De acordo com o OWASP Top Ten:2021, falhas que ocorrem sempre que uma aplicação web realiza a busca de um recurso remoto sem validar a URL fornecida pelo usuário, permitindo que um invasor possa forçar a aplicação a enviar uma solicitação elaborada para um destino inesperado, ainda que protegido por um firewall, VPN ou outro tipo de lista de controle de acesso à rede (ACL). Assinale o item que apresenta a categoria do OWASP Top Ten descrita no enunciado.

Descendo para a terceira posição do OWASP Top Ten:2021, a categoria de Injeção inclui Enumerações de Fraquezas Comuns (Common Weaknesses Enumeration - CWE) notáveis como: CWE-79: Cross-site Scripting; CWE-89: SQL Injection e CWE-73: External Control of File Name or Path.
Assinale a alternativa que NÃO apresenta uma forma de mitigar vulnerabilidades nessa categoria.

“O Open Worldwide Application Security Project (OWASP) é uma fundação sem fins lucrativos que trabalha para melhorar a segurança do software. [...] Somos uma comunidade aberta dedicada a permitir que organizações concebam, desenvolvam, adquiram, operem e mantenham aplicativos confiáveis. Todos os nossos projetos, ferramentas, documentos, fóruns e capítulos são gratuitos e abertos a qualquer pessoa interessada em melhorar a segurança de aplicativos”.
(Fonte: https://owasp.org/about/).

Assinale a alternativa que descreve o OWASP Top Ten.

Ao criar sua equipe de resposta a incidentes (CSIRT), a organização deverá definir seus serviços considerando as estruturas e modelos adequados para fornecê-los. Essas definições serão implementadas através de um plano, políticas e procedimentos de resposta a incidentes, garantindo que a equipe tenha a autonomia necessária para agir de forma eficaz, eficiente e consistente no ambiente organizacional. Considerando as fases do processo de tratamento de incidentes, assinale o item que apresenta a ordem correta para estas fases.

“Detran alerta para golpes por mensagens SMS: Unidades dos departamentos estaduais de Trânsito (Detrans) em todo o Brasil têm chamado a atenção para tentativas de golpe envolvendo mensagens de texto. Essas mensagens direcionam para sites falsos que solicitam dados pessoais, alegando suspensão ou cassação da Carteira Nacional de Habilitação (CNH).”

(Fonte:https://www.opovo.com.br/noticias/brasil/2024/11/19/detran-alerta-para-golpes-por-mensagens-sms.html).

Ataques de engenharia social utilizando esse vetor de ataque são conhecidos como:

Uma rede virtual privada (VPN) estabelece um túnel seguro entre origem e destino, mesmo quando os pacotes passam pelos roteadores dos provedores de Internet. Assinale o item que apresenta o protocolo comumente utilizado em conjunto com o IPSec para fornecer um cliente VPN de acesso remoto com autenticação de usuário.

Ettercap é uma ferramenta para análise de redes e hospedeiros que permite o sniffing de conexões ativas, a filtragem de conteúdo em tempo real, a dissecação ativa e passiva de protocolos etc. Utilizando o Ettercap, um atacante pode transmitir pacotes ARP não solicitados para alvos em uma rede local. Como o protocolo ARP não possui mecanismos de segurança, os dispositivos receptores confiam nessa comunicação e atualizam suas tabelas ARP com o endereço falsificado. Assinale o item que apresenta, respectivamente, o nome da técnica descrita e que tipo de ataque pode ser realizado pelo atacante utilizando-a.

Analise o seguinte cenário: após ser infectado por um tipo de software malicioso (malware), um dispositivo foi utilizado como fonte para a infecção de novas máquinas na rede interna de uma organização. Os hospedeiros infectados foram identificados e analisados, sendo encontrados malwares que capturavam tudo o que era digitado por usuários, além de um processo que permitia o acesso ao atacante para a extração dessas informações.
Assinale a alternativa que apresenta a classificação dos malwares relatados no cenário acima.

Para a ABNT NBR ISO/IEC 27005:2023, “os riscos de segurança da informação podem estar associados ao potencial de que as ameaças explorem vulnerabilidades de um ativo de informação ou grupo de ativos de informação e, assim, causem danos a uma organização.” Ao optar por não coletar certas informações de indivíduos para que não seja necessário gerenciá-las, armazená-las e transmiti-las em seus sistemas de informação, qual opção de tratamento de risco está sendo selecionada pela organização?

Após sofrer uma série de ataques cibernéticos no último ano, uma empresa do setor educacional contratou uma auditoria de segurança da informação. Dentre as descobertas, o relatório de auditoria apontou que a elaboração e a aprovação de mecanismos de segurança nesta empresa estavam sendo executadas por uma única pessoa. De acordo com a ABNT NBR ISO/IEC 27002:2022, qual dos itens a seguir apresenta um controle capaz de mitigar os riscos inerentes à vulnerabilidade destacada?