Questão 62 · Informática: Segurança da informação
Texto associado à questão
Texto 4A04-I
Um hacker invadiu o sistema computacional de determinada instituição e acessou indevidamente informações pessoais dos colaboradores e servidores. Durante a ação, foram alterados os registros de logs do sistema operacional e das aplicações, a fim de dificultar o trabalho de auditoria. Após o ocorrido, identificaram-se as seguintes ações do hacker.
I Exploração, a partir da Internet, de uma vulnerabilidade da página de notícias do portal da instituição localizada no servidor web, o que permitiu o acesso não autorizado à rede interna.
II Utilização de um script para alteração dos registros dos logs, com a troca dos endereços IP reais por fictícios.
III Quebra das credenciais administrativas do servidor de banco de dados dos sistemas internos, a partir do servidor web e utilização da técnica de ataques de dicionário.
IV Acesso de forma não autorizada ao servidor de banco de dados dos sistemas internos, para efetuar a extração das informações pessoais de colaboradores e servidores.
A equipe incumbida de analisar o caso concluiu que o risco era conhecido e considerado alto, já tendo sido comunicado à alta gestão da instituição; a vulnerabilidade explorada e sua correção eram conhecidas havia mais de seis meses, bem como a inexistência de dependências e da troca de dados entre os servidores de web e banco de dados; o incidente poderia ter sido evitado com o uso eficaz dos controles de segurança da informação.
Com base na NBR ISO/IEC n.º 27002, é correto afirmar que, no cenário apresentado no texto 4A04-I, foram explorados os controles de
- A) manutenção de equipamentos e de segurança física, pela ineficiência das manutenções preventivas recomendadas e da proteção física dos servidores web e de banco de dados.
- B) manutenção de equipamentos e de segregação de rede, pela ineficiência das manutenções preventivas recomendadas e da segmentação da rede em domínio filtrados por firewalls entre os servidores web e de banco de dados.
- C) segurança física e de segregação de rede, pela ineficiência da proteção física e da segmentação da rede em domínio filtrados por firewalls entre os servidores web e de banco de dados.
- D) gestão de vulnerabilidades técnicas e de segurança física, pela ineficiência do monitoramento e das correções das vulnerabilidades e da proteção física dos servidores web e de banco de dados.
- E) gestão de vulnerabilidades técnicas e de segregação de rede, pela ineficiência do monitoramento e das correções das vulnerabilidades e da segmentação da rede em domínio filtrados por firewalls entre os servidores web e de banco de dados.
Marque a alternativa correta:
Gabarito: E
Gabarito definitivo divulgado pela banca Cebraspe (TJ/PA 2020).
Comentário
Gabarito: E.
A NBR ISO/IEC 27002 trata dos controles de segurança. O texto evidencia falhas em dois deles. O primeiro é a gestão de vulnerabilidades técnicas: a falha da página de notícias e sua correção eram conhecidas "havia mais de seis meses", mas não foram tratadas, o que indica ineficiência no monitoramento e na correção. O segundo é a segregação de rede: a "inexistência de dependências e da troca de dados entre os servidores de web e banco de dados" mostra que esses servidores deveriam estar em domínios separados, filtrados por firewalls, o que não impediu o movimento lateral do atacante. A alternativa E está correta.
- A: o ataque foi lógico, pela Internet, e não explorou manutenção de equipamentos nem segurança física.
- B: a manutenção de equipamentos não é a falha relevante, pois o ataque foi lógico.
- C: a segurança física não foi explorada, já que a invasão ocorreu remotamente.
- D: a gestão de vulnerabilidades está correta, mas a segurança física não foi explorada.
Fundamentos: Gabarito oficial Cebraspe/TJ-PA 2020 (alternativa E) · NBR ISO/IEC 27002 (controles de gestão de vulnerabilidades técnicas e de segregação de redes)
Comentário gerado pela Cravei IA a partir do enunciado e do gabarito definitivo divulgado pela banca, e conferido por uma verificação automática. A IA pode errar: o gabarito oficial sempre prevalece.
Fonte: prova Cebraspe TJ/PA 2020 (Analista Judiciário – Especialidade: Análise de Sistema (Suporte)), questão 62, com o gabarito definitivo da banca. Comentário: Equipe Cravei · como fazemos e revisamos.