TCE AC 2024

69 de 70 itens disponíveis no banco (os demais ainda estão sendo classificados). Toque num item para responder e ver o gabarito oficial.

1. 52InformáticaA validação de entrada de dados, quando eles são inseridos na base de dados por fontes e usuários desconhecidos, é uma prática que atende ao conceito de integridade.
2. 53InformáticaA criptografia ajuda a determinar se os dados obtidos são provenientes de uma fonte confiável e não foram alterados durante a transmissão, obedecendo, assim, ao princípio da confidencialidade.
3. 54InformáticaSegundo a NBR ISO/IEC 27002:2022, são dois os tipos de controle nas políticas de segurança da informação: #Preventivo e #Corretivo.
4. 55InformáticaNa NBR ISO/IEC 27002:2022, no atributo propriedades de segurança da informação incluem-se as visões de controle #Confidencialidade, #Integridade, #Disponibilidade e #Autenticidade.
5. 56InformáticaConforme a NBR ISO/IEC 27001:2022, as ações para abordar riscos e oportunidades devem conter um planejamento do sistema de gestão da segurança da informação.
6. 57Segurança Pública e Legislação PolicialNos controles CIS, empresas que geralmente armazenam e processam informações confidenciais de clientes são classificadas como IG2 ou IG3.
7. 58Tecnologia da InformaçãoNo framework do NIST, a função proteção desenvolve e implementa as atividades adequadas para manter os planos de resiliência contra um evento de segurança cibernética.
8. 59Tecnologia da InformaçãoO OAuth é um protocolo que fornece aos aplicativos a capacidade de acesso designado seguro por transmitir dados de autenticação entre consumidores e provedores de serviços.
9. 60Tecnologia da InformaçãoA especificação do OpenID Connect determina que a autenticação pode ocorrer, entre outras formas, em fluxo implícito, no qual tokens são devolvidos diretamente para a parte confiável, em um URI (Unif…
10. 61Tecnologia da InformaçãoO MFA pode utilizar o fator de inerência, conhecido como autenticação por biometria, por ser uma das opções mais seguras disponíveis, considerando a sua dificuldade de ser contornada.
11. 62Tecnologia da InformaçãoSão exemplos de armazenamento criptográfico inseguro: imprudência no armazenamento de chaves e utilização de um hash para proteção de senhas sem o salt.
12. 63InformáticaSQL injection, LDAP injection e XSS (cross‐site scripting) são ataques do tipo injeção de código que podem ser explorados por hackers ou criminosos.
13. 64InformáticaCross-site request forgery é um vetor de ataque que faz que o navegador web execute uma ação indesejada na aplicação web alvo onde a vítima está logada.
14. 65InformáticaAo contrário do LDAP injection, em que o invasor pode inserir ou manipular consultas criadas pela aplicação, no SQL injection o invasor pode apenas inserir consultas na aplicação, que são enviadas di…
15. 66InformáticaO SQL injection e o cross‐site scripting utilizam a linguagem JavaScript.
16. 67Tecnologia da InformaçãoA quebra de autenticação é uma falha no mecanismo de controle de acesso, permitindo que usuários acessem recursos ou realizem ações fora de suas permissões; caso ocorra, o limite para o dano pode ser…
17. 68Tecnologia da InformaçãoA adulteração de URL é a forma mais simples de ataque de referência insegura a objetos.
18. 69Tecnologia da InformaçãoEnvenenamento de cache DNS pode ser uma técnica associada a ataques DDoS.
19. 70Tecnologia da InformaçãoA principal consequência de um ataque DDoS é a perda de integralidade dos dados armazenados no servidor atacado.
20. 71Tecnologia da InformaçãoInfere-se da situação que o ataque DDoS afeta a disponibilidade do serviço web da empresa de e-commerce.
21. 72Tecnologia da InformaçãoA técnica utilizada no ataque descrito envolve a modificação de mensagens para causar um efeito de acesso não autorizado.
22. 73InformáticaPhishing é um ataque que compromete apenas a confidencialidade das informações.
23. 74InformáticaO uso de SSL/TLS ajuda a prevenir ataques de negação de serviço.
24. 75InformáticaUtilizar funções de hash como MD5 ou SHA1 para verificação de integridade é uma ação eficaz contra modificação não autorizada durante a transmissão de arquivos.
25. 76Tecnologia da InformaçãoO pagamento do resgate representa a garantia da recuperação imediata de todos os dados criptografados.
26. 77InformáticaA implantação de uma política de backup e restauração robusta, além de um plano de gestão de crises, é medida preventiva e reativa eficaz para minimizar o impacto dos ataques de ransomware na referid…
27. 78InformáticaA referida instituição financeira pode resolver o problema sem pagar o resgate, utilizando os backups de dados.
28. 79Tecnologia da InformaçãoTodos os logs relacionados ao port scanning devem ser mantidos por um período longo, com o objetivo de análise futura e conformidade com normas de segurança, bem como para permitir a identificação de…
29. 80Tecnologia da InformaçãoO port scanning não pode ser prevenido, sendo possível apenas a sua detecção, pois é uma técnica muito comum e não há forma de interrompê-la.
30. 81Tecnologia da InformaçãoO port scanning é usado, com o processo de hardening, para garantir que as portas estejam corretamente configuradas e seguras.
31. 82Tecnologia da InformaçãoA melhor contramedida contra o phishing seria usar algoritmos de criptografia mais robustos nas comunicações de email efetuadas na empresa.
32. 83Tecnologia da InformaçãoA implantação de autenticação multifator (2FA) poderia ajudar a mitigar o ataque de phishing.
33. 84Tecnologia da InformaçãoA implantação de 2FA aumenta a complexidade para acesso ao sistema, mas não oferece ganhos em relação à segurança.
34. 85InformáticaO armazenamento de credenciais em texto puro no banco de dados é uma prática segura, desde que o acesso ao banco de dados seja bem controlado.
35. 86Tecnologia da InformaçãoA utilização de HTTPS para todas as comunicações entre cliente e servidor elimina a necessidade de outras medidas de segurança.
36. 87Tecnologia da InformaçãoDeterminados algoritmos de hash podem sofrer colisões que impedem a correta verificação de integridade.
37. 88Tecnologia da InformaçãoUma função hash permite a transformação de uma grande quantidade de dados (de tamanho variado) em uma pequena quantidade de informações com saída de tamanho fixo.
38. 89Tecnologia da InformaçãoSalting é uma medida de segurança adicional que pode ser adicionada ao hash de uma senha para aumentar sua resiliência contra ataques.
39. 90Tecnologia da InformaçãoIndependentemente do tamanho de dados armazenados, a técnica criptográfica mais eficiente e rápida é a de chave pública.
40. 91Tecnologia da InformaçãoEm criptografia de curva elíptica, para ser considerada uma curva elíptica, a equação ᡷ⡰ = ᡶ⡱ + ᡓᡶ + ᡔ deve ser satisfeita.
41. 92Tecnologia da InformaçãoA criptografia de curva elíptica é um tipo de sistema criptográfico simétrico embasado na estrutura algébrica de curvas elípticas sobre campos infinitos.
42. 93Tecnologia da InformaçãoNa verificação da assinatura digital, o destinatário da mensagem deve usar sua própria chave pública para verificar a assinatura.
43. 94Tecnologia da InformaçãoDurante a geração da assinatura digital, o emissor usa a chave pública do destinatário para fazer a assinatura digital, garantindo a confidencialidade.
44. 95Tecnologia da InformaçãoA detecção de ataques baseados em filtros com regras YARA permite o reconhecimento de padrões em arquivos de texto ou binários.
45. 96Tecnologia da InformaçãoTécnicas de ofuscação de binários bem executadas são capazes de burlar o processo de verificação do antivírus.
46. 97Tecnologia da InformaçãoPara que o IMAP e o IMAPS sejam negados em suas portas padrão, o administrador deve bloquear as portas 143 e 993, ambas com o TCP.
47. 98Tecnologia da InformaçãoPara que o HTTPS seja admitido em sua porta padrão, o administrador precisa permitir o UDP na porta 443.
48. 99Tecnologia da InformaçãoO SNMPv3 suporta autenticação e criptografia, permitindo três níveis de segurança diferentes: NoAuthNoPriv, AuthNoPriv e AuthPriv.
49. 100Tecnologia da InformaçãoConforme o padrão IEEE 802.11ax, é irrelevante o uso de MFP (Management Frame Protection) para manter a resiliência de redes de missão crítica, já que o MFP usa tecnologia insegura.
50. 101Tecnologia da InformaçãoWPA3 evita o uso da tecnologia SAE (Simultaneous Authentication of Equals), que permite ataques para a quebra de senha de usuários por falhas no vetor de inicialização.
51. 102Tecnologia da InformaçãoUm roteador e um switch podem fazer uso da funcionalidade do Engine ID Identifier no SNMPv3, que agrega uma dupla identidade a um pacote SNMPv3 para fins de redução do tamanho do fluxo de dados entre…
52. 103Tecnologia da InformaçãoO SNMPv3 garante a integridade da mensagem: se um pacote for alterado durante o trânsito, ele pode ser facilmente detectado e descartado.
53. 104InformáticaOs backups ou cópias dos dados contidos em um sistema de informação compõem estratégias de recuperação em caso de desastres, mas não garantem a recuperação da infraestrutura de TI.
54. 105InformáticaTrês elementos devem ser considerados em um plano de recuperação de desastres de um sistema de TI: a prevenção, a detecção e a recuperação.
55. 106Tecnologia da InformaçãoO plano de recuperação de desastres é um conjunto de procedimentos documentados que visa recuperar dados e serviços de tecnologia da informação após a ocorrência de um incidente de segurança.
56. 107InformáticaAs siglas RTO e RPO referem-se, respectivamente, ao tempo necessário para a recuperação dos dados e ao estado pontual que se deve recuperar em um sistema afetado por um incidente de segurança.
57. 108InformáticaMediante um plano de recuperação de desastres, deve-se buscar eliminar qualquer possibilidade de desastre ou perda de dados provocados por incidentes de segurança nos serviços de TI de uma instituiçã…
58. 109InformáticaQuando ocorre um incidente de segurança que impacta o correto funcionamento de um sistema de TI, pode-se recorrer ao plano de contingência para a manutenção da continuidade do negócio.
59. 110InformáticaUm plano de contingência pode descrever, por exemplo, que certos processos automatizados em um sistema de informação comprometido devem ser executados manualmente, enquanto se busca a recuperação do…
60. 111InformáticaOs desastres relacionados a sistemas de TI restringem-se aos causados por falhas em equipamentos e softwares e aos provocados por ataques maliciosos ou falhas humanas.
61. 112InformáticaA legislação brasileira recomenda que as empresas que manipulam ou armazenam dados pessoais de terceiros possuam um processo formal de gestão de incidentes de segurança da informação.
62. 113InformáticaA adoção de um plano de gestão de incidentes de segurança da informação não reduz a probabilidade de ocorrência de desastres, mas ajuda na solução do problema quando da sua ocorrência.
63. 114InformáticaO gerenciamento de crise no setor de TI envolve exclusivamente os incidentes de violação de dados e interrupção de serviços ocasionados por fatores internos ou externos à instituição.
64. 115InformáticaO monitoramento de mídias sociais e de notícias veiculadas nos meios de comunicação em busca de informações que afetam a imagem de uma organização constitui uma forma proativa de prevenção de crise.
65. 116InformáticaUm plano de gestão de incidentes de segurança da informação deve garantir, entre outras coisas, o sigilo absoluto dos fatos ocorridos após a detecção e contenção do incidente.
66. 117Tecnologia da InformaçãoA norma em questão foi publicada em 2008 e posteriormente alterada por outra NBR no que tange às terminologias da gestão da continuidade de negócios.
67. 118Tecnologia da InformaçãoA referida norma, baseada em norma britânica, trata da gestão de continuidade do negócio nas organizações.
68. 119Tecnologia da InformaçãoA LGPD criou a Autoridade Nacional de Proteção de Dados (ANPD), órgão responsável, entre outras atribuições, por fiscalizar e aplicar sanções administrativas em casos de descumprimento das normas de…
69. 120Tecnologia da InformaçãoEntre as sanções administrativas aplicáveis pela autoridade nacional a agente de tratamento de dados que cometa infração às normas da LGPD, inclui-se multa diária, limitada a R$ 50 milhões.