Questões de Segurança da Informação FGV: comentadas e grátis

Resposta correta: E

SQL Injection acontece quando o sistema monta a consulta SQL do jeito errado e acaba misturando comando com dado. Em vez de tratar a entrada do usuário como simples informação, o aplicativo engole o texto recebido e pode transformar isso em uma instrução maliciosa. É o famoso caso em que o banco faz exatamente o que foi mandado, mas o problema foi quem escreveu a consulta sem cuidado. Para reduzir esse risco, a regra de ouro é não confiar em nenhuma entrada externa: formulário, URL, cookie, cabeçalho e até campos que pareçam inofensivos. Validar, filtrar e, principalmente, usar consultas parametrizadas/prepared statements são as medidas mais seguras na prática. Isso impede que o conteúdo enviado pelo usuário seja interpretado como parte do código SQL. No enunciado, a banca quer justamente a ideia de proteção por validação das entradas. Isso é coerente com boas práticas de segurança da informação, como o princípio de "input validation" e de defesa em profundidade. Em prova, desconfie de alternativas que misturam criptografia, aspas soltas ou concatenação direta: isso quase sempre é caminho para desastre. Por isso, o gabarito está em validar todas as entradas de dados, como formulários ou URL da aplicação. Não é a única medida possível na vida real, mas é a que melhor expressa a prevenção pedida pela questão.

Resposta correta: B

Em tabelas Hash, a ideia é transformar uma chave em um índice da tabela para buscar e armazenar dados rapidamente. O problema aparece quando duas chaves diferentes acabam apontando para o mesmo índice. Isso é o que se chama de colisão, e acontece justamente porque a distribuição das chaves não é perfeita. Quando isso ocorre, a estrutura precisa de um mecanismo para tratar esse choque de endereço, como encadeamento ou endereçamento aberto. Perceba que colisão não tem relação com a chave ser numérica ou alfanumérica, nem com haver duplicação de chaves. O ponto central é o mapeamento para o mesmo índice. Em outras palavras: chaves diferentes, mesmo endereço. A tabela Hash até tenta ser organizada, mas às vezes duas visitas chegam na mesma cadeira ao mesmo tempo. Por isso, o gabarito é a letra B. Se duas ou mais chaves têm o mesmo índice na tabela, há colisão e ela precisa ser tratada. Esse é o conceito clássico de hashing apresentado em livros de estrutura de dados e fundamentos de organização de arquivos e acesso rápido a registros.

Resposta correta: C

Quando a questão fala em usar uma chave pública para cifrar e uma chave privada para decifrar, ela está descrevendo criptografia assimétrica. Esse modelo é muito usado em transações digitais porque permite trocar informações com mais segurança, sem precisar combinar uma única chave secreta antes. Além disso, ele resolve um problema clássico: como enviar a chave sem alguém no meio interceptar. Bem mais elegante do que ficar escondendo senha embaixo do teclado, não é? No universo da criptografia, isso é exatamente o que o RSA faz. Ele usa um par de chaves matematicamente relacionadas: uma pública, que pode ser divulgada para cifrar, e uma privada, que fica sob guarda do destinatário para decifrar. Por isso o gabarito é a letra C. Em provas, o nome RSA quase sempre aparece como o exemplo clássico de criptografia de chave pública. Já DES e AES são algoritmos simétricos, ou seja, usam a mesma chave para cifrar e decifrar. Então eles não servem para o enunciado, que pede duas chaves diferentes. A lógica é bem direta: se tem chave pública e chave privada, pense em criptografia assimétrica. SHA e MD5 não são algoritmos de ciframento, mas funções de hash. Elas servem para gerar resumo criptográfico, integridade e verificação de dados, e não para transformar texto cifrado em texto original. Ou seja, a banca misturou conceitos de propósito para ver se você reconhece a família certa.

Resposta correta: B

SAML e OAuth 2 aparecem muito em questões porque ambos ajudam no controle de acesso, mas fazem isso de jeitos diferentes. O SAML é mais ligado a troca de asserções de autenticação entre um provedor de identidade e um provedor de serviço, enquanto o OAuth 2 é um framework de autorização, usado para conceder acesso delegado a recursos sem expor a senha do usuário. Na prática, o OAuth 2 trabalha com access tokens e, muitas vezes, com refresh tokens. O access token costuma ter vida curta, para reduzir o estrago se ele vazar. Quando ele expira, o refresh token pode ser usado para obter um novo access token sem pedir que o usuário faça login de novo. É exatamente essa a ideia da alternativa B. A pegadinha clássica aqui é misturar os papéis: SAML não é o modelo típico de JWT para autenticação e autorização, e OAuth 2 não exige certificado digital do servidor de autorização para gerar tokens. Além disso, SSO pode aparecer em cenários com SAML, mas não é requisito obrigatório do framework como a questão tenta sugerir. Resumo de prova: se a frase falar em refresh token e renovação de access token no OAuth 2, acenda a luz verde. Se tentar empurrar para SAML conceitos próprios de JWT, certificado ou exigências fixas de SSO, desconfie bastante.

Resposta correta: A

Em continuidade de negócios, dois indicadores mandam no jogo: RTO e RPO. O RTO (Recovery Time Objective) é o tempo máximo aceitável para o serviço voltar a funcionar depois de uma interrupção. Já o RPO (Recovery Point Objective) é o limite de perda de dados aceito, ou seja, até que ponto no tempo você pode voltar sem comprometer demais o negócio. Neste enunciado, uma meta de RTO de 24 horas significa que o sistema pode ficar fora do ar por até 24 horas e ainda estar dentro do planejado. Já um RPO de 5 horas quer dizer que, no pior cenário, pode haver perda de até 5 horas de transações ou dados. Em outras palavras: o foco do RTO é o tempo de indisponibilidade, e o do RPO é a quantidade de informação perdida. Por isso, a alternativa A está correta: ela traduz exatamente o RTO de 24 horas, dizendo que é aceitável o sistema ficar indisponível por até 24 horas após um desastre, seja ele natural ou por erro humano. A banca quer ver se você não confunde RTO com RPO, porque esse é o clássico tropeço de prova. Como regra prática, pense assim: RTO responde "em quanto tempo volta?" e RPO responde "quanto posso perder?". Se você guardar essa dupla na cabeça, metade das pegadinhas de continuidade de negócios perde a graça.

Resposta correta: E

A ideia central aqui é separar o que vem da Internet do que fica na rede interna, sem deixar o servidor público exposto diretamente como se estivesse “na sala de estar” da empresa. Para isso, a solução clássica é a DMZ: uma zona intermediária onde ficam os serviços que precisam ser acessados de fora, como o servidor Web, mas sem abrir a porta da rede interna inteira. Assim, o tráfego passa por camadas de controle e a empresa protege melhor sua propriedade intelectual. Quando a banca fala em “único ponto de entrada e saída” e em tráfego bidirecional verificado, ela está apontando para uma arquitetura com filtros em camadas, normalmente com dois firewalls. Um protege o perímetro externo da DMZ e o outro separa a DMZ da rede interna, permitindo que só o necessário atravesse. Isso reduz bastante o risco de invasão lateral caso o servidor público seja comprometido. O acesso do site por clientes na Internet também reforça a necessidade de colocar o servidor Web na DMZ, e não dentro da rede interna. Se ele estivesse direto na rede interna, você acabaria expondo o ambiente mais sensível para o mundo todo. Em termos de doutrina de segurança, a DMZ é justamente a zona tampão para serviços acessíveis externamente. Por fim, para os funcionários em home office, a solução indicada é VPN, porque ela cria um túnel seguro até a rede interna, com autenticação e confidencialidade do tráfego. Então a resposta E combina os três elementos certos para o cenário: par de firewalls, DMZ com o servidor Web e VPN para acesso remoto. É a arquitetura mais completa e alinhada com a proteção de perímetro ensinada em segurança da informação.

Resposta correta: E

Quando a questão fala em um pequeno dispositivo que precisa ficar conectado à porta USB para liberar o uso de um software, ela está descrevendo uma chave de proteção física, também chamada de dongle. A ideia é simples: sem esse dispositivo, o programa não roda ou fica bloqueado. É uma forma clássica de controle contra uso não autorizado de software, muito cobrada em provas de segurança da informação. O nome mais conhecido desse dispositivo é hardlock. Ele funciona como um “selo físico” de licença, geralmente ligado à USB, e valida o direito de uso do sistema ou aplicativo. Em vez de depender só de senha ou ativação por login, o software verifica se o hardware de proteção está presente. Por isso o gabarito é a letra E. As outras alternativas remetem a ferramentas diferentes: algumas cuidam de senhas, outras de acesso, e uma até parece coisa de defesa, mas não tem relação com proteção de licença de software. Em prova da FGV, essa troca de termos é bem comum: ela mistura conceitos parecidos para ver se você identifica o objeto certo. Em termos doutrinários, isso se encaixa em controle de acesso e proteção de licenciamento por dispositivo físico. Não há, aqui, um fundamento legal específico importante para decorar; o ponto é conceitual mesmo: hardlock é o hardware que autoriza o uso do software.

Resposta correta: C

O WPA2 é o padrão que consolidou a segurança das redes Wi-Fi por usar um esquema mais forte de criptografia e integridade das mensagens. Aqui vale lembrar a lógica da prova: a banca quer saber qual protocolo o WPA2 usa para proteger os dados em trânsito, e não qual algoritmo aparece em versões antigas ou em soluções fora do ambiente sem fio. No WPA2, o protocolo correto é o CCMP, que significa Counter Mode with Cipher Block Chaining Message Authentication Code Protocol. Em português simples: ele combina confidencialidade e verificação de integridade, evitando que a mensagem seja lida ou alterada sem autorização. É justamente por isso que ele é o coração do WPA2. Já o TKIP foi uma solução de transição, criada para melhorar o WEP, mas acabou ficando como opção legada por compatibilidade. Em prova, quando aparecer WPA2, pense imediatamente em CCMP, porque o WPA2 foi associado ao uso do AES com CCMP no padrão IEEE 802.11i. Essa associação é a chave doutrinária mais cobrada. Então o gabarito é a letra C: CCMP. As demais alternativas remetem a tecnologias antigas, fracas ou simplesmente não são o protocolo de criptografia do WPA2.

Resposta correta: B

A questão descreve um software que age sem o consentimento do usuário, seja para coletar informações pessoais, exibir publicidade indevida ou até alterar configurações do computador. Esse comportamento é típico de spywares, que funcionam como "espiões" digitais: entram discretamente, observam tudo e enviam dados para terceiros. Em provas, a banca costuma cobrar essa ideia central: não basta o programa causar lentidão ou abrir janelas, ele precisa ter como traço marcante a coleta de dados ou o monitoramento do usuário. O spyware é, portanto, um malware voltado à vigilância e à captura de informações, muitas vezes escondido em instaladores ou junto com outros programas. Por isso, o gabarito é a letra B. O enunciado praticamente entregou a definição clássica de spyware, inclusive citando publicidade indevida e coleta de informações pessoais, que são sinais bem característicos desse tipo de ameaça. Só para não confundir: trojan é o "cavalo de Troia", worm se espalha sozinho pela rede, ransomware sequestra dados para extorsão, e DDoS nem é software, mas sim um tipo de ataque de negação de serviço.

Resposta correta: B

Em plano de continuidade de negócios, as métricas RTO e RPO aparecem o tempo todo, quase como dupla inseparável. O RPO significa Recovery Point Objective, isto é, até que ponto você aceita perder dados em caso de falha. Em linguagem bem prática: ele define a janela máxima de perda de informações, medida a partir do último ponto de recuperação válido, geralmente o último backup ou replicação consistente. Por isso, quando a questão fala em RPO, ela está falando do intervalo entre o último backup bem-sucedido e o momento da interrupção das operações. Se o RPO for de 15 minutos, por exemplo, a empresa aceita perder no máximo 15 minutos de dados. Quanto menor o RPO, mais frequentes precisam ser os backups ou a replicação. Já o RTO é outra história: ele trata do tempo para voltar a operar depois da parada. É comum a FGV tentar trocar os dois, porque eles parecem parentes, mas não são gêmeos. Um mede perda de dados; o outro mede tempo de retorno. Então o gabarito B está correto porque descreve exatamente o conceito de RPO. Em doutrina de continuidade e recuperação de desastres, essa distinção é básica: RPO aponta o ponto aceitável de perda de dados, enquanto RTO aponta o prazo aceitável para restabelecimento do serviço.