A respeito de controles e testes de segurança para aplicações web, múltiplos fatores de autenticação e soluções para segurança da informação, julgue o item subsequente.

Em um sistema corporativo, a exigência de senha e de código gerado por aplicativo autenticador atende aos requisitos de múltiplos fatores de autenticação, pois combina um fator de conhecimento e um fator de posse.

A respeito de controles e testes de segurança para aplicações web, múltiplos fatores de autenticação e soluções para segurança da informação, julgue o item subsequente.

A validação de segurança realizada no cliente é suficiente para eliminar os riscos de injeção em aplicações web baseadas em APIs REST, desde que o tráfego esteja protegido por TLS.

A respeito de controles e testes de segurança para aplicações web, múltiplos fatores de autenticação e soluções para segurança da informação, julgue o item subsequente.

Em arquiteturas corporativas, o uso combinado de um proxy e de um SIEM tem potencial para ampliar a capacidade de detecção de atividades anômalas, uma vez que os registros de navegação tratados pelo proxy podem ser correlacionados pelo SIEM a eventos provenientes de firewalls, IDS e controles de acesso.

Acerca de gestão de identidade e de acesso, privacidade, segurança por padrão e malware, julgue o item a seguir.

Um keylogger fileless depende da instalação prévia de um rootkit no sistema para registrar com sucesso os eventos de teclado, devido à necessidade de persistência em nível de kernel.

Acerca de gestão de identidade e de acesso, privacidade, segurança por padrão e malware, julgue o item a seguir.

A adoção de privacidade por padrão em um serviço digital legitima que as configurações iniciais favoreçam a coleta ampliada de dados, desde que os mecanismos de segurança por padrão estejam habilitados para proteger essas informações.

Acerca de gestão de identidade e de acesso, privacidade, segurança por padrão e malware, julgue o item a seguir.

Em uma arquitetura corporativa que adota SSO via SAML 2.0, o authorization server do fluxo OAuth2 atua como identity provider responsável pela emissão das assertions SAML utilizadas no processo de autenticação entre o usuário e o service provider.

Acerca de gestão de identidade e de acesso, privacidade, segurança por padrão e malware, julgue o item a seguir.

Backdoors incorporados a campanhas de malware fileless podem estabelecer canais de comando e controle a partir de código que permanece apenas em memória, utilizando mecanismos nativos do sistema para evitar detecção baseada em arquivos.

Em relação a GitHub Actions, Grafana e DevSecOps, julgue o item subsecutivo.

No DevSecOps, a execução de varreduras automatizadas de segurança é premissa fundamental do pipeline de desenvolvimento e deve ocorrer de forma integrada e contínua ao longo de todo o ciclo de entrega.

Acerca do versionamento de APIs RESTful e do JWT (JSON Web Token), julgue o item subsequente.

A decodificação de um JWT envolve transformar o header e o payload em um formato compacto e seguro para URLs, de maneira a permitir que qualquer pessoa leia essas partes sem precisar de uma chave.

Julgue o próximo item, relativo a infraestrutura de TI.

O processo de hardening para controladores de domínio (domain controllers — DC) envolve uma abordagem em várias camadas na adoção de medidas de segurança contra ataques cibernéticos, como, por exemplo, a aplicação de autenticação multifator (multifactor authenticator — MFA) para todos os acessos administrativos aos DC e a remoção de serviços que não sejam essenciais, reduzindo a superfície de ataque.