Questão nº 61
Questão de Análise de Sistemas · CESGRANRIO BNDES 01/2024 (nº 61)
Os Benchmarks CIS (Center for Internet Security) são recomendações de configurações técnicas para manter ou aumentar a segurança de uma tecnologia específica. Por exemplo, no CIS Red Hat Enterprise Linux 9 Benchmark v1.0.0, encontram-se recomendações de configuração técnica relevantes para o sistema RHEL 9. Dentre as recomendações para a configuração de sistemas de arquivos, os diretórios que são usados para funções de todo o sistema podem ser protegidos, ainda mais quando são colocados em partições separadas. Isso fornece proteção para exaustão de recursos e permite o uso de opções de montagem que são aplicáveis ao uso pretendido do diretório. Em particular, para o sistema de arquivos do /tmp, a recomendação é montá-lo em uma partição separada e usar opções de montagem para evitar três ameaças nesse sistema de arquivos:
(1) criação de arquivos especiais de dispositivos de bloco ou de fluxo;
(2) criação de arquivos com permissão de setuid;
(3) execução de arquivos binários.
Respectivamente, essas opções de montagem são
- Anodev, nosuid e noexec (alternativa correta)
- Bnodev, nosetuid e norun
- Cnodev, nosetuid e noexec
- Dnospecdev, nosuid e nofork
- Enospecdev, nosetuid e norun
Resposta comentada
Gabarito Alternativa A
O conceito-chave é que as opções de montagem (mount options) são "travas" que o administrador coloca na partição para impedir comportamentos perigosos. nodev impede que a partição reconheça arquivos como dispositivos de hardware (como um pendrive malicioso), nosuid ignora o bit setuid (que permitiria executar um programa com privilégios de dono, geralmente root), e noexec impede a execução de qualquer binário diretamente daquela partição.
- (A) Correta:
nodev(bloqueia dispositivos de bloco/fluxo),nosuid(bloqueia arquivos com permissão setuid) enoexec(bloqueia execução de binários) — exatamente as três ameaças citadas. - (B) Incorreta:
nosetuidenorunnão existem como opções padrão do kernel Linux; os nomes corretos sãonosuidenoexec. A banca troca sufixos para confundir. - (C) Incorreta:
nosetuidnão é uma opção válida; o correto énosuid. A pegadinha aqui é quenoexecestá certo, mas a segunda opção inválida derruba a alternativa. - (D) Incorreta:
nospecdevenoforksão termos inventados; não há opção de montagem com esses nomes no Linux. A banca usa termos que "soam" técnicos. - (E) Incorreta:
nospecdevenorunnão existem; a única opção real serianoexec, mas as outras duas são fictícias, tornando a alternativa totalmente inválida.
Fonte: CESGRANRIO BNDES 01/2024 Analista - Análise de Sistemas (Cibersegurança) (Caderno Prova 2). Reproduzida para fins de estudo.