Questão de Segurança da Informação — Análise de Vulnerabilidade e Gestão de Riscos — CESGRANRIO 2024
Segurança da Informação›Análise de Vulnerabilidade e Gestão de Riscos
Código
cg020929
Banca
CESGRANRIO
Órgão
BNDES
Ano
2024
Nível
Superior
Cargo
Analista - Análise de Sistemas - Cibersegurança (Manhã)
Um dos principais desafios dos sistemas informatizados permanentemente conectados é se manter seguro frente às novas ameaças que surgem continuamente. Um recurso importante nesse contexto é o National Vulnerabilities Database (NVD).A NVD é uma base de dados que pode ser usada para
Aconhecer os novos ataques zero-day que serão ainda empregados.
Bcriar uma tabela de tipos de malware conhecidos.
Celencar uma lista das principais atualizações a serem aplicadas para se proteger de vulnerabilidades desconhecidas.
Dgerar um relatório de estruturas vulneráveis a ataques físicos.
Elistar um conjunto de vulnerabilidades já descobertas para serem consertadas.
Revelar gabarito e comentário▾
GabaritoE — listar um conjunto de vulnerabilidades já descobertas para serem consertadas.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
National Vulnerability Database (NVD)
Gabarito: letra E. A NVD (National Vulnerability Database) é uma base de dados mantida pelo NIST (National Institute of Standards and Technology) que cataloga vulnerabilidades de software já descobertas e publicamente conhecidas, associadas a identificadores CVE (Common Vulnerabilities and Exposures). Sua função principal é fornecer um repositório centralizado de vulnerabilidades conhecidas para que organizações possam consultar e corrigir as falhas em seus sistemas.
National Vulnerability Database (NVD): Mantida pelo NIST; Conteúdo (Vulnerabilidades já descobertas, Identificadores CVE, Públicas e conhecidas); Função (Repositório centralizado, Consulta para correção); O que NÃO é (Zero-day (desconhecidas), Tabela de malware, Recomendação de patches, Ataques físicos)
Alternativa A — ❌ Incorreta
A alternativa sugere que a NVD serve para "conhecer os novos ataques zero-day que serão ainda empregados". Zero-day são vulnerabilidades desconhecidas do público e do fabricante, enquanto a NVD lista apenas vulnerabilidades já descobertas e catalogadas. Portanto, não é possível usar a NVD para prever ataques futuros ou vulnerabilidades ainda não reveladas.
Alternativa B — ❌ Incorreta
Afirma que a NVD pode ser usada para "criar uma tabela de tipos de malware conhecidos". A NVD não classifica malware; ela catalogua vulnerabilidades (falhas de segurança) em software, hardware e firmware. Malware são programas maliciosos, e embora possam explorar vulnerabilidades, a base não é voltada para listar tipos de malware.
Alternativa C — ❌ Incorreta
Diz que a NVD pode "elencar uma lista das principais atualizações a serem aplicadas para se proteger de vulnerabilidades desconhecidas". Vulnerabilidades desconhecidas, por definição, não estão na NVD. A base contém apenas vulnerabilidades conhecidas. Além disso, a NVD não sugere atualizações específicas; ela fornece referências para correções (patches), mas não é uma ferramenta de recomendação de atualizações para ameaças desconhecidas.
Alternativa D — ❌ Incorreta
Propõe que a NVD gera "um relatório de estruturas vulneráveis a ataques físicos". A NVD trata de vulnerabilidades cibernéticas (lógicas) em sistemas de informação, não de ataques físicos (como invasão de instalações, danos físicos a equipamentos).
Alternativa E — ✅ Correta ⟵ GABARITO
A NVD lista um conjunto de vulnerabilidades já descobertas para serem consertadas. Exatamente essa é a finalidade: centralizar as vulnerabilidades conhecidas (CVEs), com descrição, gravidade (CVSS) e referências para correção, permitindo que profissionais de segurança identifiquem e apliquem as medidas de remediação adequadas.
PEGA ESSA DICA!
O NVD é um recurso essencial para a gestão de vulnerabilidades. Sempre associe a NVD a vulnerabilidades conhecidas e já catalogadas. Para ameaças desconhecidas (zero-day), são necessárias outras fontes e técnicas, como análise comportamental e feeds de inteligência de ameaças.
Gabarito: letra E — listar vulnerabilidades já descobertas para serem consertadas.