Disciplina: Segurança da Informação
Data: 27/11/2012
Lista de Questões da Prova M1
1. Em relação aos níveis de classificação da informação, assinale a opção correta:
a) A Informação Reservada é aquela cuja visualização é restrita aos que fizeram uma solicitação prévia para consultá-las. Dessa forma ela somente poderá ser acessada no horário marcado, por tempo limitado e em local reservado.
b) A Informação Interna somente pode ser visualizada e editada pelo público interno da organização, trazendo grandes prejuízos caso seja acessada por pessoas externas e portanto devem ser criptografadas.
c) A Informação Confidencial é aquela restrita aos limites da empresa, e cuja divulgação indevida pode causar perdas financeiras e problemas operacionais.
d) A Informação Secreta é aquela que necessariamente deve ser criptografada e somente poderá ser acessada por um grupo de pessoas de algumas áreas e departamentos específicos. Não possui valor algum para as pessoas externas a empresa.
e) A Informação Pública é obtida a partir da consulta ao público externo à organização. Isso é feito a partir de pesquisas, enquetes e outros meios.
2. Em relação aos requisitos básicos de segurança da informação, assinale a opção correta:
a) Inteligibilidade quer dizer as informações estarão exatas, completas e não modificadas indevidamente, de forma que as pessoas as compreendam.
b) Confiabilidade quer dizer que as informações estão de forma exata e não foram modificadas indevidamente. c) Disponibilidade quer dizer que as informações estarão disponíveis a qualquer pessoa em tempo inferior a 1 minuto.
d) Integridade quer dizer que as informações estão totalmente acessíveis, sempre que necessário, pelas pessoas devidamente autorizadas.
e) Confidencialidade quer dizer que as informações estão acessíveis apenas as pessoas autorizadas pelo proprietário.
3. Maria recebeu uma mensagem de Pedro e gostaria de ter a garantia que a mesma não foi lida indevidamente por outra pessoa. De acordo com os princípios de segurança da informação, assinale a alternativa que indica o princípio com a finalidade que essencialmente vai garantir esse objetivo.
a) Integridade. b) Disponibilidade. c) Não repúdio. d) Confidencialidade. e) Confiabilidade.
4. O objetivo principal da Norma ABNT NBR ISO/IEC 27001:2005 é
a) estabelecer diretrizes e princípios gerais para iniciar, implementar, manter e melhorar a Gestão de Segurança da Informação em uma organização. Os objetivos definidos nessa Norma proveem diretrizes gerais sobre as metas geralmente aceitas para a Gestão da Segurança da Informação.
b) fornecer diretrizes referentes à recuperação e Continuidade de Negócio. O título original dessa Norma é 'Guidelines for information and communications technology disaster recovery services'.
c) fornecer diretrizes com relação a técnicas e procedimentos de medição para avaliar a eficácia dos controles de Sistemas de Informação implementados, dos processos de Sistemas de Informação e do Sistema de Gestão da Segurança da Informação.
d) fornecer um guia de Gestão da Segurança da Informação específico para empresas de telecomunicação. Essa Norma especifica os requisitos para credenciamento de entidades de auditoria e para certificação de Sistemas de Gestão da Segurança da Informação. e) fornecer diretrizes para o gerenciamento de riscos dos Sistemas de Informação. É constituída por indicações para implementação, monitoramento e melhoria contínua do sistema de controles
5. No que se refere ao estabelecimento do SGSI contidos na Norma ABNT NBR ISO/IEC 27001, marque a alternativa correta referente ao que a organização deve realizar nessa etapa.
a) Implementar o plano de tratamento de riscos.
b) Conduzir auditorias internas do SGSI a intervalos planejados. c) Definir o escopo e os limites da SGSI.
d) Implementar programas de conscientização e treinamento. e) Comunicar as ações e melhorias a todas as partes interessadas.
6. De acordo com a Norma ABNT NBR ISO/IEC 27001, em qual das etapas abaixo está prevista a condução de auditorias internas do SGSI a intervalos planejados.
a) Contratar e Avaliar o SGSI b) Manter e Melhorar o SGSI
c) Monitorar e Analisar Criticamente o SGSI d) Implementar e Operar o SGSI
e) Estabelecer o SGSI
7. De acordo com a Norma ABNT NBR ISO/IEC 27001, a responsabilidade pelo sucesso da implantação da SGSI na organização recai principalmente sobre o envolvimento da:
a) Os fornecedores e prestadores de serviços da organização b) Diretoria
c) Todos os funcionários da organização d) Os membros da equipe de TI
8. A criptografia assimétrica baseia-se na utilização de duas chaves, sendo uma mantida secreta, enquanto outra pode ser divulgada publicamente.
Com relação ao tema, analise as asserções a seguir.
I - Maria criptografa a mensagem (texto claro) utilizando-se da chave privada de João. A mensagem cifrada é então enviada a João que a decriptografa utilizando sua chave pública. Como a criptografia assimétrica trabalha com funções matemáticas bidirecionais, João não conseguiria decriptografar a mensagem usando sua chave privada
PORQUE
II - Apenas a chave pública permite essa decriptografia, já que é gerada por algoritmos criptográficos assimétricos como o DES, 3DES ou AES e é de conhecimento de ambos os envolvidos na troca de mensagens.
Acerca dessas asserções, é correto afirmar:
a) As duas asserções são proposições verdadeiras, mas a segunda não é a justificativa correta da primeira. b) As duas asserções são proposições verdadeiras, e a segunda é a justificativa correta da primeira. c) A primeira asserção é uma proposição falsa, e a segunda, uma proposição verdadeira.
d) Tanto a primeira quanto a segunda asserções são proposições falsas.
e) A primeira asserção é uma proposição verdadeira, e a segunda, uma proposição falsa.
9. No que tange à segurança, existem duas classes de algoritmos criptográficos, caracterizadas a seguir.
I- utiliza uma mesma chave tanto para cifrar como para decifrar uma mensagem, ou seja, a mesma chave utilizada para “fechar o cadeado” é utilizada para “abrir o cadeado”.
II- utiliza chaves distintas, uma para cifrar e “fechar” e outra para decifrar e “abrir”, sempre geradas aos pares. As classes descritas caracterizam algoritmos criptográficos conhecidos, respectivamente, como:
a) de chave pública e de chave secreta b) absolutos e relativos
c) simétricos e assimétricos
d) de assinatura assimétrica e de assinatura simétrica e) de cifras de transposição e de cifras de substituição
10. É uma forma de ataque a sistemas de criptografia onde o atacante experimenta cada chave possível em um trecho de texto cifrado, até obter uma tradução inteligível para texto claro. Na média, metade de todas as chaves possíveis precisa ser experimentadas para se obter sucesso.
A forma de ataque citada acima é conhecida como: a) ataque por inserção de valor.
b) ataque por força bruta. c) criptoanálise linear.
d) ataque de quebra de chave. e) criptoanálise diferencial.
11. Existem dois tipos de técnicas de operação utilizadas pelos algoritmos de criptografia. Qual a denominação da técnica que se baseia na permutação das letras do texto claro?
a) Substituição b) Transposição c) Cifra de bloco d) Cifra de matrizes e) Cifra de fluxo
12. Existem dois modos de processamento utilizados pelos algoritmos de criptografia. Qual a denominação dada a um algoritmo que, à medida que as letras chegam ao algoritmo, ele troca cada letra do texto claro por outra definida numa tabela?
a) Cifra de fluxo b) Cifra de matrizes c) Cifra de bloco d) Substituição e) Transposição
13. O ataque realizado na página que utiliza uma técnica que consiste em alterar o conteúdo da pagina web de um site é denominado de: a) phishing b) DoS c) defacement d) spoofing e) botnet
14. Com o objetivo de impedir a atividade de programas maliciosos, sites da área bancária e financeira têm implementado um mecanismo de segurança que gera uma imagem com combinações de quatro dígitos aleatórios e que deverão ser digitadas pelos usuários para validação das transações, como exemplificado na figura abaixo:
Esse mecanismo é conhecido como medida para prevenir um ataque de: a) defacement
b) spoofing c) phishing d) DoS e) sniffing
15. No mundo cibernético, qual é o termo utilizado para designar quem pratica a quebra de proteções de softwares cedidos a título de demonstração, usando-os por tempo indeterminado, como se fossem cópias legítimas?
a) Hacker b) Coder c) Carder d) Worm e) Cracker
16. Dadas as seguintes declarações:
I. Programas que se replicam e se espalham de um computador a outro, atacando outros programas, áreas ou arquivos em disco. II. Programas que se espalham em uma rede sem necessariamente modificar programas nas máquinas de destino.
III. Programas que parecem ter uma função inofensiva, para as quais foi aparentemente projetado, porém têm outras funções maliciosas e sem o conhecimento do usuário.
Os itens I, II, III correspondem respectivamente a ameaças programadas do tipo: a) Cavalos de Tróia, Vírus e Worms.
b) Vírus, Worms e Cavalo de Tróia. c) Vírus, Cavalos de Tróia e Worms. d) Worms, Vírus e Cavalos de Tróia. e) Worms, Cavalos de troia e Vírus.
17. Com relação à segurança da informação, assinale a opção correta.
a) Spyware é um programa que permite o controle da máquina invadida feito de forma remota, além é capaz de se propagar automaticamente, pois explora vulnerabilidades existentes em programas instalados em computadores.
b) Backdoor é um programa que permite o acesso de uma máquina a um invasor de computador, pois assegura a acessibilidade a essa máquina em modo remoto, facilitando a re-contaminação por outros malwares, sem utilizar, novamente, os métodos de realização da invasão.
c) Bot é um programa normalmente relacionado ao armazenamento de uma quantidade de informação maior do que o previsto, levando a uma condição de falha.
d) Worm é um conjunto de programas e técnicas que permite esconder e assegurar a presença de um invasor ou de outro código malicioso em um computador comprometido. Ele é utilizado para apagar os vestígios das atividades dos acessos feitos indevidamente.
e) Vírus é um programa que monitora as atividades de um sistema e envia informações relativas a essas atividades para terceiros. Um exemplo é o vírus keylogger que é capaz de armazenar os caracteres digitados pelo usuário de um computador.
18. Foi um termo originalmente criado para descrever o tipo de fraude que se dá através do envio, pela Internet, de mensagem não solicitada, que se passa por comunicação de uma instituição conhecida, como um banco, empresa ou site popular, e que procura induzir o acesso a páginas fraudulentas (falsificadas), projetadas para furtar dados pessoais e financeiros de usuários.
O termo citado acima é conhecido como: a) spoofing
b) DoS c) defacement d) botnet e) phishing
19. A Norma ABNT NBR ISO/IEC 27001:2005 adota o modelo conhecido como "Plan-Do-Check-Act” (PDCA), que é aplicado para estruturar todos os processos do SGSI. Descreva o que essa norma exige que se faça em cada uma das etapas do PDCA.
____________________________________________________________________________________________________________ ____________________________________________________________________________________________________________ ____________________________________________________________________________________________________________ ____________________________________________________________________________________________________________ ____________________________________________________________________________________________________________ ____________________________________________________________________________________________________________ ____________________________________________________________________________________________________________ ____________________________________________________________________________________________________________ ____________________________________________________________________________________________________________
Gabarito: 1.c 2.e 3.d 4.a 5.c 6.c 7.b 8.d 9.c 10.b 11.b 12.a 13.c 14.d 15.e 16.b 17.b 18.e
