Embedded Files
Questão 1 — Criptografia assimétrica, hash e não repúdio
Questão 1 — Criptografia assimétrica, hash e não repúdio
Item
Item
Em um sistema de assinatura digital, a assinatura é produzida a partir do hash do documento com o uso da chave privada do signatário, e sua verificação pode ser feita com a chave pública correspondente; esse mecanismo contribui para autenticidade, integridade e não repúdio, mas não tem como finalidade principal garantir a confidencialidade do conteúdo assinado.
Gabarito
Gabarito
Certo.
Resumo do assunto
Resumo do assunto
A assinatura digital utiliza criptografia assimétrica e função hash. Em regra, o documento é resumido por uma função hash, e a assinatura é gerada sobre esse resumo com a chave privada do signatário. A verificação ocorre com a chave pública correspondente.
Comentário GB
Comentário GB
O item está correto.
A assinatura digital não tem como objetivo principal esconder o conteúdo do documento.
Ela serve para demonstrar que aquele documento foi assinado por quem controla a chave privada correspondente e que o conteúdo não foi alterado depois da assinatura.
Isso ajuda a garantir:
autenticidade;
integridade;
não repúdio.
Confidencialidade é outra propriedade. Para proteger o conteúdo contra leitura indevida, seria necessário empregar mecanismo de criptografia voltado ao sigilo.
Pegadinha da banca
Pegadinha da banca
A banca tenta misturar assinatura digital com criptografia para sigilo.
Assinatura digital não é sinônimo de mensagem secreta.
Nota de fonte
Nota de fonte
Questão inédita GB, elaborada com base nos conceitos de criptografia assimétrica, assinatura digital, função hash, autenticidade, integridade e não repúdio.
Questão 2 — Hash, salt e ataque de dicionário
Questão 2 — Hash, salt e ataque de dicionário
Item
Item
O uso de salt em senhas impede que duas senhas iguais gerem necessariamente o mesmo hash, pois acrescenta dados adicionais antes da aplicação da função hash; entretanto, o salt não transforma a função hash em criptografia reversível nem elimina, por si só, a possibilidade de ataques de dicionário.
Gabarito
Gabarito
Certo.
Resumo do assunto
Resumo do assunto
Salt é um dado adicional usado antes do hash para diferenciar resultados e dificultar ataques com tabelas pré-computadas. Ele não torna o hash reversível e não substitui políticas de senha fortes nem funções apropriadas para armazenamento seguro de senhas.
Comentário GB
Comentário GB
O item está correto.
O salt faz com que senhas iguais possam gerar hashes diferentes, desde que os salts sejam diferentes.
Isso dificulta ataques baseados em hashes previamente calculados.
Mas atenção: salt não é criptografia.
Ele não permite recuperar a senha original.
Também não impede completamente ataques de dicionário, especialmente se as senhas forem fracas ou previsíveis.
O atacante ainda pode tentar palavras prováveis, combinando-as com o salt correspondente.
Pegadinha da banca
Pegadinha da banca
A banca pode afirmar que “com salt, ataque de dicionário se torna impossível”.
Errado.
Salt dificulta, mas não torna impossível toda tentativa de descoberta.
Nota de fonte
Nota de fonte
Questão inédita GB, elaborada com base nos conceitos de função hash, salting, armazenamento de senhas e ataque de dicionário.
Questão 3 — Ransomware de dupla extorsão
Questão 3 — Ransomware de dupla extorsão
Item
Item
Em ataques de ransomware de dupla extorsão, a existência de backup íntegro e atualizado elimina completamente os riscos para a organização, pois a ameaça se limita à indisponibilidade dos arquivos criptografados.
Gabarito
Gabarito
Errado.
Resumo do assunto
Resumo do assunto
No ransomware de dupla extorsão, o atacante não apenas criptografa dados ou sistemas, mas também rouba informações e ameaça divulgá-las. O backup ajuda na recuperação, mas não elimina o risco de vazamento.
Comentário GB
Comentário GB
O item está errado por causa da palavra completamente.
O backup é uma defesa importantíssima contra perda de acesso aos dados.
Ele pode permitir recuperação sem pagamento de resgate.
Mas, na dupla extorsão, o problema não é só a criptografia.
O atacante também pode ter roubado dados antes de criptografar os sistemas.
Nesse caso, mesmo com backup, a organização ainda pode sofrer:
vazamento de informações;
dano reputacional;
exposição de clientes;
pressão jurídica;
impacto operacional.
Pegadinha da banca
Pegadinha da banca
A banca tenta reduzir dupla extorsão a “dados criptografados”.
Dupla extorsão é mais grave porque envolve roubo + criptografia.
Nota de fonte
Nota de fonte
Questão inédita GB, elaborada com base nos conceitos de ransomware, dupla extorsão, disponibilidade, confidencialidade e vazamento de dados.
Questão 4 — ARP spoofing e rede local
Questão 4 — ARP spoofing e rede local
Item
Item
O envenenamento ARP consiste em falsificar associações entre endereços IP e endereços MAC em uma rede local, podendo permitir interceptação ou desvio de tráfego; por isso, não deve ser confundido com spear phishing, que é uma fraude direcionada baseada em engenharia social.
Gabarito
Gabarito
Certo.
Resumo do assunto
Resumo do assunto
ARP spoofing é um ataque técnico em rede local que manipula associações IP/MAC. Spear phishing é golpe direcionado que explora o fator humano com mensagens personalizadas.
Comentário GB
Comentário GB
O item está correto.
O ARP é usado para associar endereços IP a endereços MAC em redes locais.
No ARP spoofing, o atacante falsifica essas informações para fazer com que o tráfego seja enviado para o endereço MAC errado, geralmente o do próprio atacante.
Isso pode permitir interceptação ou desvio de tráfego.
Já o spear phishing é outra categoria de ameaça.
Ele envolve fraude personalizada, normalmente usando informações sobre a vítima para tornar o golpe mais convincente.
Pegadinha da banca
Pegadinha da banca
A banca pode misturar ataques de rede com engenharia social.
ARP spoofing não depende de e-mail falso.
Spear phishing não é falsificação de tabela ARP.
Nota de fonte
Nota de fonte
Questão inédita GB, elaborada com base nos conceitos de ARP spoofing, endereços IP/MAC, rede local, phishing direcionado e engenharia social.
Questão 5 — WAF, Modelo OSI e zero-day
Questão 5 — WAF, Modelo OSI e zero-day
Item
Item
Um WAF atua principalmente na Camada 7 do Modelo OSI, analisando tráfego HTTP/HTTPS de aplicações web e podendo bloquear padrões associados a ataques como SQL Injection e XSS; contudo, a existência de um WAF não garante neutralização absoluta de vulnerabilidades ou exploits zero-day.
Gabarito
Gabarito
Certo.
Resumo do assunto
Resumo do assunto
WAF protege aplicações web na camada de aplicação, analisando tráfego HTTP/HTTPS. Ele pode bloquear padrões suspeitos, mas não garante proteção absoluta contra vulnerabilidades desconhecidas ou exploits ainda não mitigados.
Comentário GB
Comentário GB
O item está correto.
O WAF é um firewall voltado para aplicações web.
Ele atua na Camada 7 do Modelo OSI, analisando requisições e respostas HTTP/HTTPS.
Pode ajudar a bloquear ataques como:
SQL Injection;
XSS;
exploração de parâmetros;
requisições maliciosas.
Mas isso não significa proteção absoluta.
Uma vulnerabilidade zero-day pode ainda não ter correção disponível.
Um exploit zero-day pode explorar a falha antes de o fabricante liberar patch ou antes de os mecanismos de defesa reconhecerem o padrão do ataque.
O WAF pode ajudar a mitigar, mas não garante neutralização total.
Pegadinha da banca
Pegadinha da banca
A banca pode transformar uma ferramenta de mitigação em solução absoluta.
Em segurança da informação, cuidado com palavras como:
sempre;
nunca;
elimina completamente;
garante proteção total.
Nota de fonte
Nota de fonte
Questão inédita GB, elaborada com base nos conceitos de WAF, Modelo OSI, Camada 7, aplicações web, HTTP/HTTPS, SQL Injection, XSS, vulnerabilidade zero-day e exploit zero-day.
Gabarito final
Gabarito final
Certo
Certo
Errado
Certo
Certo
Page updated
Google Sites
Report abuse