Questão nº 47
Questão de Análise de Sistemas · CESGRANRIO BNDES 01/2024 (nº 47)
O ataque é um ato intencional no qual um adversário procura evadir serviços de segurança e violar a política de segurança de um sistema. Os ataques passivos são muito difíceis de detectar, pois não envolvem alteração dos dados trafegados na rede. Por outro lado, os ataques ativos envolvem alguma modificação do fluxo de dados ou a criação de um fluxo falso.
Dentre os exemplos de ataques, há o ataque de disfarce, cujo objetivo é o de
- Acoletar informações, com base na escuta do fluxo de dados transmitido na linha de comunicação.
- Bganhar conhecimento por inferência, com base nas características observáveis do fluxo de dados.
- Cprovocar a sobrecarga da rede como um tipo de obstrução, com a finalidade de causar uma interrupção.
- Dconsumir e esgotar os recursos do sistema da vítima, como ciclos de CPU, memória e espaço em disco.
- Eganhar acesso a um sistema ou desempenhar uma ação maliciosa, por posar ilegitimamente como uma entidade autorizada. (alternativa correta)
Resposta comentada
Gabarito Alternativa E
Conceito-chave: Ataque de disfarce (ou spoofing/mascaramento) é quando o atacante finge ser outra pessoa ou sistema para enganar a vítima. Ele não altera dados nem derruba serviços; ele apenas usa uma identidade falsa para conseguir acesso ou executar ações maliciosas.
- (A) Incorreta: Coletar informações por escuta passiva do tráfego é um ataque passivo (ex.: sniffing), não um disfarce, que é ativo e exige interação com o alvo.
- (B) Incorreta: Inferir informações por características observáveis (como tamanho ou horário dos pacotes) é análise de tráfego, outro ataque passivo, sem qualquer falsificação de identidade.
- (C) Incorreta: Sobrecarregar a rede para causar interrupção é um ataque de negação de serviço (DoS), cujo objetivo é indisponibilidade, não roubo de identidade.
- (D) Incorreta: Esgotar recursos (CPU, memória, disco) também descreve DoS ou resource exhaustion, não tem relação com "posar como entidade autorizada".
- (E) Correta: É exatamente o que o disfarce faz: o atacante se passa por um usuário/sistema legítimo (ex.: usando tokens roubados ou IP falsificado) para obter acesso indevido ou executar ações maliciosas em nome da vítima.
Armadilha da banca (no distrator mais tentador, a letra A): A banca tenta confundir o aluno com a ideia de "coletar informações", pois muitos associam qualquer ataque a "roubar dados". Mas a pegadinha é que coletar por escuta é passivo (não altera nada), enquanto o disfarce é ativo e exige falsificação de identidade — o verbo-chave é "posar ilegitimamente", não "escutar".
Fonte: CESGRANRIO BNDES 01/2024 Analista - Análise de Sistemas (Cibersegurança) (Caderno Prova 2). Reproduzida para fins de estudo.