Questão nº 40
Questão de Segurança da Informação · FGV TJDFT 2022 (nº 40)
Um novo sistema operacional foi instalado nos servidores de um Centro de Dados, e a equipe de segurança recebeu a informação de que o novo sistema pode ter uma vulnerabilidade dia-zero. As vulnerabilidades dia-zero são perigosas porque são desconhecidas e suas correções ainda não foram produzidas. Durante o período de espera pela correção, os usuários ficam sujeitos às tentativas de explorações dessas vulnerabilidades pelos hackers.
Uma das formas utilizadas pelos hackers para a descoberta das vulnerabilidades dia-zero é o fuzzing, cujo processo de funcionamento consiste em:
- Ainserir muitos dados em intervalos diferentes e verificar como um programa responde; (alternativa correta)
- Badaptar vulnerabilidades anteriores a novos programas;
- Croubar a identidade de um desenvolvedor para ter acesso ao código-fonte do programa;
- Dconfundir um roteador a fim de se passar por um ativo da rede;
- Eenviar um código malicioso através de uma porta aberta na aplicação.
Resposta comentada
Gabarito Alternativa A
Fuzzing é como jogar um monte de dados aleatórios, inesperados ou malformados em um programa e observar se ele quebra, trava ou se comporta de forma estranha. Se ele quebrar de um jeito específico, o hacker descobre uma brecha (a vulnerabilidade dia-zero) que ainda não foi corrigida.
- (A) Correta: É exatamente isso: o fuzzing (ou teste de fuzzing) insere uma enxurrada de dados aleatórios, em diferentes formatos e intervalos, para ver se o programa apresenta falhas de segurança, como travamentos ou erros de memória.
- (B) Incorreta: Adaptar vulnerabilidades antigas a novos programas é uma técnica de reutilização de exploits, não é fuzzing. O fuzzing não depende de conhecimento prévio de falhas antigas; ele busca falhas novas e desconhecidas.
- (C) Incorreta: Roubar identidade de desenvolvedor para acessar o código-fonte é um ataque de engenharia social ou roubo de credenciais, não tem relação com o processo de fuzzing.
- (D) Incorreta: Confundir um roteador para se passar por um ativo da rede é uma técnica de spoofing ou ARP poisoning, focada em interceptar tráfego, não em descobrir vulnerabilidades em software.
- (E) Incorreta: Enviar código malicioso por uma porta aberta é uma forma de exploração de uma vulnerabilidade já conhecida (ou de uma brecha de configuração), não é o método de descoberta chamado fuzzing. A pegadinha aqui é confundir o ato de atacar com o ato de procurar a falha.
Fonte: FGV TJDFT 2022 Analista Judiciário - Segurança da Informação (Caderno Tipo 1). Reproduzida para fins de estudo.