Pergunta 1

1 em 1 pontos

A legislação brasileira que combate e pune crimes cibernéticos é relativamente recente como, por
exemplo, o projeto de lei nº 4.554/2020, que prevê a ampliação das penas para furto e estelionato
através de dispositivos eletrônicos. Sobre a LGPD (Lei Geral de Proteção de dados Pessoais), é
correto afirmar que:

Respost a.
a
No Brasil, a LGPD tem como objetivo responsabilizar as instituições que tem a guarda
Selecion
ada: dos dados do usuário.
Respost a.
as:
No Brasil, a LGPD tem como objetivo responsabilizar as instituições que tem a guarda
dos dados do usuário.
b.
Trata-se de um conjunto de leis reguladas internacionalmente e que define as diretrizes
de proteção aos dados dos usuários na Internet.
c.
Legisla sobre a pena aplicada a invasores por crimes que resultam em prejuízo
econômico.
d.
No Brasil o tema ainda está sendo discutido, possuindo apenas leis que criminalizam o
roubo de dados, mas que não prevê como as instituições devem lidar com os mesmos.
Come Alternativa correta é A, o Brasil já possui uma LGPD e que entrou em vigor a partir do dia 1º
ntário
de agosto de 2021. A lei normaliza e aplica sansões às empresas que possuem a custódia
da
respos dos dados do usuário, que pode variar de uma advertência, até multa de 2% do seu
ta: faturamento, limitada a 50 milhões de reais.

Pergunta 2
1 em 1 pontos

As falhas de segurança e vulnerabilidade de sistemas e aplicativos estão organizadas em uma lista

que recebe contribuições de diferentes fontes. Esta lista dá origem a um relatório de vulnerabilidades
além de ser uma referência para profissionais de segurança da informação, também é incorporada
em sistemas que automatizam a verificação de vulnerabilidades.

Qual das alternativas a seguir apresenta o nome deste relatório?

Resposta Selecionada: a.
CVE (Common Vulnerabilities and exposures).
Respostas: a.
CVE (Common Vulnerabilities and exposures).
b.
SFER (System Failures and Exposures Report).
c.
IVER (International Vulnerabilites and Exposures Report).
 d.
RDWR (Risk in a Digital World Report).
Coment A resposta correta é a A.
ário da
respost O CVE (Common Vulnerabilities and exposures) é um relatório que recebe contribuições
a:
de diversas fontes e contém a lista de falhas de segurança de sistemas e aplicativos, sem
citar seus detalhes técnicos ou como resolvê-las.

Pergunta 3
1 em 1 pontos

Dentre os objetivos da atividade hacker é obter o acesso e controle dos dispositivos de usuários e
servidores (computadores que hospedam serviços compartilhados em rede).

A respeito das técnicas utilizadas para esta finalidade, escolha a alternativa que define corretamente
o que é um shellcode e qual o seu objetivo durante um ataque?

Respo c.
sta
Shellcodes são pedaços de código que servem como payload e se aproveitam da interface
Seleci
onada do sistema operacional ou da execução de outros programas. Quando um payload gera um
: shell o atacante pode executar comandos de leitura e gravação, evitando que seja
necessário alterar arquivos do sistema operacional.
Respo a.
stas:
Shellcodes são arquivos do tipo .exe que quando abertos inadvertidamente pelo usuário
fazem a instalação de programas maliciosos no computador.
b.
Shellcodes são pedaços de código que alteram e ocultam arquivos do usuário e até mesmo
do sistema, podendo corrompê-los e causando o mal funcionamento do dispositivo. Este
nome vem porque os arquivos são ficam escondidos como em uma concha (shell).
c.
Shellcodes são pedaços de código que servem como payload e se aproveitam da interface
do sistema operacional ou da execução de outros programas. Quando um payload gera um
shell o atacante pode executar comandos de leitura e gravação, evitando que seja
necessário alterar arquivos do sistema operacional.
d.
Shellcodes são arquivos que utilizam a interface de comandos construídos em linguagem
C; estes tipos de arquivos não dependem do sistema operacional para serem executados,
pois compilam diretamente na linguagem de máquina.
Coment A resposta correta é a C.
ário da
respost Um shellcode é um payload que contém um pedaço de código responsável por utilizar a
a:
interface do sistema operacional e seu objetivo é assumir o controle de um programa
vulnerável e alterar o seu fluxo de execução.

Pergunta 4
1 em 1 pontos
 A retenção e destruição das evidências dos testes de penetração devem ser documentadas para
todas as partes envolvidas, antes mesmo do teste de penetração ser iniciado e caso um terceiro for
utilizado para um teste de penetração, o texto do contrato deve ser revisado para confirmar se tudo
está bem claro entre todas as partes.

Diante do exposto, como um pentester deve proceder com o tratamento das evidências obtidas de
testes de penetração?

Resposta b.
Seleciona
No caso de manipulação de dados financeiros, é necessário aplicar o uso de
da:
criptografia forte.
Respostas a.
:
Após a entrega dos relatórios, toda e qualquer evidência sempre deverá ser destruída
pelo hacker.
b.
No caso de manipulação de dados financeiros, é necessário aplicar o uso de
criptografia forte.
c.
Pela lei o hacker fica obrigado a aplicar criptografia em todo e qualquer dado obtido de
testes de invasão.
d.
O hacker não deverá, sob nenhuma hipótese, armazenar informações sensíveis de
usuários que possam ser utilizadas para qualquer tipo de fraude.
Come A resposta correta é a B.
ntário
da O hacker deverá armazenar as evidências de testes de acordo com a legislação da região
respo
do teste, sendo que estas devem ser documentadas e entregues também para todas as
sta:
partes envolvidas. No caso de manipulação de dados financeiros, deve-se utilizar
criptografia forte e técnicas de truncamento ou embaralhamento a serem aplicadas a
informações sensíveis de usuários.

Pergunta 5
1 em 1 pontos

A urna eletrônica brasileira passa por diversos testes e aperfeiçoamentos de sua segurança, além
disso, o dispositivo não possui conexão à rede o que torna a sua invasão ainda mais difícil. Supondo
que uma empresa realizasse uma votação online para estabelecer um acordo com seus funcionários
e um cracker realizasse um ataque a fim de impedi-la, qual seria a abordagem mais simples para este
ataque, sendo que o atacante não possui acesso direto ao servidor?

Resposta c.
Selecionada:
Através de um ataque DoS.
Respostas: a.
Obtendo acesso ao root remotamente e assim obtendo o controle sobre o
servidor.
b.
 Instalando um malware no servidor a fim de danificar o mesmo, fazendo cair o
acesso do sistema.
c.
Através de um ataque DoS.
d.
Realizando um ataque de sondagem.
Come A resposta correta é a C. O meio mais simples de impedir o acesso ao sistema de votação
ntário
seria realizar um ataque de negação de serviço através de um tráfego falso, que pode ser
da
respo realizado através de uma inundação de pings, fazendo congestionar a rede do alvo e
sta: impedindo acesso pelo tráfego legítimo dos funcionários que irão realizar a votação.

Pergunta 6
1 em 1 pontos

A ferramenta Nessus que pode ser utilizada nas fases de hacking, está disponível para download na
página de seu fabricante, a Tenable.

Qualquer pessoa pode baixar os pacotes diretamente do site e executar a instalação em um

computador com sistema operacional Linux. Apesar de ser simples de utilizar e instalar a ferramenta
é de grande ajuda tanto para invasores quanto aos administradores de sistemas.

A respeito da ferramenta Nessus, qual das afirmações a seguir está correta?

Resposta b.
Seleciona
Nessus é um scanner de vulnerabilidades que lista as correções e classifica o grau de
da:
severidade das brechas encontradas.
Respostas a.
:
Trata-se um tipo de ataque para fazer o levantamento das informações do alvo.
b.
Nessus é um scanner de vulnerabilidades que lista as correções e classifica o grau de
severidade das brechas encontradas.
c.
Nessus é um antivírus avançado que pode detectar malwares.
d.
Uma ferramenta para ataques de força bruta de quebra de senha. Os administradores
podem utilizá-la para testar a força da senha de seus usuários.
Comentá A resposta correta é a B.
rio da
resposta: Nessus é uma ferramenta utilizada para rastrear vulnerabilidades em vários tipos de
sistema, exibindo um relatório com as mesmas e o nível de gravidade e correção de
cada uma.

Pergunta 7
1 em 1 pontos
 A avaliação de vulnerabilidades é o processo que visa examinar, descobrir e identificar medidas e
pontos fracos de segurança dos sistemas computacionais.

Qual destas formas de avaliação inclui a detecção de pacotes para descobrir vulnerabilidades?

Resposta Selecionada: b.
Avaliação passiva.
Respostas: a.
Avaliação ativa.
b.
Avaliação passiva.
c.
Avaliação externa.
d.
Avaliação interna.
Comen A resposta correta é a B.
tário
da Avaliação passiva é a forma de avaliação onde se inclui a detecção de pacotes para
respos
descobrir vulnerabilidades, serviços em execução, portas abertas e outras informações.
ta:
Nesse processo de avaliação não se pode, de nenhuma forma, interferir nos dispositivos
avaliados.

Pergunta 8
1 em 1 pontos

Scanners de rede podem ser utilizados de forma maliciosa, por atacantes, porém são ferramentas
extremamente úteis para o gerenciamento de redes de computadores e sistemas.

Partindo deste princípio, qual das alternativas a seguir, apresenta a funcionalidade de um scanner de
rede e como o mesmo pode ser utilizado tanto por administradores quanto por hackers?

Respo b.
sta
Scanners de rede podem ser usados para analisar o tráfego de rede e dispositivos
Seleci
onada conectados, bem como verificar problemas de lentidão e bloqueio de portas. Nas mãos de
: um hacker pode ser utilizado para planejar um ataque.
Respo a.
stas:
Scanners de rede são ferramentas que permitem fazer a descoberta e bloqueio de portas
na rede, pode ser utilizado por um administrador para identificar vulnerabilidades do
sistema, mas nas mãos de um hacker pode ser utilizado para realizar ataques de negação
de serviço.
b.
Scanners de rede podem ser usados para analisar o tráfego de rede e dispositivos
conectados, bem como verificar problemas de lentidão e bloqueio de portas. Nas mãos de
um hacker pode ser utilizado para planejar um ataque.
c.
 Scanners de rede permitem analisar o tráfego de rede, bem como o conteúdo que circula
por ela, um hacker pode utilizar esta ferramenta para interceptar o conteúdo em um ataque
do tipo man-in-the-middle.
d.
Scanners de rede permitem identificar os dispositivos conectados ao sistema permitindo a
administradores identificar invasores, nas mãos de um hacker pode ser utilizado para obter
as contas de usuários que estão conectadas ao sistema.
Come A resposta correta é a B. Scanners de rede são utilizados por administradores para fazer o
ntário
monitoramento do tráfego na rede e identificar problemas como portas bloqueadas,
da
respo consumo excessivo de banda e até mesmo dispositivos invasores. Um hacker que utilize
sta: um scanner de rede e com a acesso a estas informações pode utilizá-las para a fase de
planejamento do ataque.

Pergunta 9
1 em 1 pontos

Um ataque de injeção de script (Cross-Site Scripting) ocorre quando um script malicioso é injetado
em um formulário confiável a fim de interceptar as informações do usuário, como por exemplo, para
obter as suas credenciais.

Podemos classificar este ataque como do tipo:

Resposta Selecionada: a.
Sniffing de seção.
Respostas: a.
Sniffing de seção.
b.
Ataque man-in-the-middle.
c.
Ataque man-in-the-browser.
d.
Previsão de tokens de seção.
Coment A resposta correta é a C. Como o script age apenas do lado do cliente, ou seja, sobre o
ário da
formulário que exibido no browser, trata-se de um ataque man-in-the-browser que
respost
a: intercepta as credenciais do usuário.

Pergunta 10
1 em 1 pontos

Para realizar-se um teste de vulnerabilidade, não basta apenas ter as ferramentas, é necessário ter o
conhecimento de como utilizá-las e saber realizar a interpretação dos testes. Quais dos critérios
abaixo definem o sucesso de um teste de penetração?

I – Acesso direto de serviços.

II – A observação de dados restritos com a ausência dos controles esperados.
III – Comprometimento de dispositivos intermediários utilizados por usuários privilegiados
(administradores).
IV - Comprometimento dos sistemas de destino.

Analise as afirmações e escolha a opção cujas afirmações estão corretas.

Resposta Selecionada: b.
I, II e III, apenas.
Respostas: a.
I, apenas.
b.
I, II e III, apenas.
c.
II, III e IV, apenas.
d.
I, III e IV, apenas.
Comentário da A resposta correta é a B.
resposta:
Espera-se que o teste de penetração seja realizado sem o comprometimento dos
sistemas de destino.