Um engenheiro responsável pela segurança cibernética de uma sociedade empresária está analisando a utilização de mecanismos de detecção, prevenção e correlação de eventos de segurança no ambiente corporativo, avaliando, nesse contexto, as características de soluções HIDS, IPS e SIEM.

Com relação a essas soluções, analise as afirmativas a seguir e assinale (V) para a verdadeira e (F) para a falsa.

( ) O HIDS monitora os segmentos de rede e analisa os pacotes que circulam pela infraestrutura em busca de padrões associados a ataques, emitindo alertas quando identifica atividades suspeitas.
( ) O IPS, por operar de forma inline, pode bloquear ou descartar conexões consideradas suspeitas, diferentemente de um IDS configurado exclusivamente para monitoramento passivo, cuja função principal é identificar e alertar sobre possíveis intrusões.
( ) O SIEM opera necessariamente de forma inline e substitui o IPS na função de bloquear ou descartar, em tempo real, o tráfego relacionado a eventos suspeitos.

As afirmativas são, respectivamente,

EX-AB1: uma estação de trabalho de um órgão governamental parceiro conectado à rede da DATAPREV foi infectada por um artefato malicioso.
Em poucos minutos, arquivos de banco de dados e documentos da rede local foram renomeados com extensões aleatórias e tornados ilegíveis. Paralelamente, os logs do sistema registraram a execução automatizada do comando vssadmin.exe delete shadows / all /quiet, visando inviabilizar a recuperação nativa do sistema operacional.
A análise do tráfego de rede confirmou que, antes da renomeação dos arquivos, os mesmos foram exfiltrados para uma infraestrutura externa. O único arquivo legível no diretório atacado continha uma nota de texto exigindo pagamento de resgate sob pena de vazamento público dos dados.

A descrição do incidente corresponde a uma infecção por

Durante o planejamento de continuidade para um data center estratégico da DATAPREV, a equipe técnica debateu sobre os recursos de Tecnologia da Informação e Comunicação (TIC) necessários à continuidade das atividades prioritárias.

Com base nas diretrizes da ABNT NBR ISO 22313:2020 para requisitos de recursos de TIC, assinale a opção que apresenta uma ação recomendada para a organização.

O SNMP (Simple Network Management Protocol) baseia-se em um modelo de gerenciamento em que uma estação gerente consulta periodicamente agentes instalados nos dispositivos de rede, por meio de operações de leitura, para obter valores armazenados em uma base de informações de gerenciamento (MIB). Esse modelo de consulta periódica (polling) consome banda de gerenciamento proporcional à frequência das consultas e ao número de dispositivos monitorados.
A RFC 2819 define a MIB de RMON (Remote Network Monitoring), que estende esse modelo ao especificar uma sonda (probe) capaz de coletar e processar estatísticas localmente, no próprio segmento de rede monitorado, estruturando suas funcionalidades em diversos grupos de monitoramento e controle.

Fonte: RFC 2819, Remote Network Monitoring Management Information Base (IETF, maio de 2000).

A equipe de gerência de redes da DATAPREV monitora um enlace WAN de baixa capacidade que interliga o datacenter principal a uma agência remota. O polling SNMP tradicional, realizado a cada poucos segundos pela estação gerente, consome parte significativa da banda desse enlace, mesmo quando a interface opera dentro dos parâmetros normais. A equipe deseja configurar a sonda RMON instalada no roteador da agência para que a estação gerente seja notificada apenas quando a utilização da interface ultrapassar um limiar predefinido, sem depender de consultas SNMP constantes.

Assinale a opção que indica corretamente os grupos da RFC 2819 responsáveis por implementar esse comportamento e a respectiva dinâmica que reduz a dependência do polling tradicional.

Em um cenário hipotético, o Blockchain está sendo utilizado para registrar operações realizadas entre diferentes sistemas corporativos. Cada bloco contém 1.024 transações, cujos hashes são organizados em uma árvore de Merkle binária balanceada.
Nessa estrutura, cada nó interno é obtido a partir do hash da concatenação dos dois hashes de seus nós filhos, até a obtenção de um único valor no topo da árvore, denominado raiz de Merkle.
Um auditor possui o conteúdo de uma determinada transação e a raiz de Merkle registrada no cabeçalho do bloco. Para verificar se essa transação pertence ao bloco, sem receber todas as demais transações, ele recebe os hashes necessários para reconstruir o caminho entre a transação e a raiz.

O número de hashes adicionais, que o auditor deve receber para realizar essa verificação, é

Durante um teste de intrusão (pentest) em uma aplicação web corporativa, um analista observou que o sistema possui uma funcionalidade para importação de fotos de perfil a partir de uma URL fornecida pelo usuário.

POST /api/perfil/carregar-imagem
Content-Type: application/json
{"url": "https://servidor-externo.com/minha-foto.png"}

Para verificar se a aplicação estava protegida e realizava a devida validação e restrição do destino, o analista alterou o payload da requisição para:
{"url": "http://127.0.0.1:8080/admin/status"}

Como resposta, a própria aplicação executou a requisição de rede internamente e retornou no corpo da resposta HTTP o painel de administração e métricas internas do sistema, que estava configurado para escutar apenas na interface de loopback local e estava inacessível externamente.

O teste de intrusão demonstrou a exploração bem-sucedida da vulnerabilidade, que é conhecida como:

Uma equipe de dados da DATAPREV trata uma base de registros administrativos e substitui o número do CPF de cada titular por um código identificador único. A tabela que permite relacionar cada código ao CPF correspondente é armazenada em servidor distinto daquele que contém a base tratada, com acesso restrito a integrantes autorizados da própria equipe controladora.
Os analistas que trabalham apenas com a base tratada conseguem realizar as análises necessárias, mas não conseguem determinar a identidade dos titulares sem utilizar as informações armazenadas nesse servidor separado.

Diante dessas condições, o tratamento aplicado pela equipe se caracteriza, segundo a Lei nº 13.709/2018 (LGPD), como um caso de

O Microsoft Purview disponibiliza controles complementares para proteção da informação.
Os rótulos de sensibilidade (Sensitivity Labels) podem classificar arquivos e e-mails e aplicar mecanismos de proteção, incluindo criptografia e controle de acesso. Nas configurações de criptografia com permissões definidas pelo administrador, é possível determinar quais usuários podem acessar o conteúdo e estabelecer condições para o acesso offline.
O Data Loss Prevention (DLP) identifica informações sensíveis e aplica ações preventivas sobre diferentes localizações, aplicativos e formas de transmissão configuradas pela organização.
O Insider Risk Management utiliza indicadores de atividades potencialmente arriscadas para apoiar a identificação e a investigação de riscos internos, inclusive em cenários relacionados à possível exfiltração de dados por usuários em processo de desligamento.
A Double Key Encryption (DKE) utiliza duas chaves para proteger conteúdo de elevada sensibilidade: uma sob gerenciamento da Microsoft e outra mantida sob controle da própria organização, sendo indicada para situações que demandam requisitos mais rigorosos de custódia e soberania das chaves criptográficas.

Fonte: Microsoft Learn (https://learn.microsoft.com/pt-br/purview/)

A área de segurança da informação da DATAPREV identificou que determinados documentos confidenciais precisam continuar protegidos até depois de terem sido copiados para dispositivos ou contas de armazenamento que não são administrados pela organização. O requisito de segurança estabelece que, após o desligamento de um funcionário e a consequente retirada de sua autorização corporativa, ele não deverá conseguir abrir novamente uma cópia protegida que tenha recebido legitimamente durante o vínculo, mesmo armazenada em seu computador pessoal. Além disso, o acesso a documentos exige uma nova autorização sempre que necessário, não admitindo a licença de acesso offline que permita ao usuário continuar abrindo o conteúdo após a retirada de sua permissão. Não há requisito específico de manutenção de uma segunda chave criptográfica em infraestrutura própria da organização.

Considerando as funcionalidades descritas e o requisito apresentado, indique a configuração mais adequada para atender à demanda da DATAPREV.

Durante uma auditoria em uma sociedade empresária, a equipe de segurança da informação analisou o fluxo de aprovação eletrônica de pagamentos do Sistema Integrado de Gestão Financeira.
Constatou-se que, após a autenticação de um gestor, a confirmação do pagamento de despesas de grande vulto é gravada no banco de dados apenas com um registro simples de data e o nome do usuário em formato texto, sem a utilização de assinaturas digitais com certificados ICP-Brasil, sem carimbo do tempo (timestamping) confiável e sem trilhas de auditoria criptograficamente encadeadas e imutáveis.
O relatório da auditoria apontou formalmente que, devido a essa falha de arquitetura, caso um gestor legítimo autorize um pagamento indevido e, posteriormente, alegue perante uma comissão disciplinar que nunca realizou tal operação, a administração não disporá de evidências técnicas com validade pericial para contrapor a alegação do gestor e comprovar a verdadeira autoria.

No âmbito da modelagem de ameaças baseada no modelo STRIDE, a ameaça descrita nesse cenário é categorizada como

Durante o planejamento da continuidade dos serviços de processamento de dados da DATAPREV, a equipe responsável identificou informações essenciais para a retomada de atividades prioritárias após uma possível disrupção.

Considerando as orientações da ABNT NBR ISO 22313:2020 relativas a informações e dados, assinale a opção que apresenta, corretamente, uma ação recomendada para a organização.