Title: Redes e Segurança / Segurança Física, Lógica e Controle de Acesso
Tags: Redes_e_Segurança Resumo
On every note of this deck, unless a note says otherwise:
tldr: - Segurança da Informação diferencia-se classicamente em Segurança Física (elementos tangíveis) e Segurança Lógica (proteção de dados e sistemas em transmissão, processamento e armazenamento), seguindo a distinção de implementação física vs. lógica de redes.
- Segurança Física (exemplos de recursos/controles):
- UPS (Unidade de Alimentação Ininterrupta): baterias fornecem energia por período limitado para manter operação e permitir ações de mitigação.
- Gerador: mantém a operação por período mais prolongado (uso de combustível).
- Site físico redundante: ambiente alternativo para assumir operação em catástrofes, exigindo armazenamento e replicação de dados (online ou via fitas/equipamentos em outro local).
- CFTV: câmeras para registro/visualização; controle predominantemente reativo (gravação para análise/auditoria posterior).
- Travas de equipamentos: bloqueios físicos de recursos (ex.: portas USB/DVD) e mecanismos antifurto (ex.: trava Kensington).
- Alarmes: podem ser físicos (ex.: incêndio) e também ter equivalentes lógicos (alertas de rede).
- Catracas: restringem acesso por senhas, crachás, smart cards etc., permitindo entrada só de autorizados.
- Sala Cofre: ambiente protegido para datacenters com múltiplos controles (acesso e reação a catástrofes).
- Segurança Lógica (abrangência e exemplos):
- Proteção em camadas: linguagem de máquina/Kernel, sistema operacional, arquivos, aplicações e dados.
- Segurança de rede: controles para filtrar tráfego, impedir acesso indevido e bloquear fluxos; uso de firewalls, IDS, IPS, proxies etc.
- Autorização: definição de quais usuários/sistemas podem acessar e usar recursos.
- Logs e registros: fundamentais para auditoria (recurso típico de segurança lógica).
- Hardening (“endurecimento” do servidor) para aumentar robustez:
  - Acesso ROOT: evitar login direto como root; usar escalonamento de privilégios para criar trilhas de auditoria e adicionar camada de segurança.
  - Redução de serviços: manter apenas serviços necessários para diminuir superfície de ataque e melhorar desempenho.
  - Limitação de acesso remoto: permitir acesso remoto com protocolos seguros (ex.: SSH) e restringir por máquinas/redes autorizadas.
  - Atualização do sistema: manter SO e aplicações atualizados para reduzir falhas de segurança.
- Controle de Acesso (físico e lógico):
- Método para estabelecer barreiras a locais, equipamentos, serviços e dados; ligado a autenticidade e autorização.
- Exemplo físico (datacenter): múltiplas camadas/fatores (cancela de veículos → portaria/catraca → autenticação/biometria → chave para rack, etc.).
- Exemplo lógico: restrição por IP, exigência de login e senha (incluindo regras para root), entre outros.
- Técnicas/modelos de controle e gerenciamento de acesso (4 principais):
- MAC (Mandatory Access Control): permissões definidas pelo administrador; uso de labels para sensibilidade de objetos; verificação do label do usuário pelo gerenciador de acesso determina o nível de acesso.
- DAC (Discretionary Access Control): mais flexível; o dono do recurso controla permissões; exemplo: permissões de arquivos em Linux/Windows.
- RBAC (Role-Based Access Control): permissões por papéis/funções; simplifica gestão:
  - RBAC 0: sem hierarquia de papéis (configuração individual inviável em escala).
  - RBAC 1: adiciona hierarquia de papéis; não permite delegação (limitação em ambientes complexos).
  - RBAC 2: indicado para ambientes corporativos; inclui hierarquia, delegação e restrição a recursos específicos (mais flexível e granular).
  - RBAC 3: extensão do RBAC 2 com controle por tempo e contexto (maior complexidade e maturidade).
  - RBAC 4: proposta recente ainda não totalmente implementada; mais recursos, porém mais complexa de gerir.
- ABAC (Attribute-Based Access Control): decisão por atributos do sujeito, objeto e contexto; mais flexível e granular que RBAC.
  - Exemplos de atributos: identidade, função, localização, tempo, tipo de recurso, critérios de segurança.
  - Exemplo de política: permitir que vendas acesse documentos de vendas somente em horário comercial e a partir do escritório.
link: https://documentacao.online/estudos/n74a.html
title: Segurança Física, Lógica e Controle de Acesso

front: FGV - 2023 - Banco do Brasil - Técnico Atendimento A catraca de controle de acesso é um dispositivo de segurança utilizado para dificultar o acesso não-autorizado a determinadas áreas de uma empresa, bem como possibilita monitorar o próprio fluxo de pessoal nessas áreas restritas. O controle do acesso propriamente dito pode ser feito a partir da checagem de algum dado do usuário, como, por exemplo, a aproximação do seu crachá de identificação. O mecanismo de detecção por aproximação em crachás está baseado em
A radiofrequência.
B infravermelho.
C ultravioleta.
D raio-X.
E ultrassom.
response: Alternativa A
comment: O mecanismo de detecção por aproximação em crachás, como o descrito, está baseado em radiofrequência. Essa tecnologia é comumente conhecida como RFID (Radio-Frequency Identification). Os crachás de identificação são equipados com uma pequena antena e um chip que emite sinais de radiofrequência quando aproximados de um leitor compatível. O leitor, que está integrado à catraca ou ao sistema de controle de acesso, captura esses sinais e autentica o usuário, permitindo ou negando o acesso com base nas informações contidas no crachá
Other fields (not shown on cards):
back: Alternativa A - O mecanismo de detecção por aproximação em crachás, como o descrito, está baseado em radiofrequência. Essa tecnologia é comumente conhecida como RFID (Radio-Frequency Identification). Os crachás de identificação são equipados com uma pequena antena e um chip que emite sinais de radiofrequência quando aproximados de um leitor compatível. O leitor, que está integrado à catraca ou ao sistema de controle de acesso, captura esses sinais e autentica o usuário, permitindo ou negando o acesso com base nas informações contidas no crachá

front: Ano: 2021 Banca: CESPE / CEBRASPE Órgão: PG-DF As boas práticas da gestão dos controles de acesso lógico de uma organização incluem atribuir direitos de acesso aos usuários, conforme necessidades reais de seu trabalho ou cargo, disponibilizar contas de usuários apenas a pessoas autorizadas, armazenar senhas criptografadas e usar técnicas visíveis de identificação.
response: Errado
comment: Muito cuidado pessoal. A questão traz uma boa narrativa que convence. Mas nem todos os itens elencados são boas práticas. O item que fica fora dessa lista é a técnica de armazenamento de senhas criptografadas. Na prática, uma forma de deixar os servidores e os dados armazenados neste equipamento mais seguros é por meio do armazenamento dos HASHES das senhas. O HASH, nada mais é do que uma função unidirecional que gera um resumo do conteúdo de entrada com tamanho físico. Nosso objetivo não é aprender sobre HASH nessa aula, mas saber que ele é uma boa prática associada ao armazenamento de senhas. Os demais itens, lembrando, estão aderentes às boas práticas a serem adotadas.
Other fields (not shown on cards):
back: Errado - Muito cuidado pessoal. A questão traz uma boa narrativa que convence. Mas nem todos os itens elencados são boas práticas. O item que fica fora dessa lista é a técnica de armazenamento de senhas criptografadas. Na prática, uma forma de deixar os servidores e os dados armazenados neste equipamento mais seguros é por meio do armazenamento dos HASHES das senhas. O HASH, nada mais é do que uma função unidirecional que gera um resumo do conteúdo de entrada com tamanho físico. Nosso objetivo não é aprender sobre HASH nessa aula, mas saber que ele é uma boa prática associada ao armazenamento de senhas. Os demais itens, lembrando, estão aderentes às boas práticas a serem adotadas.

front: Ano: 2021 Banca: CESPE Órgão: PG-DF Prova: Técnico Jurídico – TI Suponha que um Analista do Tribunal Regional Federal da 4ª Região – TRF4 se depare com uma situação em que deve implantar mecanismos de proteção interna voltados à segurança física e lógica das informações no ambiente do Tribunal. Para isso, ele levantou os seguintes requisitos:
I. Não instalar em áreas de acesso público equipamentos que permitam o acesso à rede interna do Tribunal.
II. Os usuários não podem executar transações de TI incompatíveis com sua função.
III. Apenas usuários autorizados devem ter acesso de uso dos sistemas e aplicativos.
IV. Proteger o local de armazenamento das unidades de backup e restringir o acesso a computadores e impressoras que possam conter dados confidenciais.
O Analista classificou correta e respectivamente os requisitos de I a IV como segurança
A) física, física, lógica e física.
B) física, lógica, lógica e física.
C) lógica, física, lógica e física.
D) lógica, física, física e lógica.
E) física, lógica, física e lógica.
response: Alternativa B
comment: Pessoal, lembrem-se da dica no sentido de entenderem se o item é tangível, ou seja, algo que se toca, ou não. Caso seja o primeiro, estamos falando de segurança física. Caso seja o segundo, estamos falando de segurança lógica. I – Trata-se se segurança física, pois a itenção é não permitir o acesso direto ao equipamento, no caso, o Access Point. II – Estamos falando de transações, ou seja, operações nos sistemas. Neste aspecto, estamos no mundo lógico. III – Novamente, estamos falando de acesso lógicos, em sistemas e aplicativos. E não acesso a equipamentos. Logo, também é lógico. IV – Vejam que o interesse é em proteção de local, além de acesso aos computadores e impressoras, que também são itens materiais. Logo, segurança física.
Other fields (not shown on cards):
back: Alternativa B - Pessoal, lembrem-se da dica no sentido de entenderem se o item é tangível, ou seja, algo que se toca, ou não. Caso seja o primeiro, estamos falando de segurança física. Caso seja o segundo, estamos falando de segurança lógica. I – Trata-se se segurança física, pois a itenção é não permitir o acesso direto ao equipamento, no caso, o Access Point. II – Estamos falando de transações, ou seja, operações nos sistemas. Neste aspecto, estamos no mundo lógico. III – Novamente, estamos falando de acesso lógicos, em sistemas e aplicativos. E não acesso a equipamentos. Logo, também é lógico. IV – Vejam que o interesse é em proteção de local, além de acesso aos computadores e impressoras, que também são itens materiais. Logo, segurança física.

front: Ano: 2021 Banca: CESPE Órgão: PG-DF Prova: Técnico Jurídico – TI O conceito de hardening caracteriza-se principalmente por medidas e ações que visam:
A) permitir a recuperação de sistemas computacionais na sequência de um desastre natural;
B) criar ambientes similares ao de servidores físicos, de modo que sistemas computacionais operem independentes do hardware;
C) mapear ameaças, mitigar riscos e tornar sistemas computacionais preparados para enfrentar tentativas de ataque;
D) distribuir a carga de trabalho uniformemente entre dois ou mais computadores para aumentar a confiabilidade através da redundância;
E) construir sistemas computacionais sem preocupação com a infraestrutura em que esses sistemas estão rodando.
response: Alternativa C
comment: Vejam que a questão traz alguns pontos que devem ser observados previamente à realização das ações de HARDENING propriamente dito. Então, quando se fala em mapear ameaças para mitigar riscos, naturalmente devemos realizar ações que tornarão os sistemas computacionais mais seguros e isso quer dizer que eles precisam ter maior robustez frente às suas configurações e serviços habilitados.
Other fields (not shown on cards):
back: Alternativa C - Vejam que a questão traz alguns pontos que devem ser observados previamente à realização das ações de HARDENING propriamente dito. Então, quando se fala em mapear ameaças para mitigar riscos, naturalmente devemos realizar ações que tornarão os sistemas computacionais mais seguros e isso quer dizer que eles precisam ter maior robustez frente às suas configurações e serviços habilitados.

front: FGV - Ana (DPE RS)/DPE RS/Apoio Especializado (TI)/Infraestrutura e Redes/2023 Aurélio está implementando o controle de acesso à rede wi-fi da Defensoria Pública do Estado do Rio Grande do Sul (DPE/RS). Ele se baseou no modelo de referência do RBAC (Role Based Access Control) para a definição dos perfis. O perfil mais restrito possui as permissões básicas para cada servidor e, a partir dele, o acesso vai se incrementando. Os servidores do Departamento de Segurança devem ter as permissões mais básicas, além de acrescentar restrições, que restringem os modos de configuração possíveis. Com base nesse modelo de referência, Aurélio deverá atribuir para o Departamento de Segurança o modelo RBAC:
a) 0;
b) 1;
c) 2;
d) 3;
e) 4.
response: Alternativa C
comment: Conforme vimos em nossa teoria, estamos mais próximos da configuração tipo 2, que é, de fato, o modelo mais usual e que traz um equilíbrio entre controle, segurança e esforço para consolidar e implantar.
Other fields (not shown on cards):
back: Alternativa C - Conforme vimos em nossa teoria, estamos mais próximos da configuração tipo 2, que é, de fato, o modelo mais usual e que traz um equilíbrio entre controle, segurança e esforço para consolidar e implantar.

front: Ano: 2019 Banca: CESPE / CEBRASPE Órgão: TCE-RO O modelo de controle de acesso que permite níveis de interação e acesso aos recursos dos sistemas de acordo com as funções que os usuários desempenham na organização é o
A) discricionário.
B) embasado em papéis.
C) em matriz.
D) embasado em regras.
E) mandatório.
response: Alternativa B
comment: Vejam a palavra chave, pessoal. De acordo com as suas funções ou papeis. Logo, temos o modelo RBAC, que é embasado em papéis.
Other fields (not shown on cards):
back: Alternativa B - Vejam a palavra chave, pessoal. De acordo com as suas funções ou papeis. Logo, temos o modelo RBAC, que é embasado em papéis.

front: (Ano: 2021 Banca: CESPE Órgão: PG-DF Prova: Técnico Jurídico – TI) Para o controle de acesso a sistemas de informação, podem ser adotadas diferentes formas de controle de acesso lógico, com vistas à segurança de um recurso. Quanto a essas formas de controle, assinale a opção correta.
A) Do ponto de vista do usuário, um controle discricionário é, em geral, menos flexível que um mandatório.
B) Em geral, é mais difícil auditar sistemas que operam com controle de acesso discricionário do que sistemas com controle de acesso mandatório.
C) Como regra geral, no controle de acesso mandatório, os donos e usuários de recursos podem conceder acesso além dos limites declarados pela política da empresa.
D) No controle discricionário, podem ser transferidos para terceiros os direitos de acesso, mas não a propriedade de um recurso.
E) Em um sistema mandatório, o acesso é concedido com base na avaliação das funções dos sujeitos em relação às reivindicações relacionadas ao seu papel no sistema de informação.
response: Alternativa B
comment: Cobrança direta do conteúdo que acabamos de ver. Vamos aos itens: A) Vimos que o controle mandatório é o mais rígido, logo, menos flexível, e não o discricionário como apresenta o item. B) Exatamente pessoal. Como o mandatório tem a visão centralizada, a partir do admin da rede, há menos variação nas pastas e objetos. Logo, de fato, é mais fácil de se auditar. C) Questão invertida. Tem-se a descrição do controle discricionário. D) O erro está em afirmar que não se pode transferir a propriedade. Ela é possível também de ser transferida. E) Aqui, temos o descritivo do modelo RBAC, dado o trecho focado nas funções ou papeis dos sujeitos.
Other fields (not shown on cards):
back: Alternativa B - Cobrança direta do conteúdo que acabamos de ver. Vamos aos itens: A) Vimos que o controle mandatório é o mais rígido, logo, menos flexível, e não o discricionário como apresenta o item. B) Exatamente pessoal. Como o mandatório tem a visão centralizada, a partir do admin da rede, há menos variação nas pastas e objetos. Logo, de fato, é mais fácil de se auditar. C) Questão invertida. Tem-se a descrição do controle discricionário. D) O erro está em afirmar que não se pode transferir a propriedade. Ela é possível também de ser transferida. E) Aqui, temos o descritivo do modelo RBAC, dado o trecho focado nas funções ou papeis dos sujeitos.

front: CESPE / CEBRASPE - 2025 - TRF - 6ª REGIÃO - Analista Judiciário – Área: Apoio Especializado – Especialidade: Tecnologia da Informação O controle de acesso baseado em função (RBAC) atribui direitos de acesso ao usuário com base na função que ele executa dentro da organização.
response: Certo
comment: Exatamente conforme vimos, em nossa palavra chave “Função”.
Other fields (not shown on cards):
back: Certo - Exatamente conforme vimos, em nossa palavra chave “Função”.

front: CESPE / CEBRASPE - 2025 - TRF - 6ª REGIÃO - Analista Judiciário – Área: Apoio Especializado – Especialidade: Tecnologia da Informação Listas de controle de acesso (ACLs) é um tipo de controle de acesso lógico, no qual as permissões anexadas a um objeto devem ser verificadas para permitir ou negar o controle ao objeto.
response: Certo
comment: Trata-se de um dos controles mais básicos e muito utilizados nos firewalls mais antigos.
Other fields (not shown on cards):
back: Certo - Trata-se de um dos controles mais básicos e muito utilizados nos firewalls mais antigos.

front: CEBRASPE (CESPE) - Ana (SERPRO)/SERPRO/Tecnologia/2023 Acerca de conceitos relacionados a controle de acesso, julgue o item a seguir. Para reduzir vulnerabilidades, os controles de acesso devem liberar a propriedade do registro para que usuário possa criar, ler, atualizar ou excluir qualquer registro.
response: Errado
comment: Os controles de acesso devem restringir as permissões dos usuários, permitindo apenas as operações necessárias para suas funções. Liberar a propriedade do registro para criar, ler, atualizar ou excluir qualquer registro aumenta as vulnerabilidades.
Other fields (not shown on cards):
back: Errado - Os controles de acesso devem restringir as permissões dos usuários, permitindo apenas as operações necessárias para suas funções. Liberar a propriedade do registro para criar, ler, atualizar ou excluir qualquer registro aumenta as vulnerabilidades.

front: CEBRASPE (CESPE) - Ana (SERPRO)/SERPRO/Tecnologia/2023 Acerca de conceitos relacionados a controle de acesso, julgue o item a seguir. O uso de processos e ferramentas para criar, atribuir, gerenciar e revogar credenciais de acesso para usuários é considerado uma boa prática de segurança da informação.
response: Certo
comment: O uso de processos e ferramentas para gerenciar credenciais de acesso é uma boa prática de segurança da informação, pois garante que apenas usuários autorizados tenham acesso aos recursos e que as credenciais sejam gerenciadas de forma segura.
Other fields (not shown on cards):
back: Certo - O uso de processos e ferramentas para gerenciar credenciais de acesso é uma boa prática de segurança da informação, pois garante que apenas usuários autorizados tenham acesso aos recursos e que as credenciais sejam gerenciadas de forma segura.

front: CEBRASPE (CESPE) - Ana Sist (EMPREL)/EMPREL/2023 O emprego de controles apropriados para o acesso físico de pessoas a ambientes seguros de processamento de informações tem como principal finalidade
a) organizar a emissão de identidades funcionais permanentes e credenciais temporárias para o público externo.
b) criar um banco de dados de clientes, com foco em relacionamento corporativo.
c) assegurar que somente pessoas autorizadas tenham acesso permitido.
d) viabilizar e acelerar o acesso de fornecedores e prestadores de serviços em emergências.
e) estabelecer um histórico de todos os acessos, para fins logísticos e estatísticos.
response: Alternativa C
comment: Conforme vimos, o foco não se trata de aspectos de identificação, mas sim, indicar quem pode fazer algo nesse contexto. Essa é a essência da autorização e controle de acesso.
Other fields (not shown on cards):
back: Alternativa C - Conforme vimos, o foco não se trata de aspectos de identificação, mas sim, indicar quem pode fazer algo nesse contexto. Essa é a essência da autorização e controle de acesso.

front: CEBRASPE (CESPE) - Ana TI (DATAPREV)/DATAPREV/Segurança Cibernética/2023 Em função de sua codificação mais robusta, os firmwares de IoT são mais sofisticados que os sistemas operacionais executados em computadores e smartphones, o que os torna imunes a falhas consequentes das vulnerabilidades conhecidas.
response: Errado
comment: Os sistemas operacionais tradicionais são muito mais robustos do que os firmware que operam nesses hardwares de IoT. Lembrando que IoT é Internet das Coisas, ou seja, aquele conceito onde praticamente tudo se torna digital, e portanto, controlável e acessado pelas redes de computadores. Esse novo contexto e realidade gera desafios imensos de segurança, justamente porque todo dispositivo conectado na rede ou internet passa a ser alvo de atacantes, e pode, inclusive, virar vetor para realização de outros ataques.
Other fields (not shown on cards):
back: Errado - Os sistemas operacionais tradicionais são muito mais robustos do que os firmware que operam nesses hardwares de IoT. Lembrando que IoT é Internet das Coisas, ou seja, aquele conceito onde praticamente tudo se torna digital, e portanto, controlável e acessado pelas redes de computadores. Esse novo contexto e realidade gera desafios imensos de segurança, justamente porque todo dispositivo conectado na rede ou internet passa a ser alvo de atacantes, e pode, inclusive, virar vetor para realização de outros ataques.

front: (CESPE – TJ-ES/Analista Judiciário – Análise de Sistemas/2012) Para o controle lógico do ambiente computacional, deve-se considerar que medidas de segurança devem ser atribuídas aos sistemas corporativos e aos bancos de dados, formas de proteção ao código-fonte, preservação de arquivos de log de acesso ao sistema, incluindo-se o sistema de autenticação de usuários.
response: Certo
comment: Dos elementos apresentados, o que não apresentamos como recurso de segurança lógica na nossa teoria é a proteção de código fonte. Existem algumas ferramentas, como ofuscadores de código ou a própria criptografia que visam tornar o código fonte mais seguro, impossibilitando o acesso ou visualização por parte de usuários mal intencionados.
Other fields (not shown on cards):
back: Certo - Dos elementos apresentados, o que não apresentamos como recurso de segurança lógica na nossa teoria é a proteção de código fonte. Existem algumas ferramentas, como ofuscadores de código ou a própria criptografia que visam tornar o código fonte mais seguro, impossibilitando o acesso ou visualização por parte de usuários mal intencionados.