A norma ABNT NBR ISO/IEC 27005:20011 aponta diretrizes e descreve um processo genérico para a gestão de riscos de segurança da informação de uma organização, deixando a cargo da mesma a escolha do método para a avaliação de riscos, em conformidade com suas características e particularidades. Nesse contexto, a metodologia de avaliação de riscos, qualitativa, caracterizada por ser executada em um curto espaço de tempo, em três etapas, pelos especialistas da própria organização, por meio de reuniões lideradas por um facilitador e aplicada a um ativo (qualquer elemento de valor para a organização) sistema ou processo de negócio por vez, é denominada:

As funções de hash têm como objetivo principal converter uma mensagem ou dados em uma saída numérica única dada a entrada. Essas funções podem ser de uma via ou de via dupla; o uso mais comum é o de apenas uma via. O Secure Hash Algorithm (SHA) foi projetado para garantir a integridade da mensagem e é utilizado em conjunto com protocolos de encriptação. Já o Message Digest Algorithm (MD) também cria um hash de uma via e é utilizado para ajudar a manter a integridade das mensagens. Sobre SHA-1 e MD5, qual alternativa está correta com relação a essas funções de hash?

Para um administrador de redes construir um arcabouço de estratégias de mitigação de ataques, é importante que ele conheça os principais ataques à segurança da informação. Assinale a alternativa que corretamente apresenta a definição de um ataque ou códigos maliciosos.

Planos de contingência são aqueles que uma empresa ou corporação possuem para serem capazes de se recuperar na ocorrência de um desastre, catástrofe ou situação não esperada. Procedimentos contidos em um plano de contingência envolvem um plano compreensivo de backup que envolve armazenamento, procedimentos e manutenção. Conceitos como backup on-site e off-site fazem parte da construção de um modelo de recuperação. Sobre os tipos de backups conhecidos, assinale a alternativa que apresenta a correta definição do tipo de backup com sua descrição.

Nas definições encontradas em pesquisas na Internet, temos vários tipos de backups de dados. Analise a descrição a seguir e assinale a qual tipo de backup pertence essa definição:

“.. é feito de uma origem para um dispositivo físico, por exemplo um HD, protegendo o banco de dados de falhas no disco rígido, exclusões acidentais e ataques de hacker. Geralmente, feito no mesmo lugar dos arquivos originais facilitando sua restauração, caso seja necessário. *.

O Active Directory (AD) é uma implementação de serviço de diretório no protocolo LDAP que armazena informações sobre objetos em rede de computadores e disponibiliza essas informações a usuários e administradores dessa rede, facilitando a sua gestão. O serviço Active Directory Domain Services (AD DS) é utilizado na autenticação de usuários para acesso aos recursos da referida rede. Suponha que tenhamos o domínio ufms.edu.br, ao executarmos os comandos listados abaixo:

I - dsadd ou “ou=Servidores,dc=ufms,dc=edu,dc=br”

Il - dsadd ou “ou=Servidores Web,ou=Servidores,dc=ufms,dc=edu,dc=br”

Assinale a alternativa que explica corretamente o resultado de tais comandos.

Sobre as ISO/IEC 27001 e ISO/IEC 27002 para Gestão de Segurança da Informação, analise as afirmações a seguir.

I - ISO/IEC 27002 é a norma que define os requisitos para um Sistema de Gestão da Segurança da Informação (SGSI). O SGSI inclui estrutura organizacional, políticas, atividades de planejamento, responsabilidades, práticas, procedimentos, processos e recursos, sendo descrito como um sistema parte do sistema de gestão global da organização, com base em uma abordagem de risco do negócio, para estabelecer, implementar, operar, monitorar, revisar, manter e melhorar a segurança da informação.

II - ISO/IEC 27001 é a norma que define os requisitos para um Sistema de Gestão da Segurança da Informação (SGSI). O SGSI inclui estrutura organizacional, políticas, atividades de planejamento, responsabilidades, práticas, procedimentos, processos e recursos, sendo descrito como um sistema parte do sistema de gestão global da organização, com base em uma abordagem de risco do negócio, para estabelecer, implementar, operar, monitorar, visar, manter e melhorar a segurança da informação.

III- ISO/IEC 27001 é um código de práticas com um conjunto completo de controles (técnicos) que auxiliam a aplicação do Sistema de Gestão da Segurança da Informação (SGSI). É recomendável que a norma seja utilizada em conjunto com outras normas da família ISO 27000, mas pode ser também consultada de forma independente, com fins de adoção das boas práticas. Essa é a única norma em gestão da segurança para a qual existem certificações profissionais.

IV - ISO/IEC 27002 é um código de práticas com um conjunto completo de controles (técnicos) que auxiliam a aplicação do Sistema de Gestão da Segurança da Informação (SGSI). É recomendável que a norma seja utilizada em conjunto com a ISO 27001, mas pode ser também consultada de forma independente, com fins de adoção das boas práticas. Essa é a única norma em gestão da segurança para a qual existem certificações profissionais.

Estão corretas, apenas, as assertivas:

Sobre os conceitos e as ferramentas de segurança em redes, como Firewall de Aplicação Web (WAF), e as ferramentas mais comumente utilizadas como Nmap, Nikto, Wireshark, Snort e Nessus, assinale a alternativa correta.

Sobre os conceitos de códigos maliciosos cavalo de tróia, adware, spyware, backdoors, keylogger, worm e Rootkit, assinale a alternativa correta.

Sobre os testes de invasão em aplicações Web, bem como os ataques explorando vulnerabilidades nas aplicações web, assinale a alternativa correta.