Questões de Concurso

Uma arquitetura utiliza:

• aplicação primária on-premise;
• réplica em nuvem atualizada continuamente;
• mecanismo de failover por DNS, com troca automática de endpoint; e
• pequeno atraso na propagação do DNS.

Considerando esse cenário, é correto afirmar que essa arquitetura

Uma organização mantém um sistema legado crítico, mas com forte dependência de tecnologia obsoleta. Foi identificado um risco relacionado tanto ao comprometimento da segurança quanto à futura indisponibilidade do sistema.

Para tratar esse risco, foram propostas as seguintes ações:

P1: migrar as funcionalidades para uma plataforma SaaS moderna, desativando o servidor antigo;
P2: terceirizar a gestão do legado para um parceiro especializado, com foco em cláusulas de responsabilidade civil em contrato, sem alteração dos controles técnicos ou operacionais do sistema;
P3: isolar o sistema em uma VLAN sem acesso à internet e exigir VPN com MFA para qualquer acesso; e
P4: manter a operação do sistema legado, estabelecendo um fundo de reserva financeira para cobrir eventuais multas e definindo um plano de resposta a incidentes para recuperação manual, em caso de falha catastrófica.

Assinale a opção que associa corretamente cada proposta a uma estratégia de tratamento de risco.

Uma aplicação em produção foi comprometida por meio da exploração de uma biblioteca com CVE conhecido, que permite execução remota de código.

O pipeline da aplicação possui SAST durante a fase de desenvolvimento, DAST em ambiente de homologação e, ainda, possui monitoramento em produção. Após investigação, verificouse que a vulnerabilidade estava em uma dependência indireta, não houve alerta durante o pipeline e a exploração ocorreu imediatamente após o deploy.

Com base nesse contexto, assinale a afirmativa que explica corretamente a falha de detecção.

O protocolo Oauth2.0, descrito pela RFC 6749 e proposto pela Internet Engineering Task Force (IETF), busca reduzir a necessidade de compartilhamento de credenciais de autenticação (como senhas ou biometria) do detentor de um recurso (chamados de resource owner) diretamente com os sistemas que precisam do credenciamento (chamados de clients). Nesse protocolo, é utilizado um servidor de autorização (chamado authorization server) que emite tokens de acesso aos clients, mediante autorização dos resource owners. Dessa forma, as credenciais são apresentadas apenas ao servidor de autorização e não a cada client.

Com relação ao protocolo Oauth2.0, como definido pelo RFC 6749, é correto afirmar que

No complexo e conectado ambiente de serviços disponíveis na rede mundial, garantir a autenticidade de um usuário para que possa acessar apenas os conteúdos a ele disponíveis é um processo fundamental. Com a proliferação da necessidade de se autenticar a cada interação, surgiu a tecnologia de Single-Sign on (SSO).

Assim sendo, o SSO é