Questões de Segurança (Banco de Dados)

Limpar Busca

O Ministério Público da União (MPU) está criando um departamento de governança de dados, que terá, como uma de suas atividades, controlar a performance de seus servidores federais. O objetivo é alocar o número certo de pessoas em cada departamento de forma a equalizar o trabalho entre todos. Contudo, esse novo departamento deverá trabalhar com dados estatísticos somente, sem acesso a dados de um indivíduo específico.
Como forma de evitar problemas de segurança com relação aos dados armazenados, o Departamento de Segurança do MPU, junto com os DBAs, precisarão:

  • A usar variáveis de ligação (BIND), além de remover caracteres de escape das cadeias de caracteres de entrada das consultas das aplicações;
  • B restringir o acesso de funções de banco de dados padronizadas ou personalizáveis, além de funções de agregação como COUNT, SUM, MIN, MAX, AVERAGE, dentre outras;
  • C restringir o acesso aos dados individualizados com a criptografia de dados críticos, além de proibir sequência de consultas à mesma população de tuplas;
  • D introduzir pequenas imprecisões ou ruídos nos resultados das consultas, além de efetuar o particionamento do banco de dados;
  • E atribuir uma classe de segurança para cada programa em execução, além de permitir a leitura para determinados segmentos de memória.

Durante o desenvolvimento de um sistema web, é necessário garantir que o software seja seguro e resistente a ataques. Para isso, utilizam-se as melhores práticas de desenvolvimento seguro baseadas em SDL, OWASP CLASP e sua evolução. Para proteger uma aplicação contra ataques de injeção SQL, é crucial

  • A Utilizar prepared statements com parameterized queries para interagir com o banco de dados, de forma que o banco de ados faça a distinção entre código e dados, independentemente da entrada fornecida pelo usuário.
  • B remover todas as stored procedures do código, como recomendado pelo CLASP, pois estas são a principal fonte de ataque e deixam a aplicação vulnerável.
  • C implementar criptografia simétrica para todas as conexões com o banco de dados e criar filtros personalizados no código para identificar entradas maliciosas após a execução da consulta.
  • D criar uma rotina que faça um backup automático dos logs antes de executar qualquer consulta SQL, garantindo que qualquer tentativa de injeção possa ser rastreada, conforme recomenda o CLASP.
  • E utilizar funções eval () em JavaScript para processar dados do lado do cliente, garantindo que entradas SQL possam ser interpretadas de forma segura no servidor.

Um Tribunal identificou que sua aplicação web foi explorada por uma vulnerabilidade de injeção SQL. Após a análise do incidente, o time de desenvolvimento decidiu implementar práticas que minimizam o risco de ocorrência dessas falhas no código-fonte. A técnica mais adequada para prevenir vulnerabilidades como a identificada no incidente é

  • A usar mecanismos de hashing para proteger os dados enviados às consultas SQL.
  • B utilizar variáveis de ambiente para armazenar as credenciais de banco de dados e incluí-las diretamente nas consultas SQL.
  • C usar concatenação de strings para gerar as consultas SQL.
  • D utilizar parâmetros (prepared statements) para consultas SQL.
  • E implementar análise estática de código após o deployment.

Acerca de conceitos pertinentes à elaboração de banco de dados georreferenciados, julgue o item a seguir. Nesse sentido, considere que a sigla ETL, sempre que empregada, se refere a extract, transform and load.


Na segurança de bancos de dados geoespaciais, o controle de acesso regula, porém não limita quem pode acessar, modificar e deletar dados sensíveis relacionados à localização geográfica. Para tal, uma estratégia eficiente de controle de acesso é a autorização granular.

  • Certo
  • Errado

Julgue o próximo item, a respeito de segurança e auditoria de bancos de dados.

Auditoria de banco de dados consiste na revisão de seu log para examine de todos os acessos e operações aplicadas a ele durante determinado período.

  • Certo
  • Errado