a) Conceito de ameça e não de risco.
b) Não são apenas os atos intencionais que são analisados. Qualquer ato, mesmo que seja não intencional, que possa ameaçar a segurança deverá ser analisado.
c) O ataque smurf é ativo e visa provocar um DoS.
d) DoS não viola a confidencialidade e worms nada tem a ver com Dos.
a) Risco é qualquer circunstância ou evento com o potencial intencional ou acidental de explorar uma vulnerabilidade específica, resultando na perda de confidencialidade, integridade ou disponibilidade.
Errado. Esta é a definição de ameaça, não de risco. A série ISO 27000 define risco como a probabilidade e consequência de ocorrência de um evento de segurança potencialmente danoso à instituição, como a exploração de uma vulnerabilidade de algum ativo por alguma ameaça natural, intencional ou acidental.
b) Durante a análise de riscos, um especialista faz uso sistemático da informação para identificar as fontes (ameaças e vulnerabilidades) e estimar o risco (determinação de probabilidades e análise de impactos). Na avaliação de riscos, somente atos intencionais que podem produzir violações de segurança são analisados.
Errado. A primeira parte da proposta é correta, mas a avaliação de risco, conforme a ISO 27005 (
link aqui), deve ser feita sobre possíveis atos intencionais, acidentais ou naturais.
c) O ataque smurf é classificado como um ataque passivo, uma vez que este é caracterizado pelo envio de pacotes ICMP falsificados com o objetivo de identificar vulnerabilidades na rede, tais como portas TCP abertas.
Errado. A questão descreve mapeamento de rede. No smurff, o atacante manda um ping para diversas máquinas simultaneamente, mas solicitando resposta para a máquina atacada:
d) Os perigosos ataques de negação de serviço (Denial of Service - DoS) visam violar duas propriedades de segurança - a disponibilidade e a confidencialidade. Ataques por inundação (flooding), por reflexão e ataques que exploram vulnerabilidades específicas, como os worms, são exemplos de ataques DoS.
Errado. A negação de serviço viola disponibilidade, mas a confidencialidade da informação pode ser mantida por outros métodos, como criptografia.
e) O gerenciamento de riscos baseia-se em princípios e boas práticas de gerenciamento e segurança para auxiliar na tomada de decisões estratégicas. Dentre as boas práticas, destaca-se a norma ISO 27001 que define o modelo PDCA (Plan-Do-Check-Act), um procedimento cíclico para gestão da segurança da informação
Ok. Não procurei saber por que a questão foi anulada, mas n me parece haver nada errado com esta alternativa.