) são

quaisquer informações relacionadas à saúde que
possam estar relacionadas a uma pessoa específica.
Muitas leis e regulamentos determinam a proteção do

PII e PHI.

Gerenciar informações confidenciais
Informações confidenciais são qualquer tipo de informação

classificada, e o gerenciamento adequado ajuda a evitar a
divulgação não autorizada, resultando em perda de
confidencialidade.
O gerenciamento adequado inclui marcar, manusear,

armazenar e destruir informações confidenciais.
As duas áreas onde as organizações geralmente perdem a

marcação envolve as mídias de backup ou higienizadas e os
equipamentos no final de seu ciclo de vida.

Retenção de registros
As políticas de retenção de registros garantem que os dados sejam

mantidos em um estado utilizável enquanto são necessários e destruídos
quando não são mais necessários.
Muitas leis e regulamentos determinam a manutenção dos dados por um

período específico de tempo, mas na ausência de regulamentos formais,
as organizações especificam o período de retenção dentro de uma política.
Os dados da trilha de auditoria precisam ser mantidos tempo suficiente

para reconstruir incidentes passados, mas a organização deve identificar o
quão longe eles querem investigar. Uma tendência atual com muitas
organizações é reduzir os passivos legais implementando políticas de
retenção curta com e-mail.

Diferença entre diferentes papéis
O proprietário de dados é o responsável por classificar, rotular e proteger dados.
Os proprietários do sistema são responsáveis pelos sistemas que processam os

dados.
Os proprietários de empresas e missões são donos dos processos e garantem que

os sistemas forneçam valor à organização.
Os processadores de dados são frequentemente as entidades de terceiros que

processam dados para uma organização.
Os administradores concedem acesso aos dados com base nas diretrizes

fornecidas pelos proprietários de dados.
Um usuário acessa dados durante a execução de tarefas de trabalho. Um zelador

tem responsabilidades diárias para proteger e armazenar dados.

Controles de segurança do GDPR
O Regulamento Geral de Proteção de Dados (GDPR) da

UE determina a proteção de dados de privacidade.
Dois dos principais controles de segurança

mencionados no GDPR são criptografia e pseudônimo.
Pseudonymização é o processo de substituição de

alguns elementos de dados por pseudônimos. Isso
torna mais difícil identificar indivíduos.

Linhas de base de controle de segurança
As linhas de base (baseline) de controle de

segurança fornecem uma lista de controles que
uma organização pode aplicar como linha de base.
Nem todas as linhas de base se aplicam a todas as

organizações. No entanto, uma organização pode
aplicar técnicas de escopo e alfaiataria para
adaptar uma linha de base às suas necessidades.

D2-ATIVOS
SIMULADO-5

1. Qual dos seguintes identifica o objetivo principal

dos processos de classificação de informações?
A. Defina os requisitos para proteger dados

confidenciais.
B. Defina os requisitos para backup de dados.
C. Defina os requisitos para armazenar dados.
D. Defina os requisitos para transmitir dados.


2. Ao determinar a classificação dos dados, qual

dos seguintes é a consideração mais importante?
A. Sistema de processamento
B. Valor
C. Mídia de armazenamento
D. Acessibilidade


3. Qual das seguintes respostas não seria incluída

como dados confidenciais?
A. Informações pessoalmente identificáveis (PII)
B. Informações de saúde protegidas (PHI)
C. Dados proprietários
D. Dados publicados em um site


4. Qual é o aspecto mais importante da marcação

da mídia?
A. Rotulagem de data
B. Descrição do conteúdo
C. Rotulagem eletrônica
D. Classificação


5. O que um administrador faria com uma mídia

classificada antes de reutilizá-la em um ambiente
menos seguro?
A. Erasing/Apagar
B. Clearing/Limpar
C. Purging/Expurgar
D. Overwite/Sobrescrever


6. Qual das seguintes afirmações identifica

corretamente um problema com métodos de
higienização?
A. Os métodos não estão disponíveis para remover
dados, garantindo que o pessoal não autorizado não
possa recuperar dados.
B. Mesmo a mídia totalmente incinerada pode
oferecer dados extraíveis.
C. O pessoal pode executar etapas de higienização
inadequadamente.
D. Os dados armazenados são gravados fisicamente na
mídia.


7. Qual das seguintes opções é o método mais

confiável de destruir dados em uma unidade de
estado sólido (SSD)?
A. Erasing
B. Degaussing
C. Deleting
D. Purging


8. Qual dos seguintes é o método mais seguro de

exclusão de dados em um DVD?
A. Formatação
B. Deleting
C. Destruição
D. Degaussing


9. Qual dos seguintes não apaga os dados?

A. Clearing
B. Purging
C. Overwriting
D. Remanence


10. Qual dos seguintes é baseado em Blowfish e

ajuda a proteger contra ataques Rainbow Table
A. 3DES
B. AES
C. Bcrypt
D. CPS


11. Qual dos seguinte um administrador usaria

para se conectar e administrar de forma segura um
servidor remoto?
A. Telnet
B. Protocolo de transferência de arquivos seguros
(SFTP)
C. Cópia segura (SCP)
D. Secure Shell (SSH)


12. Qual das seguintes tarefas um custodiante

provavelmente realizaria?
A. Acesse os dados
B. Classifique os dados
C. Atribuir permissões aos dados
D. Fazer backup de dados


13. Qual das seguintes funções é mais provável

que atribua permissões para conceder aos
usuários acesso aos dados?
A. Administrador
B. Custodian/Custodiante
C. Owner/Proprietário
D. Usuário


14. Qual das seguintes define melhor as regras de

comportamento (rules of behavior) estabelecidas por
um titular de dados (data owner)?
A. Garantir que os usuários tenham acesso apenas ao

que precisam
B. Determinando quem tem acesso a um sistema
C. Identificação do uso adequado e proteção de dados
D. Aplicando controles de segurança em um sistema


15. No contexto do GDPR da UE, o que é um

processador de dados?
A. A entidade que processa dados pessoais em nome

do controlador de dados
B. A entidade que controla o processamento de dados
C. O sistema de computação que processa dados
D. A rede que processa dados


16. Sua organização possui um grande banco de dados de

dados de clientes. Para cumprir o GDPR da UE, os
administradores planejam usar a pseudônimo. Qual das
seguintes melhore descreve o pseudônimo?
A. O processo de substituição de alguns dados por outro

identificador
B. O processo de remoção de todos os dados pessoais
C. O processo de criptografia de dados
D. O processo de armazenamento de dados


17. Uma organização está implementando um baseline de

controles de segurança, mas descobre que alguns dos
controles não são relevantes para suas necessidades. O que
eles devem fazer?
A. Implemente todos os controles de qualquer maneira.
B. Identifique outro baseline.
C. Re-crie o baseline.
D. Adapte o baseline às suas necessidades.


Consulte o seguinte cenário ao responder às perguntas 18 a 20.
Uma organização possui um datacenter que processa informações

altamente sensíveis e é ativo 24 horas por dia. O datacenter inclui
servidores de e-mail e os administradores expurgam e-mails com mais de
seis meses para cumprir a política de segurança da organização. O acesso
ao datacenter é controlado e todos os sistemas que processam
informações confidenciais são marcados.
Os administradores rotineiramente fazem backup dos dados processados
no datacenter. Eles mantêm uma cópia dos backups no local e enviam uma
cópia sem identificação para um dos armazéns da empresa. Os
trabalhadores do armazém organizam a mídia até a data, e eles têm
backups dos últimos 20 anos.
Os funcionários trabalham no armazém durante o dia e trancam-no
quando saem à noite e nos fins de semana. Recentemente, um roubo no
armazém resultou na perda de todas as fitas de backup offsite. Mais tarde,
cópias de seus dados, incluindo e-mails confidenciais de anos atrás,
começaram a aparecer em sites da Internet, expondo dados confidenciais
internos da organização.

18. Das seguintes escolhas, o que teria evitado

essa perda sem sacrificar a segurança?
A. Marcar a mídia mantida offsite.
B. Não armazenar dados offsite.
C. Destruir os backups offsite.
D. Usar um depósito externo seguro.


19. Qual das seguintes ações do administrador poderia ter

evitado este incidente?
A. Marque as fitas antes de enviá-las para o armazém.
B. Purgue as fitas antes de fazer backup de dados para elas.
C. Degauss as fitas antes de fazer backup de dados para eles.
D. Adicione as fitas a um banco de dados de gerenciamento

de ativos.


20. Das seguintes escolhas, qual política não foi

seguida em relação à mídia de backup?
A. Destruição da mídia
B. Retenção de registro
C. Gerenciamento de configuração
D. Versionamento


Domínio 3
Arquitetura e Engenharia de Segurança

Criptógrafos e criptoanalistas estão em uma corrida

interminável para desenvolver criptosistemas mais
seguros e técnicas criptoanalíticas avançadas
projetadas para contornar esses sistemas.
A criptografia remonta a César e tem sido um tema

em andamento para estudos há muitos anos.
Diferenças envolvem criptografia de chave simétrica

(onde as partes comunicantes usam a mesma chave) e
criptografia de chave assimétrica (onde cada
comunicador tem um par de chaves públicas e
privadas).
Confidencialidade, integridade e não-repúdio nos

criptosistemas.
A confidencialidade é um dos principais objetivos da

criptografia. Ele protege o sigilo dos dados enquanto estão
em repouso e em trânsito.
A integridade fornece ao destinatário de uma mensagem a
garantia de que os dados não foram alterados
(intencionalmente ou não) entre o momento em que foram
criados e o momento em que foram acessados.
Não-repúdio fornece uma prova inegável de que o
remetente de uma mensagem realmente foi o autor. Impede
que o remetente negue posteriormente que enviou a
mensagem original.

Metas de autenticação.
A autenticação fornece garantias quanto à identidade

de um usuário.
Um possível esquema que usa autenticação é o
protocolo de resposta ao desafio, no qual o usuário
remoto é solicitado a criptografar uma mensagem
usando uma chave conhecida apenas para as partes
comunicantes.
A autenticação pode ser alcançada com criptosistemas
simétricos e assimétricos.

Terminologia básica da criptografia
Quando um remetente quer transmitir uma

mensagem privada para um destinatário, o remetente
pega a mensagem de texto simples (não criptografada)
e criptografa-a usando um algoritmo e uma chave.
Isso produz uma mensagem de texto cifrado que é
transmitida ao destinatário.
Em seguida, o destinatário usa um algoritmo
semelhante e a chave para descriptografar o texto
cifrado e recriar a mensagem de texto simples original
para visualização.

Tipos básicos de cifras
Códigos são sistemas criptográficos de símbolos que

operam em palavras ou frases e às vezes são secretos,
mas nem sempre fornecem confidencialidade.
Cifras, são sempre destinadas a esconder o verdadeiro
significado de uma mensagem.
Tipos de cifras incluem: cifras de transposição, cifras
de substituição (incluindo one-time-pad), cifras de
stream e cifras de blocos.

Requisitos para o one-time-pad
Para que um bloco único (one-time-pad) seja bem

sucedido, a chave deve ser gerada aleatoriamente
sem qualquer padrão conhecido.
A chave deve ser pelo menos do mesmo tamanho
que a mensagem.
A chave do one-time-pad deve ser usada apenas
uma vez e depois descartada.

Prova de conhecimento zero
“Zero-knowledge proof” é um conceito de

comunicação.
Um tipo específico de informação é trocado, mas
nenhum dado real é transferido, como acontece
com assinaturas digitais e certificados digitais.

Split knowledge
O conhecimento dividido significa que as informações

ou privilégios necessários para realizar uma operação
são divididos entre vários usuários.
Isso garante que nenhuma pessoa tenha privilégios
suficientes para comprometer a segurança do meio
ambiente.
“M de N Control” é um exemplo de conhecimento
dividido.

Work factor
A função de trabalho, ou fator de trabalho, é uma

maneira de medir a força de um sistema de
criptografia medindo o esforço em termos de custo
e/ou tempo para descriptografar mensagens.
Normalmente, o tempo e o esforço necessários para
realizar um ataque completo de força bruta contra um
sistema de criptografia é o que uma classificação de
função de trabalho representa.
A segurança e proteção oferecidas por um
criptosistema é diretamente proporcional ao valor de
sua função/fator de trabalho.

Segurança da chave
As chaves criptográficas fornecem o elemento

necessário de sigilo a um criptosistema.
Os criptosistemas modernos utilizam chaves com
pelo menos 128 bits de comprimento para
fornecer segurança adequada.
É geralmente acordado que a chave de 56 bits do
Data Encryption Standard (DES) não é mais
suficientemente longa para fornecer segurança.

Criptosistemas simétricos e assimétricos
Os criptosistemas de chave simétrica (ou

criptosistemas de chave secretas) dependem do uso
de uma chave secreta compartilhada.
Eles são muito mais rápidos do que algoritmos
assimétricos, mas não têm suporte para
escalabilidade, distribuição fácil de chaves e não-
repúdio.
Os criptosistemas assimétricos usam pares de chaves
público-privados para comunicação entre as partes,
mas operam muito mais lentamente do que
algoritmos simétricos.

Criptografia de Dados (DES) e DES Triplo (3DES)
O Data Encryption Standard - DES opera em cinco

modos: Electronic Code Book (ECB), Cipher Block
Chaining (CBC), Cipher Feedback (CFB), Output
Feedback (OFB), e Counter (CTR).
O modo EBC é considerado o menos seguro e é usado
apenas para mensagens curtas.
3DES usa três iterações de DES com duas ou três
chaves diferentes para aumentar a força da chave para
112 ou 168 bits, respectivamente.

Advanced Encryption Standard (AES)
O Advanced Encryption Standard (AES) usa o

algoritmo Rijndael e é o padrão do governo dos
EUA para a troca segura de dados sensíveis, mas
não classificados.
O AES usa chaves de 128, 192 e 256 bits e um
tamanho de bloco fixo de 128 bits para alcançar
um nível de segurança muito maior do que o
fornecido pelo algoritmo DES mais antigo.

D3-ARQUITETURA
SIMULADO-6

1. Quantas chaves possíveis existem em um espaço

chave de 4 bits?
A. 4
B. 8
C. 16
D. 128


2. Diego recebeu recentemente uma mensagem de e-

mail de Lugui. Que meta criptográfica precisaria ser
cumprida para convencer Diego que Lugui era
realmente o remetente da mensagem?
A. Não-repúdio
C. Disponibilidade
D. Integridade


3. Qual é o comprimento da chave criptográfica

usada no criptosistema DES ?
A. 56 bits
B. 128 bits
C. 192 bits
D. 256 bits


4. Que tipo de cifra depende da alteração da

localização dos caracteres dentro de uma mensagem
para alcançar a confidencialidade?
A. Stream cipher
B. Transposition cipher
C. Block cipher
D. Substitution cipher


5. Qual dos seguintes não é um comprimento de

chave possível para o algoritmo de Rijndael?
A. 56 bits
B. 128 bits
C. 192 bits
D. 256 bits


6. Qual dos seguintes não pode ser alcançado por

um criptoistema de chave secreta?
A. Não-repúdio
C. Autenticação
D. Distribuição de chaves


7. Quando implementado corretamente, qual é o

único criptoistema conhecido por ser inquebrável?
A. Transposition cipher
B. Substitution cipher
C. Advanced Encryption Standard
D. One-time pad

8. Qual é o valor de saída da função matemática 16

mod 3?
A. 0
B. 1
C. 3
D. 5


9. Qual o tamanho do bloco usado pelo algoritmo

de criptografia 3DES?
A. 32 bits
B. 64 bits
C. 128 bits
D. 256 bits


10. Qual dos seguintes tipos de cifras opera em

grandes pedaços de uma mensagem em vez de
caracteres individuais ou bits de uma mensagem?
A. Stream cipher
B. Caesar cipher
C. Block cipher
D. ROT3 cipher


11. Qual é o número mínimo de chaves criptográficas

necessárias para comunicações bidirecionais seguras
na criptografia de chave simétrica?
A. Um
B. Dois
C. Três
D. Quatro


12. Vilma está desenvolvendo um sistema de custódia

de chaves que requer várias pessoas para recuperar
uma chave, mas não depende de cada participante
estar presente. Que tipo de técnica ele está usando?
A. Split knowledge
B. M of N Control
C. Work function
D. Zero-knowledge proof

13. Qual dos seguintes modos operacionais DES (Data

Encryption Standard) pode ser usado para mensagens
grandes com a garantia de que um erro no início do
processo de criptografia descriptografia não estragará
os resultados durante toda a comunicação?
A. Cipher Block Chaining (CBC)
B. Electronic Code Book (ECB)
C. Cipher Feedback (CFB)
D. Output feedback (OFB)


14. Muitos algoritmos criptográficos dependem da

dificuldade de fatorar o produto de grandes números
primos. Dos itens abaixo qual melhor representa a
confiança na dificuldade da fatoração?
A. It contains diffusion.
B. It contains confusion.
C. It is a one-way function.
D. It complies with Kerchoff’s principle.


15. Quantas chaves são necessárias para implementar

totalmente um algoritmo simétrico com 10
participantes?
A. 10
B. 20
C. 45
D. 100


16. Qual o tamanho do bloco usado pelo AES –

Advanced Encryption Standard?
A. 32 bits
B. 64 bits
C. 128 bits
D. Variável


17. Que tipo de ataque torna a cifra de César

praticamente inutilizável?
A. Meet-in-the-middle attack
B. Escrow attack
C. Frequency analysis attack
D. Transposition attack

18. Que tipo de criptoistema comumente faz uso

de uma passagem de um livro conhecido para a
chave de criptografia?
A. Vernam cipher
B. Running key cipher
C. Skipjack cipher
D. Twofish cipher

19. Qual finalista do AES fez uso de técnicas de pré-

whitening e pós-whitening?
A. Rijndael
B. Twofish
C. Blowfish
D. Skipjack

20. Quantas chaves de criptografia são necessárias

para implementar totalmente um algoritmo
assimétrico com 10 participantes?
A. 10
B. 20
C. 45
D. 100


Criptografia assimétrica
As chaves públicas são compartilhadas livremente entre as

partes de comunicação, enquanto as chaves privadas são
mantidas em segredo.
Para criptografar uma mensagem, use a chave pública do

destinatário.
Para descriptografar uma mensagem, use sua própria chave
privada.
Para assinar uma mensagem, use sua própria chave privada.

Para validar uma assinatura, use a chave pública do
remetente.

A criptografia de chave assimétrica, ou criptografia de

chave pública, fornece uma infraestrutura
extremamente flexível, facilitando uma comunicação
simples e segura entre as partes que não
necessariamente se conhecem antes de iniciar a
comunicação.
Ela também fornece a estrutura para a assinatura

digital de mensagens para garantir o não- repúdio e a
integridade das mensagens.
A criptografia de chave pública fornece uma

arquitetura criptográfica escalável para uso por um
grande número de usuários.
Criptosistemas públicos
O RSA é o criptoistema de chave pública mais famoso; foi

desenvolvido por Rivest, Shamir e Adleman em 1977.
Depende da dificuldade de fatorar o produto dos números
primos.
El Gamal é uma extensão do algoritmo de troca de chaves

Diffie-Hellman que depende da aritmética modular.
O algoritmo da curva elíptica depende do problema do

logaritmo discreto da curva elíptica e fornece mais
segurança do que outros algoritmos quando ambos são
usados com chaves do mesmo comprimento.

Função hash
Boas funções hash têm cinco requisitos. Eles

devem permitir a entrada de qualquer
comprimento, fornecer saída de comprimento fixo,
tornar relativamente fácil calcular a função hash
para qualquer entrada, fornecer funcionalidade
unidirecional e ser livre de colisões.

Algoritmos de hashing
Os sucessores do Secure Hash Algorithm (SHA), SHA-1

e SHA-2, compõem a função padrão de “message
digest” do governo.
O SHA-1 produz um “message digest” de 160 bits,

enquanto o SHA-2 suporta comprimentos variáveis,
variando até 512 bits.
O SHA-3 melhora a segurança do SHA-2 e suporta os

mesmos comprimentos de hash.

“Salt” criptográfico
Quando o hashing simples é usado para armazenar senhas

em um arquivo de senhas, os invasores podem usar Rainbow
Table de valores pré-computados para identificar senhas
comumente usadas.
Adicionar “salts” às senhas antes de gerar o hash reduz a

eficácia dos ataques de Rainbow Table.
Algoritmos comuns de hashing de senha que usam

alongamento de chave (key stretching) aumentam ainda
mais a dificuldade de ataque (incluem PBKDF2, bcrypt e
scrypt).

Assinaturas digitais
Para assinar digitalmente uma mensagem, primeiro

use uma função de hash para gerar uma “digest
message”.
Em seguida, criptografe o resultado com sua chave
privada.
Para verificar a assinatura digital em uma mensagem,
descriptografe a assinatura com a chave pública do
remetente e em seguida compare o digest de
mensagens com aquele que você mesmo gerou.
Se eles combinarem, a mensagem é autêntica.

Digital Signature Standard (DSS)
DSS usa as funções de digest de mensagens SHA-1,

SHA-2 e SHA-3, juntamente com um dos três
algoritmos de criptografia:
Digital Signature Algorithm (DSA),
Rivest, Shamir, Adleman (RSA),
Ou Elliptec Curve DSA (ECDSA).

Public key infrastructure (PKI)
Na infraestrutura de chaves públicas, as autoridades de certificados

(CAs) geram certificados digitais contendo as chaves públicas dos
usuários do sistema.
Em seguida, os usuários distribuem esses certificados para pessoas
com quem desejam se comunicar.
Os destinatários do certificado verificam um certificado usando a
chave pública da CA.
A infraestrutura de chaves públicas utiliza as autoridades de

certificados (CAs) para gerar certificados digitais contendo as chaves
públicas dos usuários do sistema e assinaturas digitais, que contam
com uma combinação de funções públicas de criptografia e hashing.

Secure email
A criptografia pode ser usada para proteger e-mails (usando PGP

e S/MIME), comunicações web (usando SSL e TLS) e rede peer-to-
peer e gateway-to-gateway (usando IPsec e ISAKMP) bem como
comunicações sem fio (usando WPA e WPA2).
O padrão emergente para mensagens criptografadas é o

protocolo S/MIME.
Outra ferramenta de segurança de e-mail popular é a Pretty
Good Privacy (PGP) de Phil Zimmerman. A maioria dos usuários
de criptografia de e-mail depende de ter essa tecnologia
incorporada em seu cliente de e-mail ou em seu serviço de e-mail
baseado na Web.

Criptografia para proteger atividade na Web
O padrão de fato para tráfego seguro da Web é o

uso de HTTP over Transport Layer Security (TLS) ou
Secure Sockets Layer (SSL) mais antiga.
A maioria dos navegadores da Web suporta ambos
os padrões, mas muitos sites estão perdendo o
suporte para SSL devido a preocupações de
segurança.

Criptografia para garantir a rede
O padrão de protocolo IPsec fornece uma estrutura

comum para criptografar o tráfego de rede e é
incorporado em uma série de sistemas operacionais
comuns.
No modo de transporte IPsec, o conteúdo do pacote é
criptografado para comunicação ponto a ponto.
No modo túnel, todo o pacote, incluindo informações
de cabeçalho, é criptografado para comunicações
gateway-to-gateway.

IPsec
O IPsec é uma estrutura de arquitetura de segurança

que suporta comunicação segura sobre IP.
O Ipsec estabelece um canal seguro no modo de
transporte ou no modo túnel.
Ele pode ser usado para estabelecer comunicação
direta entre computadores ou para configurar uma
VPN entre redes.
O IPsec usa dois protocolos: Authentication Header
(AH) and Encapsulating Security Payload (ESP).

Ataques criptográficos
Os ataques mais comuns usados por indivíduos mal-intencionados que tentam

interferir ou interceptar comunicações criptografadas entre duas partes incluem,
criptoanalíse, replay, força bruta, texto simples conhecido, texto simples
escolhido, texto de cifra escolhido, meet-in-the-middle, homem-no-meio e
ataques de aniversário.
Brute-force attacks são tentativas de encontrar aleatoriamente a chave

criptográfica correta.
Known plaintext, chosen ciphertext, and chosen plaintext attacks exigem que o
invasor tenha algumas informações extras, além do texto cifrado.
O meet-in-the-middle attack explora protocolos que usam duas rodadas de
criptografia.
O man-in-the-middle attack engana ambas as partes a se comunicarem com o
agressor em vez de diretamente um com o outro.
O birthday attack é uma tentativa de encontrar colisões em funções hash.
O replay attack é uma tentativa de reutilizar pedidos de autenticação.

Digital rights management (DRM)
As soluções de gerenciamento de direitos digitais

(DRM) permitem que os proprietários de conteúdo
imponham restrições ao uso de seu conteúdo por
outros.
As soluções DRM geralmente protegem conteúdo
de entretenimento, como música, filmes e e-
books, mas são ocasionalmente encontradas na
empresa, protegendo informações confidenciais
armazenadas em documentos.

D3-ARQUITETURA
SIMULADO-7

1. No criptosistema de chave pública RSA, qual

dos seguintes números será sempre maior?
A. e
B. n
C. p
D. q


2. Qual algoritmo criptográfico forma a base do

criptosistema El Gamal?
A. RSA
B. Diffie-Hellman
C. 3DES
D. IDEA


3. Se Luana quiser enviar uma mensagem

criptografada para Jade usando um sistema de
criptografia de chave pública, qual chave ela usa para
criptografar a mensagem?
A. Chave pública de Luana
B. A chave privada de Luana
C. A chave pública de Jade
D. A chave privada de Jade


4. Se uma mensagem de texto simples de 2.048 bits fosse

criptografada com o criptosistema de chave pública El
Gamal, qual seria o tamanho da mensagem cifrada?
A. 1.024 bits
B. 2.048 bits
C. 4.096 bits
D. 8.192 bits


5. A Acme Widgets atualmente usa um padrão de

criptografia RSA de 1.024 bits em toda a empresa. A
empresa planeja converter da RSA para um criptosistema de
curva elíptica. Se ele quer manter a mesma força
criptográfica, que comprimento de chave ECC deve usar?
A. 160 bits
B. 512 bits
C. 1.024 bits
D. 2.048 bits


6. John quer produzir um digest de uma mensagem de 2.048

byte que ele planeja enviar para Maria. Se ele usar o
algoritmo de hashing SHA-1, qual será o tamanho do digest
da mensagem neste caso particular?
A. 160 bits
B. 512 bits
C. 1.024 bits
D. 2.048 bits


7. Qual das seguintes tecnologias é considerada

falha e não deve mais ser utilizada?
A. SHA-3
B. PGP
C. WEP
D.TLS


8. Que técnica de criptografia o WPA usa para

proteger as comunicações sem fio?
A. TKIP
B. DES
C. 3DES
D. AES


9. Diego recebeu uma mensagem criptografada

enviada por Luana. Que chave ele deve usar para
decifrar a mensagem?
A. Chave pública de Diego
B. A chave privada de Diego
C. A chave pública de Luana
D. A chave privada de Luana


10. Richard quer assinar digitalmente uma mensagem que

está enviando para Sue para que Sue possa ter certeza que a
mensagem veio dele sem modificação enquanto estava em
trânsito. Que chave ele deve usar para criptografar o digest
da mensagem?
A. Chave pública de Richard
B. A chave privada de Richard
C. A chave pública de Sue
D. A chave privada de Sue


11. Qual dos algoritmos a seguir não é suportado

pelo Digital Signature Standard?
A. Digital Signature Algorithm
B. RSA
C. El Gamal DSA
D. Curva Elíptica DSA


12. Qual norma da União Internacional de

Telecomunicações (UI) rege a criação e o endosso de
certificados digitais para comunicação eletrônica
segura?
A. X.500
B. X.509
C. X.900
D. X.905


13. Qual criptosistema fornece a tecnologia de

criptografia e descriptografia para a versão comercial
do sistema de e-mail seguro Pretty Good Privacy de
Phil Zimmerman?
A. ROT13
B. IDEA
C. ECC.
D. El Gamal


14. Qual porta de comunicações TCP/IP é usada pelo

tráfego de segurança da camada de transporte?
A. 80
B. 220
C. 443
D. 559


15. Que tipo de ataque criptográfico não tornou o

Double DES (2DES) mais eficaz do que a criptografia
DES padrão?
A. Birthday attack
B. Chosen ciphertext attack
C. Meet-in-the-middle attack
D. Man-in-the-middle attack


16.
Quais das seguintes ferramentas podem ser usadas
para melhorar a eficácia de um ataque de quebra de
senha de força bruta?
A. Rainbow tables
B. Hierarchical screening
C. TKIP
D. Random enhancement


17. Qual dos seguintes links seria protegido pela

criptografia WPA?
A. Firewall para firewall
B. Roteador para firewall
C. Cliente para ponto de acesso sem fio
D. Ponto de acesso sem fio ao roteador


18. Qual é a maior desvantagem do uso de listas de

revogação de certificados?
A. Gerenciamento de chaves
B. Latência
C. Manutenção de registros
D. Vulnerabilidade a ataques de força bruta


19. Qual dos seguintes algoritmos de criptografia é

agora considerado inseguro?
A. El Gamal
B. RSA
C. Criptografia de Curva Elíptica
D. Merkle-Hellman Knapsack


20. O que o IPsec define?
A. Todas as classificações de segurança possíveis para

uma configuração específica
B. Uma estrutura para configurar um canal de

comunicação seguro
C. Os estados de transição válidos no modelo Biba
D. Categorias de segurança do TCSEC


MODELOS DE SEGURANÇA E CONTROLE DE ACESSO
Quanto melhor um sistema impor o bom comportamento de acesso

entre sujeitos e objetos, maior será a classificação de segurança.
Quando os sistemas de segurança são projetados, muitas vezes é útil
criar um modelo de segurança para representar os métodos que o
sistema usará para implementar a política de segurança. Todo esse
entendimento deve culminar em uma implementação eficaz de
segurança do sistema em termos de controles preventivos, detetives e
corretivos.
É por isso que você também deve entender o controle de acesso,

modelos e suas funções. Isso inclui o modelo de máquina de estado,
Bell-LaPadula, Biba, Clark-Wilson, o modelo de fluxo de informações, o
modelo de não intervenção, o modelo Take-Grant, o modelo de matriz
de controle de acesso, e o modelo Brewer e Nash.
O modelo de máquina de estado garante que todas as instâncias

de objetos que acessam objetos estejam seguras.
O modelo de fluxo de informações foi projetado para evitar fluxo

de informações não autorizado, inseguro ou restrito.
O modelo de não intervenção impede que as ações de um sujeito

afetem o estado do sistema ou as ações de outro sujeito.
O modelo Take-Grant dita como os direitos podem ser passados

de um sujeito para outro ou de um sujeito a um objeto.
Uma matriz de controle de acesso é uma tabela de sujeitos e

objetos que indica as ações ou funções que cada sujeito pode
executar em cada objeto.

O modelo Bell-LaPadula suporta apenas a confidencialidade

de dados. Foi projetado para os militares e satisfaz
preocupações militares.
Os sujeitos no Bell-LaPadula têm um nível de liberação que
lhes permite acessar apenas aqueles objetos com os níveis
de classificação correspondentes. Isso impõe
confidencialidade.
O modelo Biba e o modelo Clark-Wilson abordam a

integridade dos dados e o fazem de diferentes maneiras.
Esses modelos são frequentemente usados como parte da
fundação ao projetar infraestrutura de segurança para
aplicações comerciais.
Biba impede que indivíduos com níveis de segurança mais
baixos escrevam para objetos em níveis de segurança mais
altos.
Clark-Wilson é um modelo de integridade que

depende de auditoria para garantir que indivíduos não
autorizados não possam acessar objetos e que os
usuários autorizados acessem objetos corretamente.
Biba e Clark-Wilson reforçam a integridade.
Goguen-Meseguer e Sutherland se concentram na

integridade.
Graham-Denning se concentra na criação segura e

exclusão de ambos os sujeitos e objetos.

CERTIFICAÇÃO E ACREDITAÇÃO
Os sistemas seguros não são apenas montados; eles são projetados para
apoiar a segurança. Os sistemas que devem ser seguros são julgados por
sua capacidade de apoiar e aplicar a política de segurança. Esse processo
de avaliação da eficácia de um sistema de computador é a certificação.
O processo de certificação é a avaliação técnica da capacidade de um
sistema de cumprir suas metas de projeto. Uma vez que um sistema tenha
passado satisfatoriamente a avaliação técnica, a gestão da organização
inicia a aceitação formal do sistema. O processo formal de aceitação é o
credenciamento. Todo o processo de certificação e credenciamento
depende de critérios de avaliação padrão.
A certificação é a avaliação técnica de cada parte de um sistema de

computador para avaliar sua concordância com as normas de segurança.
O credenciamento é o processo de aceitação formal de uma configuração
certificada de uma autoridade designada.

TCSEC, ITSEC e Common Criteria
Existem vários critérios para avaliar sistemas de segurança de

computadores. O mais antigo, TCSEC, foi desenvolvido pelo Departamento
de Defesa dos EUA. O TCSEC, também chamado de Orange Book, fornece
critérios para avaliar a funcionalidade e a garantia dos componentes de
segurança de um sistema. As classes do TCSEC incluem proteção tipo A
(formal/verificada), MAC (proteção obrigatória), DAC (proteção
discricionária) e D (proteção mínima).
O ITSEC é uma alternativa às diretrizes do TCSEC e é mais utilizado em

países europeus. Em 2005, o TCSEC foi substituído pelo Common Criteria.
Independentemente dos critérios que você usa, o processo de avaliação
inclui a revisão de cada controle de segurança para o cumprimento da
política de segurança.

Sistemas abertos e fechados
Sistemas abertos são projetados usando padrões

do setor e geralmente são fáceis de integrar com
outros sistemas abertos.
Sistemas fechados são geralmente proprietários de
hardware e/ou software.
Suas especificações normalmente não são
publicadas, e geralmente são mais difíceis de
integrar com outros sistemas.

Confinamento, limites e isolamento
O confinamento restringe um processo à leitura e

escrita a determinados locais de memória.
Os limites são os limites da memória que um
processo não pode exceder ao ler ou escrever.
Isolamento é o modo em que um processo é
executado quando é confinado através do uso de
limites de memória.

Objeto e sujeito em termos de acesso
O sujeito é o usuário ou processo que faz uma solicitação de

acesso a um recurso.
O objeto é o recurso que um usuário ou processo deseja
acessar.
Controles de segurança
Os controles de segurança usam regras de acesso para

limitar o acesso de um sujeito a um objeto.

Base de computação confiável (TCB)
TCB é a combinação de hardware, software e controles que formam

uma base confiável que impõe a política de segurança.
Perímetro de segurança
É o limite imaginário que separa o TCB do resto do sistema. Os

componentes do TCB se comunicam com componentes não-TCB
usando caminhos confiáveis (trust path).

Recursos de segurança dos sistemas de informação
Incluem proteção de memória, virtualização e TPM (Trusted

Platform Module, módulo de plataforma confiável).
Monitor de referência e o kernel de segurança
O monitor de referência é a parte lógica do TCB que

confirma se um sujeito tem o direito de usar um recurso
antes de conceder acesso.
O security kernel implementa a funcionalidade do monitor
de referência.

D3-ARQUITETURA
SIMULADO-8

1. O que é a certificação do sistema?
A. Aceitação formal de uma configuração de sistema declarada
B. Uma avaliação técnica de cada parte de um sistema de

computador para avaliar sua conformidade com as normas de
segurança
C. Uma avaliação funcional das metas do fabricante para cada

componente de hardware e software para atender à integração
de padrões
D. Um certificado do fabricante informando que todos os

componentes foram instalados e configurados corretamente


2. O que é o credenciamento do sistema?
A. Aceitação formal de uma configuração de sistema declarada
B. Uma avaliação funcional das metas do fabricante para cada

componente de hardware e software para atender à integração
de padrões
C. Aceitação de resultados de teste que comprovem que o

sistema de computador reforça a política de segurança
D. O processo para especificar a comunicação segura entre

máquinas


3. O que é um sistema fechado?
A. Um sistema projetado em torno de padrões finais,

ou fechados,
B. Um sistema que inclui padrões do setor
C. Um sistema proprietário que usa protocolos não

publicados ou inéditos
D. Qualquer máquina que não execute o Windows


4. Qual melhor descreve um processo confinado ou

constrangido?
A. Um processo que só pode ser executado por um tempo

limitado
B. Um processo que só pode ser executado em certos

horários do dia
C. Um processo que pode acessar apenas determinados

locais de memória
D. Um processo que controla o acesso a um objeto


5. O que é um “acesso a um objeto”?
A. Um recurso que um usuário ou processo quer

acessar
B. Um usuário ou processo que queira acessar um

recurso
C. Uma lista de regras de acesso válidas
D. A sequência de tipos de acesso válidos


6. O que é um controle de segurança?
A. Um componente de segurança que armazena

atributos que descrevem um objeto
B. Um documento que lista todos os tipos de

classificação de dados
C. Uma lista de regras de acesso válidas
D. Um mecanismo que limita o acesso a um objeto


7. Para que tipo de credenciamento de segurança do

sistema de informação são avaliados os aplicativos e
sistemas em um local específico e independente?
A. Credenciamento do sistema
B. Credenciamento de site
C. Credenciamento de aplicativos
D. Credenciamento do tipo


8. Quantas categorias principais definem os

critérios do TCSEC?
A. Dois
B. Três
C. Quatro
D. Cinco


9. O que é uma base de computação confiável (TCB)?
A. Hosts em sua rede que suportam transmissões seguras
B. O núcleo do sistema operacional e os drivers de

dispositivos
C. A combinação de hardware, software e controles que

trabalham juntos para impor uma política de segurança
D. O software e os controles que certificam uma política de

segurança


10. O que é um perímetro de segurança? (Escolha

tudo o que se aplica.)
A. O limite da área fisicamente segura em torno de

seu sistema
B. O limite imaginário que separa o TCB do resto do

sistema
C. A rede onde seu firewall reside
D. A e B estão corretos


11. Que parte do conceito TCB valida o acesso a

todos os recursos antes de conceder o acesso
solicitado?
A. TCB partition
B. Trusted library
C. Reference monitor
D. Security kernel

12. Qual é a melhor definição de um modelo de segurança?
A. Um modelo de segurança declara políticas que uma organização deve

seguir.
B. Um modelo de segurança fornece um framework para implementar

uma política de segurança.
C. Um modelo de segurança é uma avaliação técnica de cada parte de um

sistema de computador para avaliar sua concordância com a segurança
padrão.
D. Um modelo de segurança é o processo de aceitação formal de uma

configuração certificada.


13. Quais modelos de segurança são construídos

sobre um modelo de máquina de estado?
A. Bell-LaPadula e Take-Grant
B. Biba e Clark-Wilson
C. Clark-Wilson e Bell-LaPadula
D. Bell-LaPadula e Biba


14. Qual modelo de segurança aborda a

confidencialidade dos dados?
A. Bell-LaPadula
B. Biba
C. Clark-Wilson
D. Brewer e Nash


15. Qual propriedade Bell-LaPadula impede os sujeitos

de nível inferior de acessar objetos com um nível de
segurança mais alto?
A. (star) Security Property
B. No write up property
C. No read up property
D. No read down property


16. Qual a implicação da “simple property” do

Biba?
A. Write down
B. Read up
C. No write up
D. No read down

17. Quando um sujeito confiável viola a propriedade

principal de Bell-LaPadula, a fim de escrever um
objeto em um nível mais baixo, que operação válida
poderia estar ocorrendo?
A. Perturbação
B. Poliinstanação
C. Agregação
D. Desclassificação


18. Que método de segurança, mecanismo ou modelo

revela uma lista de recursos de um sujeito em vários
objetos?
A. Separação de deveres
B. Matriz de controle de acesso
C. Biba
D. Clark-Wilson


19. Que modelo de segurança tem um recurso que,

em teoria, tem um nome ou rótulo, mas quando
implementado em uma solução, assume o nome ou
rótulo do kernel de segurança?
A. Graham-Denning model
B. Deployment modes
C. Trusted computing base
D. Chinese Wall

20. Qual dos seguintes não faz parte da relação de

controles de acesso do modelo Clark-Wilson?
A. Objeto
B. Interface ou programa
C. Linguagem de programação
D. Sujeito


Projetar sistemas de computação seguros é uma tarefa complexa, e muitos

engenheiros de segurança dedicaram suas carreiras inteiras para entender o
funcionamento mais interno dos sistemas de informação e garantir que eles
suportem as funções de segurança principais necessárias para operar com
segurança no ambiente atual.
Muitos profissionais de segurança não necessariamente exigem um

conhecimento aprofundado desses princípios, mas eles devem ter pelo menos
uma ampla compreensão dos fundamentos básicos que impulsionam o processo
para aumentar a segurança dentro de suas próprias organizações.
Esse entendimento começa com uma investigação de hardware, software e
firmware e como essas peças se encaixam no quebra-cabeça de segurança.
É importante entender os princípios das organizações comuns de computadores e

redes, arquiteturas e projetos, incluindo endereçamento (físico e simbólico), a
diferença entre espaço de endereço e espaço de memória e tipos de máquinas
(reais, virtuais, multiestaduais, multitarefas, multiprogramas,
multiprocessamento, multiprocessadores e multiusuários).

Além disso, um profissional de segurança deve ter uma

compreensão sólida dos estados operacionais (estado único,
multiestadual), modos operacionais (usuário, supervisor,
privilegiado), tipos de armazenamento (primário, secundário,
real, virtual, volátil, não volátil, aleatório, sequencial) e
mecanismos de proteção (camadas, abstração, ocultação de
dados, isolamento de processos, segmentação de hardware,
princípio de menor privilégio, separação de privilégios, prestação
de contas).
Não importa o quão sofisticado seja um modelo de segurança,

existem falhas que os atacantes podem explorar. Algumas falhas,
como estouros de buffer e ganchos de manutenção, são
introduzidas por programadores, enquanto outras, como canais
secretos, são questões de projeto arquitetônico. É importante
entender o impacto dessas questões e modificar a arquitetura de
segurança quando apropriado para compensar.

Multitasking, multithreading, multiprocessing, and

multiprogramming
Multitarefa é a execução simultânea de mais de um

aplicativo em um computador e é gerenciada pelo
sistema operacional.
Multithreading permite que várias tarefas simultâneas
sejam executadas dentro de um único processo.
Multiprocessing é o uso de mais de um processador
para aumentar o poder da computação.
multiprogramming é semelhante à multitarefa, mas
ocorre em sistemas de mainframe e requer
programação específica.

Single-state e multistate processors
Os “single-state processors” são capazes de operar

a apenas um nível de segurança por vez, enquanto
os “multistate processors” podem operar
simultaneamente em vários níveis de segurança.

Modos de processamento
“Dedicated systems” exigem que todos os usuários tenham

“clearance”, “access permissions”, e “need to know” de
todas as informações armazenadas no sistema.
O “system high mode” remove o requisito de “need to

know”.
O “compartmented mode” remove o requisito de “need to

know” e “access permission”.
O “multilevel mode” remove todos os três requisitos.

Modos operacionais
Os aplicativos do usuário operam em um ambiente

limitado de um conjunto de instruções conhecido
como “modo de usuário”.
O sistema operacional realiza operações

controladas no “modo privilegiado”, também
conhecido como “modo sistema, kernel ou de
supervisão”.

Tipos de memória
ROM - não é volátil e não pode ser escrito pelo usuário final.
PROM - usuário final pode escrever dados apenas uma vez.
EPROM/UVEPROM - podem ser apagados através do uso de luz

ultravioleta e, em seguida, podem ter novos dados escritos para
eles.
EEPROM - podem ser apagados com corrente elétrica e, em

seguida, ter novos dados escritos para eles.
RAM - são voláteis e perdem seu conteúdo quando o computador

é desligado.

Segurança da memória
Alguns problemas de segurança cercam

componentes de memória:
1-Dados podem permanecer no chip após a

retirada da energia
2-Controle do acesso à memória em um sistema

multiusuário.

Dispositivos de armazenamento
Armazenamento primário - é o mesmo que a memória.
Armazenamento secundário - consiste em mídia magnética,

flash ou óptica que deve ser lida pela primeira vez na
memória primária antes que a CPU possa usar os dados.
Acesso aleatório e sequencial - dispositivos de

armazenamento de acesso aleatório podem ser lidos a
qualquer momento, enquanto dispositivos de acesso
sequencial requerem a varredura de todos os dados
armazenados fisicamente antes da localização desejada.

Segurança em armazenamento secundário
Existem três principais problemas de segurança em torno de

dispositivos de armazenamento secundário:
1-A mídia removível pode ser usada para roubar dados,
2-Controles de acesso e criptografia devem ser aplicados

para proteger os dados,
3-Os dados podem permanecer na mídia mesmo após a

exclusão de arquivos ou a formatação de mídia.

Riscos de segurança nos dispositivos de I/O
Os dispositivos de I/O podem estar sujeitos a:
1-Eavesdropping and tapping,
2-Contrabandear dados de uma organização,
3-Criar pontos de entrada não autorizados nos

sistemas e rede da organização.
Propósito do firmware
Firmware é um software armazenado em um chip

ROM.
No nível do computador, ele contém as instruções
básicas necessárias para iniciar um computador.
O firmware também é usado para fornecer
instruções de operação em dispositivos periféricos,
como impressoras.

Process isolation, layering, abstraction, data hiding,

and hardware segmentation
Isolation do processo garante que os processos

individuais possam acessar apenas seus próprios
dados.
Layering cria diferentes níveis segurança dentro de um

processo e limita a comunicação entre eles.
Abstraction cria interfaces de "caixa preta" para os

programadores usarem sem exigir conhecimento do
funcionamento interno de um algoritmo ou
dispositivo.
Data hiding de dados impede que as informações

sejam lidas de um nível de segurança diferente.
Segmentation de hardware impõe o isolamento do

processo com controles físicos.
Política de segurança
O papel de uma política de segurança é informar e

orientar o projeto, desenvolvimento, implementação,
testes e manutenção de algum sistema específico.

Computação em nuvem
Computação em nuvem é o termo popular que se

refere a um conceito de computação onde o
processamento e o armazenamento são realizados em
outros lugares durante uma conexão de rede e não
localmente.
A computação em nuvem é frequentemente

considerada como computação baseada na Internet.

Riscos da computação em nuvem
A computação em nuvem e a virtualização, especialmente

quando combinadas, têm sérios riscos associados a elas.
Uma vez que dados sensíveis, confidenciais ou proprietários

saem dos limites da organização, ela também deixa as
proteções impostas pela política de segurança organizacional
e a infraestrutura resultante.
Os serviços em nuvem e seu pessoal podem não seguir os

mesmos padrões de segurança que sua organização.

Hipervisor
O hipervisor, também conhecido como monitor de

máquina virtual (VMM), é o componente da
virtualização que cria, gerencia e opera as
máquinas virtuais.

Hipervisor tipo I
Um hipervisor tipo I é um hipervisor nativo ou

bare-metal.
Nesta configuração, não há nenhum sistema
operacional host; em vez disso, o hipervisor
instala-se diretamente no hardware.

Hipervisor tipo II
Um hipervisor tipo II é um hipervisor hospedado.

Nesta configuração, um sistema operacional está
presente no hardware, e o hipervisor é então
instalado como outro aplicativo de software.

CASB
Cloud access security broker (CASB) é um corretor

de segurança de acesso à nuvem.
É uma solução de aplicação de políticas de

segurança que pode ser instalada no local, ou pode
ser baseada em nuvem.

SECaaS
Segurança como serviço (SECaaS) é um conceito de

provedor de nuvem no qual a segurança é
fornecida a uma organização através ou por uma
entidade online.

Dispositivos inteligentes
Um dispositivo inteligente é uma gama de

dispositivos móveis que oferecem ao usuário uma
infinidade de opções de personalização,
normalmente através da instalação de aplicativos,
e podem aproveitar o processamento de
inteligência artificial (IA) no dispositivo ou na
nuvem.

IoT
A Internet das Coisas (IoT) é uma nova

subcategoria ou talvez até mesmo uma nova classe
de dispositivos conectados à internet, a fim de
fornecer automação, controle remoto ou
processamento de IA para aparelhos ou
dispositivos tradicionais ou novos em uma
configuração de casa ou escritório.

Segurança de dispositivos móveis
Nem todos os dispositivos eletrônicos portáteis (PEDs)

possuem bons recursos de segurança. Os recursos de
segurança PED incluem:
criptografia completa do dispositivo,
limpeza remota,
bloqueio,
travas de tela,
GPS,
controle de aplicativos,
segmentação de armazenamento,

rastreamento de ativos,
controle de estoque,
gerenciamento de dispositivos móveis,
controle de acesso ao dispositivo,
armazenamento removível
e desabilitação de recursos sem uso.
Segurança de aplicativos em dispositivos móveis
Os aplicativos e funções usados em um dispositivo móvel

precisam ser protegidos.
Os conceitos relacionados incluem gerenciamento de chaves,
gerenciamento de credenciais, autenticação, geotagging,
criptografia, whitelisting de aplicativos e confiança/autenticação
transitiva.

Byod
Embora o BYOD possa melhorar a moral dos

funcionários e a satisfação no trabalho, aumenta os
riscos de segurança para a organização.
Questões relacionadas incluem propriedade de dados,
propriedade de suporte, gerenciamento de patches,
gerenciamento de antivírus, forense, privacidade, on-
boarding/off-boarding, adesão a políticas
corporativas, aceitação do usuário, considerações de
arquitetura/infraestrutura, preocupações legais,
políticas de uso aceitável e câmeras/vídeo a bordo.

Sistemas embarcados e ambientes estáticos
Um sistema embarcado é tipicamente projetado em

torno de um conjunto limitado de funções específicas
em relação ao produto maior do qual é um
componente.
Ambientes estáticos são aplicativos, OSs, conjuntos de

hardware ou redes configuradas para uma
necessidade, capacidade ou função específicas e, em
seguida, definidas para permanecerem sem
alterações.

Sistemas embarcados e preocupações de segurança

ambiental estática
Ambientes estáticos, sistemas embarcados e outros

ambientes de computação limitados ou de uso único
precisam de gerenciamento de segurança.
Essas técnicas podem incluir segmentação de rede,

camadas de segurança, firewalls de aplicativos,
atualizações manuais, controle de versão de firmware,
invólucros e redundância e diversidade de controle.

Principle of least privilege, separation of privilege, and

accountability apply to computer architecture
“Principle of least privilege” garante que apenas um

número mínimo de processos esteja autorizado a ser
executado na modalidade de supervisão.
“Separation of privilege” aumenta a granularidade das

operações seguras.
“Accountability” garante que exista uma trilha de

auditoria para rastrear as operações até sua fonte.

Covert channels
Um canal secreto é qualquer método que é usado para passar

informações, mas que normalmente não é usado para
informações.
Buffer overflows and input checking
Um “buffer overflow” ocorre quando o programador não verifica

o tamanho dos dados de entrada “input checking” antes de
escrever os dados em um local de memória específico. De fato,
qualquer falha em validar dados de entrada pode resultar em
uma violação de segurança.

Falhas comuns às arquiteturas de segurança
Além dos estouros de buffer, os programadores

podem deixar portas traseiras e programas
privilegiados em um sistema depois de implantados.
Mesmo sistemas bem escritos podem ser suscetíveis

ao tempo de verificação de tempo de uso (TOC TOU).
Qualquer mudança de estado pode ser uma janela

potencial de oportunidade para um atacante
comprometer um sistema.

D3-ARQUITETURA
SIMULADO-9

1. Muitos sistemas operacionais de PC fornecem

funcionalidades que lhes permitem suportar a
execução simultânea de vários aplicativos em sistemas
de processador único. Que termo é usado para
descrever essa capacidade?
A. Multiprogramming
B. Multithreading
C. Multitasking
D. Multiprocessing

2. Que tecnologia fornece a uma organização o

melhor controle sobre equipamentos BYOD?
A. Application whitelisting
B. Mobile device management (MDM)
C. Encrypted removable storage
D. Geotagging

3. Você tem três aplicativos rodando em um sistema de processador único

de um núcleo único que suporta multitarefa. Um desses aplicativos é um
programa de processamento de palavras que está gerenciando dois
segmentos (threads) simultaneamente. Os outros dois aplicativos estão
usando apenas um segmento (thread) de execução. Quantas threads de
aplicativo estão sendo executados no processador a qualquer momento?
A. Um
B. Dois
C. Três
D. Quatro


4. Que tipo de sistema de computação do governo

federal exige que todos os indivíduos que acessam o
sistema tenham “need-to-know” para todas as
informações processadas por esse sistema?
A. Dedicated
B. System high
C. Compartmented
D. Multilevel

5. Qual é o risco de segurança de um sistema

incorporado (embedded system) que não é
comumente encontrado em um PC padrão?
A. Falhas de software
B. Acesso à internet
C. Controle de um mecanismo no mundo físico
D. Perda de energia


6. Qual dos seguintes descreve uma nuvem comunitária?
A. Um ambiente em nuvem mantido, usado e pago por um grupo de

usuários ou organizações para seu benefício compartilhado, como
colaboração e troca de dados
B. Um serviço em nuvem dentro de uma rede corporativa e isolado da

internet
C. Um serviço em nuvem acessível ao público em geral normalmente

sobre uma conexão com a internet
D. Um serviço em nuvem que está parcialmente hospedado dentro de

uma organização para uso privado e que usa serviços externos para
oferecer recursos a pessoas de fora

7. Qual é o conceito de um computador implementado

como parte de um sistema maior que é tipicamente
projetado em torno de um conjunto limitado de funções
específicas (como gerenciamento, monitoramento e
controle) em relação ao produto maior do qual é um
componente?
A. IoT
B. Application appliance
C. SoC
D. Embedded system


8. Qual dos seguintes tipos de memória pode reter

informações após ser removido de um computador e,
portanto, representar um risco à segurança?
A. RAM estática
B. RAM Dinâmica
C. Memória secundária
D. Memória real


9. Qual é o meio mais eficaz de reduzir o risco de

perder os dados em um dispositivo móvel, como um
notebook?
A. Definindo uma senha de logon forte
B. Minimizando dados confidenciais armazenados no

dispositivo móvel
C. Usando uma trava de cabo
D. Criptografando o disco rígido


10. Que tipo de componente elétrico serve como o

bloco de construção principal para chips RAM
dinâmicos?
A. Capacitor
B. Resistor
C. Flip-flop
D. Transistor


11. Qual dos seguintes dispositivos de

armazenamento é mais provável que exija tecnologia
de criptografia para manter a segurança dos dados em
um ambiente em rede?
A. Disco rígido
B. Fita de backup
C. Unidades removíveis
D. RAM


12. Em quais dos seguintes modos de segurança você pode

ter certeza que todos os usuários têm permissões de acesso
(access permissions) para todas as informações processadas
pelo sistema, mas não necessariamente precisarão need-to-
know para todas essas informações?
A. Dedicated
B. System high
C. Compartmented
D. Multilevel


13. O aspecto mais negligenciado da escuta de

telefones celulares está relacionado com qual dos
seguintes?
A. Criptografia de dispositivo de armazenamento
B. Travas de tela
C. Ouvir conversas
D. Rede sem fio


14. Que tipo de dispositivo de memória é

geralmente usado para conter a BIOS da placa-mãe
de um computador?
A. PROM
B. EEPROM
C. ROM
D. EPROM

15. Que tipo de memória está disponível

diretamente para a CPU e muitas vezes faz parte
da CPU?
A. RAM
B. ROM
C. Register memory
D. Virtual memory

16. Você é o gerente de segurança de TI de uma organização de varejo que

está apenas indo online com um site de e-commerce. Você contratou
vários programadores para criar o código que é a espinha dorsal do seu
novo sistema de vendas web. No entanto, você está preocupado que,
embora o novo código funcione bem, ele pode não ser seguro. Você
começa a revisar o código, o design de sistemas e a arquitetura de serviços
para rastrear problemas e preocupações. Qual dos seguintes você espera
encontrar para prevenir ou proteger contra XSS?
A. Input validation
B. Defensive coding
C. A, B and D are correct
D. Escaping meta characters


17. Que forma de ataque abusa da falta de limitação

dos campos de entrada e que pode levar à execução
arbitrária do código?
A. ARP poisoning
B. XSS
C. Domain hijacking
D. Buffer overflow


18. Que princípio de segurança ajuda a impedir que os

usuários acessem espaços de memória atribuídos a
aplicativos que são executados por outros usuários?
A. Separation of privilege
B. Layering
C. Process isolation
D. Least privilege


19. Qual princípio de segurança determina que apenas

um número mínimo de processos do sistema
operacional deve ser executado no modo de
supervisão?
A. Abstraction
B. Layering
C. Data hiding
D. Least privilege

20. Qual princípio de segurança leva o conceito de

isolamento de processos e o implementa usando
controles físicos?
A. Hardware segmentation
B. Data hiding
C. Layering
D. Abstraction

Não há segurança sem segurança física
Sem controle sobre o ambiente físico, nenhuma

quantidade de controles de acesso administrativo ou
técnico/lógico pode fornecer segurança adequada.
Se uma pessoa mal-intencionada pode obter acesso

físico à sua instalação ou equipamento, ela pode fazer
qualquer coisa que quiser, desde destruição até
divulgação e alteração.

Controles administrativos de segurança física
Exemplos de controles administrativos de

segurança física são construção e seleção de
instalações, gerenciamento de local, controle de
pessoal, treinamento de conscientização e
resposta a emergências e procedimentos.

Controles segurança física
Controles técnicos de segurança física podem ser controles de

acesso, detecção de intrusões, alarmes, CFTV, monitoramento,
HVAC, fontes de alimentação e detecção e supressão de
incêndios.
Controles físicos para segurança física - Os controles físicos

para segurança física são cercas, iluminação, fechaduras,
materiais de construção, mantraps, cães e guardas.
Ordem funcional de controles - São dissuasão, detecção e

atraso.
Seleção de local
Seleção de local e projeto de uma instalação para

construção.
Os elementos-chave para fazer a seleção do local são a
visibilidade, a composição da área circundante, a
acessibilidade da área e os efeitos dos desastres
naturais.
Um elemento-chave na concepção de uma instalação
para construção é entender o nível de segurança
necessário pela sua organização e planejar antes do
início da construção.

Áreas de trabalho seguras
Não deve haver acesso igual a todos os locais dentro

de uma instalação.
Áreas que contenham ativos de maior valor ou
importância devem ter acesso restrito.
Bens valiosos e confidenciais devem estar localizados
no coração ou centro de proteção fornecido por uma
instalação.
Além disso, salas de servidor centralizadas ou de
computador não precisam ser compatíveis com
humanos.

Armário de fiação
Um armário de fiação é onde os cabos de rede para um

edifício inteiro ou apenas um piso estão conectados a outros
equipamentos essenciais, como patch panels, switches,
roteadores, extensores de LAN e canais backbone.
A maior parte da segurança para um armário de fiação se

concentra na prevenção de acesso físico não autorizado.
Se um intruso não autorizado tiver acesso à área, ele poderá

roubar equipamentos, puxar ou cortar cabos, ou até mesmo
plantar um dispositivo de escuta.

Instalação segura
Se uma instalação emprega áreas restritas para controlar a

segurança física, então é necessário um mecanismo para
lidar com visitantes.
Muitas vezes uma escolta é atribuída aos visitantes, e seu

acesso e atividades são monitorados de perto.
Deixar de acompanhar as ações de pessoas de fora quando

eles têm acesso a uma área protegida pode resultar em
atividades maliciosas contra os ativos mais protegidos.

Categorias de controles
Os controles de segurança implementados para

gerenciar a segurança física podem ser divididos
em três grupos: administrativo, técnico e físico.

Armazenamento de mídia
As instalações de armazenamento de mídia devem ser

projetadas para armazenar com segurança a mídia em
branco, mídia reutilizável e mídia de instalação.
As preocupações incluem roubo, corrupção e recuperação

de dados remanescentes.
As proteções de instalações de armazenamento de mídia

incluem armários ou cofres bloqueados, usando um
bibliotecário/custodiante, implementando um processo de
check-in/check-out e usando higienização de mídia.

Armazenamento de evidências
O armazenamento de evidências é usado para reter

registros, imagens de unidade, instantâneos de
máquinas virtuais e outros conjuntos de dados para
recuperação, investigações internas e investigações
forenses.
As proteções incluem instalações de armazenamento

dedicadas/isoladas, armazenamento off-line,
rastreamento de atividades, gerenciamento de hash,
restrições de acesso e criptografia.

Ameaças aos controles de acesso físico
Não importa a forma de controle de acesso físico, um segurança

ou outro sistema de monitoramento deve ser implantado para
evitar abusos,
Os abusos do controle de acesso físico incluem a abertura não

autorizada de portas seguras e destravar fechaduras ou controles
de acesso.
Impersonation/Masquerading significa usar a identidade de

segurança de outra pessoa para entrar em uma instalação.
Piggybacking é seguir alguém através de um portão ou porta

segura sem ser identificado ou autorizado pessoalmente.

Trilhas de auditoria e logs de acesso
Trilhas de auditoria e logs de acesso são ferramentas úteis até mesmo

para controle de acesso físico.
Elas podem ser criados manualmente ou podem ser geradas

automaticamente se mecanismos de controle de acesso
suficientemente automatizados estiverem em vigor (ou seja,
smartcards e certos leitores de proximidade).
Você também deve considerar monitorar pontos de entrada com CCTV.

Através do CCTV, você pode comparar as trilhas de auditoria e registros
de acesso com um histórico visualmente registrado dos eventos.
Essas informações são fundamentais para reconstruir os eventos de
uma intrusão, violação ou ataque.
Energia limpa
A energia fornecida pelas companhias elétricas nem sempre é consistente

e limpa.
A maioria dos equipamentos eletrônicos exige energia limpa para
funcionar corretamente.
Danos no equipamento devido a flutuações de energia é uma ocorrência
comum.
Muitas organizações optam por gerenciar sua própria energia através de
vários meios.
Um UPS é um tipo de bateria de auto-carregamento que pode ser usada
para fornecer energia limpa consistente a equipamentos sensíveis.
Os UPS também fornecem energia contínua mesmo após a falha da fonte
de energia primária.
Um UPS pode continuar fornecendo energia por minutos ou horas,
dependendo de sua capacidade e do sorteio por equipamentos.

Problemas de energia
Fault: perda momentânea de energia
Blackout: perda completa de energia
Sag: baixa voltagem momentânea
Brownout: baixa voltagem prolongada
Spike: alta voltagem momentânea
Surge: alta voltagem prolongada
Inrush: Um aumento inicial de energia geralmente associado a
conectar a uma fonte de energia, seja primária ou alternativo /
secundário
Noise: Um poder constante de interferência, perturbação ou flutuação
Transient: Uma curta duração da perturbação do ruído da linha
Clean: Potência pura não flutuante
Ground: O fio aterrado de um circuito elétrico
Controle o meio ambiente (HVAC)
Além das considerações de energia, a manutenção do

ambiente envolve o controle sobre os mecanismos de
HVAC.
Quartos contendo principalmente computadores
devem ser mantidos de 60 a 75 graus Fahrenheit (15 a
23 graus Celsius).
A umidade em uma sala de computadores deve ser
mantida entre 40 e 60%.
Muita umidade pode causar corrosão, pouca umidade
causa eletricidade estática.

Eletricidade estática
Mesmo em carpetes não estáticos, se o ambiente

tem baixa umidade ainda é possível gerar
descargas estáticas de 20.000 volts.
Mesmo níveis mínimos de descarga estática
podem destruir equipamentos eletrônicos.

Vazamento de água e inundações
Vazamentos de água e inundações devem ser abordados em

sua política e procedimentos de segurança ambiental.
Vazamentos de encanamento não são uma ocorrência
cotidiana, mas quando ocorrem, muitas vezes causam danos
significativos.
Água e eletricidade não se misturam. Se os sistemas do
computador entrarem em contato com a água,
especialmente enquanto estiverem operando, é certo que
ocorram danos.
Sempre que possível, localize salas de servidores e
equipamentos de computador críticos longe de qualquer
fonte de água ou tubos de transporte.

Detecção e supressão de fogo
A detecção e supressão de fogo não devem ser

negligenciadas.
Proteger o pessoal contra danos deve ser sempre o
objetivo mais importante de qualquer sistema de
segurança ou proteção.
Além de proteger as pessoas, a detecção e supressão
de incêndios foi projetada para manter os danos
causados por materiais de incêndio, fumaça, calor e
supressão ao mínimo, especialmente no que diz
respeito à infraestrutura de TI.

Danos causados por um incêndio e supressão
Os elementos destrutivos de um incêndio incluem

fumaça e calor, mas também o meio de supressão,
como água ou ácido refrigerante.
A fumaça é prejudicial para a maioria dos dispositivos
de armazenamento.
O calor pode danificar qualquer componente
eletrônico ou de computador.
Os meios de supressão podem causar curtos-circuitos,
iniciar corrosão ou tornar o equipamento inútil. Todas
essas questões devem ser abordadas ao projetar um
sistema de resposta a incêndio.

Privacidade e segurança do pessoal
Em todas as circunstâncias e sob todas as

condições, o aspecto mais importante da
segurança é proteger as pessoas.
Assim, prevenir danos às pessoas é o objetivo mais
importante para todas as soluções de segurança.

D3-ARQUITETURA
SIMULADO-10

1. Qual dos seguintes é o aspecto mais importante

da segurança?
A. Segurança física
B. Detecção de intrusão
C. Segurança lógica
D. Treinamento de conscientização


2. Que método pode ser usado para mapear as

necessidades de uma organização para uma nova
instalação?
A. Auditoria de arquivos log
B. Análise de caminho crítico
C. Análise de risco
D. Inventário


3. Que componente de infraestrutura está

frequentemente localizado na mesma posição em
vários andares, a fim de fornecer um meio
conveniente de vincular redes baseadas no piso?
A. Sala do servidor
B. Armário de fiação
C. Datacenter
D. Gabinetes de mídia


4. Qual dos seguintes não é um elemento de design focado

em segurança de uma instalação ou local?
A. Separação de áreas de trabalho e visitantes
B. Acesso restrito a áreas com maior valor ou importância
C. Ativos confidenciais localizados no coração ou centro de

uma instalação
D. Acesso igualitário a todos os locais dentro de uma

instalação


5. Qual dos seguintes não precisa ser verdadeiro para

manter a sala de servidor mais eficiente e segura?
A. Deve ser compatível com humanos.
B. Deve incluir o uso de supressores de fogo não-água.
C. A umidade deve ser mantida entre 40 e 60%.
D. A temperatura deve ser mantida entre 60 e 75

graus Fahrenheit.


6. Qual das seguintes medidas de segurança não é

típicamente implementada em relação a uma instalação de
armazenamento de mídia contendo mídia removível
reutilizável?
A. Empregando um bibliotecário ou zelador
B. Usando um processo de check-in/check-out
C. Hashing
D. Usando ferramentas de higienização em mídia devolvida


7. Qual das seguintes portas é um conjunto duplo de

portas que muitas vezes é protegido por um guarda e
é usado para conter um sujeito até que sua identidade
e autenticação sejam verificadas?
A. Gate
B. Catraca
C. Mantrap
D. Detector de proximidade


8. Qual é a forma mais comum de dispositivos ou

mecanismos de segurança do perímetro?
A. Seguranças
B. Cercas
C. CCTV
D. Iluminação


9. Qual dos seguintes não é uma desvantagem de usar

guardas de segurança?
A. Os seguranças geralmente desconhecem o escopo das

operações dentro de uma instalação.
B. Nem todos os ambientes e instalações suportam

seguranças.
C. Nem todos os seguranças são confiáveis.
D. A pré-triagem e o treinamento não garantem seguranças

eficazes e confiáveis.


10. Qual é a causa mais comum de falha para um

sistema de supressão de fogo à base de água?
A. Falta de água
B. Pessoas
C. Detectores de ionização
D. Colocação de detectores em tetos de queda


11. Qual é a forma mais comum e barata de

dispositivo de controle de acesso físico?
A. Iluminação
B. Guarda de segurança
C. Fechaduras de teclas
D. Cercas


12. Que tipo de detector de movimento sente

mudanças no campo elétrico ou magnético ao redor
de um objeto monitorado?
A. Wave
B. Fotoelétrico
C. Calor
D. Capacitância


13. Qual dos seguintes não é um tipo típico de alarme

que pode ser acionado para segurança física?
A. Preventivo
B. Dissuasão
C. Repelente
D. Notificação


14. Não importa que forma de controle de acesso

físico seja usado, um segurança ou outro sistema de
monitoramento deve ser implantado para evitar tudo,
exceto qual dos seguintes?
A. Piggybacking
B. Espionagem
C. Masquerading
D. Abuso


15. Qual é o objetivo mais importante de todas as

soluções de segurança?
A. Prevenção da divulgação
B. Mantendo a integridade
C. Segurança humana
D. Manutenção da disponibilidade


16. Qual é o intervalo ideal de umidade para uma

sala de informática?
A. 20-40 por cento
B. 40-60 por cento
C. 60-75 por cento
D. 80-95 por cento


17. Em que nível de tensão a eletricidade estática

pode causar destruição de dados armazenados em
discos rígidos?
A. 4.000
B. 17.000
C. 40
D. 1.500


18. Um extintor tipo B pode usar todos abaixo,

exceto qual dos seguintes meios de supressão?
A. Água
B. CO2
C. Halon ou um substituto halon aceitável
D. Ácido soda


19. Qual é o melhor tipo de sistema de supressão de

incêndio à base de água para uma instalação de
computador?
A. Sistema de tubos molhados
B. Sistema de tubulação seca
C. Sistema de pré-ação
D. Sistema de dilúvio


20. Qual dos seguintes não é tipicamente um culpado

por causar danos a equipamentos de computador em
caso de incêndio e supressão desencadeada?
A. Heat
B. Meio de supressão
C. Fumaça
D. Luz


Domínio 4
Comunicação e Segurança de Rede

Camadas e protocolos do modelo OSI
As sete camadas e os protocolos suportados por cada uma

das camadas do modelo OSI são os seguintes:
Aplicação: HTTP, FTP, LPD, SMTP, Telnet, TFTP, EDI, POP3,

IMAP, SNMP, NNTP, S-RPC e SET
Apresentação: Protocolos de criptografia e tipos de formato,

tais como ASCII, EBCDICM, TIFF, JPEG, MPEG e MIDI
Sessão: NFS, SQL e RPC

Transporte: SPX, SSL, TLS, TCP e UDP
Rede: ICMP, RIP, OSPF, BGP, IGMP, IP, IPSec, IPX, NAT e
SKIP
Enlace (Data-Link): SLIP, PPP, ARP, L2F, L2TP, PPTP,

FDDI, ISDN
Físico: EIA/TIA-232, EIA/TIA-449, X.21, HSSI, SONET,

V.24,
e V.35



Tecnologias de LAN
Ethernet inclue as seguinte tecnologias de

comunicação digital.
Synchronous communications,
Baseband communications,
Broadcast, multicast, and unicast communications
Carrier-Sense Multiple Access with Collision Detection

(CSMA/CD).
Analog communications
Ocorre com um sinal contínuo que varia em

frequência, amplitude, fase, tensão e assim por
diante.
As variações no sinal contínuo produzem uma
forma de onda (em oposição à forma quadrada de
um sinal digital). A comunicação real ocorre por
variações no sinal constante.

Digital communications
Ocorre através do uso de um sinal elétrico

descontínuo e de uma mudança de estado ou pulsos
on-off.
Os sinais digitais são mais confiáveis que os sinais
analógicos em longas distâncias ou quando há
interferência.
Isso ocorre devido ao método de armazenamento de
informações de um sinal digital que emprega tensão
de corrente direta, onde a tensão ligada representa
um valor de 1 e a tensão desligada representa um
valor de 0.
Synchronous communications
Confia em um mecanismo de tempo ou relógio

baseado em um relógio independente ou em um
carimbo de data / hora incorporado ao fluxo de
dados.
As comunicações síncronas normalmente são
capazes de suportar taxas muito altas de
transferência de dados.

Asynchronous communications
Confia no bit delimitador de inicio/fim para

gerenciar a transmissão de dados.
Devido ao uso de bits delimitadores e à natureza
da parada e início transmissão, a comunicação
assíncrona é mais adequada para quantidades
menores de dados.
Modems de rede telefônica pública comutada
(PSTN) são bons exemplos de dispositivos de
comunicação assíncronos.

Baseband technology
Pode suportar apenas um único canal de

comunicação.
Ele usa uma corrente direta aplicada ao cabo.
Uma corrente que está em um nível mais alto
representa o sinal binário de 1 e uma corrente que
está em um nível mais baixo representa o sinal
binário de 0.
Banda base é uma forma de sinal digital.
Ethernet é uma tecnologia de banda base.
Broadband technology
Pode suportar múltiplos sinais simultâneos.

A banda larga usa modulação de frequência para
suportar vários canais, cada um suportando uma
sessão de comunicação distinta.
A banda larga é adequada para altas taxas de
transferência, especialmente quando vários canais
são multiplexados.
Televisão a cabo e modems a cabo, ISDN, DSL, T1 e
T3 são exemplos de tecnologias de banda larga.

Broadcast, multicast e unicast determinam quantos

destinos uma única transmissão pode alcançar:
Broadcast suporta comunicações com todos os

possíveis destinatários.
Multicast suporta comunicações para vários

destinatários específicos.
Unicast suporta apenas uma única comunicação com

um destinatário específico.
Token Passing
Tecnologia de acesso à LAN que realiza as

comunicações usando um token digital.
A posse do token permite que um host transmita
dados.
Quando a transmissão é concluída, ele libera o token
para o próximo.
A passagem do token é usada por redes Token Ring,
como FDDI. O Token Ring evita colisões, pois somente
o sistema que possui o token pode transmitir dados.
Polling
Realiza as comunicações usando uma configuração mestre-

escravo.
Um sistema é rotulado como o sistema primário.
Todos os outros sistemas são rotulados como secundários.
O sistema primário pesquisa ou consulta cada sistema
secundário verficando se precisam transmitir dados.
Se um sistema secundário indicar uma necessidade, é
concedida permissão para transmitir.
Quando a transmissão é concluída, o sistema primário passa
a pesquisar o próximo sistema secundário.
O Controle de Link de Dados Síncronos (SDLC) usa polling.

Arquitetura de rede segura
A segurança da rede deve levar em conta

protocolos IP e não-IP, controle de acesso à rede,
uso de serviços e dispositivos de segurança,
gerenciamento de protocolos multicamadas e
implementação de segurança de ponto final.

Segmentação de rede
A segmentação de rede pode ser usada para

gerenciar o tráfego, melhorar o desempenho e
reforçar a segurança.
Exemplos de segmentos de rede ou sub-redes
incluem intranet, extranet e DMZ.

Tecnologias sem fio
Celulares, Bluetooth (802.15) e rede sem fio

(802.11) são todos chamados de tecnologias sem
fio, embora todas sejam diferentes.

Canal de Fibra
Fibre Channel é uma forma de solução de

armazenamento de dados de rede (ou seja, SAN
(rede de área de armazenamento) ou NAS
(armazenamento conectado à rede)) que permite
transferências de arquivos de alta velocidade.

FCoE
FCoE (Fibre Channel over Ethernet) é usado para

encapsular as comunicações do Fibre Channel nas
redes Ethernet.

iSCSI
iSCSI (Internet Small Computer System Interface) é

um padrão de armazenamento de rede baseado
em IP.

802.11 e 802.11a, b, g, n e ac
802.11 é o padrão IEEE para comunicações de rede

sem fio.
As versões incluem 802.11 (2 Mbps), 802.11a (54

Mbps), 802.11b (11 Mbps), 802.11g (54 Mbps),
802.11n (600 Mbps) e 802.11ac (1.3+ Mbps).
A norma 802.11 também define a Wire Equivalent

Privacy (WEP).

Site survey
Um levantamento do local é o processo de

investigação da presença, força e alcance dos
pontos de acesso sem fio implantados em um
ambiente.
Essa tarefa geralmente envolve andar por aí com
um dispositivo sem fio portátil, tomar nota da
força do sinal sem fio e mapear isso em um gráfico
ou esquema do edifício.

WPA2
WPA2 é um novo esquema de criptografia

conhecido como Counter Mode with Cipher Block
Chaining Message Authentication Code Protocol
(CCMP), que é baseado no esquema de
criptografia AES.

EAP
EAP (Extensible Authentication Protocol) não é um

mecanismo específico de autenticação; em vez
disso, é um framework de autenticação.
Efetivamente, o EAP permite que novas

tecnologias de autenticação sejam compatíveis
com tecnologias de conexão sem fio ou ponto a
ponto existentes.

PEAP
O PEAP (Protected Extensible Authentication

Protocol) encapsula os métodos EAP dentro de um
túnel TLS que fornece autenticação e
potencialmente criptografia.

LEAP
LEAP (Lightweight Extensible Authentication

Protocol) é uma alternativa proprietária da Cisco
ao TKIP para WPA.
Isso foi desenvolvido para suprir deficiências no
TKIP antes que o sistema 802.11i/WPA2 fosse
ratificado como padrão.

Filtragem MAC
É uma lista de endereços MAC de clientes sem fio

autorizados utilizado por um ponto de acesso sem
fio para bloquear o acesso a todos os dispositivos
não autorizados.

Transmissão SSID
As redes sem fio tradicionalmente anunciam seu

SSID regularmente dentro de um pacote especial
conhecido como beacon frame.
Quando o SSID é transmitido, qualquer dispositivo
com um recurso automático de detecção e
conexão não só é capaz de ver a rede, mas
também pode iniciar uma conexão com a rede.

TKIP
O TKIP (Temporal Key Integrity Protocol) foi

projetado como o substituto do WEP sem exigir a
substituição do hardware sem fio legado.
O TKIP foi implementado em rede sem fio 802.11
sob o nome WPA (Wi-Fi Protected Access).

CCMP
O CCMP (Counter Mode with Cipher Block

Chaining Message Authentication Code Protocol)
foi criado para substituir o WEP e o TKIP/WPA.
O CCMP usa AES (Advanced Encryption Standard)
com uma chave de 128 bits.

Portais cativos (Captive portais)
Um portal cativo é uma técnica de autenticação

que redireciona um cliente web sem fio recém-
conectado para uma página de controle de acesso
tipo portal.

Tipos de antena
Uma grande variedade de tipos de antenas pode

ser usada para clientes sem fio e estações base.
Estes incluem
antenas omnidirecional,
bem como muitas antenas direcionais,
como Yagi,
cantenna, painel e parabólica.

Topologias de rede padrão
Ring

Bus

Star

Mesh

Tipos de firewalls
Existem vários tipos de firewalls:
Static packet filtering,
Application-level gateway,
Circuit-level gateway,
Stateful inspection,
Deep-packet inspection,
Next-gen.
Static Packet-Filtering Firewalls
Um firewall estático de filtragem de pacotes filtra o

tráfego examinando dados de um cabeçalho da
mensagem. Geralmente, as regras estão relacionadas
aos endereços de origem, destino e porta. Usando a
filtragem estática, um firewall não consegue fornecer
autenticação do usuário ou saber se um pacote se
originou dentro ou fora da rede privada e é facilmente
enganado com pacotes falsificados. Os firewalls
estáticos de filtragem de pacotes são conhecidos
como firewalls de primeira geração; eles operam na
camada 3 (a camada de rede) do modelo OSI. Eles
também podem ser chamados de roteadores de
triagem (screening routers).
Application-Level Gateway Firewalls
Um firewall de gateway no nível do aplicativo também é

chamado de firewall proxy. Um proxy é um mecanismo que copia
pacotes de uma rede para outra; o processo de cópia também
altera os endereços de origem e destino para proteger a
identidade da rede interna ou privada. Um firewall de gateway no
nível do aplicativo filtra o tráfego com base no serviço da Internet
(em outras palavras, no aplicativo) usado para transmitir ou
receber os dados. Cada tipo de aplicativo deve ter seu próprio
servidor proxy exclusivo. Assim, um firewall de gateway no nível
do aplicativo compreende vários servidores proxy individuais.
Esse tipo de firewall afeta negativamente o desempenho da rede
porque cada pacote deve ser examinado e processado à medida
que passa pelo firewall. Os gateways no nível do aplicativo são
conhecidos como firewalls de segunda geração e operam na
camada Aplicativo (camada 7) do modelo OSI.

Circuit-Level Gateway Firewalls
Os firewalls de gateway no nível do circuito são usados para

estabelecer sessões de comunicação entre parceiros confiáveis.
Eles operam na camada Session (camada 5) do modelo OSI.
SOCKS (do Socket Secure, como nas portas TCP / IP) é uma
implementação comum de um firewall de gateway no nível do
circuito. Os firewalls de gateway no nível do circuito, também
conhecidos como proxies do circuito, gerenciam as comunicações
com base no circuito, não no conteúdo do tráfego. Eles permitem
ou negam decisões de encaminhamento baseadas apenas nas
designações dos terminais do circuito de comunicação (em
outras palavras, os endereços de origem e destino e os números
das portas de serviço). Os firewalls de gateway no nível de
circuito são considerados firewalls de segunda geração porque
representam uma modificação do conceito de firewall de
gateway no nível do aplicativo.

Stateful Inspection Firewalls
Os firewalls de inspeção com estado (também conhecidos

como firewalls de filtragem de pacotes dinâmicos) avaliam o
estado ou o contexto do tráfego de rede. Examinando os
endereços de origem e destino, o uso do aplicativo, a origem
de origem e o relacionamento entre os pacotes atuais e os
pacotes anteriores da mesma sessão, os firewalls de
inspeção com estado podem conceder uma gama mais
ampla de acesso a usuários e atividades autorizados e
observar ativamente e bloquear usuários e atividades não
autorizados. Os firewalls de inspeção com estado
geralmente operam com mais eficiência que os firewalls de
gateway no nível do aplicativo. Eles são conhecidos como
firewalls de terceira geração e operam nas camadas Rede e
Transporte (camadas 3 e 4) do modelo OSI.

Deep Packet Inspection Firewalls
Os firewalls de inspeção profunda de pacotes (DPI) são

um mecanismo de filtragem que opera normalmente
na camada de aplicativos para filtrar o conteúdo da
carga útil de uma comunicação e não apenas nos
valores do cabeçalho. O DPI também pode ser
conhecido como inspeção completa de pacotes e
extração de informações (IX). A filtragem de DPI é
capaz de bloquear nomes de domínio, malware, spam
ou outros elementos identificáveis na carga útil de
uma comunicação. O DPI é frequentemente integrado
a firewalls da camada de aplicação e / ou firewalls de
inspeção com estado.

Next-Gen Firewalls
Um firewall de última geração é um dispositivo

multifuncional (MFD) composto por vários
recursos de segurança, além de um firewall;
componentes integrados podem incluir um IDS,
um sistema de prevenção de intrusões (IPS), um
proxy TLS / SSL, filtragem da Web, gerenciamento
de QoS, otimização de largura de banda, NAT, VPN
e antivírus.

D4-REDES
SIMULADO-11

1. O que é a camada 4 do modelo OSI?
A. Apresentação
B. Rede
C. Link de dados
D. Transporte


2. O que é encapsulamento?
A. Alterando os endereços de origem e destino de um

pacote
B. Adicionando um cabeçalho e um rodapé aos dados

à medida que ele se move para baixo da pilha OSI
C. Verificando a identidade de uma pessoa
D. Proteger evidências até que elas sejam

devidamente coletadas


3. Qual camada de modelo OSI gerencia as

comunicações nos modos simplex, halfduplex e full-
duplex?
A. Aplicação
B. Sessão
C. Transporte
D. Físico


4. Qual dos seguintes é o menos resistente ao EMI?
A. Thinnet
B. UTP
C. STP
D. Fibra


5. Qual dos seguintes não é um exemplo de

segmentação de rede?
A. Intranet
B. DMZ
C. Extranet
D. VPN


6. O que é uma tecnologia de campo que pode ser

usada para gerenciamento de estoque sem exigir
contato físico direto?
A. IPX
B. RFID
C. SSID
D. SDN


7. Se você é vítima de um ataque de bluejacking, o

que foi comprometido?
A. Seu firewall
B. Seu interruptor
C. Seu celular
D. Seus cookies web


8. Qual tecnologia de rede é baseada no padrão IEEE

802.3?
A. Ethernet
B. Anel de Token
C. FDDI
D. HDLC


9. O que é um TCP wraper?
A. Um protocolo de encapsulamento usado por switches
B. Um aplicativo que pode servir como um firewall básico

restringindo o acesso com base em IDs do usuário ou IDs do
sistema
C. Um protocolo de segurança usado para proteger o tráfego

TCP/IP sobre links WAN
D. Um mecanismo para túnel TCP/IP através de redes não-IP


10. O que é um benefício e uma implicação

potencialmente prejudicial dos protocolos
multicamadas?
A. Throughput
B. Encapsulation
C. Verificação de integridade hash
D. Endereçamento lógico


11. Examinando os endereços de origem e destino, o uso do

aplicativo, a fonte de origem e a relação entre os pacotes
atuais com os pacotes anteriores da mesma sessão, os
__________________ firewalls são capazes de conceder
uma gama mais ampla de acesso para usuários e atividades
autorizadas e vigiar e bloquear ativamente usuários e
atividades não autorizadas.
A. Static packet-filtering
B. Application-level gateway
C. Stateful inspection
D. Circuit-level gateway

12. Firewalls______são conhecidos como third

generation.
A. Application-level gateway
B. Stateful inspection
C. Circuit-level gateway
D. Static packet-filtering

13. Qual dos seguintes não é verdade em relação aos

firewalls?
A. Eles são capazes de registrar informações de

tráfego.
B. Eles são capazes de bloquear vírus.
C. Eles são capazes de emitir alarmes com base em

ataques suspeitos
.
D. Eles são incapazes de evitar ataques internos.


14. Qual dos seguintes não é um protocolo de

roteamento?
A. OSPF
B. BGP
C. RPC
D. RIP


15. O _______ é um hub inteligente porque conhece os

endereços dos sistemas conectados em cada porta de saída.
Em vez de repetir o tráfego em cada porta de saída, ele
repete o tráfego apenas para a porta de destino.
A. Repetidor
B. Switch
C. Bridge
D. Roteador


16. Qual das seguintes tecnologias não é

especificamente associada à rede sem fio 802.11?
A. WAP
B. WPA
C. WEP
D. 802.11i


17. Qual método de acesso à rede sem fio oferece

o maior rendimento com menor interferência?
A. FHSS
B. DSSS
C. OFDM
D. OSPF


18. Que conceito de segurança incentiva os

administradores a instalar firewalls, scanners de
malware e um IDS em cada host?
A. Segurança do endpoint
B. Controle de acesso à rede (NAC)
C. VLAN
D. RADIUS


19. Qual função o ARP desempenha?
A. É um protocolo de roteamento.
B. Ele resolve endereços IP em endereços MAC.
C. Resolve endereços físicos em endereços lógicos.
D. Ele gerencia o streaming multiplex.


20. Qual infraestrutura de rede sem fio suporta

grandes ambientes físicos através do uso de um
único SSID, mas inúmeros pontos de acesso?
A. Stand-alone
B. Wired extension
C. Enterprise extension
D. Bridge

Mecanismos para comunicação de dados
Simple Key Management for Internet Protocols (SKIP)

Plataforma BaaS para criação de carteiras digitais (SWIPE)
Secure Remote Procedure Call (S-RPC)
Secure Electronic Transaction (SET)
Point-to-point protocol (PPP)
Serial Line Internet Protocol (SLIP)
Challenge Handshake Authentication Protocol (CHAP)
Password Authentication Protocol (PAP)
Extensible Authentication Protocol (EAP)
Virtual private network (VPN)
Transport Layer Security (TLS)
Virtual local area network (VLAN)
Encapsulamento
O tunelamento é o encapsulamento de uma

mensagem de protocolo entregue dentro de um
segundo protocolo.
O segundo protocolo frequentemente executa a
criptografia para proteger o conteúdo da
mensagem.

VPN
VPNs são baseadas em túneis criptografados. Eles

podem oferecer autenticação e proteção de dados
como uma solução ponto a ponto.
Os protocolos mais comuns de VPN são:
PPTP creates a point-to-point tunnel between two

systems and encapsulates PPP packets. It offers
protection for authentication traffic through the same
authentication protocols supported by PPP Point-to-
Point Tunneling Protocol (PPTP)

Layer 2 Forwarding Protocol and Layer 2 Tunneling Protocol
Layer 2 Forwarding (L2F), é um mecanismo de

encapsulamento de autenticação mútua. No entanto, o L2F
não oferece criptografia.
O Protocolo de encapsulamento da camada 2 (L2TP) foi

derivado do PPTP e L2F.
O L2TP cria um túnel ponto a ponto entre os pontos de
comunicação. Não possui um esquema de criptografia
interno, mas normalmente depende do IPsec como
mecanismo de segurança. O L2TP também suporta TACACS +
e RADIUS. IPsec é comumente usado como um mecanismo
de segurança para L2TP.
Protocolo de segurança IP
O IPsec (IPsec) é um protocolo VPN independente e o

mecanismo de segurança do L2TP, e pode ser usado
apenas para o tráfego IP. O Ipsec consiste nos
elementos de segurança do IPv6 criados em um
pacote complementar para IPv4. O IPsec funciona
apenas em redes IP e fornece autenticação segura e
transmissão de dados criptografados.
Cabeçalho de autenticação (AH) O AH fornece

autenticação, integridade e não-repúdio.

Encapsulating Security Payload (ESP)
O ESP fornece criptografia para proteger a

confidencialidade dos dados transmitidos, mas
também pode executar autenticação limitada.
Ele opera na camada de rede (camada 3) e pode ser
usado no modo de transporte ou no modo de túnel.
No modo de transporte, os dados do pacote IP são
criptografados, mas o cabeçalho do pacote não é.
No modo de encapsulamento, o pacote IP inteiro é
criptografado e um novo cabeçalho é adicionado ao
pacote para controlar a transmissão através do
encapsulamento.
NAT
O NAT protege o esquema de endereçamento de

uma rede privada, permite o uso dos endereços IP
privados e permite que vários clientes internos
obtenham acesso à internet através de alguns
endereços IP públicos.
O NAT é suportado por muitos dispositivos de
fronteira de segurança, como firewalls, roteadores,
gateways e proxies.

Packet switching and circuit switching
No circuit switching, uma via física dedicada é criada

entre as duas partes comunicantes.
Packet switching ocorre quando a mensagem ou
comunicação é dividida em pequenos segmentos e
enviada através das redes intermediárias para o
destino.
Dentro dos sistemas de comutação de pacotes estão
dois tipos de caminhos de comunicação, ou circuitos
virtuais: circuitos virtuais permanentes (PVCs) e
circuitos virtuais comutado (SVCs).

Linhas dedicadas e não dedicadas
Uma linha dedicada está sempre conectada e é

reservada para um cliente específico. Exemplos de
linhas dedicadas incluem modems T1, T3, E1, E3 e
cabo.
Uma linha não dedicada requer que uma conexão seja
estabelecida antes que a transmissão de dados possa
ocorrer. Ela pode ser usado para se conectar com
qualquer sistema remoto que use o mesmo tipo de
linha não dedicada. Modems padrão, DSL e ISDN são
exemplos de linhas não dedicadas.

Tecnologias WAN
A maioria das tecnologias WAN requer um canal de serviço

de dados chamado “Channel Service Unit/Data Service Unit
(CSU/DSU)”, às vezes chamada de Switch WAN. Existem
muitos tipos de redes de operadoras e tecnologias de
conexão WAN, como:
X.25 Utiliza circuitos virtuais permanentes para estabelecer

pontos específicos.
Como o X.25, o Frame Relay é uma tecnologia de comutação

de pacotes que também usa PVCs. No entanto,
diferentemente do X.25, o Frame Relay suporta vários PVCs
em uma única conexão de serviço de transportadora WAN.

O modo de transferência assíncrona (ATM) é uma

tecnologia de comunicação WAN de comutação de
células, em oposição a uma tecnologia de comutação
de pacotes como o Frame Relay
O Serviço de dados multimegabit comutado (SMDS) é

uma tecnologia de comutação de pacotes não
orientado à conexão. Geralmente, o SMDS é usado
para conectar várias LANs para formar uma rede de
área metropolitana (MAN) ou uma WAN
Hierarquia Digital Síncrona (SDH) e Rede Óptica

Síncrona (SONET) são padrões de rede de fibra óptica
de alta velocidade.
SDH e SONET são principalmente padrões de

camada física ou de hardware que definem os
requisitos de infraestrutura e velocidade da linha.
SDH e SONET usam multiplexação por divisão de
tempo síncrona (TDM) para comunicações duplex
de alta velocidade com mínima necessidade de
sobrecarga de controle e gerenciamento.
Algumas tecnologias de conexão WAN exigem

protocolos especializados adicionais para suportar
vários tipos de sistemas ou dispositivos
especializados.
PPP e SLIP
O Protocolo ponto a ponto (PPP) é um protocolo de

encapsulamento projetado para suportar a
transmissão de tráfego IP sobre links dial-up ou ponto
a ponto.
O PPP inclui uma ampla gama de serviços de
comunicação, incluindo atribuição e gerenciamento de
endereços IP, gerenciamento de comunicações
síncronas, encapsulamento padronizado, multiplexing,
configuração de link, teste de qualidade de link,
detecção de erros e negociação de recursos ou opções
(como compressão).

O PPP foi originalmente projetado para suportar CHAP

e PAP para autenticação.
No entanto, versões recentes do PPP também

suportam MS-CHAP, EAP e SPAP.
O PPP substituiu o Protocolo de Internet da Linha

Serial (SLIP).
O SLIP não oferecia autenticação, suportava apenas
comunicações half-duplex, não tinha recursos de
detecção de erros e exigia estabelecimento de link
manual.

Controles de segurança
Os controles de segurança devem ser transparentes

aos usuários.
Hash e as verificações de CRC podem ser usados para
verificar a integridade da mensagem.
Registro da sequência de frames são usados para
garantir a integridade da sequência de uma
transmissão.
Logging da transmissão ajuda a detectar abusos na
comunicação.

Segurança de e-mail
O e-mail é baseado em SMTP, POP3 e IMAP.

É inerentemente inseguro.
Pode ser protegido, mas os métodos utilizados
devem ser abordados em uma política de
segurança.
As soluções de segurança de e-mail incluem o uso
de S/MIME, MOSS, PEM ou PGP.

O Secure/Multipurpose Internet Mail Extensions

(S/MIME) usa o RSA encryption algorithm.
MIME Object Security Services (MIME) pode fornecer

authentication, confidentiality, integrity, e
nonrepudiation para mensagens de e-mail. Utiliza
Message Digest 2 (MD2) e MD5; chave pública da RSA;
e Data Encryption Standard (DES) para autenticação e
criptografia simétrica.
(PEM) Privacy Enhanced Mail é um mecanismo

criptográfico que fornece authentication, integrity,
confidentiality, and nonrepudiation ao email. PEM usa
RSA, DES, and X.509.
(PGP) Pretty Good Privacy (PGP) é um sistema de

chave pública-privada que usa uma variedade de
algoritmos de criptografia para criptografar
arquivos e mensagens de email.
A primeira versão do PGP usava o RSA, a segunda
versão, International Data Encryption Algorithm
(IDEA), mas versões posteriores ofereciam uma
variedade de opções de algoritmos.
O PGP não é um padrão, mas um produto
desenvolvido de forma independente, com amplo
suporte de base na Internet.
Segurança por fax
A segurança do fax é baseada principalmente no

uso de transmissões criptografadas ou linhas de
comunicação criptografadas para proteger os
materiais enviados por fax.
O objetivo principal é evitar interceptações.
Registros de atividades e relatórios de exceção
podem ser usados para detectar anomalias na
atividade de fax que podem ser sintomas de
ataque.

Contramedidas para fraudes em PBX
As contramedidas à fraude e abuso do PBX incluem

muitas das mesmas precauções que você
empregaria para proteger uma rede de
computadores típica: controles lógicos ou técnicos,
controles administrativos e controles físicos.

VoIP
O VoIP tem risco de:

Caller ID spoofing,
vishing,
SPIT,
call manager software/firmware attacks,
phone hardware attacks,
DoS,
MitM,
spoofing,
and switch hopping.

VoIP - RISCOS
Vishing é uma variante de phishing que usa o

sistema telefônico ou o VoIP. O usuário é
incentivado a verificar ou validar informações
como número do cartão de crédito, data de
validade e código de segurança.
A identificação de chamadas pode ser falsificada

facilmente usando ferramentas VoIP, para que os
hackers possam realizar ataques de vishing (VoIP
phishing) ou Spam pela Internet Telephony (SPIT).
Os sistemas de gerenciamento de chamadas e os

próprios telefones VoIP podem estar vulneráveis a
ataques ao sistema operacional (SO) e ataques DoS. Se
o SO ou firmware tiver vulnerabilidades, há um risco
maior de explorações.
Os invasores podem ser capazes de executar ataques

do tipo man-in-the-middle (MitM), falsificando os
gerenciadores de chamada ou negociando e / ou
respondendo às conexões de terminais. Dependendo
da implantação, também há riscos associados à
implantação de telefones VoIP nos mesmos switches
(switch hopping) dos sistemas de desktop e servidor.
Phreaker
Phreaking é um tipo específico de ataque no qual

vários tipos de tecnologia são usados para burlar o
sistema telefônico para fazer chamadas gratuitas
de longa distância, para alterar a função do serviço
telefônico, para roubar serviços especializados ou
mesmo para causar interrupções de serviço.
Ferramentas comuns de phreakers incluem caixas
pretas, vermelhas, azuis e brancas.

Black boxes manipula voltagem da linha para

fraudar serviço de longa distancia.
Red boxes simula o tom de uma moeda sendo

depositada
Blue boxes simula o tom de 2600 Hz para interagir

com a rede de telefonia
White boxes simula gerador DTMF

Segurança de comunicações de voz
As comunicações de voz são vulneráveis a muitos

ataques, especialmente quando as comunicações
de voz tornam-se uma parte importante dos
serviços de rede.
Você pode obter confidencialidade usando
comunicações criptografadas.
As contramedidas devem ser implantadas para
proteger contra interceptação, escuta, tapping e
outros tipos de exploração.

Engenharia social
A engenharia social é um meio pelo qual uma pessoa

desconhecida ganha a confiança de alguém dentro de
sua organização, convencendo os funcionários de que
eles estão, por exemplo, associados à alta gestão,
suporte técnico ou ao help desk.
A vítima é frequentemente encorajada a fazer uma
alteração em sua conta de usuário no sistema, como
redefinir sua senha, para que o invasor possa usá-la
para ter acesso à rede. A principal contramedida para
este tipo de ataque é o treinamento do usuário.

Fronteiras da segurança
Um limite de segurança pode ser a divisão entre

uma área protegida e outra área protegida.
Também pode ser a divisão entre uma área
protegida e uma área insegura.
Ambos devem ser abordados em uma política de
segurança.

Ataques a rede e segurança das comunicações
Os sistemas de comunicação são vulneráveis a muitos ataques,

incluindo:
Distributed denial of service (DDoS) / negação de serviço distribuída

(DDoS)
Eavesdropping / sniffing / bisbilhotar
Impersonation / representação
Replay / repetição
Modification / modificação
Spoofing / falsificação
ARP e DNS
É importante fornecer contramedidas eficazes para cada um.
D4-REDES
SIMULADO-12

1. __________ é um mecanismo de conexão de

camada 2 que usa a tecnologia de comutação de
pacotes para estabelecer circuitos virtuais entre os
pontos finais de comunicação.
A. ISDN
B. Frame Relay
C. SMDS
D. ATM

2. As conexões do túnel podem ser estabelecidas

em todos, exceto em qual das seguintes conexões?
A. WAN links
B. LAN pathways
C. Dial-up connections
D. Stand-alone systems

3. _________ é o mecanismo baseado em padrões

para fornecer criptografia para tráfego TCP/IP ponto a
ponto.
A. UDP
B. IDEA
C. IPsec
D. SDLC


4. Qual dos seguintes endereços IP não é um

endereço IP privado definido pelo RFC 1918?
A. 10.0.0.18
B. 169.254.1.119
C. 172.31.8.204
D. 192.168.6.43


5. Qual dos seguintes não pode ser conectado sobre

uma VPN?
A. Dois LANs distantes conectados à internet
B. Dois sistemas na mesma LAN
C. Um sistema conectado à internet e uma LAN

conectada à internet
D. Dois sistemas sem uma conexão de rede

intermediária


6. O que é necessário para permitir que um cliente

externo inicie uma sessão de comunicação com um
sistema interno se a rede usar um proxy NAT?
A. IPsec tunnel
B. Static mode NAT
C. Static private IP address
D. Reverse DNS

7. Quais dos seguintes protocolos de VPN não

oferecem criptografia de dados nativas? (Escolha tudo
o que se aplica.)
A. L2F
B. L2TP
C. Ipsec
D. PPTP


8. Em qual camada do modelo OSI funciona o

protocolo IPsec?
A. Data Link
B. Transporte
C. Sessão
D. Network


9. Que tecnologia permite que conversas telefônicas

ocorram em uma rede TCP/IP existente e conexão à
internet?
A. Ipsec
B. VoIP
C. SSH
D.TLS


10. Qual dos seguintes não é um benefício do NAT?
A. Ocultar o esquema de endereçamento IP Interno
B. Compartilhar alguns endereços públicos na internet

com um grande número de clientes internos
C. Usar os endereços IP privados do RFC 1918 em uma

rede interna
D. Filtrar o tráfego de rede para evitar ataques de

força bruta


11. Um benefício significativo de um controle de

segurança é quando ele passa desapercebido pelos
usuários. Como se chama isso?
A. Invisibilidade
B. Transparência
C. Desvio
D. Escondendo-se à vista de todos


12. Quando você está projetando um sistema de

segurança para e-mail fornecido pela internet, qual
dos seguintes é menos importante?
A. Não-repúdio
B. Disponibilidade
C. Integridade da mensagem
D. Restrição de acesso


13. Qual dos seguintes normalmente não é um

elemento que deve ser discutido com os usuários
finais em relação às políticas de retenção de e-mails?
A. Privacidade
B. Revisão do auditor
C. Comprimento do email retido
D. Método de backup


14. Como se chama quando o próprio e-mail é

usado como mecanismo de ataque?
A. Masquerading
B. Mail-bombing
C. Spoofing
D. Smurf attack

15. Por que o spam é tão difícil de parar?
A. Os filtros são ineficazes no bloqueio de mensagens

de entrada.
B. O endereço de origem geralmente é falsificado

(spoofed).
C. É um ataque que requer pouca experiência.
D. Spam pode causar ataques de negação de serviço.


16. Qual dos seguintes é um tipo de conexão que pode

ser descrita como um circuito lógico que sempre existe
e está esperando o cliente enviar dados?
A. ISDN
B. PVC
C. VPN
D. SVC


17. Além de manter um sistema atualizado e controlar

o acesso físico, qual das seguintes é a contramedida
mais eficaz contra fraudes e abusos da PBX?
A. Criptografando comunicações
B. Alterando senhas padrão
C. Usando registros de transmissão
D. Gravar e arquivar todas as conversas


18. Qual dos seguintes pode ser usado para contornar

até mesmo os melhores mecanismos de segurança
físicos e lógicos para ter acesso a um sistema?
A. Ataques de dicionário
C. Engenharia social
D. Varredura de portas


19. Qual dos seguintes não é um ataque de negação de

serviço?
A. Explorando uma falha em um programa para consumir

100% da CPU
B. Enviar pacotes malformados para um sistema, fazendo

com que ele congele
C. Realizar um ataque de força bruta contra uma conta de

usuário conhecida quando o bloqueio da conta não está
presente
D. Enviando milhares de e-mails para um único endereço


20. Que protocolo de autenticação não oferece

criptografia ou proteção para credenciais de logon?
A. PAP
B. CHAP
C. SSL
D. RAIO


Domínio 5
Gerenciamento de Identidade e Acesso (IAM)

Sujeitos e objetos
Você verá que as perguntas do CISSP e a

documentação de segurança geralmente usam os
termos sujeito objeto, por isso é importante saber
a diferença entre eles. Os sujeitos são entidades
ativas (como usuários) que acessam objetos
passivos (como arquivos). Um usuário é um sujeito
que acessa objetos enquanto realiza alguma ação
ou realiza uma tarefa de trabalho.

Tipos de controles de acesso
Os controles de acesso podem ser preventivos (para

impedir que atividades indesejadas ou não
autorizadas ocorram), detetive (para descobrir
atividades indesejadas ou não autorizadas) ou
corretivos (para restaurar os sistemas ao normal após
uma atividade indesejada ou não autorizada ter
ocorrido). Os controles de acesso dissuasivos tentam
desencorajar a violação das políticas de segurança,
encorajando as pessoas a decidirem não tomar uma
ação indesejada.

Os controles de recuperação tentam reparar ou

restaurar recursos, funções e recursos após uma
violação da política de segurança. Os controles de
diretiva tentam direcionar, limitar ou controlar a
ação dos sujeitos para forçar ou incentivar o
cumprimento da política de segurança. Os
controles compensadores fornecem opções ou
alternativas aos controles existentes para ajudar na
aplicação e apoio a uma política de segurança.

Métodos de controles de acesso
Os controles são implementados como controles

administrativos, lógicos/técnicos ou físicos. Os
controles administrativos (ou de gestão) incluem
políticas ou procedimentos para implementar e impor
o controle geral de acesso. Os controles
lógicos/técnicos incluem mecanismos de hardware ou
software usados para gerenciar o acesso a recursos e
sistemas e fornecer proteção para esses recursos e
sistemas. Os controles físicos incluem barreiras físicas
implantadas para evitar contato direto e acesso com
sistemas ou áreas dentro de uma instalação.

Identificação e autenticação
Os controles de acesso dependem de identificação

e autenticação eficazes, por isso é importante
entender as diferenças entre eles. Os sujeitos
reivindicam uma identidade, e a identificação pode
ser tão simples quanto um nome de usuário para
um usuário. Os sujeitos comprovam sua identidade
fornecendo credenciais de autenticação, como a
senha correspondente para um nome de usuário.

Autorização e prestação de contas
Após autenticar os sujeitos, os sistemas autorizam

o acesso a objetos com base em sua identidade
comprovada. Registros de auditoria e trilhas de
auditoria registram eventos, incluindo a identidade
do sujeito que realizou uma ação. A combinação
de identificação, autenticação e auditoria eficazes
fornece prestação de contas.

Fatores de autenticação
Os três principais fatores de autenticação são algo que você sabe

(como uma senha ou PIN), algo que você tem (como um
smartcard ou token) e algo que você é (baseado em biometria). A
autenticação multifatorial inclui dois ou mais fatores de
autenticação, e usá-la é mais seguro do que usar um único fator
de autenticação. As senhas são a forma mais fraca de
autenticação, mas as políticas de senha ajudam a aumentar sua
segurança, reforçando a complexidade e os requisitos de
histórico. Os smartcards incluem microprocessadores e
certificados criptográficos, e os tokens criam senhas únicas.
Métodos biométricos identificam usuários com base em
características como impressões digitais. A taxa de erro do
crossover identifica a precisão de um método biométrico. Mostra
onde a taxa de rejeição falsa é igual à falsa taxa de aceitação.

SINGLE SIGN-ON (SSO)
O single sign-on (SSO) é um mecanismo que permite que os sujeitos se

autenticam uma vez e acessem vários objetos sem autenticar novamente.
Kerberos é o método SSO mais comum usado dentro das organizações, e
usa criptografia simétrica e bilhetes para provar identificação e fornecer
autenticação. Quando várias organizações querem usar um sistema SSO
comum, muitas vezes usam um sistema federado de gestão de identidade,
onde a federação, ou grupo de organizações, concorda com um método
comum de autenticação. O SAML (Security Assertion Markup Language,
linguagem de marcação de segurança) é comumente usado para
compartilhar informações de identidade federadas. Outros métodos SSO
são acesso roteirizado, SESAME e KryptoKnight. OAuth e o OpenID são
duas tecnologias SSO mais novas usadas na internet. OAuth 2.0 é mais
recomendado do que OAuth 1.0 por muitas organizações, como o Google.

Protocolos AAA
Vários protocolos fornecem serviços de autenticação,

autorização e contabilidade centralizados. Os sistemas de
acesso à rede (ou acesso remoto) usam protocolos AAA. Por
exemplo, um servidor de acesso à rede é um cliente de um
servidor RADIUS, e o servidor RADIUS fornece serviços AAA.
O RADIUS usa UDP e criptografa apenas a senha. O TACACS+
usa TCP e criptografa toda a sessão. O diâmetro é baseado
no RADIUS e melhora muitas das fraquezas do RADIUS, mas
o diâmetro não é compatível com o RADIUS. O diâmetro está
se tornando mais popular com sistemas IP móveis, como
smartphones.

Ciclo de vida de identity e acesso
O ciclo de vida de provisionamento de identidade e

acesso refere-se à criação, gerenciamento e exclusão
de contas. O provisionamento de contas garante que
eles tenham privilégios apropriados com base nos
requisitos de tarefa. Revisões periódicas garantem que
as contas não tenham privilégios excessivos e sigam o
princípio do menor privilégio. A revogação inclui
desativar contas o mais rápido possível quando um
funcionário deixa a empresa e excluir contas quando
elas não são mais necessárias.

D5-ACESSO
SIMULADO-13

1. Qual dos seguintes não seria um ativo que uma

organização gostaria de proteger com controles de acesso?
A. Informações
B. Sistemas
C. Dispositivos
D. Instalações
E. Nenhum dos acima


2. Qual dos seguintes está relacionado a um sujeito?
A. Um sujeito é sempre uma conta de usuário.
B. O sujeito é sempre a entidade que fornece ou

hospeda as informações ou dados.
C. O sujeito é sempre a entidade que recebe

informações sobre ou dados de um objeto.
D. Uma única entidade nunca pode mudar de papel

entre sujeito e objeto.


3. Qual dos seguintes tipos de controle de acesso usa cercas,

políticas de segurança, treinamento de conscientização de
segurança e software antivírus para impedir que uma
atividade indesejada ou não autorizada ocorra?
A. Preventivo
B. Detetive
C. Corretivo
D. Autoritário


4. Que tipo de controles de acesso são mecanismos de

hardware ou software usados para gerenciar o acesso
a recursos e sistemas e fornecer proteção para esses
recursos e sistemas?
A. Administrativo
B. Lógica/técnica
C. Físico
D. Preventivo


5. Qual das seguintes melhor expressa o objetivo principal

de controlar o acesso aos ativos?
A. Preservar a confidencialidade, integridade e

disponibilidade de sistemas e dados.
B. Certifique-se de que somente objetos válidos podem ser

autenticados em um sistema.
C. Impedir o acesso não autorizado aos sujeitos.
D. Certifique-se de que todos os sujeitos sejam autenticados.


6. Um usuário faz login com um ID de login e uma

senha. Qual é o propósito do ID de login?
A. Autenticação
B. Autorização
C. Prestação de contas
D. Identificação


7. A prestação de contas requer todos os seguintes

itens, exceto um. Qual item não é necessário para a
prestação de contas?
A. Identificação
B. Autenticação
C. Auditoria
D. Autorização


8. O que você pode usar para evitar que os

usuários alternem entre duas senhas?
A. Complexidade de senha
B. Histórico de senhas
C. Idade da senha
D. Comprimento da senha


9. Qual das seguintes melhores identifica o

benefício de uma´passphrase?
A. É curto.
B. É fácil de lembrar.
C. Inclui um único conjunto de caracteres.
D. É fácil de quebrar.


10. Qual dos seguintes é um exemplo de um fator

de autenticação tipo 2?
A. Algo que você tem
B. Algo que você é
C. Algo que você faz
D. Algo que você sabe


11. Sua organização fornece dispositivos para os

funcionários. Esses dispositivos geram senhas únicas a cada
60 segundos. Um servidor hospedado dentro da organização
sabe qual é essa senha a qualquer momento. Que tipo de
dispositivo é esse?
A. Token síncrono
B. Token assíncrono
C. Cartão inteligente
D. Cartão de acesso comum


12. Qual dos seguintes fornece autenticação com

base em uma característica física de um sujeito?
A. ID da conta
B. Biometria
C. Token
D. PIN


13. O que indica o CER para um dispositivo

biométrico?
A. Indica que a sensibilidade é muito alta.
B. Indica que a sensibilidade é muito baixa.
C. Indica o ponto em que a taxa de rejeição falsa é

igual à falsa taxa de aceitação.
D. Quando alto o suficiente, indica que o dispositivo

biométrico é altamente preciso.


14. Sally tem uma conta de usuário e já faz logon a 6

anos usando um sistema biométrico. Hoje, o sistema
biométrico não a reconheceu, então ela não
conseguiu fazer logon. O que melhor descreve isso?
A. Falsa rejeição
B. Falsa aceitação
C. Erro de crossover
D. Erro igual


15. Qual é o objetivo principal do Kerberos?
A. Confidencialidade
B. Integridade
C. Autenticação
D. Prestação de contas


16. Qual das seguintes opções é a melhor escolha para

apoiar um sistema federado de gestão de identidade
(Federated identity management - FIM)?
A. Kerberos
B. Hypertext Markup Language (HTML)
C. Extensible Markup Language (XML)
D. Security Assertion Markup Language (SAML)


17. Qual é a função do servidor de acesso à rede

dentro de uma arquitetura RADIUS?
A. Servidor de autenticação
B. Cliente
C. Servidor AAA
D. Firewall


18. Qual dos seguintes protocolos AAA é baseado

em RADIUS e suporta IP Móvel e VoIP?
A. Controle de acesso distribuído
B. Diameter
C. TACACS+
D. TACACS


Consulte o seguinte cenário ao responder às perguntas 19 e

20.
Um administrador trabalha dentro de uma organização há mais
de 10 anos. Ele se mudou entre diferentes divisões de TI dentro
da empresa e manteve privilégios de cada um dos trabalhos que
teve durante seu mandato. Recentemente, os supervisores o
advertiram por fazer mudanças não autorizadas nos sistemas. Ele
mais uma vez fez uma mudança não autorizada que resultou em
uma paralisação inesperada e a administração decidiu encerrar
seu emprego na empresa. Ele voltou ao trabalho no dia seguinte
para limpar sua mesa e pertences, e durante este tempo ele
instalou um script malicioso que estava programado para ser
executado como uma bomba lógica no primeiro dia do mês
seguinte. O script alterará senhas do administrador, excluirá
arquivos e desligará mais de 100 servidores no datacenter.

19. Qual dos seguintes princípios básicos foi

violado durante o emprego do administrador?
A. Implicit deny
B. Loss of availability
C. Defensive privileges
D. Least privilege

20. O que poderia ter descoberto problemas com a

conta deste usuário enquanto ele estava empregado?
A. Política que exige autenticação forte
B. Autenticação multifatorial
C. Registro
D. Revisão de contas


Mecanismos de autorização
A autorização garante que a atividade solicitada ou o acesso

ao objeto seja possível, dado os privilégios atribuídos à
identidade autenticada. Por exemplo, garante que usuários
com privilégios apropriados possam acessar arquivos e
outros recursos. Os mecanismos comuns de autorização
incluem negação implícita, listas de controle de acesso,
matrizes de controle de acesso, tabelas de capacidade,
interfaces restritas, controles dependentes de conteúdo e
controles independentes de contexto. Esses mecanismos
impõem princípios de segurança, como a necessidade de
conhecer, o princípio do menor privilégio e a separação dos
deveres.

Modelos de controle de acesso
Com os modelos da DAC (Discretionary Access Control, controle

de acesso discricionário), todos os objetos possuem proprietários
e os proprietários podem modificar permissões. Os
administradores gerenciam centralmente controles não
discricionários. Os modelos RBAC (Role Based Access Control,
controle de acesso baseado em função) usam funções baseadas
em tarefas e os usuários ganham privilégios quando os
administradores colocam suas contas em uma função. Os
modelos de controle de acesso baseados em regras usam um
conjunto de regras, restrições ou filtros para determinar o
acesso. O modelo MAC (Mandatory Access Control, controle de
acesso obrigatório) usa etiquetas para identificar domínios de
segurança. Os sujeitos precisam de etiquetas correspondentes
para acessar objetos.

Elementos do risco
O risco é a possibilidade ou a probabilidade de que

uma ameaça possa explorar uma vulnerabilidade e
causar danos aos ativos. A avaliação de ativos
identifica o valor dos ativos, a modelagem de ameaças
identifica ameaças contra esses ativos e a análise de
vulnerabilidade identifica fraquezas nos ativos valiosos
de uma organização. A agregação de acesso é um tipo
de ataque que combina, ou agrega, informações não
confidenciais para aprender informações confidenciais
e é usada em ataques de reconhecimento.

Ataques de força bruta e dicionário
Ataques de força bruta e dicionário são realizados

contra um arquivo de banco de dados de senha
roubado ou o prompt de logon de um sistema. Eles
são projetados para descobrir senhas. Em ataques de
força bruta, todas as combinações possíveis de
caracteres de teclado são usadas, enquanto uma lista
predefinida de possíveis senhas é usada em um
ataque de dicionário. Os controles de bloqueio de
conta impedem sua eficácia contra ataques online.

Senhas fortes
Senhas fortes tornam os utilitários de quebra de

senha menos bem sucedidos. Senhas fortes
incluem vários tipos de caracteres e não são
palavras contidas em um dicionário. As políticas de
senha garantem que os usuários criem senhas
fortes. As senhas devem ser criptografadas quando
armazenadas e criptografadas quando enviadas
por uma rede. A autenticação pode ser reforçada
usando um fator adicional além de apenas senhas.

SALT
“Salts” adicionam bits adicionais a uma senha para

ajudar a impedir ataques de rainbow table. Alguns
algoritmos como bcrypt e Password-Based Key
Derivation Function 2 (PBKDF2) adicionam o salt e
repetem as funções de hash muitas vezes. Os salts são
armazenados no mesmo banco de dados que a senha
hashed. Uma “pepper” é um número constante
grande usado para aumentar ainda mais a segurança
da senha hashed, e é armazenada em algum lugar fora
do banco de dados segurando as senhas hashed.

Sniffer attacks
Em um ataque sniffer (ou ataque de bisbilhoteiro)

um invasor usa uma ferramenta de captura de
pacotes (como um sniffer ou analisador de
protocolo) para capturar, analisar e ler dados
enviados por uma rede. Os atacantes podem ler
facilmente dados enviados por uma rede em
cleartext, mas criptografar dados em trânsito
frustra esse tipo de ataque.

Ataques de spoofing
Spoofing finge ser algo ou outra pessoa, e é usado

em muitos tipos de ataques, incluindo ataques de
controle de acesso. Os atacantes muitas vezes
tentam obter as credenciais dos usuários para que
eles possam falsificar a identidade do usuário. Os
ataques de falsificação incluem falsificação de e-
mails, falsificação de número de telefone e
falsificação de IP. Muitos ataques de phishing usam
métodos de falsificação.

Engenharia social
Um ataque de engenharia social é uma tentativa de

um invasor de convencer alguém a fornecer
informações (como uma senha) ou realizar uma ação
que normalmente não realizaria (como clicar em um
link malicioso), resultando em um compromisso de
segurança. Os engenheiros sociais muitas vezes
tentam obter acesso à infraestrutura de TI ou às
instalações físicas. A educação do usuário é uma
ferramenta eficaz para evitar o sucesso de ataques de
engenharia social.

Phishing
Ataques de phishing são comumente usados para

tentar enganar os usuários a desistir de
informações pessoais (como contas de usuário e
senhas), clicar em um link malicioso ou abrir um
anexo malicioso. O phishing de lança tem como
alvo grupos específicos de usuários, e a caça à
baleia tem como alvo executivos de alto nível. A
Vishing usa tecnologias VoIP.

D5-ACESSO
SIMULADO-14

1. Qual dos seguintes descreve melhor um princípio

implícito de negação?
A. Todas as ações que não são expressamente negadas

são permitidas.
B. Todas as ações que não são expressamente

permitidas são negadas.
C. Todas as ações devem ser expressamente negadas.
D. Nenhum dos acima.


2. Qual é a intenção de menor privilégio (least privilege)?
A. Imponha os direitos mais restritivos exigidos pelos usuários

para executar processos do sistema.
B. Impor os direitos menos restritivos exigidos pelos usuários

para executar processos de sistema.
C. Impor os direitos mais restritivos exigidos pelos usuários para

completar tarefas atribuídas.
D. Imponha os direitos menos restritivos exigidos pelos usuários

para completar tarefas atribuídas.


3. Uma tabela inclui vários objetos e sujeitos e

identifica o acesso específico que cada sujeito tem
para diferentes objetos. O que é essa tabela?
A. Lista de controle de acesso
B. Matriz de controle de acesso
C. Federação
D. Privilégio rastejante


4. Quem, ou o quê, concede permissões aos usuários

em um modelo DAC?
A. Administradores
B. Lista de controle de acesso
C. Rótulos atribuídos
D. O custodiante dos dados


5. Qual dos modelos a seguir também é conhecido

como um modelo de controle de acesso baseado em
identidade?
A. DAC
B. RBAC
C. Controle de acesso baseado em regras
D. MAC


6. Uma autoridade central determina quais arquivos

um usuário pode acessar. Qual dos seguintes melhor
descreve isso?
A. Uma lista de controle de acesso (ACL)
B. Uma matriz de controle de acesso
C. Modelo de Controle de Acesso Discricionário
D. Modelo de controle de acesso não discricionário


7. Uma autoridade central determina quais arquivos

um usuário pode acessar com base na hierarquia da
organização. Qual dos seguintes melhor descreve isso?
A. Modelo DAC
B. Uma lista de controle de acesso (ACL)
C. Modelo de controle de acesso baseado em regras
D. Modelo RBAC


8. Qual das seguintes declarações está

verdadeiramente relacionada ao modelo RBAC?
A. Um modelo RBAC permite a adesão dos

usuários em vários grupos.
B. Um modelo RBAC permite a adesão dos usuários

em um único grupo.
C. Um modelo RBAC é não-hierarquico.
D. Um modelo RBAC usa etiquetas.


9. Qual das seguintes opções é a melhor escolha para

um papel dentro de uma organização usando um
modelo RBAC?
A. Servidor web
B. Aplicação
C. Banco de dados
D. Programa


10. Qual das seguintes melhor descreve um modelo de

controle de acesso baseado em regras?
A. Ele usa regras locais aplicadas individualmente aos

usuários.
B. Ele usa regras globais aplicadas individualmente aos

usuários.
C. Ele usa regras locais aplicadas a todos os usuários

igualmente.
D. Ele usa regras globais aplicadas a todos os usuários

igualmente.


11. Que tipo de modelo de controle de acesso é usado

em um firewall?
A. Modelo MAC
Modelo B. DAC
C. Modelo de controle de acesso baseado em regras
D. Modelo RBAC


12. Que tipo de controles de acesso dependem do

uso de etiquetas?
A. DAC
B. Não discricionário
C. MAC
D. RBAC


13. Qual das seguintes melhor descreve uma

característica do modelo MAC?
A. Emprega filosofia de negação explícita
B. Permissivo
C. Baseado em regras
D. Proibitivo


14. Qual dos seguintes não é um modelo de

controle de acesso válido?
A. Discretionary Access Control model
B. Non-discretionary access control model
C. Mandatory Access Control model
D. Compliance-based access control model


15. O que uma organização faria para identificar

fraquezas?
A. Avaliação patrimonial
B. Modelagem de ameaças
C. Análise de vulnerabilidade
D. Revisão de acesso


16. Qual dos seguintes pode ajudar a mitigar o

sucesso de um ataque on-line de força bruta?
A. Mesa arco-íris
B. Bloqueio da conta
C. Salt em senhas
D. Criptografia de senha


17. Qual dos seguintes forneceria a melhor

proteção contra ataques à de arco-íris?
A. Hashing senhas com MD5
B. Salt e pepper com hashing
C. Bloqueio da conta
D. Implementar RBAC


18. Que tipo de ataque usa e-mail e tenta enganar

executivos de alto nível?
A. Phishing
B. Spear phishing
C. Whaling
D. Vishing

Consulte o seguinte cenário ao responder às

perguntas 19
e 20:
Uma organização sofreu recentemente uma série de
violações de segurança que prejudicaram sua
reputação. Vários ataques bem-sucedidos resultaram
em arquivos de banco de dados de clientes
comprometidos acessíveis por meio de um dos
servidores da empresa. Além disso, um funcionário
tinha acesso a dados secretos de tarefas anteriores.
Esse funcionário fez cópias dos dados e os vendeu
para os concorrentes. A organização contratou um
consultor de segurança para ajudá-los a reduzir o risco
de ataques futuros.

19. O que o consultor usaria para identificar

potenciais atacantes?
B. Modelagem de ameaças
C. Análise de vulnerabilidade
D. Revisão e auditoria de acesso


20. A administração quer garantir que a consultora

tenha as prioridades corretas ao fazer sua pesquisa. A
seguir, o que deve ser fornecido ao consultor para
atender a essa necessidade?
B. Resultados de modelagem de ameaças
C. Relatórios de análise de vulnerabilidade
D. Trilhas de auditoria


Domínio 6
Avaliação e Teste da Segurança

Programas de avaliação e teste de segurança
Os programas de avaliação e teste de segurança

fornecem um mecanismo importante para validar a
eficácia contínua dos controles de segurança. Eles
incluem uma variedade de ferramentas, incluindo
avaliações de vulnerabilidades, testes de penetração,
testes de software, auditorias e tarefas de
gerenciamento de segurança projetadas para validar
controles. Toda organização deve ter um programa de
avaliação e teste de segurança definido e operacional.

Avaliações de vulnerabilidades e testes de penetração
As avaliações de vulnerabilidades usam ferramentas

automatizadas para procurar vulnerabilidades
conhecidas em sistemas, aplicativos e redes. Essas
falhas podem incluir patches perdidos, configurações
erradas ou código defeituoso que expõem a
organização a riscos de segurança. Os testes de
penetração também usam essas mesmas ferramentas,
mas as complementam com técnicas de ataque onde
um assessor tenta explorar vulnerabilidades e obter
acesso ao sistema.

Validar código movendo-se para a produção
As técnicas de teste de software verificam que o

código funciona conforme projetado e não contém
falhas de segurança. A revisão de código usa um
processo de revisão por pares para validar formal
ou informalmente o código antes de implantá-lo
na produção. O teste de interface avalia as
interações entre componentes e usuários com
testes de API, testes de interface do usuário e
testes de interface física.

Testes de software estáticos e dinâmicos
Técnicas de teste de software estático, como

revisões de código, avaliam a segurança do
software sem executá-lo analisando o código-fonte
ou o aplicativo compilado. Testes dinâmicos
avaliam a segurança do software em um ambiente
de tempo de execução e muitas vezes é a única
opção para organizações que implantam
aplicativos escritos por outra pessoa.

Difusão (fuzzing)
O fuzzing usa entradas modificadas para testar o

desempenho do software em circunstâncias
inesperadas. A difusão de mutação modifica
entradas conhecidas para gerar entradas sintéticas
que podem desencadear comportamentos
inesperados. A difusão geracional desenvolve
insumos baseados em modelos de entradas
esperadas para executar a mesma tarefa.

Tarefas de gerenciamento de segurança
Os gestores de segurança devem realizar uma variedade de

atividades para manter a supervisão adequada do programa
de segurança da informação. As revisões de registro,
particularmente para as atividades do administrador,
garantem que os sistemas não sejam mal utilizados. As
revisões de gerenciamento de contas garantem que apenas
usuários autorizados mantenham acesso a sistemas de
informação. A verificação de backup garante que o processo
de proteção de dados da organização esteja funcionando
corretamente. Os principais indicadores de desempenho e
risco fornecem uma visão de alto nível da eficácia do
programa de segurança.

Auditorias internas e de terceiros
As auditorias de segurança ocorrem quando um

terceiro realiza uma avaliação dos controles de
segurança que protegem os ativos de informação
de uma organização. As auditorias internas são
realizadas pela equipe interna de uma organização
e destinam-se ao uso gerencial. As auditorias
externas são realizadas por uma empresa de
auditoria terceirizada e geralmente são destinadas
ao órgão regulador da organização.

D6-TESTES
SIMULADO-15

1. Qual das seguintes ferramentas é usada

principalmente para realizar varreduras de descoberta
de rede?
A. Nmap
B. Nessus
C. Metasploit
D. lsof


2. Adam recentemente executou uma varredura de

porta de rede de um servidor web em execução
em sua organização. Ele fez a varredura de uma
rede externa para obter a perspectiva de um
invasor sobre a varredura. Qual dos seguintes
resultados é a maior causa de alarme?
A. 80/aberto
B. 22/filtrado
C. 443/aberto
D. 1433/aberto


3. Qual dos seguintes fatores não deve ser levado em

consideração ao planejar um cronograma de testes de
segurança para um determinado sistema?
A. Sensibilidade das informações armazenadas no

sistema
B. Dificuldade de realizar o teste
C. Desejo de experimentar novas ferramentas de teste
D. Interesse dos atacantes pelo sistema


4. Qual dos seguintes não está normalmente

incluído em uma avaliação de segurança?
A. Varredura de vulnerabilidade
B. Avaliação de risco
C. Mitigação de vulnerabilidades
D. Avaliação de ameaças


5. Quem é o público destinado a um relatório de

avaliação de segurança?
A. Gestão
B. Auditor de segurança
C. Profissional de segurança
D. Clientes


6. Beth gostaria de executar uma varredura nmap contra

todos os sistemas na rede privada de sua organização. Estes
incluem sistemas no espaço de endereço privado 10.0.0.0.
Ela gostaria de escanear todo este espaço de endereço
privado porque ela não tem certeza de quais sub-redes são
usadas. Que endereço de rede Beth deve especificar como o
alvo de sua varredura?
A. 10.0.0.0/0
B. 10.0.0.0/8
C. 10.0.0.0/16
D. 10.0.0/24


7. Alan executou uma varredura nmap contra um servidor e

determinou que a porta 80 está aberta no servidor. Qual
ferramenta provavelmente forneceria a ele as melhores
informações adicionais sobre o propósito do servidor e a
identidade do operador do servidor?
A. SSH
B. Navegador da Web
C. telnet
D. ping


8. Qual porta é normalmente usada para aceitar

conexões administrativas usando o utilitário SSH?
A. 20
B. 22
C. 25
D. 80


9. Qual dos testes a seguir fornece as informações

mais precisas e detalhadas sobre o estado de
segurança de um servidor?
A. Varredura não autenticada
B. Varredura de portas
C. Varredura semiaberta
D. Scan autenticado


10. Que tipo de varredura de descoberta de rede

segue apenas os dois primeiros passos do TCP
handshake?
A. TCP connect scan
B. Xmas scan
C. TCP SYN scan
D. TCP ACK scan


11. Matthew gostaria de testar sistemas em sua rede

para vulnerabilidades de injeção SQL. Qual das
seguintes ferramentas seria mais adequada para esta
tarefa?
A. Scanner de porta
B. Scanner de vulnerabilidade de rede
C. Scanner de descoberta de rede
D. Scanner de vulnerabilidade da Web


12. A Badin Industries executa um aplicativo web que processa

pedidos de comércio eletrônico e lida com transações com
cartões de crédito. Como tal, está sujeito ao Padrão de Segurança
de Dados da Indústria de Cartões de Pagamento (PCI DSS). A
empresa realizou recentemente uma varredura de
vulnerabilidade na Web do aplicativo e não teve resultados
insatisfatórios. Com que frequência Badin rescan a aplicação?
A. Somente se o aplicativo mudar
B. Pelo menos mensalmente
C. Pelo menos anualmente
D. Não há necessidade de rescan.


13. Grace está realizando um teste de penetração contra a

rede de um cliente e gostaria de usar uma ferramenta para
ajudar a executar automaticamente explorações comuns.
Qual das seguintes ferramentas de segurança vai melhor
atender às necessidades dela?
A. nmap
B. Metasploit
C. Nessus
D. Snort


14. Paul gostaria de testar sua aplicação contra

versões ligeiramente modificadas de entrada usada
anteriormente. Que tipo de teste Paul pretende
realizar?
A. Revisão de código
B. Revisão de vulnerabilidade de aplicativos
C. Mutação fuzzing
D. Fuzzing geracional


15. Os usuários de um aplicativo bancário podem tentar sacar

fundos que não existem de sua conta. Os desenvolvedores estão
cientes dessa ameaça e implementaram códigos para protegê-la.
Que tipo de teste de software provavelmente pegaria esse tipo
de vulnerabilidade se os desenvolvedores ainda não o
remediassem?
A. Teste de caso de uso indevido
B. Teste de injeção SQL
C. Fuzzing
D. Revisão de código


16. Que tipo de teste de interface identificaria falhas

na interface de linha de comando de um programa?
A. Teste da interface de programação da aplicação
B. Teste da interface de usuário
C. Teste da interface física
D. Teste da interface de segurança


17. Durante que tipo de teste de penetração o

testador sempre tem acesso às informações de
configuração do sistema?
A. Teste de penetração caixa preta
B. Teste de penetração caixa branca
C. Teste de penetração caixa cinza
D. Teste de penetração caixa vermelha


18. Que porta é normalmente aberta em um sistema

que executa um servidor HTTP não criptografado?
A. 22
B. 80
C. 143
D. 443


19. Qual das seguintes etapas é a etapa final do

processo de inspeção Fagan?
A. Inspeção
B. Retrabalho
C. Follow-up / Acompanhamento
D. Nenhum dos acima


20. Qual tarefa do gerenciamento de segurança da

informação garante que os requisitos de proteção de
dados da organização sejam atendidos efetivamente?
A. Gerenciamento de contas
B. Verificação do backup
C. Revisão de log
D. Principais indicadores de desempenho


Domínio 7
Operações de segurança

Need-to-know e principle of least privilege
Need-to-know e principle of least privilege são dois

princípios padrão de segurança de TI implementados
em redes seguras. Eles limitam o acesso a dados e
sistemas para que usuários e outros assuntos tenham
acesso apenas ao que eles precisam. Esse acesso
limitado ajuda a prevenir incidentes de segurança e
ajuda a limitar o escopo dos incidentes quando
ocorrem. Quando esses princípios não são seguidos,
incidentes de segurança resultam em danos muito
maiores a uma organização.

Separation of duties e job rotation
A separação de deveres é um princípio básico de

segurança que garante que nenhuma pessoa possa
controlar todos os elementos de uma função ou
sistema crítico. Com o job rotation, os funcionários
são girados em diferentes trabalhos, ou as tarefas são
atribuídas a diferentes funcionários. Conluio é um
acordo entre várias pessoas para realizar algumas
ações não autorizadas ou ilegais. A implementação
dessas políticas ajuda a prevenir fraudes limitando
ações que os indivíduos podem fazer sem conspirar
com outras pessoas.

Monitoramento de operações privilegiadas
Entidades privilegiadas são confiáveis, mas podem

abusar de seus privilégios. Por isso, é importante
monitorar toda a atribuição de privilégios e o uso de
operações privilegiadas. O objetivo é garantir que os
funcionários confiáveis não abusem dos privilégios
especiais que são concedidos. O monitoramento
dessas operações também pode detectar muitos
ataques porque os atacantes geralmente usam
privilégios especiais durante um ataque.

Ciclo de vida das informações
Os dados precisam ser protegidos durante todo o

seu ciclo de vida. Isso começa classificando e
marcando corretamente os dados. Também inclui
manusear, armazenar e destruir dados
corretamente.

Contratos de nível de serviço
As organizações usam acordos de nível de serviço

(SLAs) com entidades externas, como
fornecedores. Eles estipulam expectativas de
desempenho, como horários máximos de
inatividade e muitas vezes incluem penalidades se
o fornecedor não atender às expectativas.

Provisionamento seguro
O provisionamento seguro dos recursos inclui

garantir que os recursos sejam implantados de
forma segura e sejam mantidos de forma segura
ao longo de seus ciclos de vida. Como exemplo,
computadores pessoais de desktop (PCs) podem
ser implantados usando uma imagem segura.

Ativos virtuais
Os ativos virtuais incluem máquinas virtuais, uma

infraestrutura de desktop virtual, redes definidas por
software e redes de área de armazenamento virtual.
Os hipervisores são o componente de software
principal que gerencia ativos virtuais, mas os
hipervisores também fornecem aos atacantes um alvo
adicional. É importante manter os servidores físicos
hospedando ativos virtuais atualizados com patches
apropriados para o sistema operacional e o hipervisor.
Além disso, todas as máquinas virtuais devem ser
mantidas atualizadas.

Ativos baseados em nuvem
Os ativos em nuvem incluem quaisquer recursos

acessados através da nuvem. Armazenar dados na
nuvem aumenta o risco para que medidas adicionais
possam ser necessárias para proteger os dados,
dependendo de seu valor. Ao alugar serviços baseados
em nuvem, você deve entender quem é o responsável
pela manutenção e segurança. O provedor de serviços
em nuvem fornece a menor quantidade de
manutenção e segurança no modelo IaaS.

Gerenciamento de controle de configuração e alteração
Muitas paralisações e incidentes podem ser evitados com

programas eficazes de configuração e gerenciamento de
alterações. O gerenciamento de configuração garante que os
sistemas sejam configurados de forma semelhante e as
configurações dos sistemas sejam conhecidas e documentadas. A
base garante que os sistemas sejam implantados com uma linha
de base ou ponto de partida comum, e a imagem é um método
comum de base. O gerenciamento de mudanças ajuda a reduzir
paralisações ou enfraquecer a segurança de alterações não
autorizadas. Um processo de gerenciamento de mudanças requer
que as alterações sejam solicitadas, aprovadas, testadas e
documentadas. A versão usa um sistema de rotulagem ou
numeração para acompanhar as alterações nas versões
atualizadas do software.

Gerenciamento de patches
O gerenciamento de patches garante que os sistemas sejam

mantidos atualizados com os patches atuais. Você deve
saber que um programa eficaz de gerenciamento de patches
avaliará, testará, aprovará e implantará patches. Além disso,
esteja ciente de que as auditorias do sistema verificam a
implantação de patches aprovados nos sistemas. O
gerenciamento de patches é frequentemente entrelaçado
com o gerenciamento de alterações e configuração para
garantir que a documentação reflita as alterações. Quando
uma organização não tem um programa eficaz de
gerenciamento de patches, muitas vezes ela sofrerá
paralisações e incidentes de problemas conhecidos que
poderiam ter sido evitados.

Gerenciamento de vulnerabilidades
O gerenciamento de vulnerabilidades inclui varreduras de

vulnerabilidades rotineiras e avaliações periódicas de
vulnerabilidades. Os scanners de vulnerabilidade podem
detectar vulnerabilidades e fraquezas de segurança
conhecidas, como a ausência de patches ou senhas fracas.
Eles geram relatórios que indicam as vulnerabilidades
técnicas de um sistema e são uma verificação eficaz para um
programa de gerenciamento de patches. As avaliações de
vulnerabilidade vão além de apenas varreduras técnicas e
podem incluir revisões e auditorias para detectar
vulnerabilidades.

D7-OPERAÇÕES
SIMULADO-16

1. Uma organização garante que os usuários tenham

acesso apenas aos dados necessários para executar
tarefas específicas de trabalho. Que princípio eles
estão seguindo?
A. Principle of least permission
B. Separation of duties
C. Need-to-know
D. Role Based Access Control


2. Um administrador está concedendo permissões a

um banco de dados. Qual é o nível padrão de acesso
que o administrador deve conceder a novos usuários
na organização?
A. Leia
B. Modificar
C. Acesso total
D. Sem acesso


3. Qual das seguintes declarações melhor descreve por que a

separação de deveres é importante para fins de segurança?
A. Garante que várias pessoas possam fazer o mesmo trabalho.
B. Impede que uma organização perca informações importantes

quando perde pessoas importantes.
C. Impede que qualquer pessoa de segurança de TI escoa fazer

grandes mudanças de segurança sem envolver outros indivíduos.
D. Ajuda os funcionários a concentrar seus talentos onde eles

serão mais úteis.


4. Qual é o benefício primário das políticas de

rotação e separação de funções?
A. Prevenção de conluio
B. Prevenção de fraudes
C. Encorajando conluio
D. Corrigindo incidentes


5. Uma organização financeira geralmente tem

funcionários que trocam de responsabilidade a cada
seis meses. Que princípio de segurança eles estão
empregando?
A. Rotação de trabalho
B. Separação de deveres
C. Férias obrigatórias
D. Menos privilégio


6. Qual das seguintes alternativas é uma das principais

razões pelas quais uma organização aplica uma
política de férias obrigatória?
A. Para rodar responsabilidades no trabalho
B. Para detectar fraudes
C. Para aumentar a produtividade dos funcionários
D. Reduzir os níveis de estresse dos funcionários


7. Uma organização quer reduzir vulnerabilidades

contra fraudes de funcionários mal-intencionados. Das
seguintes escolhas, o que ajudaria nesse objetivo?
(Escolha tudo o que se aplica.)
A. Job rotation
B. Separation of duties
C. Mandatory vacations
D. Baselining

8. Das seguintes escolhas, qual não é uma prática de

segurança válida relacionada a privilégios especiais?
A. Monitore atribuições especiais de privilégios.
B. Conceder acesso igualmente aos administradores e

operadores.
C. Monitore o uso especial de privilégios.
D. Conceda acesso apenas a funcionários confiáveis.


9. Qual das seguintes identifica as responsabilidades

do fornecedor e pode incluir penalidades monetárias
se o fornecedor não atender às responsabilidades?
A. Service-level agreement (SLA)
B. Memorandum of understanding (MOU)
C. Interconnection security agreement (ISA)
D. Software as a service (SaaS)


10. O que deve ser feito com equipamentos que estão

no final do seu ciclo de vida e estão sendo doados
para uma instituição de caridade?
A. Remove all CDs and DVDs.
B. Remove all software licenses.
C. Sanitize it.
D. Install the original software.


11. Uma organização está planejando o layout de um novo

edifício que abrigará um data center. Onde é o lugar mais
apropriado para localizar o datacenter?
A. No centro do prédio
B. Mais perto da parede externa onde a energia entra no

prédio
C. Mais próximo da parede externa onde estão localizados

sistemas de aquecimento, ventilação e ar condicionado
D. Nos fundos do prédio


12. Qual das alternativas a seguir é uma afirmação verdadeira

sobre máquinas virtuais (VMs) em execução como sistemas
operacionais convidados em servidores físicos?
A. Atualizar o servidor físico atualiza automaticamente os VMs.
B. Atualizar qualquer VM atualiza automaticamente todos os

VMs.
C. Os VMs não precisam ser atualizados se o servidor físico for

atualizado.
D. VMs devem ser atualizados individualmente.


13. Alguns modelos de serviço baseados em nuvem exigem

que uma organização realize alguma manutenção e assuma
a responsabilidade por alguma segurança. Qual deles é um
modelo de serviço que coloca a maioria dessas
responsabilidades na organização que aluga os recursos
baseados em nuvem?
A. IaaS
B. PaaS
C. SaaS
D. Híbrido


14. Uma organização está usando um serviço baseado

em nuvem SaaS compartilhado com outra
organização. Que tipo de modelo de implantação
baseado em nuvem isso descreve?
A. Public
B. Private
C. Community
D. Hybrid

15. As fitas de backup atingiram o fim do seu ciclo de vida e

precisam ser eliminadas. Qual dos seguintes é o método de
descarte mais adequado?
A. Jogue-as fora. Como eles estão no fim do ciclo de vida,

não é possível ler dados deles.
B. Limpe (purge) as fitas de todos os dados antes de

descartá-las.
C. Apague (erase) os dados das fitas antes de descartá-los.
D. Armazene as fitas em um depósito.


16. Qual dos seguintes pode ser um método eficaz de

gerenciamento de configuração usando um baseline?
A. Implementando o gerenciamento de mudanças
B. Usando imagens
C. Implementando o gerenciamento de
vulnerabilidades
D. Implementando o gerenciamento de patches


17. Quais das etapas seguintes não seriam incluídas

em um processo de gestão de mudanças?
A. Implemente imediatamente a mudança se ela

melhorar o desempenho.
B. Solicite a mudança.
C. Crie um plano de reversão para a mudança.
D. Documente a mudança.


18. Ao solucionar um problema de rede, um técnico

percebeu que o problema poderia ser resolvido abrindo uma
porta em um firewall. O técnico abriu a porta e verificou que
o sistema estava funcionando. No entanto, um invasor
acessou esta porta e lançou um ataque bem sucedido. O que
poderia ter evitado esse problema?
A. Processos de gerenciamento de patches
B. Processos de gerenciamento de vulnerabilidades
C. Processos de gerenciamento de configuração
D. Processos de gerenciamento de mudanças


19. Qual dos seguintes não faz parte de um

processo de gerenciamento de patches?
A. Evaluate patches.
B. Test patches.
C. Deploy all patches.
D. Audit patches.

20. Servidores dentro de sua organização foram

recentemente atacados causando uma paralisação excessiva.
Você é solicitado a verificar os sistemas para problemas
conhecidos que os atacantes podem usar para explorar
outros sistemas em sua rede. Qual dos seguintes é a melhor
escolha para atender a essa necessidade?
A. Rastreador de versionamento
B. Scanner de vulnerabilidade
C. Auditoria de segurança
D. Revisão de segurança


Resposta a incidentes
O domínio CISSP Security Operations lista as etapas de

resposta a incidentes como detecção, resposta, mitigação,
relatórios, recuperação, remediação e lições aprendidas.
Depois de detectar e verificar um incidente, a primeira
resposta é limitar ou conter o escopo do incidente enquanto
protege as evidências. Com base nas leis de governo, uma
organização pode precisar relatar um incidente às
autoridades oficiais, e se o PII for afetado, os indivíduos
precisam ser informados. As etapas de remediação e lições
aprendidas incluem a análise de causas básicas para
determinar a causa e recomendar soluções para evitar uma
recorrência.

Medidas preventivas
Medidas preventivas básicas podem impedir que

muitos incidentes ocorram. Isso inclui manter os
sistemas atualizados, remover ou desativar
protocolos e serviços não fornecidos, usar sistemas
de detecção e prevenção de intrusões, usar
software antimalware com assinaturas atualizadas
e habilitar firewalls baseados em host e baseados
em rede.

Ataques de negação de serviço (DoS)
Os ataques do DoS impedem que um sistema responda a

solicitações legítimas de serviço. Um ataque do DoS comum
é o ataque de inundação SYN, que interrompe o aperto de
mão tcp de três vias. Embora ataques mais antigos não
sejam tão comuns hoje em dia porque as precauções básicas
os bloqueiam, você ainda pode ser testado neles porque
muitos ataques mais novos são muitas vezes variações em
métodos mais antigos. Ataques smurfs empregam uma rede
de amplificação para enviar numerosos pacotes de resposta
a uma vítima. Ataques de ping de morte enviam vários
pacotes de ping grandes para a vítima, fazendo com que a
vítima congele, caia ou reinicie.

Botnets, controladores de botnet e pastores de bots
Botnets representam ameaças significativas devido ao

grande número de computadores que podem lançar
ataques, por isso é importante saber o que eles são. Uma
botnet é uma coleção de dispositivos de computação
comprometidos (muitas vezes chamados de bots ou zumbis)
organizados em uma rede controlada por um criminoso
conhecido como um pastor de bots. Os pastores de bots
usam um servidor de comando e controle para controlar
remotamente os zumbis e muitas vezes usam a botnet para
lançar ataques em outros sistemas ou para enviar e-mails de
spam ou phishing. Os pastores de bots também alugam
acesso botnet a outros criminosos.

Explorações de zero-day
Uma exploração de zero-day é um ataque que usa uma

vulnerabilidade que é desconhecida para qualquer pessoa,
exceto o atacante ou conhecida apenas por um grupo
limitado de pessoas. Na superfície, parece que você não
pode proteger contra uma vulnerabilidade desconhecida,
mas as práticas básicas de segurança vão um longo caminho
para evitar explorações de zero-day. Remover ou desativar
protocolos e serviços não orjados reduz a superfície de
ataque, permitindo que firewalls bloqueiem muitos pontos
de acesso e usando sistemas de detecção e prevenção de
intrusões ajudam a detectar e bloquear potenciais ataques.
Além disso, o uso de ferramentas como honeypots e células
acolchoadas ajuda a proteger redes vivas.

Ataques man-in-the-middle
Um ataque homem-no-meio ocorre quando um

usuário mal-intencionado é capaz de obter uma
posição lógica entre os dois pontos finais de um
link de comunicação. Embora seja preciso uma
quantidade significativa de sofisticação por parte
de um atacante para completar um ataque no
meio, a quantidade de dados obtidos do ataque
pode ser significativa.

Sabotagem e espionagem
Informantes mal-intencionados podem fazer

sabotagem contra uma organização se ficarem
descontentes por alguma razão. Espionagem é
quando um competidor tenta roubar informações,
e eles podem usar um funcionário interno.
Princípios básicos de segurança, como a
implementação do princípio do menor privilégio e
a desativação imediata das contas dos funcionários
demitidos, limitam os danos desses ataques.

Detecção de intrusões e prevenção de intrusões
IDSs e IPSs são importantes medidas de detetive e

prevenção contra ataques. Saiba a diferença entre a
detecção baseada em conhecimento (usando um
banco de dados semelhante a assinaturas anti-
malware) e a detecção baseada em comportamento. A
detecção baseada em comportamento começa com
uma linha de base para reconhecer o comportamento
normal e compara a atividade com a linha de base
para detectar atividade anormal. A linha de base pode
ser desatualizada se a rede for modificada, por isso
deve ser atualizada quando o ambiente mudar.

Respostas IDS/IPS
Um IDS pode responder passivamente registrando

e enviando notificações ou mudando ativamente o
ambiente. Algumas pessoas se referem a um IDS
ativo como um IPS. No entanto
é importante reconhecer que um IPS é colocado
em consonância com o tráfego e inclui a
capacidade de bloquear tráfego malicioso antes de
atingir o alvo.

HIDSs e NIDSs
Os IDSs (HOST Based IDSs) podem monitorar a

atividade apenas em um único sistema. Uma
desvantagem é que os atacantes podem descobri-
los e desabilitá-los. Um IDS baseado em rede
(NIDS) pode monitorar a atividade em uma rede, e
um NIDS não é tão visível para os atacantes.

Honeypots, padded cells, and pseudo flaws
Um honeypot é um sistema que muitas vezes tem

pseudo flaws e dados falsos para atrair intrusos. Os
administradores podem observar a atividade dos
atacantes enquanto estiverem no honeypot, e
enquanto os atacantes estiverem no honeypot, eles
não estão na rede ao vivo. Alguns IDSs têm a
capacidade de transferir atacantes para um padded
cell após a detecção. Embora um honeypot e padded
cell sejam semelhantes, note que um honeypot atrai o
atacante, mas o agressor é transferido para o padded
cell.

Métodos para bloquear códigos maliciosos
O código malicioso é frustrado com uma combinação de

ferramentas. A ferramenta óbvia é o software antimalware
com definições atualizadas instaladas em cada sistema, no
limite da rede e em servidores de e-mail. No entanto,
políticas que impõem princípios básicos de segurança, como
o princípio do menor privilégio, impedem que usuários
regulares instalem softwares potencialmente maliciosos.
Além disso, educar os usuários sobre os riscos e os métodos
que os atacantes geralmente usam para espalhar vírus ajuda
os usuários a entender e evitar comportamentos perigosos.

Teste de penetração
Os testes de penetração começam descobrindo

vulnerabilidades e, em seguida, imitam um ataque para
identificar quais vulnerabilidades podem ser exploradas. É
importante lembrar que os testes de penetração não devem
ser feitos sem consentimento expresso e conhecimento da
administração. Além disso, uma vez que os testes de
penetração podem resultar em danos, eles devem ser feitos
em sistemas isolados sempre que possível. Você também
deve reconhecer as diferenças entre testes de caixa preta
(zero conhecimento), teste de caixa branca (conhecimento
completo) e teste de caixa cinza (conhecimento parcial).

Tipos de arquivos de log
Os dados de registro são registrados em bancos de

dados e diferentes tipos de arquivos de log. Arquivos
de log comuns incluem registros de segurança, logs de
sistema, registros de aplicativos, logs de firewall, logs
de proxy e registros de gerenciamento de alterações.
Os arquivos de logs devem ser protegidos
armazenando-os centralmente e usando permissões
para restringir o acesso, e os logs arquivados devem
ser definidos como somente leitura para evitar
modificações.

Ferramentas de monitoramento
O monitoramento é uma forma de auditoria que se

concentra na revisão ativa dos dados dos arquivos de
registro. O monitoramento é usado para
responsabilizar os sujeitos por suas ações e para
detectar atividades anormais ou maliciosas. Também é
usado para monitorar o desempenho do sistema.
Ferramentas de monitoramento como IDSs ou SIEMs
automatizar o monitoramento e fornecer análise em
tempo real dos eventos.

Trilhas de auditoria
Trilhas de auditoria são os registros criados

registrando informações sobre eventos e ocorrências
em um ou mais bancos de dados ou arquivos de
registro. Eles são usados para reconstruir um evento,
para extrair informações sobre um incidente, e para
provar ou refutar a culpabilidade. Usar trilhas de
auditoria é uma forma passiva de controle de
segurança de detetive, e trilhas de auditoria são
evidências essenciais na acusação de criminosos.

Amostragem
Amostragem, ou extração de dados, é o processo

de extração de elementos de um grande conjunto
de dados para construir uma representação ou
resumo significativo do todo. A amostragem
estatística utiliza funções matemáticas precisas
para extrair informações significativas de um
grande volume de dados. O recorte é uma forma
de amostragem não estatística que registra apenas
eventos que excedem um limiar.

Responsabilidade
A responsabilização é mantida para sujeitos

individuais através do uso de auditoria. Os
registros registram as atividades do usuário e os
usuários podem ser responsabilizados por suas
ações registradas. Isso promove diretamente o
bom comportamento do usuário e a conformidade
com a política de segurança da organização.

Auditorias e avaliações de segurança
Auditorias e revisões de segurança ajudam a garantir

que os programas de gestão sejam eficazes e sejam
seguidos. Eles são comumente associados a práticas
de gerenciamento de contas para evitar violações com
princípios de menor privilégio ou necessidade de
saber. No entanto, eles também podem ser realizados
para supervisionar o gerenciamento de patches, o
gerenciamento de vulnerabilidades, o gerenciamento
de alterações e os programas de gerenciamento de
configuração.

Auditorias de segurança frequentes
A auditoria é um exame metódico ou revisão de um ambiente

para garantir o cumprimento das normas e detectar
anormalidades, ocorrências não autorizadas ou crimes diretos.
Os ambientes de TI seguros dependem fortemente da auditoria.
No geral, a auditoria serve como um tipo primário de controle de
detetive usado dentro de um ambiente seguro. A frequência de
uma auditoria de segurança de infraestrutura de TI ou revisão de
segurança é baseada em riscos. Uma organização determina se
existe risco suficiente para justificar a despesa e a interrupção de
uma auditoria de segurança. O grau de risco também afeta a
frequência com que uma auditoria é realizada. É importante
definir e aderir claramente à frequência das revisões de
auditoria.

Auditoria é um aspecto do due care
Auditorias de segurança e revisões de eficácia são

elementos-chave na exibição do devido cuidado. A
alta administração deve impor o cumprimento das
revisões periódicas regulares de segurança, ou elas
provavelmente serão responsabilizadas e
responsáveis por quaisquer perdas de ativos que
ocorram.

Controle o acesso aos relatórios de auditoria
Relatórios de auditoria normalmente abordam conceitos comuns, como a

finalidade da auditoria, o escopo da auditoria e os resultados descobertos
ou revelados por
a auditoria. Eles geralmente incluem outros detalhes específicos do
ambiente e podem incluir informações confidenciais, como problemas,
normas, causas e recomendações. Os relatórios de auditoria que incluem
informações confidenciais devem ser atribuídos a um rótulo de
classificação e tratados adequadamente. Apenas pessoas com privilégio
suficiente devem ter acesso a elas. Um relatório de auditoria pode ser
preparado em várias versões para diferentes públicos-alvo para incluir
apenas os detalhes necessários por um público específico. Por exemplo, os
administradores de segurança sênior podem ter um relatório com todos
os detalhes relevantes, enquanto um relatório para executivos forneceria
apenas informações de alto nível.

Revisão de acesso e auditorias de direitos do

usuário
Uma auditoria de revisão de acesso garante que as

práticas de acesso de objetos e gerenciamento de
contas suportem a política de segurança. As
auditorias de direitos do usuário garantem que o
princípio do menor privilégio seja seguido e muitas
vezes se concentre em contas privilegiadas.

Controles de acesso de auditoria
Revisões regulares e auditorias dos processos de

controle de acesso ajudam a avaliar a eficácia dos
controles de acesso. Por exemplo, a auditoria pode
acompanhar o sucesso do logon e a falha de
qualquer conta. Um sistema de detecção de
intrusões pode monitorar esses registros e
identificar facilmente ataques e notificar os
administradores.

D7-OPERAÇÕES
SIMULADO-17

1. Qual das seguintes é a melhor resposta após a

detecção e verificação de um incidente?
A. Contenha-o.
B. Denuncie.
C. Remediar isso.
D. Reúna evidências.


2. Qual das seguintes ações o pessoal de segurança

faria durante o estágio de correção (remediation) de
uma resposta a um incidente?
A. Contenha o incidente
B. Coletar provas
C. Sistema de reconstrução
D. Análise da causa raíz


3. Qual dos seguintes são os ataques de DoS?

(Escolha três.)
A. Teardrop
B. Smurf
C. Ping da morte
D. Spoofing(falsificação)


4. Como funciona um ataque de inundação SYN?
A. Explora uma falha de processamento de pacotes em

sistemas Windows
B. Usa uma rede de amplificação para inundar uma

vítima com pacotes
C. Interrompe o three-way handshake usado pelo TCP
D. Envia pacotes de ping superdimensionados para

uma vítima


5. Um servidor web hospedado na internet foi recentemente

atacado, explorando uma vulnerabilidade no sistema
operacional. O fornecedor do sistema operacional ajudou na
investigação do incidente e verificou que a vulnerabilidade
não era conhecida anteriormente. Que tipo de ataque foi
esse?
A. Botnet
B. Exploração de zero-day
C. Negação de serviço
D. Negação distribuída de serviço


6. Das seguintes escolhas, qual é o método mais

comum de distribuição de malware?
A. Drive-by downloads
B. USB flash drives
C. Ransomware
D. Unapproved software

7. Das seguintes escolhas, o que indica o propósito

principal de um sistema de detecção de intrusões
(IDS)?
A. Detecte atividade anormal
B. Diagnosticar falhas no sistema
C. Desempenho do sistema de taxa
D. Teste um sistema para vulnerabilidades


8. Qual dos seguintes é válido para um sistema de

detecção de intrusão baseado em hospedeiro (HIDS)?
A. Monitora uma rede inteira.
B. Monitora um único sistema.
C. É invisível para atacantes e usuários autorizados.
D. Não pode detectar código malicioso.


9. Qual das seguintes redes é projetada para tentar

intrusos com vulnerabilidades de segurança não
reparadas e desprotegidas e dados falsos?
A. IDS
B. Honeynet
C. Padded cell / Célula acolchoada
D. Pseudo falha


10. Das seguintes escolhas, qual é a melhor forma de

proteção anti-malware?
A. Múltiplas soluções em cada sistema
B. Uma única solução em toda a organização
C. Proteção anti-malware em vários locais
D. Filtragem de conteúdo de cem por cento em todos

os gateways de fronteira


11. Ao usar testes de penetração para verificar a força da sua

política de segurança, qual das seguintes informações não é
recomendada?
A. Imitar ataques anteriormente perpetrados contra seu

sistema
B. Realizar ataques sem conhecimento gerencial
C. Utilização de ferramentas de ataque manuais e

automatizadas
D. Reconfigurar o sistema para resolver qualquer

vulnerabilidade descoberta


12. O que é usado para responsabilizar os sujeitos por

suas ações enquanto são autenticados em um
sistema?
A. Autenticação
B. Monitoramento
C. Bloqueio da conta
D. Avaliações de direitos do usuário


13. Que tipo de controle de segurança é uma trilha

de auditoria?
A. Administrativo
B. Detectivo
C. Corretivo
D. Físico


14. Qual das seguintes opções é um exame metódico

ou uma revisão de um ambiente para garantir o
cumprimento das normas e detectar anormalidades,
ocorrências não autorizadas ou crimes diretos?
A. Teste de penetração
B. Auditoria
C. Análise de risco
D. Armadilha


15. O que pode ser usado para reduzir a quantidade

de dados registrados ou auditados usando métodos
não estatísticos?
A. Clipping levels
B. Amostragem
C. Análise de log
D. Gatilhos de alarme


16. Qual dos seguintes se concentra mais nos padrões

e tendências dos dados do que no conteúdo real?
A. Monitoramento de teclas
B. Análise de tráfego
C. Registro de eventos
D. Auditoria de segurança


17. O que detectaria quando um usuário tem mais

privilégios do que o necessário?
A. Gerenciamento de contas
B. Auditoria de direitos do usuário
C. Registro
D. Reportagem


Consulte o seguinte cenário ao responder às perguntas 18 a 20.

Uma organização tem um plano de resposta a incidentes que
requer relatar incidentes depois de verificar. Por questões de
segurança, a organização não publicou o plano. Apenas os
membros da equipe de resposta a incidentes sabem sobre o
plano e seu conteúdo. Recentemente, um administrador de
servidor notou que um servidor web que ele gerencia estava
sendo mais lento do que o normal. Depois de uma rápida
investigação, ele percebeu que um ataque vinha de um endereço
IP específico. Ele imediatamente reiniciou o servidor web para
redefinir a conexão e parar o ataque. Ele então usou um utilitário
que encontrou na internet para lançar um ataque prolongado
contra este endereço IP por várias horas. Porque os ataques
deste IP
endereço parou, ele não relatou o incidente.

18. O que deveria ter sido feito antes de reiniciar o

servidor web?
A. Reveja o incidente
B. Executar etapas de remediação
C. Tome medidas de recuperação
D. Reúna evidências


19. Qual dos seguintes indica o erro mais grave que o

administrador do servidor cometeu neste incidente?
A. Reinicializar o servidor
B. Não relatar o incidente
C. Atacar o endereço IP
D. Redefinir a conexão


20. O que foi perdido completamente neste

incidente?
A. Lições aprendidas
B. Detecção
C. Resposta
D. Recuperação


Tipos de desastres naturais
Desastres naturais que comumente ameaçam

organizações incluem terremotos, inundações,
tempestades, incêndios, tsunamis e erupções
vulcânicas.

Tipos de desastres feitos pelo homem
Explosões, incêndios elétricos, atos terroristas,

quedas de energia, outras falhas de serviços
públicos, falhas na infraestrutura, falhas de
hardware/software, dificuldades trabalhistas,
roubo e vandalismo são desastres comuns feitos
pelo homem.

Tipos de instalações de recuperação
Os tipos comuns de instalações de recuperação são

cold sites, warm sites, hot sites, mobile sites,
service bureaus, and multiple sites.

Acordos de assistência mútua
Mutual assistance agreements (MAAs) fornecem

uma alternativa barata aos locais de recuperação
de desastres, mas não são comumente usados
porque são difíceis de aplicar. As organizações
participantes de um MAA também podem ser
fechadas pelo mesmo desastre, e os MAAs
levantam preocupações de confidencialidade.

Backup do banco de dados
Os bancos de dados se beneficiam de três tecnologias

de backup.
O Electronic vaulting (cofre eletrônico) é usado para
transferir backups de banco de dados para um site
remoto como parte de uma transferência em massa.
No (remote journaling) remoto diário, as
transferências de dados ocorrem com mais
frequência. Com a tecnologia de (remote mirroring)
espelhamento remoto, as transações de banco de
dados são espelhadas no site de backup em tempo
real.

Tipos de testes do plano de recuperação de desastres
Os cinco tipos de testes do plano de recuperação de

desastres são:
Testes de leitura (read-through),
Passo a passo estruturado (walk throughs), Os passos

estruturados envolvem uma reunião da equipe do
projeto. Os testes de checklist são puramente
exercícios de papelada
Testes de simulação (simulation test).

Testes de simulação podem desligar unidades de negócios não
críticas.
Testes paralelos (parallel tests).

Testes paralelos envolvem realocação de pessoal, mas não
afetam as operações diárias.
Testes de interrupção total (full-interruption tests).

Os testes de interrupção total envolvem o desligamento dos
sistemas primários e a transferência da responsabilidade para a
instalação de recuperação.

D7-OPERAÇÕES
SIMULADO-18

1. Qual é o objetivo final do planejamento de

recuperação de desastres?
A. Impedir a interrupção dos negócios
B. Criação de operações comerciais temporárias
C. Restaurar a atividade normal dos negócios
D. Minimizando o impacto de um desastre


2. Qual dos seguintes é um exemplo de um

desastre feito pelo homem?
A. Tsunami
B. Terremoto
C. Queda de energia
D. Relâmpago


3. De acordo com a Agência Federal de Gerenciamento

de Emergências, aproximadamente que porcentagem
de estados americanos é classificado com pelo menos
um risco moderado de atividade sísmica?
A. 20 %
B. 40%
C. 60%
D. 80%


4. Qual dos seguintes tipos de desastres geralmente

não é coberto pelo seguro do proprietário?
A. Terremoto
B. Inundação
C. Fogo
D. Roubo


5. Qual dos seguintes controles fornece tolerância

a falhas para dispositivos de armazenamento?
A. Balanceamento de carga
B. RAID
C. Clustering
D. HA – High availlability


6. Qual dos seguintes locais de armazenamento

oferece uma boa opção quando a organização não
sabe onde estará quando tentar recuperar as
operações?
A. Data center primário
B. Escritório de campo
C. Computação em nuvem
D. Casa do gerente de TI


7. O que o termo " 100-year flood plain " significa para os

funcionários de prontidão de emergências?
A. A última inundação de qualquer tipo a atingir a área foi há

mais de 100 anos.
B. As chances de uma inundação neste nível são de 1 em 100

em qualquer ano.
C. Espera-se que a área esteja a salvo de inundações por

pelo menos 100 anos.
D. A última inundação significativa a atingir a área foi há

mais de 100 anos.


8. Qual das seguintes técnicas de recuperação do

banco de dados é uma cópia exata e atualizada do
banco de dados mantida em um local alternativo?
A. Transaction logging
B. Remote journaling
C. Electronic vaulting
D. Remote mirroring

9. Qual princípio de recuperação de desastres protege

melhor sua organização contra falha de hardware?
A. Consistência
B. Eficiência
C. Redundância
D. Primazia


10. Qual técnica do BCP (planejamento de

continuidade de negócios) pode ajudá-lo na
priorização da unidade de negócios no DRP
(planejamento de recuperação de desastres)?
A. Análise de vulnerabilidade
B. Avaliação do impacto nos negócios
C. Gestão de riscos
D. Planejamento de continuidade


11. Qual dos seguintes sites de processamento

alternativo leva mais tempo para ser ativado?
A. Hot site
B. Mobile site
C. Cold site
D. Warm site

12. Qual é a estimativa de tempo típica para ativar um

warm site a partir do momento em que um desastre é
declarado?
A. 1 hora
B. 6 horas
C. 12 horas
D. 24 horas


13. Qual dos seguintes itens é uma característica de

hot sites, mas não é uma característica de warm sites?
A. Circuitos de comunicação
B. Estações de trabalho
C. Servidores
D. Dados atuais


14. Que tipo de estratégia de backup de banco de

dados envolve a manutenção de um servidor de
backup ao vivo no local remoto?
A. Transaction logging
B. Remote journaling
C. Electronic vaulting
D. Remote mirroring

15. Que tipo de documento ajudará especialistas em

relações públicas e outros indivíduos que precisam de
um resumo de alto nível dos esforços de recuperação
de desastres enquanto estão em andamento?
A. Resumo executivo
B. Guias técnicos
C. Planos específicos do departamento
D. Listas de verificação


16. Qual ferramenta de planejamento de recuperação

de desastres pode ser usada para proteger uma
organização contra a falha de uma empresa de
software crítica para fornecer suporte adequado para
seus produtos?
A. Differential backups
B. Business impact assessment
C. Incremental backups
D. Software escrow agreement


17. Que tipo de backup envolve sempre armazenar

cópias de todos os arquivos modificados desde o
backup completo mais recente?
A. Backups diferenciais
B. Backup parcial
C. Backups incrementais
D. Backup do banco de dados


18. Qual combinação de estratégias de backup fornece

o tempo de criação de backup mais rápido?
A. Backups completos e backups diferenciais
B. Backups parciais e backups incrementais
C. Backups completos e backups incrementais
D. Backups incrementais e backups diferenciais


19. Que combinação de estratégias de backup fornece

o tempo de restauração de backup mais rápido?
A. Backups completos e backups diferenciais
B. Backups parciais e backups incrementais
C. Backups completos e backups incrementais
D. Backups incrementais e backups diferenciais


20. Que tipo de teste DRP (plano de recuperação de

desastres) avalia totalmente as operações na
instalação de backup, mas não transfere a
responsabilidade das operações primárias do local
principal?
A. Structured walk-through
B. Parallel test
C. Full-interruption test
D. Simulation test

Crime de computador
Crime de computador é um crime (ou violação de

uma lei ou regulamento) que é direcionado contra,
ou envolve diretamente, um computador.

Categorias de crimes de computador
Ataques militares e de inteligência são lançados para adquirir

informações secretas que não poderiam ser obtidas legalmente.
Ataques comerciais são semelhantes, exceto que eles têm como

alvo sistemas civis.
Ataques financeiros (o phreaking telefônico é um exemplo de

ataque financeiro, phreaker tools são referenciadas como caixas
coloridas (black box manipula voltagem da linha, red box simula
tons, etc.)
Ataques terroristas (que, no contexto de crimes de computador,

são ataques projetados para interromper a vida normal)

Ataques de rancor, o objetivo é causar danos destruindo

dados ou usando informações para envergonhar uma
organização ou pessoa
Ataques de emoção, lançados por crackers inexperientes

para comprometer ou desativar um sistema. Embora
geralmente não sejam sofisticados, ataques de emoção
podem ser irritantes e caros
O conjunto de regras que regem seu comportamento

pessoal é um código de ética.Existem vários códigos de ética,
de natureza geral a específica, que os profissionais de
segurança podem usar para orientá-los. O (ISC)2 torna a
aceitação de seu Código de Ética um requisito para
certificação.

Coleta de provas
Assim que descobrir um incidente, deve começar a

coletar evidências e o máximo de informações
sobre o incidente.
As provas podem ser usadas em uma ação judicial
subsequente ou na localização da identidade do
agressor.
Evidências também podem ajudá-lo a determinar a
extensão do dano.

Processo de eDiscovery
As organizações que acreditam que serão alvo de uma ação judicial

têm o dever de preservar evidências digitais em um processo
conhecido como descoberta eletrônica, ou eDiscovery. O processo de
eDiscovery inclui atividades de:
governança da informação,
identificação,
preservação,
coleta,
processamento,
revisão,
análise,
produção e apresentação.
Investigar invasões
Você deve ter posse de equipamentos, software ou

dados para analisá-lo e usá-lo como evidência.
Você deve adquirir a evidência sem modificá-la ou
permitir que qualquer outra pessoa a modifique.

Alternativas para confiscar provas
Primeiro, a pessoa dona das provas poderia entregá-

las voluntariamente.
Segundo, uma intimação poderia ser usada para

obrigar o sujeito a entregar as provas.
Terceiro, um mandado de busca é mais útil quando

você precisa confiscar provas sem dar ao sujeito uma
oportunidade de alterá-la.

Retenção de dados investigativos
Como você descobrirá alguns incidentes depois

que eles ocorreram, você perderá evidências
valiosas a menos que você garanta que os arquivos
de registro (log files) críticos sejam retidos por um
período razoável de tempo.
Você pode reter arquivos de registro e informações
de status do sistema no local ou em arquivos.

Provas a serem admissíveis em um tribunal
Para ser admissível, as provas devem ser

relevantes para um fato em questão no caso, o fato
deve ser material para o caso, e as provas devem
ser competentes ou legalmente coletadas.

Tipos de evidências
A evidência real consiste em objetos reais que

podem ser trazidos para o tribunal.
A evidência documental consiste em documentos

escritos que fornecem informações sobre os fatos.
A prova de testemunho consiste em declarações

verbais ou escritas feitas por testemunhas.

Importância da ética
Os profissionais de segurança recebem um nível muito

alto de autoridade e responsabilidade para executar
suas funções de trabalho.
O potencial de abuso existe, e sem um código rigoroso
de comportamento pessoal, os profissionais de
segurança poderiam ser considerados como tendo
poder descontrolado.
A adesão a um código de ética ajuda a garantir que
esse poder não seja abusado.

(ISC)2 Código de Ética e RFC 1087, "Ética e

Internet".
Todos os candidatos do CISSP devem estar

familiarizados com todo o Código de Ética (ISC)2
porque eles têm que assinar um acordo que eles
vão aderir a ele. Além disso, conheça as
declarações básicas da RFC 1087.

D7-OPERAÇÕES
SIMULADO-19

1. O que é um crime de computador?
A. Qualquer ataque listado especificamente em sua política

de segurança
B. Qualquer ataque ilegal que comprometa um computador

protegido
C. Qualquer violação de uma lei ou regulamento que envolva

um computador
D. Falha na prática de due diligence na segurança do

computador


2. Qual é o objetivo principal de um ataque militar e de

inteligência?
A. Para atacar a disponibilidade de sistemas militares
B. Para obter informações secretas e restritas de fontes

militares ou policiais
C. Utilizar sistemas militares ou de agências de inteligência

para atacar outros locais não militares
D. Comprometer sistemas militares para uso em ataques

contra outros sistemas


3. Que tipo de ataque tem como alvo informações

proprietárias armazenadas no sistema de uma
organização civil?
A. Ataque de negócios
B. Ataque de negação de serviço
C. Ataque financeiro
D. Ataque militar e de inteligência


4. Que objetivo não é um propósito de ataque

financeiro?
A. Acesso a serviços que você não adquiriu
B. Divulgar informações confidenciais e pessoais de

funcionários
C. Transferir fundos de uma fonte não aprovada para

sua conta
D. Roubar dinheiro de outra organização


5. Qual dos ataques seguintes é o mais indicativo de

um ataque terrorista?
A. Alterando documentos confidenciais de segredo

comercial
B. Danificar a capacidade de se comunicar e responder

a um ataque físico
C. Roubar informações não classificadas
D. Transferir fundos para outros países


6. Qual dos seguintes não seria o objetivo principal de

um ataque de rancor?
A. Divulgando informações pessoais embaraçosas
B. Lançando um vírus no sistema de uma organização
C. Enviar e-mails inapropriados com um endereço de

origem falsificado da organização da vítima
D. Usar ferramentas automatizadas para digitalizar os

sistemas da organização para portas vulneráveis


7. Quais são as principais razões pelas quais os

atacantes se envolvem em ataques de emoção?
A. Direitos de gabar-se
B. Dinheiro da venda de documentos roubados
C. Orgulho de conquistar um sistema seguro
D. Retaliação contra uma pessoa ou organização


8. Qual é a regra mais importante a seguir ao coletar provas?
A. Não desligue um computador até fotografar a tela.
B. Liste todas as pessoas presentes enquanto coletam

evidências.
C. Nunca modifique evidências durante o processo de coleta.
D. Transfira todos os equipamentos para um local de

armazenamento seguro.


9. Qual seria um argumento válido para não remover

imediatamente a energia de uma máquina quando um
incidente é descoberto?
A. Todo o dano foi feito. Desligar a máquina não impediria

danos adicionais.
B. Não há outro sistema que possa substituir este se for

desligado.
C. Muitos usuários estão conectados e usando o sistema.
D. Provas valiosas na memória serão perdidas.


10. Os hacktivistas são motivados por qual dos

seguintes fatores?
A. Ganho financeiro
B. Emoção
C. Habilidade
D. Crenças políticas


11. Qual dos seguintes tipos de investigação tem o

mais alto padrão de evidência?
A. Administrativo
B. Civil
C. Criminal
D. Regulatorio


12. Durante uma investigação operacional, que tipo de

análise uma organização pode empreender para
prevenir incidentes semelhantes no futuro?
A. Análise forense
B. Análise da causa raíz (root-cause)
C. Análise do tráfego da rede
D. Análise de Fagan


13. Que etapa do Modelo de Referência de

Descoberta Eletrônica (Electronic Discovery Reference
Model) garante que as informações que podem estar
sujeitas à descoberta não sejam alteradas?
A. Preservação
B. Produção
C. Processamento
D. Apresentação


14. Diego é um administrador do sistema e está

testemunhando no tribunal sobre um incidente de crime
cibernético. Ele traz registros de servidores para apoiar seu
testemunho. Que tipo de evidência são os registros do
servidor?
A. Evidência real
B. Evidência documental
C. Evidência de liberdade condicional
D. Evidência de testemunho


15. Se você precisa confiscar um PC de um suposto

agressor que não trabalha para sua organização, qual
o caminho legal mais apropriado?
A. Acordo de consentimento assinado pelos

empregados.
B. Mandado de busca.
C. Nenhuma via legal é necessária.
D. Consentimento voluntário.


16. Por que você deve evitar excluir arquivos de log

diariamente?
A. Um incidente pode não ser descoberto por vários dias e

evidências valiosas podem ser perdidas.
B. O espaço em disco é barato, e os arquivos de log são

usados com frequência.
C. Os arquivos de registro são protegidos e não podem ser

alterados.
D. Qualquer informação em um arquivo de registro é inútil

depois de várias horas de idade.


17. Que fase do Modelo de Referência de Descoberta

Eletrônica examina as informações para remover
informações sujeitas ao privilégio advogado-cliente?
A. Identificação
B. Coleção
C. Processamento
D. Revisão


18. O que é ética?
A. Ações obrigatórias necessárias para cumprir os

requisitos de trabalho
B. Leis de conduta profissional
C. Regulamentos estabelecidos por uma organização

profissional
D. Regras de comportamento pessoal


19. De acordo com o Código de Ética (ISC)2, como se espera

que os CISSPs atuem?
A. Honestamente, diligentemente, responsavelmente, e

legalmente
B. Honrosamente, honestamente, justamente, com

responsabilidade e legalmente
C. Manter a política de segurança e proteger a organização
D. Confiável, lealmente, amigável, cortês


20. Quais das seguintes ações são consideradas inaceitáveis

e antiéticas segundo a RFC 1087, "Ética e internet"?
A. Ações que comprometem a privacidade de informações

confidenciais
B. Ações que comprometem a privacidade dos usuários
C. Ações que atrapalham atividades organizacionais
D. Ações em que um computador é usado de forma

inconsistente com uma política de segurança declarada


Domínio 8
Segurança do desenvolvimento de software

Arquitetura de um sistema de gerenciamento de

banco de dados relacional (RDBMS)
Tabelas (relações)
Linhas (registros/tuplas)
Colunas (campos/atributos).
Relações entre tabelas
Papéis de vários tipos de chaves
Ameaças de agregação e inferência.

Tipos de armazenamento
Memória primária - RAM
Memória virtual – disponibilização de parte do HD

para endereçamento direto da CPU
Armazenamento secundário – HD, CD, DVD, Flash

drives, etc.
Armazenamento virtual - habilita o sistema a simular

um armazenamento secundário através da RAM
Armazenamento de acesso aleatório – Sistema operacional

requisita conteúdo de qualquer ponto da mídia (RAM, HD)
Armazenamento de acesso sequencial – requer escanear

toda a mídia para encontrar um endereço específico.
Exemplo: tape magnético
Armazenamento volátil – perde seu conteúdo quando

remove a energia (RAM)
Armazenamento não volátil – independe da presença de

energia (mída magnetica/optica e NVRAM)

Expert systems, machine learning, and neural networks function
Os sistemas especializados consistem em dois componentes

principais: uma base de conhecimento que contém uma série de
regras "se/então" e um mecanismo de inferência que usa essas
informações para tirar conclusões sobre outros dados.
Técnicas de aprendizagem de máquina tentam descobrir

algoritmicamente o conhecimento a partir de conjuntos de
dados.
Redes neurais simulam o funcionamento da mente humana em

uma extensão limitada, organizando uma série de cálculos em
camadas para resolver problemas. As redes neurais exigem um
treinamento extensivo sobre um determinado problema antes de
serem capazes de oferecer soluções.

Modelos de desenvolvimento de sistemas
O modelo waterfall descreve um processo de

desenvolvimento sequencial que resulta no
desenvolvimento de um produto acabado.
Os desenvolvedores podem recuar apenas uma fase do
processo se os erros forem descobertos.
O modelo espiral usa várias iterações do modelo waterfall
para produzir uma série de protótipos totalmente
especificados e testados.
Modelos de desenvolvimento ágil colocam ênfase nas
necessidades do cliente e desenvolvem rapidamente novas
funcionalidades que atendam a essas necessidades de forma
iterativa.

Modelos de maturidade no desenvolvimento de

software
Modelos de maturidade ajudam as organizações

de software a melhorar a maturidade e a
qualidade de seus processos de software,
implementando um caminho evolutivo desde
processos ad hoc caóticos até processos de
software maduros e disciplinados. Ser capaz de
descrever os modelos SW-CMM e IDEAL.

Change e configuration management
Os três componentes básicos do controle de

alterações:
controle de solicitação,
controle de alterações ,
e controle de liberação
Importância dos testes
Os testes de software devem ser projetados como

parte do processo de desenvolvimento.
Os testes devem ser usados como uma ferramenta

de gestão para melhorar os processos de design,
desenvolvimento e produção.

D8-SOFTWARE
SIMULADO-20

1. Qual dos seguintes não é um componente do

modelo DevOps?
A. Segurança da informação
B. Desenvolvimento de software
C. Garantia de qualidade
D. Operações de TI


2. Bob está desenvolvendo um aplicativo de software

e tem um campo onde os usuários podem inserir uma
data. Ele quer garantir que os valores fornecidos pelos
usuários sejam datas precisas para evitar problemas
de segurança. Que técnica bob deve usar?
A. Poliinstantação
B. Validação de entrada
C. Contaminação
D. Triagem


3. Qual parte do processo de gerenciamento de

mudanças permite que os desenvolvedores
priorizem tarefas?
A. Controle de liberação
B. Controle de configuração
C. Controle de solicitação
D. Auditoria de mudança


4. Que abordagem para a gestão de falhas coloca o

sistema em um alto nível de segurança?
A. Fail-open
B. Mitigação de falhas
C. Fail-secure
D. Falhar claro


5. Que modelo de desenvolvimento de software

usa uma abordagem de sete estágios com um loop
de feedback que permite o progresso um passo
para trás?
A. Boyce-Codd
B. Waterfall
C. Espiral
D. Ágil


6. Que forma de controle de acesso se baseia

principalmente com os dados armazenados num
campo?
A. Dependente de conteúdo
B. Dependente do contexto
C. Mecanismos de integridade semântica
D. Perturbação


7. Qual dos seguintes tipos de chave é usado para

impor a integridade referencial entre as tabelas de
banco de dados?
A. Chave do candidato
B. Chave primária
C. Chave estrangeira
D. Super chave


8. Richard acredita que um usuário de banco de dados

está usando indevidamente seus privilégios para obter
informações sobre as tendências globais de negócios
da empresa, emitindo consultas que combinam dados
de um grande número de registros. De que processo o
usuário do banco de dados está aproveitando?
A. Inference
B. Contamination
C. Polyinstantiation
D. Aggregation

9. Qual técnica de banco de dados pode ser usada

para evitar que usuários não autorizados
determinem informações confidenciais ao
perceberem a ausência de informações
normalmente disponíveis para eles?
A. Inferência
B. Manipulação
C. Poliinstanação
D. Agregação


10. Qual dos seguintes não é um princípio de

desenvolvimento ágil?
A. Satisfaça o cliente através da entrega precoce e

contínua.
B. Empresários e desenvolvedores trabalham
juntos.
C. Preste atenção contínua à excelência técnica.
D. Priorize a segurança em relação a outros
requisitos.


11. Que tipo de informação é usada para formar a

base do processo de tomada de decisão de um
sistema especializado?
A. Uma série de cálculos ponderados em camadas

B. Entrada combinada de vários especialistas
humanos, ponderada de acordo com o desempenho
passado
C. Uma série de regras "se/então" codificadas em uma
base de conhecimento
D. Um processo de tomada de decisão biológica que
simula o processo de raciocínio usado pela mente
humana


12. Em que fase do SW-CMM uma organização usa

medidas quantitativas para obter uma
compreensão detalhada do processo de
desenvolvimento?
A. Inicial
B. Repetível
C. Definida
D. Gerenciada


13. Qual dos seguintes atua como proxy entre um

aplicativo e um banco de dados para apoiar a
interação e simplificar o trabalho dos
programadores?
A. SDLC
B. ODBC
C. DSS
D. Abstração


14. Em que tipo de teste de software o testador

tem acesso ao código fonte?
A. Teste estático
B. Testes dinâmicos
C. Teste de script de site cross-site
D. Teste de caixa preta


15. Que tipo de gráfico fornece uma ilustração

gráfica de um cronograma que ajuda a planejar,
coordenar e acompanhar tarefas do projeto?
A. Gantt
B. Venn
C. Bar
D. PERT


16. Qual risco de segurança de banco de dados

ocorre quando os dados de um nível de
classificação mais alto são misturados com dados
de um nível de classificação mais baixo?
A. Agregação
B. Inferência
C. Contaminação
D. Poli-instanação


17. Que tecnologia de segurança de banco de

dados envolve a criação de duas ou mais linhas
com chaves primárias aparentemente idênticas
que contêm dados diferentes para usuários com
diferentes autorizações de segurança?
A. Poli-instantação
B. Supressão celular
C. Agregação
D. Views


18. Qual dos seguintes não faz parte do processo

de gestão de mudanças?
A. Controle de solicitação
B. Controle de liberação
C. Auditoria de configuração
D. Controle de mudança


19. Que princípio de gerenciamento de transações

garante que duas transações não interfiram uma
na outra, pois operam nos mesmos dados?
A. Atomicidade
B. Consistência
C. Isolamento
D. Durabilidade


20. Lugui construiu uma tabela de banco de dados

composta por nomes, números de telefone e
identidades de clientes para o seu negócio. A
tabela contém informações sobre 30 clientes. Qual
é o grau desta tabela?
A. Dois
B. Três
C. Trinta
D. Indefinido


Técnicas de propagação usadas por vírus
Para penetrar sistemas e espalhar suas cargas

maliciosas os vírus usam quatro técnicas principais
de propagação:
File infection,
Service injection,
Boot sector infection,
Macro infection
Software antivírus
A maioria dos programas antivírus usam algoritmos de

detecção baseados em assinaturas para procurar padrões
reveladores de vírus conhecidos. Isso torna essencial
atualizar periodicamente os arquivos de definição de vírus, a
fim de manter a proteção à medida que eles emergem. A
detecção baseada em comportamento também está se
tornando cada vez mais comum o monitoramento de
sistemas alvo em busca de atividades incomuns e bloqueio
ou sinalização para investigação mesmo que a atividade não
corresponda a uma assinatura de malware conhecida.

Segurança por senha
Senhas são o mecanismo de controle de acesso

mais comum em uso.
Diverso ataques podem ser usados para
comprometer a segurança das senhas tais como,
password crackers, dictionary attacks, and social
engineering attacks, ou phishing.

Explorar software mal escrito
Ataques a aplicativos são uma das maiores

ameaças à computação moderna. Os atacantes
exploram buffer overflows, back doors, time-of-
check-to-time-of-use vulnerabilities, e rootkits
para obter acesso ilegítimo a um sistema.

Vulnerabilidades de aplicativos
À medida que muitos aplicativos se movem para a

web, desenvolvedores e profissionais de segurança
devem entender os novos tipos de ataques tais
como cross-site scripting (XSS) and SQL injection
attacks.

Ataque a rede
Antes de iniciar um ataque, os atacantes usam

varreduras IP para pesquisar hosts ativos em uma
rede. Esses hosts são então submetidos a
varreduras de portas e outras ferramentas de
vulnerabilidade para localizar pontos fracos que
podem ser atacados na tentativa de comprometer
a rede. Você deve proteger sua rede contra eles,
limitando a quantidade de informações que os
atacantes podem obter.

D8-SOFTWARE
SIMULADO-21

1. Qual é a técnica mais usada para proteger

contra ataques de vírus?
A. Detecção de assinaturas
B. Detecção heurística
C. Garantia de integridade de dados
D. Reconstrução automatizada


2. Você é o administrador de segurança de uma

empresa de comércio eletrônico e está colocando um
novo servidor web em produção. Que zona de rede
você deve usar?
A. Internet
B. DMZ
C. Intranet
D. Sandbox


3. Qual dos seguintes tipos de ataques depende da

diferença entre o tempo de dois eventos?
A. Smurf
B. TOU/TOU
C. Land
D. Fraggle


4. Qual das seguintes técnicas está mais

intimamente associada aos ataques APT –
Advanced Permanent Thread?
A. Zero-day exploit
B. Social engineering
C. Trojan horse
D. SQL injection

5. Que técnica avançada de vírus modifica o código

malicioso de um vírus em cada sistema que ele
infecta?
A. Polymorphism
B. Stealth
C. Encryption
D. Multipartitism


6. Qual das seguintes ferramentas fornece uma

solução para o problema dos usuários esquecerem
senhas complexas?
A. LastPass
B. Crack
C. Shadow password files
D. Tripwire

7. Que tipo de vulnerabilidade do aplicativo mais

diretamente permite que um invasor modifique o
conteúdo da memória de um sistema?
A. Rootkit
B. Back door
C. TOC/TOU
D. Buffer overflow

8. Qual das senhas a seguir é menos provável que seja

comprometida durante um ataque de dicionário?
A. Mike
B. elppa
C. dayorange
D. fsas3alG


9. Que técnica pode ser usada para limitar a

eficácia dos ataques Rainbow Table?
A. Hashing
B. Salting
C. Digital signatures
D. Transport encryption

10. Qual caractere deve ser sempre tratado com

cuidado quando encontrado como entrada do usuário
em um formulário web?
A. !
B. &
C. *
D. '


11. Que tecnologia de banco de dados deve ser

implementada em formulários web para limitar o
potencial de ataques de injeção SQL?
A. Triggers
B. Stored procedures
C. Column encryption
D. Concurrency control

12. Que tipo de ataque de reconhecimento fornece

aos atacantes informações úteis sobre os serviços
executados em um sistema?
A. Session hijacking
B. Port scan
C. Dumpster diving
D. IP sweep

13. Que condição é necessária em uma página da

Web para que ela seja usada em um ataque de
cross-site-scripting entre sites?
A. Reflected input
B. Database-driven content
C. .NET technology
D. CGI scripts

14. Que tipo de vírus utiliza mais de uma técnica

de propagação para maximizar o número de
sistemas penetrados?
A. Stealth virus
B. Companion virus
C. Polymorphic virus
D. Multipartite virus

15. Qual é a defesa mais eficaz contra ataques de

scripting entre sites?
A. Limiting account privileges
B. Input validation
C. User authentication
D. Encryption

16. Qual worm foi o primeiro a causar grandes

danos físicos a uma instalação?
A. Stuxnet
B. Code Red
C. Melissa
D. RTM

17. O sistema de Ben foi infectado por código

malicioso que modificou o sistema operacional para
permitir que o autor do código malicioso tenha acesso
aos seus arquivos. Em que tipo de exploração esse
atacante se envolveu?
A. Escalation of privilege
B. Back door
C. Rootkit
D. Buffer overflow

18. Que tecnologia a linguagem Java usa para

minimizar a ameaça representada pelos applets?
A. Confidencialidade
B. Criptografia
C. Stealth
D. Sandbox


19. Qual tag HTML é frequentemente usada como

parte de um ataque de scripting cross-site (XSS)?
A. <H1>
B.<HEAD>
C.<XSS>
D.<SCRIPT>


20. Ao projetar regras de firewall para evitar a falsificação

(spoofing) de IP, quais dos seguintes princípios você deve seguir?
A. Pacotes com endereços IP de origem interna não entram na

rede vindos do lado de fora.
B. Pacotes com endereços IP de origem interna não saem da rede

do lado interno.
C. Pacotes com endereços IP públicos não passam pelo roteador

em nenhuma das direções.
D. Pacotes com endereços IP de origem externa não entram na

rede vindos de fora.



Aluno - Apostila Cissp (1301)

Enviado por

Dados do documento

Direitos autorais

Formatos disponíveis

Compartilhar este documento

Compartilhar ou incorporar documento

Opções de compartilhamento

Você considera este documento útil?

Este conteúdo é inapropriado?

Direitos autorais:

Formatos disponíveis

Aluno - Apostila Cissp (1301)

Enviado por

Direitos autorais:

Formatos disponíveis

SEGURANÇA CIBERNÉTICA

O ELO MAIS FRACO

Visão Holística da Segurança da

CORTESIA DO GATO TIÃO

Jaime Orts e Lugo (ortsylugo@gmail.com)

Engenheiro eletrônico com especialização em telecomunicações.

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

Take the assessment test before you start reading the

Faça o teste de avaliação antes de começar a ler o

1. Which of the following types of access control seeks to discover evidence of

1. Qual dos seguintes tipos de controle de acesso busca descobrir evidências de

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

2. Define and detail the aspects of password selection that distinguish

A. Difficult to guess or unpredictable

2. Defina e detalhe os aspectos da seleção de senha que distinguem boas

A. Difícil de adivinhar ou imprevisível

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

3. Which of the following is most likely to detect DoS attacks?

3. Qual das opções a seguir tem maior probabilidade de detectar ataques

A. IDS baseado em host

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

4. Which of the following is considered a denial-of-service attack?

A. Pretending to be a technical manager over the phone and asking a receptionist to

4. Qual das opções a seguir é considerada um ataque de negação de serviço?

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

5. At which layer of the OSI model does a router operate?

5. Em qual camada do modelo OSI um roteador opera?

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

6. Which type of firewall automatically adjusts its filtering rules based on

A. Static packet filtering

6. Que tipo de firewall ajusta automaticamente suas regras de filtragem

A. Filtragem estática de pacotes

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

7. A VPN can be established over which of the following?

A. Wireless LAN connection

7. Uma VPN pode ser estabelecida sobre qual das seguintes

A. Conexão LAN sem fio

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

8. What type of malware uses social engineering to trick a victim into

8. Que tipo de malware usa a engenharia social para induzir a vítima a

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

9. The CIA Triad comprises what elements?

A. Contiguousness, interoperable, arranged

9. A Tríade da CIA compreende quais elementos?

A. Contiguidade, interoperabilidade, arranjada

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

10. Which of the following is not a required component in the support of

10. Qual dos itens a seguir não é um componente obrigatório no apoio à

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

11. Which of the following is not a defense against collusion?

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

JAIME ORTS Y LUGO – ORTSYLUGO@GMAIL.COM

12. A data custodian is responsible for securing resources after

12. Um guardião de dados é responsável por proteger os recursos depois