Provas

Modelos como os transformers são treinados, em geral de forma autossupervisionada, em enormes corpora de texto. Eles aprendem padrões estatísticos por previsão do próximo token, sem regras sintáticas explícitas nem anotação manual exclusiva. A afirmação de que o treinamento é exclusivamente por regras garante maior controle semântico é falsa, pois esses modelos podem inclusive alucinar.

A criptografia assimétrica usa um par de chaves, pública e privada. O que é cifrado com uma delas só é decifrado com a outra. Cifrar com a chave privada e decifrar com a mesma chave descreve o modelo simétrico, o que torna o item errado. Para confidencialidade, cifra-se com a chave pública do destinatário, que decifra com a privada. Cifrar com a privada serve à assinatura digital, e a verificação usa a pública.

O NIST Cybersecurity Framework organiza as ações de segurança em funções. Na versão 1.1 são Identificar, Proteger, Detectar, Responder e Recuperar. A versão 2.0 acrescenta Governar. Identificação de riscos (Identify) e recuperação de sistemas (Recover) fazem parte do framework.

A ISO/IEC 27001 exige um processo de avaliação e tratamento de riscos (cláusula 6.1.2 e 6.1.3). Os controles são escolhidos a partir desse processo, e o Anexo A só serve para comparação e para a declaração de aplicabilidade. A 27002 é um guia de boas práticas e não substitui a avaliação de riscos. Adotar todos os controles, portanto, não dispensa a avaliação e não demonstra conformidade por si só.

No SSO, uma única autenticação dá acesso a vários serviços. Se a credencial ou a sessão for comprometida, o atacante acessa todos eles. Por isso o SSO deve vir com MFA, logout global (encerramento das sessões em todos os serviços) e controle de expiração de sessão.

O OpenID Connect (OIDC) é uma camada de identidade sobre o OAuth 2.0. Nele, um provedor de identidade (IdP) confiável autentica o usuário e informa o resultado à aplicação (relying party), geralmente por um ID Token. Isso é autenticação federada, então o item está correto.

Modificar informações de usuário durante a autenticação é violação da integridade, que garante que os dados não sejam alterados de forma não autorizada. A confidencialidade trata de impedir a divulgação a quem não tem autorização.

O HTTPS protege o transporte, mas não corrige falhas de gerenciamento de sessão, como tokens sem expiração ou sessões inativas não invalidadas. Esses defeitos permitem o sequestro de sessão, por exemplo com token roubado por XSS ou malware.

O objetivo do teste de invasão (pentest) é simular ataques para identificar e explorar vulnerabilidades de segurança. Avaliar carga e escalabilidade é função de testes de desempenho e estresse.

No CSRF, o atacante induz o navegador de um usuário autenticado a enviar requisições forjadas ao sistema alvo, aproveitando a sessão ativa (cookies), sem que a vítima perceba. O item descreve corretamente o ataque.