Questão nº 69
Questão de Tecnologia da Informação · FGV CGE-SP 2025 (nº 69)
No contexto da segurança de redes e aplicações corporativas, diferentes tipos de ataques requerem medidas de proteção específicas e adequadas às suas características técnicas.
Relacione os tipos de ataque listados a seguir, às suas respectivas medidas de proteção primárias.
- Ransomware
- Credential Stuffing
- DNS Spoofing
- Server-Side Request Forgery (SSRF)
( ) Implementar segmentação de rede com micro-segmentação, backup imutável (immutable backup) com retenção offline, EDR com detecção comportamental, e Application Control para bloquear executáveis não autorizados.
( ) Implementar DNSSEC (Domain Name System Security Extensions) para autenticação de respostas DNS, configurar resolvers DNS confiáveis, e utilizar DoH (DNS over HTTPS) ou DoT (DNS over TLS) para criptografar consultas.
( ) Implementar validação rigorosa de URLs de entrada, utilizar allowlist de destinos permitidos, restringir acesso de servidores a recursos internos através de firewalls internos, e sanitizar/validar todos os parâmetros que constroem requisições HTTP.
( ) Implementar rate limiting por IP e por conta de usuário, CAPTCHA após tentativas falhadas, monitoramento de credenciais vazadas em bases públicas (Have I Been Pwned), autenticação multifator (MFA), e detecção de anomalias baseada em geolocalização e dispositivos.
Assinale a opção que indica a relação correta na ordem apresentada.
- A1 – 3 – 4 – 2. (alternativa correta)
- B1 – 4 – 2 – 3.
- C2 – 1 – 3 – 4.
- D3 – 4 – 1 – 2.
- E4 – 3 – 2 – 1.
Resposta comentada
Gabarito Alternativa A
A segurança da informação em redes e aplicações visa proteger dados e sistemas contra ameaças. Cada tipo de ataque possui características únicas e, portanto, exige medidas de proteção específicas para ser efetivamente mitigado.
(A) Correta: A sequência 1 – 3 – 4 – 2 está correta. A primeira medida (segmentação de rede, backup imutável com retenção offline, EDR, Application Control) é fundamental contra Ransomware; a segunda (DNSSEC, resolvers DNS confiáveis, DoH/DoT) protege contra DNS Spoofing; a terceira (validação rigorosa de URLs de entrada, allowlist de destinos, restrição de acesso de servidores) mitiga Server-Side Request Forgery (SSRF); e a quarta (rate limiting, CAPTCHA, monitoramento de credenciais vazadas, MFA, detecção de anomalias) combate Credential Stuffing.
(B) Incorreta: A ordem das associações está incorreta, pois as medidas de proteção não correspondem aos ataques na sequência proposta.
(C) Incorreta: As associações propostas estão desalinhadas com as medidas de proteção específicas para cada tipo de ataque.
(D) Incorreta: A sequência não reflete as relações corretas entre os ataques e suas respectivas medidas de proteção primárias.
(E) Incorreta: As associações apresentadas estão incorretas, não correspondendo às defesas adequadas para cada ataque.
Fonte: FGV CGE-SP 2025 Auditor Estadual de Controle - Tecnologia da Informação (Caderno Tipo 1). Reproduzida para fins de estudo.