DSSA Test 25-C

Señalar la respuesta correcta. En materia de Planes de Contingencia, y la auditoría de controles de seguridad en esta área, pueden considerarse como controles adecuados: La existencia de un Plan de Copias. La realización periódica de pruebas de contingencia. La documentación de un procedimiento de actuación ante crisis. Todas las anteriores afirmaciones son ciertas.

Señalar la respuesta correcta. El sistema de Gestión de la Seguridad de la Información-SGSI. ¿Cuál tiene PDCA?. La ISO 27001 y la ISO 27002. Solo la ISO 27002. La ISO 27001. Ninguna de las anteriores.

Señalar la respuesta correcta. Durante la auditoría de un plan de continuidad del negocio, un auditor de SI encontró que, a pesar de que todos los departamentos están alojados en el mismo edificio, cada departamento tenía un plan separado de continuidad del negocio. El auditor de SI recomendó que se reconciliaran los planes de continuidad del negocio. ¿Cuál de las áreas siguientes debería reconciliarse PRIMERO?. Plan de evacuación. Prioridades de recuperación. Almacenamientos de backup. Árbol de llamadas.

Señalar la respuesta correcta. ¿Cuál es la definición breve de Auditoría de Sistemas de Información?. Es la revisión vinculada del control y la evaluación. Es la revisión independiente de la auditoría. Es la revisión independiente del control interno informático. Ninguna de las anteriores.

Señalar la respuesta correcta. ¿Cuál es el control más importante para el CIO (Chief Information Officer - Director de Informática)?. El plan de seguridad alineado con el plan de medioambiente. El plan estratégico de empresa alineado con el plan de TICs. El plan de TICs no se alinea nunca con el plan estratégico de empresa. El plan económico-financiero alineado con los periodos vacacionales.

Señalar la respuesta incorrecta. Los objetivos de las pruebas de seguridad basadas en el riesgo: Verificar la capacidad de supervivencia del software ante la aparición de anomalías, errores y su manejo de las mismas mediante excepciones que minimicen el alcance e impacto de los daños que puedan resultar de los ataques. Verificar la operación del software bajo en su entorno de producción. Verificar la fiabilidad del software, en términos de comportamiento seguro y cambios de estado confiables. Verificar la falta de defectos y debilidades explotables.

Señalar la respuesta correcta. El objetivo de la reducción de la superficie de ataque es: Minimizar el número de puntos expuestos en la superficie de ataque, que un usuario malintencionado puede descubrir e intentar explotar. Minimizar el número de vulnerabilidades presentes en una aplicación. Maximizar el número de herramientas de análisis de estático de código utilizadas para analizar la implementación del código fuente de una aplicación. Ninguna de las anteriores.

Señalar la respuesta correcta. ¿Qué tipo de vulnerabilidad se comete en este código? main(int argc, char **argv) { char *buffer = (char *)malloc(101); int i; for (i = 0; i < 10; i++) strncat(buffer, argv[i], 10); }. Format String. Buffer Overflows. Integer Overflow. Use after free.

Señalar la respuesta incorrecta. Consideraciones sobre potenciales vulnerabilidades de Java: Seguridad de tipos. Los campos que son declarados privados o protegidos, o que tienen protección, por defecto, deberían ser públicamente accesibles. Campos públicos. Un campo que es declarado público directamente puede ser accedido por cualquier parte de un programa Java y puede ser modificado por las mismas (a no ser que el campo sea declarado como final). Serialización. Esta facilidad posibilita que el estado del programa sea capturado y convertido en un byte stream que puede ser restaurado por la operación inversa, que es la deserialización. La JVM en sí misma a menudo está escrita en C para una plataforma dada. Esto quiere decir que sin la atención cuidadosa a detalles de puesta en práctica, la JVM en sí misma no susceptible a problemas de desbordamiento.

Señalar la respuesta correcta. La validación de un Checksum puede utilizarse para satisfacer los siguientes requisitos: Confidencialidad. Integridad. Disponibilidad. Autenticación.

Realizar el diagrama DFD de una aplicación web simple alojada en una DMZ (Front End) con una base de datos alojada en el Back End. Realizar un modelado de amenazas que incluya: a) Identificación y categorización con respecto al modelo STRIDE de al menos 8 amenazas. b) Valoración de las 8 amenazas utilizando el método DREAD. c) Mitigaciones de cada una de las 8 amenazas.

Desarrolle las metodologías: • “Open Web Application Security Project (OWASP)”. • “Open Wireless Security Assessment Methodology (OWISAM)”.

Explicar qué tipo de vulnerabilidad se comete y como se remedia en este fragmento de código: unsigned int readamt; readamt = getstringsize(); if (readamt > 1024) return -1; readamt--; buf = malloc(readamt);.

Explicar qué tipo de vulnerabilidad se comete y como se remedia en este fragmento de código: String val = request.getParameter("val"); try { int value = Integer.parseInt(val); } catch (NumberFormatException) { log.info("Failed to parse val = " + val); }.