Wondershare EdrawMind
Galeria de mapas mentais Notas de Estudo CISSP - Domínio 6 (Avaliação e Teste de Segurança)
- 6
- 1
- 1
Notas de Estudo CISSP - Domínio 6 (Avaliação e Teste de Segurança)
Este é um mapa mental sobre notas de estudo do CISSP - Domínio 6 (Avaliação e Teste de Segurança). O conteúdo principal inclui: questões de revisão e pontos de conhecimento.
Editado em 2024-04-06 10:04:44
- moléculas que compõem as células
A segunda unidade do Curso Obrigatório de Biologia resumiu e organizou os pontos de conhecimento, abrangendo todos os conteúdos básicos, o que é muito conveniente para todos aprenderem. Adequado para revisão e visualização de exames para melhorar a eficiência do aprendizado. Apresse-se e colete-o para aprender juntos!
- Cambridge IGCS Chemistry Coursebook 2023 Capítulo 16 Resumo dos pontos de conhecimento
Este é um mapa mental sobre Extração e corrosão de mim. O conteúdo principal inclui: Corrosão de metais, Extração de metais e a série de reatividade.
- Cambridge IGCS Chemistry Coursebook 2023 Capítulo 15 Resumo dos pontos de conhecimento
Este é um mapa mental sobre Reatividade de metais. O conteúdo principal inclui: Reações de deslocamento de metais, A série de reatividade de metais.
Notas de Estudo CISSP - Domínio 6 (Avaliação e Teste de Segurança)
- moléculas que compõem as células
A segunda unidade do Curso Obrigatório de Biologia resumiu e organizou os pontos de conhecimento, abrangendo todos os conteúdos básicos, o que é muito conveniente para todos aprenderem. Adequado para revisão e visualização de exames para melhorar a eficiência do aprendizado. Apresse-se e colete-o para aprender juntos!
- Cambridge IGCS Chemistry Coursebook 2023 Capítulo 16 Resumo dos pontos de conhecimento
Este é um mapa mental sobre Extração e corrosão de mim. O conteúdo principal inclui: Corrosão de metais, Extração de metais e a série de reatividade.
- Cambridge IGCS Chemistry Coursebook 2023 Capítulo 15 Resumo dos pontos de conhecimento
Este é um mapa mental sobre Reatividade de metais. O conteúdo principal inclui: Reações de deslocamento de metais, A série de reatividade de metais.
- Recomendado para você
- Descrição
Sistema de conhecimento do gerente de projetos de sistema de informação (Capítulo 12 Gerenciamento de aquisições do projeto)
- 5
![Estabelecimento e implementação de sistema de gestão de segurança de elementos de gestão de segurança [Versão prática]](https://edrawcloudpublicus.s3.amazonaws.com/work/5594727/2024-6-1/1717236196/thumb.png?x-oss-process=image/resize,w_300,m_lfit)
Estabelecimento e implementação de sistema de gestão de segurança de elementos de gestão de segurança [Versão prática]
- 6
- 1
- 1
Notas de Estudo CISSP - Domínio 6 (Avaliação e Teste de Segurança)
Pontos de conhecimento
6.1 Planejar e validar estratégias de avaliação, teste e auditoria
6.1.1. Avaliação, testes e auditoria
6.1.1.1 Testes
Uma atividade técnica que envolve a execução de um sistema para confirmar se ele atende a requisitos específicos ou ao comportamento esperado. O teste é frequentemente usado para encontrar problemas e erros em um sistema. No campo da segurança, os testes incluem verificação de vulnerabilidades, testes de penetração, etc., que são usados para descobrir e avaliar potenciais riscos de segurança do sistema.
6.1.1.2 Avaliações
A avaliação é uma atividade de avaliação abrangente para um objeto, sistema ou processo específico. Pode ser baseada em padrões quantitativos ou qualitativos. Por exemplo, a avaliação de risco serve para avaliar a possibilidade de ocorrência de um risco específico ou pode ser para avaliar a qualidade de. processo de segurança da organização.
6.1.1.3 Auditoria
Uma auditoria é um processo mais formal e estruturado cujo objetivo principal é verificar e confirmar a conformidade de um objeto ou sistema de acordo com padrões ou especificações definidas. As auditorias são geralmente conduzidas por organizações terceirizadas independentes para garantir a imparcialidade e justiça dos resultados da auditoria. Por exemplo, uma auditoria de sistema pode determinar se um sistema está em conformidade com o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS).
6.1.2. Auditoria interna
Avaliações e auditorias internas são atividades de avaliação e auditoria conduzidas pelo próprio pessoal de uma organização. Esta atividade pode ser realizada de forma contínua como parte da gestão de segurança da organização.
1. Vantagens e Desvantagens da Auditoria Interna
•Benefícios: Como os insiders têm um conhecimento profundo das operações e dos negócios da organização, eles são capazes de realizar testes ou avaliações com mais precisão e eficiência. Além disso, a auditoria interna também é mais flexível e pode ser realizada a qualquer momento de acordo com a necessidade da organização.
•Desvantagens: Existem potenciais conflitos de interesse, como “Quem faz a política não deve ser auditado”. Como resultado, a auditoria interna pode carecer de independência e imparcialidade.
2. Tipos de testes adequados para testes internos
•Verificação de vulnerabilidades: realizada regularmente para descobrir software não corrigido ou ativos desconhecidos.
•Auditorias de processos e procedimentos: como gestão de mudanças, conclusão de treinamento de funcionários, etc.
•Simulação de Phishing: Teste a capacidade dos funcionários de reconhecer e responder a ataques de phishing.
3. Prepare-se para auditorias externas
Antes de realizar uma auditoria externa, uma organização pode optar por realizar uma auditoria preparatória interna. Isto pode ajudar a melhorar o resultado das auditorias externas, identificando e corrigindo quaisquer problemas ou deficiências existentes antes do início da auditoria formal.
6.1.3. Auditoria externa
As auditorias externas são geralmente conduzidas por organizações terceirizadas independentes que não têm interesse direto na organização que está sendo auditada. Portanto, as auditorias externas podem fornecer avaliações e resultados de auditoria imparciais e independentes, que são particularmente valiosos para identificar e melhorar problemas que a organização possa ter ignorado. Mas também pode exigir um investimento de mais tempo e recursos. Portanto, as organizações precisam pesar os prós e os contras e considerar as suas necessidades e condições comerciais específicas ao decidirem realizar uma auditoria externa.
As situações em que a auditoria externa é aplicável incluem:
•Auditoria de conformidade: Para atender a requisitos de conformidade específicos, como o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI-DSS), o Padrão Internacional de Sistema de Gerenciamento de Segurança da Informação (IS0 27001), etc., são necessárias auditorias externas.
Requisitos legais ou regulamentares: Em alguns casos, uma organização pode ser obrigada a realizar uma auditoria externa devido a requisitos legais ou regulamentares. Por exemplo, para atender a requisitos de negócios específicos, pode ser necessária uma avaliação de maturidade com base em um modelo de maturidade.
6.1.4. Auditoria de terceiros
Auditorias de terceiros. Também chamada de auditoria da cadeia de suprimentos. É um meio importante de avaliar e gerenciar riscos de segurança da cadeia de suprimentos e pode ser conduzido pela própria organização ou por um auditor terceirizado. O processo de auditoria avaliará os controlos e políticas de segurança na cadeia de abastecimento, identificará riscos e proporá medidas de mitigação. Alguns fornecedores podem fornecer relatórios de auditoria de terceiros, como relatórios Service Organization Controls 2 (SOC2), que podem ajudar as organizações a compreender e gerenciar melhor os riscos da cadeia de suprimentos.
6.2 Realizar testes de controle de segurança
6.2.1. Avaliação de vulnerabilidade
1. Visão geral da estratégia
A avaliação de vulnerabilidades é um componente-chave da gestão de riscos, que se concentra na identificação e avaliação das vulnerabilidades dos ativos de hardware e software para evitar que sejam explorados por invasores.
As principais etapas da avaliação de vulnerabilidade incluem:
1) Crie um inventário de ativos: identifique os ativos críticos da sua organização e priorize as verificações de vulnerabilidades.
2. Selecione uma ferramenta de verificação: Escolha uma ferramenta de verificação de vulnerabilidades apropriada com base em fatores como requisitos legais, contratuais ou regulatórios, compatibilidade de plataforma e custo.
2. Perguntas frequentes sobre avaliação de vulnerabilidades
1. Tráfego excessivo e DoS
Descrição: Os scanners de vulnerabilidade podem gerar grandes quantidades de tráfego, consumir largura de banda da rede e potencialmente causar condições DoS em redes e sistemas enquanto eles lutam para processar informações.
solução:
1) Configuração correta, como implementação de otimização de solicitações para limitar o número de solicitações geradas pelo scanner em um período específico
2) Verificação baseada em voucher para obter informações de configuração e verificar com precisão as portas de destino
3) Agende verificações para garantir que a verificação ocorra em momentos de baixa atividade do usuário.
2.Alertas e eventos
Descrição: A verificação de hosts simulará táticas comumente usadas por invasores e gerará alertas de segurança.
Solução: Configure uma política para filtrar seu próprio tráfego de teste e marcar varreduras de portas do endereço IP do scanner de vulnerabilidade como não suspeitas.
3. Propriedade multifuncional
Descrição: Se o departamento comercial não prestar atenção, seu alarme de segurança poderá ser ignorado.
Solução: Cultivar relacionamentos entre equipes e formatar os resultados do feedback de uma forma que seja compreensível para os proprietários dos ativos;
4. Poluição
Descrição: Dados de teste preenchidos automaticamente podem poluir o ambiente online.
Solução: Modifique a política de configuração para reduzir ou ignorar algumas operações destrutivas, como operações de formulário, envio de e-mails, etc. O scanner pode ser configurado para inserir tipos de dados de teste reconhecidos que podem ser facilmente ignorados ou limpos após a digitalização
5. Segmentação de rede
Descrição: Usar medidas de controle de acesso, como firewalls, para segmentar ou isolar diferentes partes da rede é uma prática recomendada de segurança, mas pode impedir que o scanner alcance o endereço de destino.
Solução: A varredura distribuída coloca o agente de varredura dentro de um segmento de rede, permite que os pontos finais do segmento de rede sejam varridos e depois integra os resultados na unidade de controle central.
6.2.2.
A avaliação de vulnerabilidades procura pontos fracos que possam teoricamente ser explorados, enquanto o teste de penetração (também chamado de teste de penetração) vai um passo além e prova que esses pontos fracos podem ser explorados.
1Tipos de teste de penetração
1) Teste de penetração de caixa branca (também chamado de teste de conhecimento completo)
A equipe de testes compreende totalmente a infraestrutura e sua arquitetura, incluindo sistemas operacionais, segmentação de rede, dispositivos e suas vulnerabilidades. Esse tipo de teste ajuda a focar a equipe de teste em uma área de interesse específica ou em uma vulnerabilidade específica.
2) Teste de penetração de caixa preta (também chamado de teste de conhecimento zero)
A equipe de testes não tem nenhum conhecimento da infraestrutura e descobre a estrutura da rede e suas vulnerabilidades do ponto de vista do invasor.
3) Teste de penetração de caixa cinza (também chamado de teste de conhecimento local)
Um teste de penetração que faz a mediação entre o teste de caixa branca e o teste de caixa preta, onde a equipe de teste tem conhecimento parcial da infraestrutura.
2. Testador de penetração
1) Hacker de chapéu branco (ético)
Um profissional de segurança que testa um sistema para determinar seus pontos fracos, para que esses pontos fracos possam ser mitigados e o sistema melhor protegido.
2) Hackers de chapéu preto (antiéticos)
Entidades maliciosas invadem sistemas através de chantagem, obtêm dados sensíveis ou perturbam o funcionamento da infraestrutura.
3) Hackers de chapéu cinza
Hackers que se movem entre os mundos do chapéu branco e do chapéu preto. Às vezes, vendendo seus conhecimentos em benefício da organização
4) Time Vermelho
Atacar grupos durante testes ou exercícios de segurança
5) Equipe Azul
Defensores durante testes ou exercícios de segurança
6) Time branco
A equipe que gerencia o exercício durante um teste ou exercício de segurança
3 regras de teste de penetração
Testes de penetração nunca devem ser realizados, a menos que sejam devidamente autorizados. As regras de teste também devem ser claras, incluindo a determinação do escopo do teste, a identificação dos participantes, a definição de métodos de teste e métodos de comunicação esperados, etc.
Os clientes internos geralmente definidos em arquivos de regras incluem os seguintes aspectos:
•Quais sistemas, escritórios ou outros alvos estão dentro do escopo dos testes?
•Há algum sistema, escritório ou outro alvo especificamente excluído dos testes?
. Algum método de teste é proibido, como engenharia social ou quebra de senha?
. A segurança física está coberta? Em caso afirmativo, que facilidades ou objectivos estão incluídos?
•Que nível de autoridade é concedido aos testadores? Os testadores podem receber contas para avaliar ameaças internas ou realizar atividades de verificação se puderem obter acesso.
•Qual é o estilo e a cadência de comunicação esperados? Algumas organizações podem exigir notificação imediata de quaisquer problemas de segurança potencialmente críticos, enquanto outras podem contentar-se em esperar por um relatório final.
•Quem está conduzindo os testes, quais equipamentos e softwares são permitidos e quando os testes ocorrerão?
•Quais procedimentos serão usados ao lidar com dados confidenciais, como configurações de rede interna, registros de clientes, etc.?
•Como os dados confidenciais serão tratados com segurança após o teste?
•Qual é o nível de serviço esperado. Por exemplo, os testadores testam novamente imediatamente após implementar uma correção ou aguardam um tempo prescrito para novo teste?
•Quais são as expectativas em relação à documentação, em particular detalhes de quaisquer problemas encontrados, mostrando o trabalho realizado para verificar os resultados dos testes e o formato de quaisquer relatórios?
4. Processo de teste de penetração
5. Teste de penetração física
O teste de penetração física ocorre quando um testador tenta obter entrada não autorizada em uma instalação, como um escritório ou data center, com o objetivo de descobrir possíveis pontos fracos nos controles de segurança física. As táticas comuns de engenharia social incluem carregar itens volumosos e pedir a alguém para abrir a porta ou aparecer vestido como oficial.
6.2.3 Revisão de registros.
A revisão de logs é uma parte importante do gerenciamento de segurança da informação. Ela envolve a análise e revisão de logs gerados por sistemas, terminais, dispositivos e aplicativos. O objetivo é capturar e analisar informações significativas nesses logs para facilitar a detecção e resposta a incidentes de segurança. .
1 A importância da revisão dos registros
Os logs fornecem informações detalhadas sobre o comportamento do sistema, comportamento do usuário, eventos de segurança, erros do sistema e muito mais. A revisão e análise de logs pode ajudar as organizações a compreender o status e o comportamento de seus sistemas, bem como quaisquer possíveis problemas de segurança.
2) Auditoria e avaliação do gerenciamento de logs
A geração, recolha, armazenamento e processamento dos próprios registos também precisam de ser auditados e avaliados. Isso envolve garantir a integridade, disponibilidade e confidencialidade dos logs, bem como a conformidade. Isto pode exigir referência a requisitos legais aplicáveis, códigos da indústria e padrões internacionais para garantir que os registos sejam geridos em conformidade.
3) Estratégia de revisão de registros
As organizações precisam desenvolver políticas, procedimentos e configurações técnicas de revisão de logs para garantir a eficácia da revisão de logs. Isto pode incluir a determinação da frequência da revisão dos registos, a profundidade da revisão, as ferramentas e técnicas a utilizar e como lidar com os resultados da revisão.
6.2.4 Transações Sintéticas
As transações sintéticas referem-se a processos automatizados usados para testar e monitorar o desempenho do sistema que simulam comportamentos ou ações específicas do usuário para verificar o desempenho e a confiabilidade de um aplicativo, sistema ou rede.
6.2.4.1 Cenários comuns de uso de transações sintéticas:
•Monitoramento de acordo de nível de serviço (SLA): transações sintéticas podem ser usadas para monitorar se um serviço host ou baseado em nuvem atende aos padrões de nível de serviço acordados.
•Monitoramento da integridade dos dados: Ao simular regras de lógica de negócios e processar dados de teste, as transações sintéticas podem gerar alertas quando os resultados do processamento de dados não atendem às expectativas.
•Monitoramento de sistemas ou serviços: Mesmo na ausência de um SLA, os sistemas ou serviços podem ser monitorados por meio de transações sintéticas para garantir que estejam on-line e responsivos.
6.2.4.2 Monitoramento de Usuário Real (RUM)
RUM é uma tecnologia de monitoramento que monitora as interações do usuário com um aplicativo ou serviço em tempo real. Esse monitoramento pode ser usado para detectar possíveis problemas, como páginas lentas ou que não respondem. No entanto, o RUM pode levantar questões de privacidade e requer cuidados especiais quando utilizado.
6.2.5 Revisão e teste de código.
O software é composto de código, portanto, revisar e testar o código para identificar e corrigir defeitos são controles de segurança críticos.
1. Classificação do teste
Teste de caixa preta: O testador não toca no código-fonte ou no princípio de funcionamento interno do aplicativo, mas simula e testa da perspectiva de um invasor ou usuário externo.
Teste de caixa branca: os testadores têm acesso ao código-fonte ou à estrutura interna da aplicação para descobrir possíveis falhas e erros por meio de análises aprofundadas.
2. Método de teste
• Revisão por pares de código: Este é um método manual onde os desenvolvedores revisam o código uns dos outros para encontrar possíveis erros e melhorias.
•Análise estática de código: Este é um método automatizado de revisão de código que utiliza software especializado para simular a execução do código para identificar possíveis vulnerabilidades, como buffer overflows, etc.
• Teste de análise dinâmica: Este é um método de teste em tempo de execução que executa o programa e observa seu comportamento para identificar possíveis problemas e vulnerabilidades.
3. Objetivos de teste
•Cobertura: O objetivo dos testes deve ser cobrir todo o código e funcionalidade tanto quanto possível para garantir que nenhum defeito ou erro seja esquecido.
•Automação: Para equilibrar velocidade de desenvolvimento e segurança, o processo de teste deve ser automatizado tanto quanto possível. Por exemplo, algumas tarefas comuns de teste e remediação podem ser automatizadas por meio de ferramentas de automação e resposta de orquestração de segurança (SOAR).
6.2.6. Teste de caso de uso indevido
6.2.6.1 Caso de uso indevido
Também conhecido como teste negativo (teste neoativo). O objetivo é avaliar a resposta de um sistema ou aplicação a entradas ou situações inesperadas e identificar vulnerabilidades que podem ser exploradas nessas situações inesperadas.
Por exemplo, se o usuário inserir um nome de usuário, mas deixar a senha em branco, isso poderá causar falha no aplicativo ou permitir acesso direto ao sistema.
6.2.6.2 Caso de abuso
O teste de casos de abuso é parte integrante da modelagem de ameaças, modelando como um sistema ou recurso pode ser mal utilizado e descrevendo especificamente como um invasor pode explorar essa vulnerabilidade.
6.2.7 Análise de cobertura de teste
1. Cobertura do teste = (número de componentes testados/número total de componentes) x 100%
2. Seis padrões comuns:
1) Cobertura de filiais: certifique-se de que todas as filiais na instrução de controle sejam executadas.
2) Cobertura de condição: uma condição que exige que cada expressão booleana no código seja verificada como verdadeira e falsa.
3) Cobertura Western Digital (cobertura de função): Certifique-se de que todas as funções Western Digital no programa sejam chamadas.
4) Cobertura de instrução: verifica a execução de cada linha de código do programa.
5) Cobertura de decisão: uma combinação de cobertura ocidental e de filial foi verificada para testar várias situações de entrada e saída
6) Cobertura de parâmetros: teste o comportamento do Western Digital que aceita entrada de parâmetros
Nota: A situação ideal é uma cobertura de 100%, mas devido ao custo, é impossível concluir todos os testes dentro de um determinado período de tempo para garantir uma cobertura de teste suficiente para as principais funções do sistema.
6.2.8. Teste de interface
O teste de interface é um componente chave do teste de sistema. Ele se concentra principalmente nos pontos onde o sistema interage com elementos externos. Esses elementos podem ser outros sistemas, usuários ou processos.
Os principais tipos de interface incluem:
•Interface de Usuário (U): Esta é a principal forma pela qual o usuário interage com o sistema e pode ser uma Interface Gráfica de Usuário (GU) ou uma Interface de Linha de Comando (CLI).
• Interface de Programação de Aplicativo (API): É assim que o sistema interage com outro software, como a API REST para aplicativos web ou API para comunicação entre processos (IPC) e chamadas de procedimento remoto (RPC).
O objetivo do teste de interface é garantir que os dados sejam transferidos e convertidos corretamente entre entidades e que todas as condições de erro sejam tratadas adequadamente. Isto inclui verificar se os dados estão formatados corretamente, verificar a eficácia dos mecanismos de tratamento de erros e garantir que os controles de acesso corretos sejam aplicados durante a transmissão. Isso pode garantir a integridade dos dados, a estabilidade e a segurança do sistema e evitar perda ou danos aos dados devido a erros de interface.
6.2.9． Simulação de ataque de vulnerabilidade
6.2.9.1 Simulação de Ataque de Violação (BAS)
A simulação de ataque de vulnerabilidade é uma tecnologia emergente de teste automatizado de segurança cujo principal objetivo é simular o comportamento real do invasor na tentativa de obter acesso não autorizado ao sistema. Ele combina os elementos de verificação de vulnerabilidades e testes de penetração automatizados, utilizando os mais recentes métodos de ataque e vulnerabilidades recém-descobertas para testar as capacidades de defesa de uma organização contra novas ameaças. Com uma solução BAS, esses testes podem ser realizados com mais frequência para descobrir possíveis vulnerabilidades de segurança mais rapidamente do que as tradicionais verificações periódicas de vulnerabilidade ou testes de penetração.
6.2.9.2 Categorias de ataque BAS
• Ataques de endpoint
O BAS executa ações em ou contra endpoints de rede, como a criação de arquivos ou processos que correspondam a assinaturas de malware conhecidas, para testar os recursos de detecção e resposta de endpoint (EDR). Isso pode ser feito por meio de um dispositivo BAS ou unidade de controle, ou por meio de um agente de software em execução no terminal.
• Ataques de rede
O BAS envia o tráfego de rede que deve ser bloqueado, disparando alertas se o tráfego malicioso conhecido não for bloqueado por dispositivos como firewalls ou roteadores
• Ataques por e-mail
BAS gera e envia e-mails de teste para testar a eficácia de filtros de spam, controles de fraude de e-mail e filtros de conteúdo. Se a mensagem chegar com sucesso à caixa de entrada ou for aberta pelo usuário, isso indica uma vulnerabilidade nos controles de segurança de e-mail
• Ataques baseados em comportamento
Os recursos avançados de BAS também podem testar controles de segurança baseados em comportamento, como a detecção de atividades maliciosas de varredura de rede ou interações complexas com aplicativos que normalmente deveriam ser bloqueados por um firewall de aplicativos da web (WAF).
6.2.10. Verificações de Conformidade.
Compliance não é sinônimo de segurança, mas é um importante ponto de partida para o programa de gerenciamento de riscos de uma organização. Uma estrutura de conformidade normalmente cobre um conjunto de riscos específicos do setor ou da região, e os controles de segurança implementados são projetados para mitigar esses riscos.
As revisões de conformidade fazem parte do processo regulatório e o objetivo é identificar controles que se tornaram insuficientes ou ineficazes devido a mudanças no ambiente de risco, ou que não estão mais funcionando corretamente. Normalmente, esta revisão é realizada através de uma auditoria, por exemplo:
•PCI-DSS (Padrão de Segurança de Dados da Indústria de Cartões de Pagamento): Este é um padrão de segurança para organizações que processam, armazenam ou transmitem informações de cartão de crédito. O PCI-DSS exige que as organizações conduzam uma auditoria anual de conformidade.
SOC2 (Service Organization Control 2): Este é um padrão que avalia os controles de uma organização de serviços sobre segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade. O SOC 2 exige que as organizações realizem uma auditoria anual de conformidade.
- S027001 Esta é uma norma internacional sobre gestão de segurança da informação. 1S027001 exige que as organizações realizem uma auditoria de conformidade a cada três anos.
6.3 Coleta de dados do programa de segurança (por exemplo, técnicos e administrativos)
6.3.1. Controles e procedimentos técnicos
1 fonte de dados
O controle técnico ou lógico é obtido através de sistemas eletrônicos, muitas vezes resultando em registros nativos. Esses dados técnicos podem incluir informações que fazem parte das políticas de registro e monitoramento da organização, bem como dados gerados a partir da análise desses dados de registro. Por exemplo, os logs de acesso do aplicativo e os logs de dispositivos de rede (como roteadores ou firewalls).
2. Etapa de coleta
Ao implementar e monitorizar os seguintes controlos e processos, as organizações podem recolher métricas e dados úteis sobre a sua postura de segurança para que possam tomar as medidas necessárias para proteger os seus dados e sistemas:
1) Processos de prevenção de perdas: O objetivo desses processos é prevenir ameaças à segurança. Eles podem incluir controles técnicos como criptografia de dados, controle de acesso à rede e controle de endpoint.
2) Processos de detecção: O objetivo desses processos é detectar incidentes de segurança ou comportamentos anormais. Eles podem incluir controles técnicos, como detecção e resposta de endpoint (EDR) e gerenciamento de informações e eventos de segurança (SIEM).
3) Processos de resposta: O objetivo desses processos é resolver problemas de segurança. Eles podem incluir controles de tecnologia, como detecção e resposta de endpoint (EDR) e sistemas de prevenção de intrusões (IPS).
6.3.2. Controles administrativos.
Os controles administrativos orientam o comportamento adequado dos funcionários e outros usuários, estabelecendo e aplicando políticas e procedimentos. Esses controles podem envolver diversos códigos de conduta, processos de trabalho e diretrizes. Medir a eficácia dos controlos administrativos requer frequentemente a recolha e análise de dados relacionados com a implementação de políticas.
Tomemos, por exemplo, uma política organizacional que proíbe o uso de mídias sociais em dispositivos organizacionais. Os dados podem ser coletados de:
• Escopo da Política: Quantos usuários leram e compreenderam a política e confirmaram seu entendimento e conformidade assinando-a?
•Eficácia educacional: Quantos usuários tentaram acessar conteúdo restrito? Isto pode refletir até que ponto os funcionários compreendem a política e a divulgação e eficácia educativa da política.
. Disponibilidade Técnica: Com base no tráfego de rede, quantos usuários conseguem acessar conteúdo restrito? Isto pode reflectir a eficácia dos controlos técnicos na aplicação da política.
6.3.3. Gestão de contas
O gerenciamento de contas é um componente crítico da segurança do sistema de informação porque afeta diretamente a implementação de controles de acesso. Os dados de gerenciamento de contas são um foco importante na coleta de dados sobre processos de segurança.
Aqui estão alguns dados importantes que você pode precisar coletar durante o processo de gerenciamento de conta:
•Gerenciamento oportuno de contas: por exemplo, quando a função de um usuário muda ou sai da empresa, se seus direitos de acesso podem ser ajustados ou revogados dentro de um período de tempo especificado.
• Notificações de provisionamento ou desprovisionamento de conta: por exemplo, se os usuários podem ser notificados dentro de 24 horas quando ingressam ou saem de uma organização.
•Revisões de contas: as revisões de contas apropriadas são conduzidas de acordo com o cronograma definido pela organização para garantir que todas as contas ainda sejam necessárias e nos níveis de permissão corretos.
• Execução correta dos procedimentos: por exemplo, se a verificação adequada é feita durante a redefinição ou envio da senha, ou se os controles de acesso à rede estão configurados corretamente.
6.3.4. Revisão e aprovação pela administração.
A revisão e aprovação pela gestão é um processo crítico de segurança que envolve a avaliação, relatórios e aprovação de uma variedade de documentação relacionada à segurança. Esta documentação não é apenas crítica para auditorias e reconciliações, mas também demonstra a aprovação da gestão e o envolvimento no programa de segurança. Além disso, esses registros podem estabelecer a devida diligência e o devido cuidado para quaisquer questões relacionadas aos processos de areia e segurança.
A estrutura a seguir define formalmente o processo de revisão e aprovação pela gestão relacionado à segurança:
• ISO 27001
A administração deve revisar regularmente a "adequação, adequação e eficácia contínuas" do programa de segurança da informação
•NIST e FedRAMP
Estas estruturas definem funções de gestão para avaliação e autorização, bem como monitorização contínua. A gestão precisa rever os planos e resultados da avaliação do sistema de informação e depois tomar uma decisão formal autorizando a utilização do sistema. A Administração também utiliza dados de monitoramento contínuo para garantir a eficácia das ações de remediação de riscos.
• Certificação e acreditação
Isto envolve processos semelhantes de avaliação e autorização. A certificação é uma avaliação formal de um sistema ou processo em relação a um conjunto de padrões, enquanto a acreditação é uma decisão formal sobre a adequação de um sistema para desempenhar uma função específica. Esta abordagem ajuda as organizações a desenvolver processos de governança para avaliar e aprovar formalmente sistemas com base nas suas capacidades e necessidades de segurança.
• SOC 2
Este quadro exige que a gestão estabeleça “medidas de desempenho” e gere e utilize “informações relevantes e de alta qualidade para apoiar a operação dos controlos internos”.
•Objetivos de Controle para Tecnologia da Informação (COBIT)
Esta é uma estrutura de gestão para tecnologia da informação e segurança cibernética que enfatiza a responsabilidade da gestão no planeamento de recursos, capacidades e tarefas de monitorização, bem como a tarefa de rever os planos de controlo organizacional.
6.3.5. Principais indicadores de desempenho e risco
Os principais indicadores de desempenho (KPIs) e os principais indicadores de risco (KRIs) são ferramentas importantes para medir e monitorar a eficácia do gerenciamento de riscos de uma organização. Os KPI são utilizados para monitorizar a eficácia das medidas de mitigação de riscos existentes, enquanto os KRI podem ajudar as organizações a prever e preparar-se para riscos que possam surgir no futuro. Várias organizações definirão seus próprios KPIs e KRl de acordo com suas situações específicas.
1. Indicadores Chave de Desempenho (KPIs)
Aqui estão alguns KPIs comuns e importantes:
•Tempo Médio para Detecção (MTTD): Mede o tempo médio necessário para detectar um incidente ou ameaça de segurança.
•Tempo Médio de Recuperação (MTTR): Mede o tempo médio necessário para resolver um incidente de segurança.
• Pontuação de segurança: muitos fornecedores fornecem um scorecard ou classificação de segurança, que pode ser usado como um indicador importante da maturidade do desempenho de segurança de uma organização.
•Retorno sobre o Investimento (ROI): Mede a eficácia dos controles na redução de risco versus custo.
2. Indicadores Chave de Risco (KRI): Aqui estão alguns KRIs valiosos:
• Número de incidentes de segurança Um aumento nos incidentes de segurança pode indicar que o ambiente de ameaças mudou, o que pode exigir ferramentas de segurança mais fortes ou pessoal adicional para lidar com isso.
-Número de problemas descobertos: Um aumento nas descobertas de auditoria e avaliação pode indicar lacunas no programa de segurança, que podem exigir atenção ou recursos adicionais para serem corrigidos.
• Número de tentativas de phishing descobertas ou relatadas: um aumento nas tentativas de phishing geralmente indica um ataque contínuo à medida que os invasores tentam obter credenciais válidas para acessar os recursos de uma organização. Neste sentido, as organizações podem precisar adicionar sistemas de monitoramento, adotar autenticação multifatorial, fortalecer o treinamento de usuários e outras medidas
6.3.6 Fazer backup dos dados de verificação
Os dados de verificação de backup podem vir de logs escritos de ocorrências de backup registrados manualmente pela equipe de TI, mas mais comumente vêm de logs produzidos pelo aplicativo ou sistema de backup. Todas as informações críticas devem ter backup caso ocorra um incidente que torne os dados inutilizáveis ou danifique o sistema. Os eventos que levam à perda de dados devem ser bem documentados, juntamente com o processo completo de recuperação dos dados de backup. A estratégia de backup será apresentada em detalhes no Capítulo 7.
6.3.7. Treinamento e conscientização.
Estabelecer e manter um programa que forneça conscientização, educação e treinamento em segurança é fundamental porque os usuários são uma importante linha de defesa contra ataques e alvos de alto valor para ataques.
A seguir estão as principais métricas para avaliar a eficácia de tais programas:
•Taxa de conclusão do treinamento: os funcionários que não concluem o treinamento podem estar propensos a ignorar possíveis ameaças.
•Retenção de informações e mudança de comportamento: O treinamento bem-sucedido exige que os funcionários retenham e apliquem o conhecimento aprendido no longo prazo.
•Atualizações contínuas: O conteúdo do treinamento precisa ser atualizado à medida que as ameaças e os riscos mudam.
•Adaptar-se ao público: Os materiais e métodos de treinamento precisam ser personalizados de acordo com o nível de habilidade e as necessidades de aprendizagem dos funcionários.
6.3.8. Recuperação de Desastres (DR) e Continuidade de Negócios (BC)
Os dados de DR e BC devem incluir detalhes como objetivos de pontos críticos de recuperação, objetivos de tempo de recuperação e tempo de inatividade máximo permitido. O mais crítico é avaliar até que ponto a organização atinge esses objetivos durante eventos reais.
Ao avaliar e monitorar a eficácia dos planos de recuperação de desastres (DR) e de continuidade de negócios (BC), as seguintes questões principais devem ser consideradas:
•Plano de adaptabilidade e pontualidade: Existe um BCDR completo e um plano de continuidade de operações? Eles são atualizados regularmente para refletir as mudanças organizacionais?
• Consciência e prontidão do pessoal: O pessoal-chave compreende os seus papéis e responsabilidades no plano?
•Acessibilidade do plano: a versão mais recente do plano está prontamente disponível e armazenada de forma segura?
•Abrangente do plano: O plano cobre as atuais funções críticas da organização?
Atualizações oportunas do plano: Existem grandes mudanças organizacionais que não estão refletidas no plano, como grandes mudanças estruturais de TI ou atividades de negócios?
Testes e melhorias planejadas: O plano é testado regularmente e quaisquer defeitos encontrados são corrigidos?
• Gerenciamento de dependências de terceiros: Se a organização depende de terceiros ou serviços críticos, essas dependências são testadas?
•Integração com outros processos: Outros processos, como o gerenciamento de transferências, estão integrados ao plano BCDR para garantir que as mudanças na organização sejam reavaliadas adequadamente?
6.4 Analisar resultados de testes e gerar relatórios
6.4.1 Conteúdo típico de relatório de auditoria
Os relatórios de auditoria geralmente incluem as seguintes seções:
• Resumo executivo: Fornece uma visão geral das atividades e resultados dos testes.
-Pressupostos e Limitações: Revelar constrangimentos e pressupostos no processo de avaliação, contextualizando a compreensão dos resultados.
•Escopo: Esclareça o escopo coberto pela avaliação.
•Resumo da atividade: Fornece uma visão geral de todas as atividades de teste e auditoria realizadas pela equipe de avaliação.
•Descobertas e problemas: liste todas as descobertas, defeitos ou problemas e forneça sua localização, gravidade e evidências associadas
• Sugestões: Fornece soluções e sugestões para os problemas descobertos, geralmente incluindo etapas de solução e comandos de configuração específicos que podem ser necessários.
•Apêndices: A banda passante do apêndice contém informações detalhadas fora do corpo principal do relatório, tornando o relatório mais fácil de ler e entender, ao mesmo tempo que fornece aos técnicos as informações detalhadas de que necessitam.
6.4.2.
1. Processo de ação corretiva:
1) Identifique problemas: Descubra lacunas ou problemas no controle de segurança.
2) Crie um plano: Crie um plano de remediação para resolver o problema.
3) Execute a correção: siga o plano para resolver o problema.
4) Reteste: Reteste para confirmar a eficácia do remédio.
2. Elementos de um plano de remediação:
•Detalhes do problema: descreva detalhadamente o problema encontrado.
• Medidas de mitigação: etapas ou medidas corretivas planeadas.
•Prioridade: Priorize problemas com base em sua gravidade e risco.
•Tempo de resolução: O tempo total estimado necessário para resolver o problema.
•Requisitos de recursos: os recursos necessários para executar ações de correção.
••Marcos e Expectativas: Defina as principais datas de conclusão e os resultados desejados.
3. A importância do reteste:
O novo teste é uma etapa crítica para confirmar se as medidas de correção são eficazes, o que normalmente é verificado por meio de verificações regulares de vulnerabilidades.
6.4.3 Tratamento de Exceções
1. Definição:
Refere-se ao tratamento de problemas descobertos durante uma auditoria ou avaliação de segurança que não podem ser resolvidos através de medidas corretivas convencionais.
2. Objetivo:
Conceda exceções temporariamente para resolver problemas que não podem ser resolvidos diretamente. Estas excepções só deverão ser concedidas numa base temporária e não deverá haver pedidos permanentes de excepções. Se necessário a longo prazo, as políticas relevantes deverão ser actualizadas para se adaptarem às novas necessidades.
3. Informações registradas:
• Detalhes do risco: inclua detalhes específicos do risco, deficiência ou problema, e quando e por quem foi descoberto.
•Razões para anomalias: A gestão precisa explicar por que um risco específico não pode ser mitigado.
. Controles compensatórios: Se um risco não puder ser abordado diretamente para atingir o valor do risco da organização, considere classificar parcialmente o risco por meio de controles compensatórios (como maior monitoramento).
. Aprovação de Exceções: A administração deve decidir claramente assumir riscos adicionais e documentar o processo de revisão e aprovação para esclarecer responsabilidades.
•Duração da exceção: A maioria das exceções deve ser concedida numa base temporária, com um período de validade claro para a autoridade de exceção.
6.4.4. Divulgação Ética
1. Melhores práticas para divulgação ética
As organizações devem estar preparadas para receber divulgações éticas sobre vulnerabilidades. Isto inclui desenvolver uma política de divulgação, receber divulgações de vulnerabilidades e não adotar uma atitude hostil. Como pesquisador de segurança ou hacker ético, você deve respeitar essas políticas e agir dentro dos limites da lei.
2. Tipo de vulnerabilidade divulgada:
• Não divulgação: A divulgação de uma vulnerabilidade pode ser proibida devido a obrigações contratuais ou legais, por exemplo, a divulgação da vulnerabilidade pode prejudicar uma investigação criminal em andamento.
•Divulgação Completa: Quando uma vulnerabilidade é descoberta, ela deve ser reportada de forma completa e transparente o mais rápido possível à organização responsável pela correção. No entanto, muitos fornecedores podem ser hostis aos pesquisadores que tentam relatar vulnerabilidades.
•Divulgação responsável: Este princípio estabelece que os descobridores devem relatar prontamente as vulnerabilidades à organização e dar à organização tempo para remediar a vulnerabilidade antes da divulgação pública.
•Relatórios obrigatórios: Em alguns casos, o relato de vulnerabilidades descobertas às autoridades policiais ou a outras agências pode ser obrigatório.
• Denúncia: Caso uma vulnerabilidade de segurança seja descoberta, se o denunciante seguir os canais apropriados para divulgar a vulnerabilidade descoberta, ele poderá ser legalmente protegido contra processos por violação de direitos autorais ou outras leis relevantes.
6.5. Realizar ou promover auditorias de segurança
6.5.1 Quadros comuns de auditoria
Os profissionais de segurança podem usar auditorias para avaliar a conformidade de uma organização com vários padrões de segurança. O plano de auditoria necessita de apoio de gestão, recursos apropriados, supervisão eficaz e calendários realistas. Aqui estão algumas estruturas de auditoria comuns:
1)SSAE 18 (SOC 2): Centra-se nos controles de uma organização de serviços sobre segurança, disponibilidade, integridade de processamento, confidencialidade e privacidade.
2) ISO/EC 15408-1:2009: Fornece uma estrutura geral para avaliar as funções de segurança de produtos e sistemas de tecnologia da informação.
3) 1SO/EC 18045:2008: Fornece métodos para realizar avaliações ISO/EC 15408.
4) 1SO/EC 27006:2015: Especifica os requisitos para realizar a certificação do Sistema de Gerenciamento de Segurança da Informação (SGSI) ISO/EC 27001.
5) NIST SP 800-53A: Fornece um método para avaliar controles de segurança para sistemas de informação federais.
6) NIST CSF: Fornece uma estrutura de gestão de risco para melhorar a segurança das redes e sistemas de informação de uma organização.
7 FedRAMP SAF: Estrutura de avaliação de segurança do programa federal de gerenciamento de riscos e autorizações para produtos e serviços em nuvem do governo federal.
Durante uma auditoria, muitas vezes é realizada amostragem para reduzir a carga de trabalho e, ao mesmo tempo, garantir a compreensão de possíveis deficiências. A amostra deve ser representativa do todo que está sendo auditado.
6.5.2. Auditoria interna
Auditorias internas são auditorias realizadas por pessoas dentro de uma organização. Possui as seguintes características:
•Familiaridade: Os auditores internos têm conhecimento profundo dos processos, ferramentas e pessoas da organização, o que lhes permite compreender e avaliar melhor os controles internos e a eficácia operacional da organização.
•Risco de parcialidade: Os auditores internos podem ignorar ou interpretar mal certos aspectos das operações da organização devido à sua excessiva familiaridade com as operações da organização. Portanto, eles precisam tentar permanecer objetivos ou buscar a opinião de observadores externos
. Questões de independência: Como os auditores internos fazem parte da organização, podem estar sujeitos a pressões que afectam o seu julgamento independente e o seu relatório imparcial.
• Preparação para auditorias externas: As auditorias internas são frequentemente utilizadas para pré-descobrir e resolver problemas que possam ser descobertos durante as auditorias externas, a fim de obter melhores resultados durante a auditoria externa formal.
6.5.3. Auditoria externa
Uma auditoria externa é uma auditoria realizada por um auditor fora da organização. Suas principais características incluem:
. Independência: Os auditores externos não são influenciados por pressões dentro da organização e, portanto, podem conduzir a auditoria de forma objetiva e imparcial. Eles podem visualizar as operações e os controles de uma organização sem preconceitos e fornecer uma opinião imparcial.
•Habilidades especializadas: Os auditores externos geralmente possuem habilidades e experiência altamente especializadas, como contadores públicos certificados (CPA). Eles podem realizar tarefas de auditoria complexas, como auditorias SOC 2.
•Custo e tempo: As auditorias externas normalmente custam mais do que as auditorias internas, em parte devido ao tempo necessário para compreender as operações e os processos da organização. Além disso, eles podem perder alguns detalhes devido ao desconhecimento da organização.
•Requisitos de conformidade: Muitas estruturas e regulamentos de conformidade exigem que as organizações realizem auditorias externas regulares para demonstrar a eficácia dos seus controles internos.
6.5.4. Auditoria de terceiros
A auditoria de terceiros é um processo de avaliação de risco para fornecedores ou parceiros externos de uma organização, que inclui principalmente o seguinte:
•Ferramentas de gestão de riscos: A auditoria de terceiros é uma ferramenta fundamental para a gestão de riscos nas relações com terceiros, como fornecedores, parceiros, etc. Ajuda a identificar e mitigar riscos que podem ter impacto na organização.
• Proteção de dados sensíveis: É extremamente importante realizar auditorias de segurança de terceiros que tenham acesso aos dados sensíveis da organização. Isto pode ajudar as organizações a reduzir a responsabilidade legal resultante de incidentes de segurança causados por terceiros.
•Auditorias comuns de terceiros: As auditorias comuns de terceiros incluem auditorias SOC2 e auditorias CSA STAR. Durante o processo de auditoria, é necessário prestar atenção às normas de auditoria, à partilha de dados, à descoberta de riscos, aos métodos de resposta a riscos de terceiros e aos seus planos de reparação.
•Complexidade da cadeia de fornecimento: Devido à complexidade das cadeias de fornecimento modernas, o processo de avaliação de risco de terceiros tornou-se cada vez mais complexo. As organizações precisam identificar todos os fornecedores na sua cadeia de abastecimento e garantir que sejam adequadamente auditados e avaliados para minimizar os riscos que enfrentam.
Revise as perguntas
1. Ao realizar uma varredura de portas, Susan encontrou um sistema executando serviços nas portas TCP e UDP 137-189 e TCP 445 e 1433. Se ela estivesse conectada a esta máquina, que tipo de sistema ela provavelmente encontraria? A. Um servidor de e-mail Linux B. Um servidor Windows SQL C. Um servidor de arquivos Linux D. Estação de trabalho Windows individual
B
139\445
2. Qual das alternativas a seguir é um método para projetar testes automaticamente para novo software e garantir a qualidade dos testes? A. Auditoria de código B. Análise estática de código C. Teste de regressão D. Teste de mutação
D
3. Ao realizar uma varredura de porta, Naomi descobriu que a porta TCP 443 estava aberta em um sistema. Qual ferramenta é melhor para verificar serviços que podem estar em execução nesta porta? A.ZZUf B. Nikto C. Metasploit D. sqlmap
B
Penetração WEB: FireBug, Autoproxy, nmap, sqlmap, metasploit, Wireshark O teste Fuzz fornece software com entrada inválida (entrada gerada aleatoriamente ou especialmente construída) zzuf verificação de vulnerabilidade do banco de dados sqlmap Verificação de vulnerabilidades da Web: Nikto Varredura de porta de rede: nmap
4. Qual padrão de registro de mensagens é comumente usado por equipamentos de rede, sistemas Linux e Unix e muitos outros dispositivos corporativos? A. Syslog B. Netlog C. Log de eventos D. Protocolo de registro remoto (RLP)
A
5 Alex deseja usar ferramentas automatizadas para preencher formulários de aplicativos da Web para testar vulnerabilidades de strings de formato. Que tipo de ferramentas ele deve usar? A. Caixa preta B. Ferramentas de quebra de força bruta C. Fuzzer D. Ferramentas de análise estática
C
Teste P579 Fuzz - teste limites de software, anexe strings no final e execute outros métodos de manipulação de dados
6. Susan precisa realizar uma verificação de vulnerabilidade em um sistema e quer usar uma ferramenta de código aberto para testar o sistema remotamente. Qual das seguintes ferramentas atende aos seus requisitos e permite a verificação de vulnerabilidades? A. Nmap B.OpenVAS C.MBSA D Nessus
B
OpenVAS, que significa OpenVulnerability AssessmentScanner, é uma ferramenta de código aberto altamente confiável. Sua rica funcionalidade e interface fácil de usar permitem que os usuários detectem e corrijam facilmente vulnerabilidades de segurança conhecidas. O Microsoft Baseline Security Analyzer (MBSA) pode verificar atualizações do sistema operacional e do SQL Server. O MBSA também pode verificar computadores em busca de configurações inseguras. Nessus é o software de verificação e análise de vulnerabilidades de sistema mais usado no mundo. Em 2002, Renaud, Ron Gula e Jack Huffard fundaram uma organização chamada Tenable Network Security. Quando a terceira versão do Nessus foi lançada, a organização recuperou os direitos autorais e o código-fonte do programa Nessus (originalmente de código aberto) e o registrou como o site da organização. Esta instituição está localizada em Columbia, Maryland, EUA.
7. A Morgan está implementando um sistema de pontuação e avaliação de vulnerabilidades que utiliza componentes baseados em padrões para pontuar e avaliar as vulnerabilidades descobertas. Sistema de gestão. Qual das opções a seguir é mais comumente usada para fornecer uma pontuação de gravidade para uma vulnerabilidade? A.CCE B.CVSS СРЕ D.OVAL
B
•Vulnerabilidades e Exposições Comuns (CVE): Fornece um sistema de nomenclatura para descrever vulnerabilidades de segurança. •Sistema Comum de Pontuação de Vulnerabilidade (CVSS): Fornece um sistema de pontuação padronizado que descreve a gravidade das vulnerabilidades de segurança. •Common Configuration Enumeration (CCE): Fornece um sistema de nomenclatura para problemas de configuração do sistema. •Common Platform Enumeration (CPE): Fornece um sistema de nomenclatura para sistemas operacionais, aplicativos e dispositivos. •Formato de descrição da lista de verificação de configuração extensível (XCCDF): fornece uma linguagem para descrever listas de verificação de segurança. • Linguagem Aberta de Vulnerabilidade e Avaliação (OVAL): Fornece uma linguagem para descrever o processo de teste de segurança.
Descrição da vulnerabilidade •Protocolo de Automação de Conteúdo de Segurança (SCAP): SCAP é um padrão comum para descrição e avaliação de vulnerabilidades fornecido pelo NIST à comunidade de segurança, promovendo a automação de interações entre diferentes sistemas de segurança. Os componentes SCAP incluem: •Vulnerabilidades e Exposições Comuns (CVE): Fornece um sistema de nomenclatura para descrever vulnerabilidades de segurança. •Sistema Comum de Pontuação de Vulnerabilidade (CVSS): Fornece um sistema de pontuação padronizado que descreve a gravidade das vulnerabilidades de segurança. •Common Configuration Enumeration (CCE): Fornece um sistema de nomenclatura para problemas de configuração do sistema. •Common Platform Enumeration (CPE): Fornece um sistema de nomenclatura para sistemas operacionais, aplicativos e dispositivos. •Formato de descrição da lista de verificação de configuração extensível (XCCDF): fornece uma linguagem para descrever listas de verificação de segurança. • Linguagem Aberta de Vulnerabilidade e Avaliação (OVAL): Fornece uma linguagem para descrever o processo de teste de segurança.
8. Jim foi contratado para realizar testes de penetração na agência principal de um banco. Para tornar o teste o mais realista possível, não lhe foram fornecidas quaisquer informações sobre o banco sede, para além do seu nome e endereço. Que tipo de teste de penetração Jim concorda em realizar? A. Teste de penetração em caixa de cristal B. Teste de penetração de caixa cinza C. Teste de penetração de caixa preta D. Teste de penetração de caixa branca
C
9. Em resposta a um pedido de proposta, Susen recebeu um relatório SSAE 18 SOC. Se ela quiser que o relatório inclua detalhes sobre a eficácia da operação, em que base e por que ela deveria fazer perguntas de acompanhamento a Susan? A. Um relatório SOC 2Tipo II porque o Tipo I não cobre a eficácia operacional B. Um relatório SOC 1 Tipo I porque o SOC 2 não cobre a eficácia operacional C. Um relatório SOC2 Tipo I porque o SOC2 Tipo II não cobre a eficácia operacional D. Um relatório SOC3 porque os relatórios SOC1 e SOC2 são obsoletos
A
P563 As declarações SSAE 18 e ISAE 3402 são comumente chamadas de auditorias de controles da organização de serviços (SOC) e vêm em três formas. Declaração SOC1: Avalie os controles organizacionais que podem afetar a precisão dos relatórios financeiros. Declaração SoC2: Avalie os controles da organização que impactam a segurança (confidencialidade, integridade e disponibilidade) e a privacidade das informações armazenadas no sistema. Os resultados da auditoria SOC2 são confidenciais e geralmente são compartilhados apenas sob um acordo de confidencialidade. Declaração SOC3: Avalie os controles da organização que impactam a segurança (confidencialidade, integridade e disponibilidade) e a privacidade das informações armazenadas no sistema. No entanto, os resultados da auditoria SOC3 destinam-se à divulgação pública.
•Relatório Tipo I Os relatórios do Tipo I descrevem os controles fornecidos pela organização auditada e a opinião do auditor com base nessa descrição. Os relatórios do Tipo I são relativos a um determinado momento e não envolvem testes reais de controles por parte do auditor. • Relatórios Tipo II Os relatórios do Tipo II cobrem um período mínimo de 6 meses e também incluem a opinião do auditor sobre a eficácia desses controles com base nos resultados reais dos testes. Os relatórios do Tipo II são geralmente considerados mais confiáveis do que os relatórios do Tipo I porque os relatórios do Tipo II incluem testes independentes de controles. Os relatórios do Tipo I simplesmente permitem que a organização prestadora de serviços demonstre que os controles foram implementados conforme descrito.
10. Durante um teste de penetração na rede sem fio, Suson usa um arquivo de senha para executar o alrcrack-ng na rede. Qual dos seguintes fatores pode ter contribuído para o fracasso de sua tentativa de decifrar o código? A. Use criptografia WPA2 B. Executando o modo empresarial em WPA2 C. Use criptografia WEP Porta executando o modo PSK em WPA2.
C
11. Uma vulnerabilidade de dia zero apareceu em um popular servidor web Apache durante um dia útil. Como analista de segurança da informação, Jacob precisa examinar rapidamente sua rede para determinar quais servidores são afetados pelo problema. Jacob Qual é a maneira mais rápida de identificar um sistema vulnerável a uma vulnerabilidade? A Execute uma varredura Nessus em todos os servidores imediatamente para determinar quais sistemas estão vulneráveis. B. Verifique o banco de dados CVE para obter informações sobre vulnerabilidades e patches. C. Crie uma assinatura IDS ou IPS personalizada. D. Determine a versão afetada e use uma ferramenta de verificação automatizada para verificar o número da versão do sistema.
D
12. Que tipo de teste é utilizado para garantir que módulos de software desenvolvidos individualmente troquem dados corretamente? A.Fuzzing (teste de difusão) B. Teste dinâmico C. Teste de interface Soma de verificação D.API
C
13. Salen deseja fornecer informações de avaliação de segurança aos clientes que desejam usar os serviços de nuvem da organização local. Qual das seguintes As opções devem ser selecionadas para garantir que o maior número possível de clientes esteja satisfeito com as informações da avaliação? A usa a Equipe de Auditoria Interna Quatro para conduzir autoavaliações com base em métricas internas. B. Use um auditor terceirizado. C. Utilize pessoal técnico interno que entenda o sistema. D. Usar a equipe de auditoria interna para realizar autoavaliações em relação aos padrões comumente usados, como o COBIT.
B
14. Pediu-se a Yasmine que considerasse um sistema de simulação de intrusão e ataque. Que tipo de sistema ela deveria procurar? A. Um sistema de emissão de tickets e gerenciamento de mudanças projetado para ajudar a gerenciar incidentes B. Um sistema para executar simulações de resposta a incidentes para que as equipes azuis testem suas habilidades C. Um sistema automatizado que combina tecnologias de equipe vermelha e equipe azul D. Um sistema de operações e resposta de segurança (SOAR)
C
15.Monica deseja coletar informações sobre a conscientização de segurança da organização. Técnicas mais comuns para avaliar a conscientização sobre segurança O que é? A. Simulador de pesca B. Aplicativos gamificados C. Teste de avaliação D. Questionário
D
16. Jim foi contratado para realizar um teste de penetração de caixa cinza e seu cliente lhe forneceu as seguintes informações sobre sua rede para que ele pudesse digitalizá-la: Centro de dados: 10.10.10.0/24 Vendas: 10.10.11.0/24 Faturamento: 10.10.12.0/24 Rede sem fio: 192.168.0.0/16 Que problemas ele encontraria se lhe fosse confiada a digitalização externa? R. O intervalo de IP é muito grande e não pode ser verificado com eficiência. B. O endereço IP fornecido não pode ser verificado. C. Intervalos de IP duplicados causarão problemas de digitalização. D. O endereço IP fornecido é um endereço RFC 1918.
D
17. A empresa de Mark foi notificada de que seu aplicativo web estava vulnerável. Anônimo o informou , eles têm duas semanas para corrigi-lo antes de divulgar detalhes da vulnerabilidade e exemplos de código de exploração. conectar Qual código do setor um indivíduo da empresa de Mark violou? A. Relatórios de dia zero B. Divulgação Ética C. Hacking Ético D.(SC)2 Declaração de Ética para Divulgação de Vulnerabilidade
B
Para as questões 18 a 20, considere o seguinte cenário: A empresa de Jennifer implementou uma infraestrutura de registro centralizada, conforme mostrado na figura a seguir. usar Use este diagrama e seu conhecimento sobre sistemas de registro para responder às seguintes perguntas. 18.Jennifer precisa garantir que todos os sistemas Windows forneçam as mesmas informações de log ao SIEM. Qual a melhor forma de garantir que todos os sistemas de desktop Windows tenham as mesmas configurações de registro? A. Realize auditorias regulares de configuração. B. Use a Política de Grupo. C. Use políticas locais. D. Implante o cliente syslog do Windows. 19. Durante as operações normais, a equipe de Jennifer usa um dispositivo SIEM para monitorar anomalias por meio de syslog. Qual sistema mostra uma situação que não suporta eventos syslog? A. Ponto de acesso sem fio empresarial B. Sistema de área de trabalho Windows Servidor Web C.Linux D. Equipamento de firewall empresarial 20. Para cada dispositivo mostrado no diagrama, quais técnicas a organização deve usar para garantir que o registro sequenciado no tempo possa ser realizado em toda a infraestrutura? A. Syslog B.NTP C.Logsync D. SNAP
B
B
P582 O Windows precisa instalar um cliente de terceiros para suportar syslog, Política de Grupo do Windows
B
21. Durante um teste de penetração, hetele precisa identificar o sistema, mas ainda não obteve permissões suficientes para gerar pacotes brutos no sistema que está sendo usado. Que tipo de varredura ela deve executar para verificar os serviços mais abertos? A. Verificação de conexão TCP B. Varredura TCP SYN C. Varredura UDP Varredura D.ICMP
A
22. Ao usar o nmap para realizar uma varredura de portas, Josezoh encontrou um sistema mostrando duas portas abertas. boca, o que imediatamente o preocupou: 21/aberto 23/aberto Quais serviços podem estar em execução nessas portas? A.SSH e FTP B. FTP e Telnet C. SMTP e Telnet D. POP3 e SMTP
B
23.Aaron deseja verificar a conformidade de sua empresa com o PCI-DSS. Sua empresa é uma grande organização empresarial com milhões de dólares em transações anualmente. Qual é a forma mais comum para grandes organizações conduzirem esse tipo de teste? A. Autoavaliação B. Conduzir uma avaliação de terceiros do COBIT C. Faça parceria com outra empresa e conduza um intercâmbio de avaliações entre as duas organizações D. Use um avaliador de segurança qualificado para realizar uma avaliação de terceiros
D
24. Qual é um método comum usado para avaliar a cobertura de testes de software para uso potencial de um aplicativo? A. Análise de cobertura de teste B. Revisão do código-fonte C. Análise difusa D. Relatório de revisão de código
A
25. Testes que enfocam funcionalidades que o sistema não deveria permitir são exemplos de que tipo de teste? A. Teste de caso de uso B. Teste manual C. Teste de caso de uso indevido D. Teste dinâmico
C
26. Que tipo de monitoramento utiliza tráfego simulado para um site para monitorar o desempenho? A. Análise de log B. Monitoramento abrangente de desempenho C. Monitoramento passivo D. Análise de transação simulada
B
27.Perek deseja garantir que sua organização acompanhe todas as alterações em todas as contas ao longo de seu ciclo de vida. Em que tipo de ferramentas sua organização deve investir? A. Serviço de diretório como LDAP Sistema B.IAM C. Sistema SIEM Sistema D.EDR
B
Lightweight Directory Access Protocol (inglês: Lightweight Directory Access Protocol, abreviatura: LDAP) é um protocolo de aplicativo aberto, neutro e padrão do setor que fornece controle de acesso e mantém informações de diretório de informações distribuídas por meio do protocolo IP. Plataforma unificada de gerenciamento de autenticação de identidade (IAM) O gerenciamento de eventos e informações de segurança (SIEM) é uma solução de segurança que ajuda as organizações a identificar e resolver possíveis ameaças e vulnerabilidades à segurança antes que elas tenham a chance de interromper as operações de negócios. Os sistemas SIEM ajudam as equipes de segurança corporativa a detectar anomalias no comportamento do usuário e a usar inteligência artificial (IA) para automatizar muitos processos manuais relacionados à detecção de ameaças e resposta a incidentes. A plataforma SIEM original é uma ferramenta de gerenciamento de logs que combina gerenciamento de informações de segurança (SIM) e gerenciamento de eventos de segurança (SEM) para permitir monitoramento e análise em tempo real de eventos relacionados à segurança, bem como rastreamento e registro de dados de segurança para conformidade ou auditoria propósitos. (O Gartner cunhou o termo SIEM em 2005 para se referir à combinação de tecnologias SIM e SEM.) O software SIEM evoluiu ao longo dos anos para incorporar análises de comportamento de usuários e entidades (UEBA) e outras análises avançadas de segurança, inteligência artificial e recursos de aprendizado de máquina. , usado para identificar comportamento anômalo e indicadores avançados de ameaças. Hoje, o SIEM é um elemento básico nos modernos centros de operações de segurança (SOCs) para casos de uso de monitoramento de segurança e gerenciamento de conformidade. A detecção e resposta de endpoint (EDR) é uma forma de tecnologia que fornece monitoramento e resposta contínuos a ameaças avançadas de segurança cibernética contra redes e sistemas corporativos. EDR é um subconjunto de segurança de endpoint que adota uma abordagem holística para proteger redes e dados corporativos quando os funcionários acessam a rede remotamente por meio de laptops, smartphones e outros dispositivos móveis. Como esses ativos estão no final da cadeia que conecta os usuários à pilha de tecnologia da empresa, eles são chamados de endpoints.
28.Jm usa uma ferramenta para verificar o sistema em busca de serviços disponíveis e, em seguida, conecta-se a esses serviços para coletar informações de banner para determinar a versão do serviço. Em seguida, ele fornece um relatório detalhando o que foi coletado, com base em impressões digitais de serviço, informações de banner e detalhes semelhantes, combinados com informações de CVE para os resultados. Que tipo de ferramenta Jim usa? A. Scanner de porta B. Validador de serviço C. Verificador de vulnerabilidade D. Ferramentas de gerenciamento de patches
C
29.Emily escreve um script para enviar dados para uma aplicação web que ela está testando. Cada vez que o script é executado, ele envia uma série de transações de dados que atendem aos requisitos esperados da aplicação web para verificar sua Respostas ao comportamento típico do cliente. Que tipo de transação ela está usando e que tipo de teste é esse? A. Vigilância abrangente e passiva B. Teste de caso de uso abrangente C. Monitoramento real e dinâmico D. Teste real de fuzz
B
30. Qual tecnologia de monitoramento passivo registra todas as interações do usuário com um aplicativo ou site para garantir a qualidade e desempenho? A. Teste de cliente/servidor B. Monitoramento real do usuário C. Monitoramento abrangente do usuário D. Gravação passiva do usuário
B
31No início deste ano, a equipe de segurança da informação do empregador de Jim descobriu uma vulnerabilidade no servidor web que ele era responsável pela manutenção. Ele aplicou imediatamente o patch e estava confiante de que ele havia sido instalado corretamente, mas as verificações de vulnerabilidade ainda sinalizaram incorretamente o sistema como vulnerável. Para resolver este problema para que não seja mais rotulado incorretamente? A. Desinstale e reinstale o patch. B. Solicite à equipe de segurança da informação que marque o sistema como corrigido e que não abriga mais aquela vulnerabilidade específica. C. Atualize as informações de versão na configuração do servidor web. D. Revise o relatório de vulnerabilidade e use outras opções de correção.
B
32 A Anools quer usar ferramentas automatizadas para testar o processamento de dados externos por navegadores web. Ela deveria definir Qual ferramenta escolher? A. Nmap B.zzuf C. Nesso D. Nikto
B
Verificador de vulnerabilidade de rede: •Nessus, um scanner de vulnerabilidades amplamente utilizado. •QualysGuard, Qualys Corporation. •NeXpose, uma empresa Rapid7. •OpenVAS, um scanner de código aberto.
As ferramentas de verificação de vulnerabilidades de aplicativos da web comumente usadas incluem: •Nessus •Scanner comercial Acunetix •Scanners de código aberto Nikto e Wapiti • Scanner de código aberto Wapiti •Ferramenta proxy BurpSuite
Scanner de descoberta de rede: Nmap Varredura de Natal
Verificação de vulnerabilidade do banco de dados: mapasql
Ferramentas de penetração: Metasploit
lembrar
33. STRIDE significa Representação, Adulteração, Negação, Divulgação de Informações, Negação de Serviço, Elevação de Privilégio Em que parte da modelagem de ameaças de aplicativos ele é útil? A. Avaliação de Vulnerabilidade B. Teste de caso de uso indevido C. Classificação de ameaças D. Planejamento de teste de penetração
C
1. Spoofing é disfarce. Por exemplo, se eu usar o ID de outra pessoa para falar, é Spoofing de Identidade. Pensei em mudar o IP, que é IP Spoofing. 2. Adulteração significa adulteração. Por exemplo, a forma como uso o ID de outra pessoa para falar é adulterando pacotes legítimos, e seu servidor não possui medidas de verificação correspondentes. 3. Repúdio significa recusar admitir. Por exemplo, se eu cometi estes ataques e eles não sabiam que eu o fiz, e não há provas de que o fiz, não tenho de admitir. 4. Divulgação de informações é o vazamento de informações. Por exemplo, sua sequência de imagens digitais não possui nenhuma proteção e as informações contidas nas imagens podem ser facilmente obtidas por terceiros. 5. Negação de serviço é uma negação de serviço. Por exemplo, minha postagem automática torna-a indisponível para usuários normais. 6. Elevação de privilégios é a elevação de privilégios. Por exemplo, quando tento fazer coisas com privilégios de administrador, isso se enquadra nesta categoria.
34. Por que a verificação passiva deve ser realizada além da implementação de tecnologia de segurança sem fio, como sistemas de detecção de intrusão sem fio? R. Pode ajudar a identificar dispositivos não autorizados. B. Pode testar a segurança de redes sem fio por meio de ataques de script. C. Eles permanecem em cada canal sem fio por um curto período de tempo e podem capturar mais pacotes de dados. D. Eles podem ajudar a testar sistemas IDS ou IPS sem fio.
A
35.Paul está revisando o processo de aprovação de um teste de penetração e quer garantir que ele passe por uma análise gerencial apropriada. Quem ele deveria garantir que aprovou uma solicitação para realizar um teste de penetração de um sistema comercial? A. Comitê Consultivo de Mudança B. Gestão Sênior C. O administrador do sistema do sistema D. Proprietário do Serviço
B
36. Qual termo descreve testes de software projetados para revelar novos bugs introduzidos por patches ou alterações de configuração? A. Teste de não regressão B. Teste de evolução C. Teste de fumaça D Teste de regressão
D
37.Qual das ferramentas a seguir não identifica o sistema operacional alvo para um testador de penetração? A. Nmap B. Nesso C. Nikto D. sqlmap
D
38 Susan precisa prever áreas de alto risco para sua organização e quer usar métricas para avaliar tendências de risco. O que ela deveria fazer para lidar com esse problema? A Realizar avaliações de risco anualmente. B. Contrate uma empresa de testes de penetração para testar regularmente a segurança da organização. C. Identificar e acompanhar os principais indicadores de risco. D. Use um dispositivo SIEM para monitorar logs e eventos.
C
39. Quais são as principais diferenças entre monitorização abrangente e passiva? R. O monitoramento abrangente só funciona após a ocorrência de um problema. B O monitoramento passivo não consegue detectar problemas funcionais. C. O monitoramento passivo só funciona após a ocorrência de um problema. D. O monitoramento abrangente não consegue detectar problemas funcionais.
C
Para as questões 40 a 42, considere o seguinte cenário. Chris usou o método padrão de teste de penetração mostrado aqui. Use este método e seu conhecimento em testes de penetração para responder perguntas sobre o uso da ferramenta durante os testes de penetração. 40. Quais são as tarefas mais importantes no planeamento da Fase 1? A. Construa um laboratório de teste B. Obter autorização C. Reúna as ferramentas apropriadas D. Determine se o teste é caixa branca, caixa preta ou caixa cinza 41. Qual das seguintes ferramentas tem maior probabilidade de ser usada durante a fase de descoberta? A. Nesso B.john C. Nmap D. Nikto 42. Qual das seguintes questões é mais importante abordar durante a fase de planeamento para garantir que não sejam causados problemas durante a fase de elaboração de relatórios? A. Qual formato CVE usar B. Como armazenar e enviar dados de vulnerabilidade C. Quais objetivos são proibidos D. Quanto tempo deve demorar o relatório?
B
C
B
•A fase de planejamento inclui acordo sobre o escopo e as regras do teste. A fase de planeamento é uma fase extremamente importante para garantir que a equipa de testes e a gestão concordam sobre a natureza dos testes e que está claro que os testes estão autorizados. •A fase de coleta e descoberta de informações combina ferramentas manuais e automatizadas para coletar informações sobre o ambiente de destino. Esta fase inclui a execução Reconhecimento básico para determinar a funcionalidade do sistema (como acessar sites hospedados no sistema) e realizar varreduras de descoberta de rede para identificar as portas abertas do sistema. •O estágio de verificação de vulnerabilidades detecta vulnerabilidades do sistema, combinando verificação de vulnerabilidades de rede, verificação de vulnerabilidades da Web e verificação de vulnerabilidades de banco de dados. •A fase de exploração tenta usar ferramentas manuais e automatizadas de exploração de vulnerabilidades para tentar romper as defesas de segurança do sistema. •A fase de relatório resume os resultados do teste de penetração e faz recomendações para melhorar a segurança do sistema.
43. Quais são os quatro tipos de critérios de cobertura comumente usados ao verificar o trabalho de um conjunto de testes de código? A. Cobertura de entradas, extratos, filiais e condições B. Números ocidentais, extratos, filiais e cobertura de condições C. Cobertura de AP, filial, limite e condição D. Limites, ramificações, loops e cobertura de condições
B
44. Como parte de sua função como gerente de segurança, Jacob fornece o seguinte gráfico à equipe administrativa da organização. Que tipo de medição ele fornece a eles? A. Medição de Cobertura B. Indicadores Chave de Desempenho C. Indicador de tempo de sobrevivência D. Indicadores de importância empresarial
B
45. Ao revisar os logs, o que proporciona o uso de um ID de usuário exclusivo para todos os usuários? A. Confidencialidade B. Integridade C. Disponibilidade D. Responsabilidade contábil
D
46. Durante o teste de software, qual das opções a seguir não é uma interface comumente testada? A.API B.Interface de rede C. Interface do usuário D.Interface física
B
P580 Três tipos: Interface de programação de aplicativos API IU interface física
47.A organização de Alan utiliza o Protocolo de Automação de Conteúdo de Segurança (SCAP) para padronizar seus procedimentos de gerenciamento de vulnerabilidades. Qual componente do SCAP Alan pode usar para reconciliar as identidades de vulnerabilidades geradas por diferentes ferramentas de avaliação de segurança? A.OVAL B.XCCDF C.CVE D.SCE
C
Descrição da vulnerabilidade •Protocolo de Automação de Conteúdo de Segurança (SCAP): SCAP é um padrão comum para descrição e avaliação de vulnerabilidades fornecido pelo NIST à comunidade de segurança, promovendo a automação de interações entre diferentes sistemas de segurança. Os componentes SCAP incluem: •Vulnerabilidades e Exposições Comuns (CVE): Fornece um sistema de nomenclatura para descrever vulnerabilidades de segurança. •Sistema Comum de Pontuação de Vulnerabilidade (CVSS): Fornece um sistema de pontuação padronizado que descreve a gravidade das vulnerabilidades de segurança. •Common Configuration Enumeration (CCE): Fornece um sistema de nomenclatura para problemas de configuração do sistema. •Common Platform Enumeration (CPE): Fornece um sistema de nomenclatura para sistemas operacionais, aplicativos e dispositivos. •Formato de descrição da lista de verificação de configuração extensível (XCCDF): fornece uma linguagem para descrever listas de verificação de segurança. • Linguagem Aberta de Vulnerabilidade e Avaliação (OVAL): Fornece uma linguagem para descrever o processo de teste de segurança.
48. Susan está revisando os dados de cobertura de testes de software e vê as informações mostradas no gráfico a seguir. O que ela pode determinar sobre esse processo de teste? (Selecione tudo que se aplica.) R. Os testes não são totalmente cobertos. B. O teste 4 não falhou. C O teste 2 não foi executado com êxito. D. É necessária uma quinta execução do teste.
a.C.
49. Qual das estratégias a seguir não é uma abordagem razoável para corrigir vulnerabilidades descobertas por scanners de vulnerabilidade? A. Instale o patch. B. Use correções temporárias. C. Atualizar banner ou número de versão. D. Use a camada de aplicação
C
50. Durante o teste de penetração, Selah ligou para o suporte técnico da empresa-alvo e afirmou ser assistente de um associado sênior da empresa. Ela pediu ao suporte técnico para redefinir a senha do associado sênior porque eles estavam tendo problemas com o laptop durante a viagem e foi persuadida a fazê-lo com sucesso. Que tipo de ataque ela completou com sucesso? A. Ataque de conhecimento zero B. Ajudar e enganar C. Ataques de engenharia social D. Teste de caixa preta
C
51. Nesta imagem, que problemas podem surgir devido à configuração do processamento de log? R. Os logs podem ser perdidos durante o arquivamento. B. Os dados de registro podem ser substituídos. C. Os dados de registro podem não conter as informações necessárias. D. Os dados de log podem preencher o disco do sistema.
D
52. Qual das alternativas a seguir não é um risco associado aos testes de penetração? A. O aplicativo trava B. Negação de serviço C. Falta de energia D.Corrupção de dados
C
53. Qual publicação especial do NIST cobre a avaliação dos controles de segurança e privacidade? 800-12 B. 800-53A C. 800-34 D. 800-86
B
54 Michelle está conduzindo uma avaliação quantitativa do impacto nos negócios e deseja coletar dados para determinar o custo do tempo de inatividade. Que informações ela precisa coletar das interrupções do ano anterior para calcular o custo dessas interrupções para a empresa? (Selecione tudo que se aplica.) A. Tempo total de inatividade do negócio B. Número de horas de pessoal necessárias para se recuperar da falha C. Negócios perdidos por hora durante a interrupção (em dólares americanos) D. Salário médio dos funcionários por hora
ABCD
55. Se a principal preocupação de Kara é evitar ataques de escuta, qual porta ela deveria bloquear? A. 22 B. 80 C. 443 D. 1433
B
56. Se a principal preocupação de Kara é impedir conexões administrativas com o servidor, qual porta ela deveria bloquear? A. 22 B. 80 C. 443 D. 1433
A
57. Durante uma auditoria de terceiros, a empresa de Jim recebeu uma descoberta. afirma: "Os administradores devem revisar os registros de sucessos e falhas de backup diariamente e tomar medidas imediatas para resolver as anomalias relatadas. De qual problema potencial esta descoberta indica?" R. O administrador não tem como saber se o backup foi bem-sucedido ou falhou. B. O backup pode não ter sido registrado corretamente. O backup C pode não estar disponível. D. Os logs de backup podem não ter sido revisados adequadamente.
C
58.Jim está ajudando sua organização a decidir sobre padrões de auditoria a serem usados em sua organização internacional. Qual dos seguintes não é Quais padrões de TI a organização de Jim poderia usar na revisão? A.COBIT B.SSAE-18 C.ITIL D. ISO 27001
C
59 Nicole deseja realizar uma auditoria baseada em padrões em sua organização. Qual das alternativas a seguir é comumente usada para descrever requisitos comuns para sistemas de informação? A.IEC B. COBIT C.FISA D.DMCA
B
60.A equipe de Kely realiza testes de regressão com cada patch lançado. Qual indicador-chave de desempenho eles deveriam manter para medir a eficácia de seus testes? A. Tempo de correção da vulnerabilidade B. Indicador de taxa de recorrência de defeitos C. Tendências de risco ponderadas D. Medição da cobertura específica dos testes
B
61. Qual dos seguintes tipos de revisão de código normalmente não é realizado por humanos? A. Verificação de software B. Programação em pares C. análise estática do programa D. Passo a passo do software
C
Para as questões 62 a 64, considere o seguinte cenário: Susan é a líder da equipe de garantia de qualidade da sua empresa. A equipe foi contratada para realizar testes para uma versão importante do principal produto de software da empresa. 62.A equipe de testes de software de Susan precisa testar todos os caminhos de código, incluindo caminhos que são usados somente quando ocorrem condições de erro. Para garantir a cobertura completa do código, de que tipo de ambiente de teste sua equipe precisa? A. Teste de caixa branca B. Teste de caixa cinza C. Teste de caixa preta D. Teste dinâmico 63. Como parte dos testes contínuos de seu novo aplicativo, a equipe de garantia de qualidade de Susan projetou um conjunto de casos de teste para uma série de testes de caixa preta. Esses testes funcionais são então executados e um relatório é preparado explicando o que aconteceu. Que tipo de relatórios normalmente são gerados durante esse processo de teste para indicar métricas de teste? A. Relatório de cobertura de teste B. Relatório de teste de penetração C. Relatório de cobertura de código D. relatório de cobertura de linha 64. Como parte dos testes de cobertura de código, a equipe de Susan usa ferramentas de registro e rastreamento para análise em um ambiente que não seja de produção. Quais dos seguintes tipos de problemas de codificação provavelmente serão ignorados devido a mudanças no ambiente operacional? A. Verificação de limites incorreta B. Validação de entrada Condição de corrida C Operações de ponteiro D
A
A
C
65.Robin conduziu recentemente uma verificação de vulnerabilidades e descobriu uma vulnerabilidade crítica em um servidor que lida com informações confidenciais. O que Bobin deve fazer a seguir? A. remendo B. Relatório C. Correção D.Verificar
D
P574 Detectar --- Verificar --- Reparar
66.Os testes de código automatizados e as integrações que Andrea executa no processo de CI/CD de sua organização falham. O que Andrea deve fazer se a empresa precisar liberar o código imediatamente? A. Ignore manualmente o teste. B. Verifique o log de erros para determinar o problema. C. Execute novamente o teste para ver se funciona corretamente. D. Envie o código de volta ao desenvolvedor para correção.
B
67. Michelle deseja comparar as vulnerabilidades que encontra em seu data center com base em métricas como capacidade de exploração de vulnerabilidades, presença de código de exploração e dificuldade de correção. Que sistema de pontuação ela deveria usar para comparar esses indicadores de vulnerabilidades? A.CSV B. NVD C. VSS D.CVSS
D
Os componentes SCAP incluem: •Vulnerabilidades e Exposições Comuns (CVE): Fornece um sistema de nomenclatura para descrever vulnerabilidades de segurança. •Sistema Comum de Pontuação de Vulnerabilidade (CVSS): Fornece um sistema de pontuação padronizado que descreve a gravidade das vulnerabilidades de segurança. •Common Configuration Enumeration (CCE): Fornece um sistema de nomenclatura para problemas de configuração do sistema. •Common Platform Enumeration (CPE): Fornece um sistema de nomenclatura para sistemas operacionais, aplicativos e dispositivos. •Formato de descrição da lista de verificação de configuração extensível (XCCDF): fornece uma linguagem para descrever listas de verificação de segurança. • Linguagem Aberta de Vulnerabilidade e Avaliação (OVAL): Fornece uma linguagem para descrever o processo de teste de segurança.
68. Ao realizar uma varredura de portas em sua rede, Alex descobriu que as portas TCP 80, 443, 515 e 9100 estavam respondendo em vários hosts em vários escritórios da empresa. Que tipo de dispositivo Alex pode ter descoberto? A. Servidor web B. Servidor de arquivos C. Ponto de acesso sem fio D.Impressora
D
69 Que tipos de ferramentas são Nito, Burp Sure e Woot? A.Ferramentas de verificação de vulnerabilidades de aplicativos da Web B. Ferramentas de revisão de código C. Ferramentas de verificação de vulnerabilidades Ferramenta de digitalização D.Port
A
70 A equipe de Frank está testando novas APIs que os desenvolvedores da empresa estão construindo para sua infraestrutura de aplicativos. Qual das alternativas a seguir não é um problema comum de API que a equipe de Frank pode encontrar? A. Criptografia incorreta B. Problemas de autorização em nível de objeto C. Problemas de autenticação do usuário D. Falta de limitação de taxa
A
A criptografia não está na camada de aplicação
71Jim está trabalhando com um fornecedor de testes de penetração que recomenda o uso Metasploit. O que Jim deve esperar que aconteça ao usar o Metasploit? A. Irá verificar o sistema em busca de vulnerabilidades. B. Explorar vulnerabilidades conhecidas no sistema. C. Detectar buffer overflows e outros defeitos desconhecidos no serviço. D. Conduza testes de vulnerabilidade de dia zero no sistema.
B
72 Susan precisa garantir que as interações entre os vários componentes de seu aplicativo de comércio eletrônico sejam tratadas corretamente. Ela pretende validar capacidades de comunicação, tratamento de erros e gerenciamento de sessões em toda a infraestrutura. Que tipo de teste ela planeja realizar? A. Teste de casos de abuso B. Teste de difusão C. Teste de regressão D. Teste de interface
D
73. Jim está projetando o sistema de gerenciamento de logs de sua organização e sabe que precisa planejar cuidadosamente o tratamento dos dados de log da organização. Qual das alternativas a seguir não é um fator com o qual Jim deveria se preocupar? A. Quantidade de dados de registro B. Falta de fontes de log suficientes C. Requisitos de segurança para armazenamento de dados D. Largura de banda da rede
B
74. A organização de Ryan deseja garantir o gerenciamento adequado das contas, mas não possui uma ferramenta centralizada de gerenciamento de identidade e acesso. Rvan Qual a melhor opção ao realizar a verificação dos processos de gerenciamento de contas durante uma auditoria interna? AVerifique todas as alterações da conta nos últimos 90 dias. B. Selecione para verificar contas de administrador de alto valor. C. Verifique todas as alterações da conta nos últimos 180 dias. D. Realizar verificação de amostragem aleatória de contas.
D
75. Que tipo de log é gerado quando um sistema Windows é reiniciado? A. Erro B. Aviso C. Informação D. revisão falhada
C
76. Durante a investigação, Alex notou que Michelle fazia login em sua estação de trabalho às 8h todas as manhãs, mas estava conectada ao principal servidor de aplicativos da web do departamento pouco depois das 3h daquele dia. Que problema comum de registro Alex pode estar enfrentando? A. Formato de log inconsistente B. Registro modificado C. Carimbos de data e hora inconsistentes D. Múltiplas fontes de log
C
77. Que tipo de verificação de vulnerabilidade acessa informações de configuração obtidas do sistema no qual a verificação é executada, bem como informações obtidas por meio de serviços disponíveis na rede? A. Digitalização certificada B. Verificação de aplicativos da Web C. Verificação não autenticada D. Digitalização de portas
A
Que tipos de verificação de vulnerabilidades podem fornecer acesso a informações de configuração de sistemas em execução e serviços fornecidos pela rede? Varredura autenticada (resposta correta) Verificação de aplicativos da Web Verificação não certificada varredura de porta As verificações autenticadas usam acesso de conta somente leitura aos arquivos de configuração, permitindo testes mais precisos de vulnerabilidades. Varreduras de aplicativos Web, varreduras não autenticadas e varreduras de portas não têm acesso aos arquivos de configuração, a menos que os arquivos de configuração sejam expostos inadvertidamente.
Para as questões 78 a 80, considere o seguinte cenário: A organização de Ben começou a usar o STRIDE para avaliar seu software e identificar agentes de ameaças e o impacto comercial que essas ameaças podem ter. Estão agora a trabalhar para identificar controlos apropriados para resolver os problemas identificados. 78.A equipe de desenvolvimento de Ben precisa resolver um problema de autorização que pode levar a uma ameaça de elevação de privilégio. Qual dos seguintes controles seria mais apropriado para esse tipo de problema? A. Habilite auditoria e registro. B. Use controle de acesso baseado em função para operações específicas. C. Habilite a verificação de tipo e formato de dados. D. Realize testes de lista de permissões com base na entrada do usuário. 79. A equipe de Ben está tentando classificar problemas de identificação de transações causados por chaves simétricas compartilhadas por vários servidores. Em qual das seguintes categorias do STRIDE isso deve se enquadrar? A. Vazamento de informações B. Negação de serviço C. Adulteração D. Negar 80. O tráfego foi maior durante o ataque de negação de serviço. Ben Xizhao usou um serviço de terceiros para ajudar a avaliar a negação de serviço. Vulnerabilidade absoluta de ataque de serviço. Que tipo de engajamento ele deve recomendar à organização? A. Participação da engenharia social B. Teste de penetração C. Carga ou teste de estresse D. Teste usando teste fuzz
B
D
C
81 Chris está resolvendo os problemas de relatórios de gerenciamento de eventos e informações de segurança (SIEM) da organização. Depois de analisar o problema, ele acreditou que o horário das entradas de log em diferentes sistemas era inconsistente. Que protocolo ele pode usar para resolver esse problema? A.SSH B.FTP C.TLS D.NTP
D
82.Ryan está considerando usar testes difusos em seu projeto de teste de aplicações web. Tomando uma decisão Qual das seguintes afirmações sobre testes fuzz Ryan deve considerar? A. O teste Fuzz só pode encontrar falhas complexas. B. Os testadores devem gerar entradas manualmente. C. O teste Fuzz pode não cobrir totalmente o código. D. O teste Fuzz não consegue reproduzir o erro.
C O teste Fuzz geralmente não consegue cobrir completamente todo o código do programa e geralmente é limitado à detecção de vulnerabilidades simples que não envolvem lógica de negócios complexa.
83.Ken está projetando um processo de teste para o software que sua equipe está desenvolvendo. Ele projetou um teste para verificar se cada linha de código foi executada durante o teste. Que tipo de análise Ken está conduzindo? A. Cobertura da filial B. Cobertura de condições C. Cobertura de funções D. Cobertura da declaração
D
Para as questões 84 a 86, considere o seguinte cenário. Ao fazer uma varredura de porta, Ben usou as configurações padrão do nmap e viu os seguintes resultados. 84. Se Ben estiver realizando um teste de penetração, qual deverá ser o próximo passo após receber esses resultados? A. Use um navegador da web para conectar-se ao servidor da web. B. Use uma conexão Telnet para testar a conta vulnerável. C. Identifique portas interessantes para verificação adicional. D. Use sqlmap no banco de dados aberto. 85. Com base nos resultados da verificação, qual é o sistema operacional (SO) mais provável em execução no sistema verificado? A. Versão desktop do Windows B.Linux C. Equipamento de rede D. Servidor Windows 86.O gerente de Ben está preocupado com o alcance da sua varredura. Com o que seu gerente pode estar preocupado? R. Ben não testou o serviço UDP. B.Ben não encontrou nenhuma porta além de "portas bem conhecidas". C. Ben não fez impressões digitais do sistema operacional. D.Ben testou apenas um número limitado de portas.
C
B
D
87.Lucca está analisando dados sobre o processo de recuperação de desastres de sua organização e percebe que o site principal da empresa O MTD é de duas horas. Ao testar e validar, o que ele aprendeu sobre o RTO do site? R. Demora menos de duas horas. B. Demora pelo menos duas horas. C. O tempo MTD é curto e demora mais. D. O tempo de RTO é muito curto e demorará mais.
A
MTD é o tempo de inatividade máximo tolerado. Se a verificação MTD for realizada, os resultados da verificação informarão apenas o tempo máximo que o sistema pode ficar offline.
88.Diana contratou um auditor terceirizado e deseja emitir um certificado de auditoria para o terceiro sem conter os detalhes da auditoria. Que tipo de relatório SOC SSAE 18 ela deve solicitar? A.SOC 1 B.SOC 2 C.SOC 3 D.SOC 4
C
89. Ao revisar os resultados dos testes de software do novo aplicativo da organização, Madhuri percebeu que o aplicativo produzia erros contendo informações de diretórios e arquivos que eram exibidas aos testadores de aplicativos da Web. Qual pergunta deve ser incluída em seu relatório? A. Ele não executa o tratamento adequado de exceções. B. O software não lida adequadamente com testes de casos de uso indevido. C. As instruções de depuração precisam ser excluídas. D. O código não foi totalmente testado devido a erros.
A
90. Qual é a primeira etapa que deve ocorrer antes de realizar um teste de penetração? A. Coleta de dados B. Varredura de porta C. Obtenha permissão D.Plano
C
91.O CEO da JOHn está preocupado com o sério aumento de cripto-malware na indústria. Ela pediu garantia de que os dados da empresa poderiam ser recuperados caso um malware atingisse e criptografasse seus sistemas de produção. Qual processo é necessário para dizer a ela que a empresa está preparada? A. Criptografe todos os dados confidenciais. B. Fazer hash de todos os dados de uma organização para detectar malware criptográfico. C. Execute a verificação de backup. D. Use tecnologia anticriptografia para evitar que malware criptografe a unidade.
C
92 Joanna é CISO da organização com função de supervisão de operações de segurança. Ela quer garantir que a supervisão da gestão das mudanças relacionadas à segurança seja contínua. Na maioria das organizações, qual sistema ela deveria focar no rastreamento desse tipo de dados? A. Sistema SIEM Sistema B.IPS Ferramentas C.CMS Bancada de trabalho D.ITSM
D
93. Henry quer verificar se seu backup é válido. Qual das opções a seguir seria a melhor maneira de garantir que os backups seriam úteis em um cenário real de recuperação de desastres? A. Restaure periodicamente um arquivo aleatório para garantir que o backup esteja funcionando corretamente. B. Verifique periodicamente as configurações e definições para verificar as configurações de backup. C. Verifique o log de backup para ter certeza de que nenhum erro ocorreu. D. Realize periodicamente restaurações completas de backups para verificar o sucesso.
D
94.Que tipos de scanners de vulnerabilidade não conseguem encontrar? A. Vulnerabilidades locais B. Vulnerabilidades de serviço C. Vulnerabilidades de dia zero D. Vulnerabilidades que requerem autenticação
C
95.Jacinda gostaria de medir a eficácia da sua formação em segurança como um dos seus indicadores de segurança. Quais das seguintes medidas são mais úteis para avaliar a eficácia da formação de sensibilização para a segurança? (Selecione tudo que se aplica.) A. Número de pessoas participando do treinamento B. Nível de conscientização sobre segurança antes e depois do treinamento C. Duração do treinamento (em horas) 口.Número de eventos de treinamento dos quais cada pessoa participou neste ano
AB
96, Elaine descobre uma vulnerabilidade crítica até então desconhecida em um produto usado por sua organização. A sua organização leva muito a sério a divulgação ética e Elaine segue práticas comuns de divulgação ética. o que ela deveria fazer primeiro A. Crie medidas ou controles internos de correção e, em seguida, divulgue publicamente a vulnerabilidade para solicitar que os fornecedores corrijam rapidamente a vulnerabilidade. B. Crie correções ou controles internos e depois notifique o fornecedor sobre o problema. C. Notificar o fornecedor e dar-lhe um prazo razoável para resolver o problema. D. Divulgar publicamente as vulnerabilidades para que os fornecedores possam corrigi-las no momento apropriado.
C
Para as questões 97 a 99, considere o seguinte cenário. NIST Specral Puolircatton 800-115, Guia Técnico para Teste de Penetração e Teste de Penetração, fornece o processo testado pelo NIST para teste de penetração. Use esta imagem e seu conhecimento de teste de penetração para responder a perguntas. 97.Qual das alternativas a seguir não faz parte da fase de descoberta? A. Coleta de informações de nome de host e endereço IP B. Captura de informações de serviço C. Pesquisa na lata de lixo D. Escalação de privilégios 98. O NIST especifica quatro etapas da fase de ataque: obtenção de acesso, escalação de privilégios, navegação no sistema e entrega de ferramentas. Depois que um invasor instala ferramentas adicionais: Para qual estágio um testador de penetração normalmente retorna? A. Descubra B. Obtenha acesso C. Escalação de privilégios D. Navegação no sistema 99.Qual das alternativas a seguir não é uma parte típica de um relatório de teste de penetração? A. Lista de vulnerabilidades identificadas B. Todos os dados confidenciais coletados durante os testes C. Classificação de risco para cada problema descoberto D. Orientações de mitigação para problemas identificados
D
B
B
100. Alox está usando nmnao para realizar uma varredura de porta no sistema e recebeu três mensagens diferentes de status de porta nos resultados. Combine cada mensagem de status numerada com a descrição da mensagem apropriada. Cada item só pode ser usado uma vez. mensagem de status 1.Abrir 2. Fechar 3. Filtrar descrever R. A porta do sistema remoto está acessível, mas nenhum aplicativo aceita conexões na porta. B. A porta do sistema remoto não está acessível. C. A porta do sistema remoto está acessível e o aplicativo aceita conexões nessa porta.
CBA