CTAL-ST: Questões do Capítulo 04

O que é um caso de abuso?

Um erro relacionado com uma programação prática insegura, falha para verificar se o tamanho de uma memória intermédia de entrada, provoca uma falha no sistema durante o teste de aceitação pelos utilizadores, que conduz à sua descoberta. Este é um exemplo de:

Você está trabalhando como um verificador de segurança de chumbo em um banco, com uma equipe que está usando métodos ágeis para criar um novo sistema de processamento de empréstimo à habitação. No lado do cliente, este sistema envolve a adição de novas páginas para aplicativo móvel existente do seu banco e também para recursos baseados em navegadores existentes do seu banco. No lado do servidor, web, aplicativos e banco de dados servidores existentes será expandido para lidar com o sistema.
Como muitos bancos, o empregador detalhou políticas e controles de segurança que devem ser aplicadas pelo seu aplicativo. Além disso, existem regulamentos legais que podem influenciar a forma como este pedido deve trabalhar.
No sistema, o processo começa quando um candidato começa um aplicativo. O pedido passa por uma sequência de estados durante este processo, em última análise, tanto a ser aprovada, recusado ou retirado. Em cada um desses estados, o requerente e outros participantes têm controles de acesso específicos que determinam a sua capacidade de ler, adicionar, e modificar dados.
O sistema vai ser construído pela decomposição requerente, banqueiro, e atividades underwriter em pequenas histórias de usuários, como é típico no desenvolvimento Agile. As histórias de usuários serão sequenciados de modo que o sistema pode ir ao vivo o mais cedo possível, o que significa que as etapas mínimas necessárias para criar e enviar um pedido de empréstimo deve trabalhar após as primeiras iterações.
Qual das seguintes afirmações é verdadeira?

Suponha que você é teste ing um sistema embutido que controla a bomba da estação de gás combustível self-service. O sistema está sendo testado em produção, para verificar se os controles de acesso de dados está a funcionar corretamente na produção. Alguns dos testes envolvem avaliar se as informações corretas são transmitidos e recebidos de forma segura entre a bomba, o serviço de processamento de cartão de crédito, e os servidores back-end que rastreiam as transações em uma base per-bomba, e que os dados são armazenados de forma segura no back- servidores finais.
Um dos requisitos de sistema a seguir:

Qualquer informação de identificação pessoal (como definido na política de privacidade), que é armazenado no back-servidores serão criptografados usando uma chave forte (como definido na seção de chave de criptografia da política de senha). Esta chave deve ser gerida de acordo com a política de acesso mínimo (isto é, estritamente em uma base necessidade de saber).

Qual problema relacionado com a segurança pode existir neste requisito?

Considere a seguinte declaração em um documento de design de um aplicativo viagens de avião:

Por padrão, o usuário está logado como convidado. Um usuário logado como convidado só pode acessar informações não-confidenciais, como status de vôo e outras informações não conta (como definido na política de privacidade).
Uma vez que o aplicativo móvel forneceu um nome de usuário e senha válidos, o usuário deve ser firmemente autenticado. O usuário deve ser capaz de acessar todas as informações relacionadas à sua conta. A sessão só termina (terminando assim o acesso às informações da conta) se o usuário fizer fora.

Qual vulnerabilidade de segurança podem surgir a partir deste projeto?

Qual das seguintes afirmação é verdadeira sobre testes de segurança durante o teste de componentes?

Considere o seguinte descrição de alto nível de um componente em um aplicativo de e-commerce que ACCE informações pts cartão de crédito e envia para um serviço web externo para processamento de pagamentos:

Aceite o nome do titular do cartão
Aceitar número do cartão de crédito
Aceitar número de verificação do cartão
Aceitar número de expiração
Transmitir estes quatro peça s de informação para o serviço web de pagamento

Qual das seguintes é uma prática de codificação segura que pode ser violado se este projeto é implementado sem medidas adicionais?

Você está trabalhando como um verificador de segurança de chumbo em um banco, com uma equipe que está usando métodos ágeis para criar um novo sistema de processamento de empréstimo à habitação. No lado do cliente, este sistema envolve a adição de novas páginas para aplicativo móvel existente do seu banco e também para recursos baseados em navegadores existentes do seu banco. No lado do servidor, web, aplicativos e banco de dados servidores existentes será expandido para lidar com o sistema.
No sistema, o processo começa quando um candidato começa um aplicativo. O pedido passa por uma sequência de estados durante este processo, em última análise, tanto a ser aprovada, recusado ou retirado. Em cada um desses estados, o requerente e outros participantes têm controles de acesso específicos que determinam a sua capacidade de ler, adicionar, e modificar dados.
Você executar uma série de testes que avaliam as transições de estado permitidas e não permitidas para os aplicativos. Você descobre que qualquer pessoa com acesso ao número de pedido de empréstimo pode usar o front-end baseado em navegador para trazer a aplicação de um estado submetido de volta para um estado de edição. Neste estado, a pessoa (que pode não ser o requerente como autenticação não é necessária) pode ver a aplicação e até mesmo fazer alterações nas informações de aplicativo (embora essa informação já está sob avaliação pelo banco).
Que elementos de segurança estão em risco como resultado deste defeito?

Durante os testes de integração de componentes, que tipos de vulnerabilidades de segurança são o foco?

Você está testando um aplicativo de e-commerce. Ele contém um componente que reúne informações de cartão de crédito (GCC). Este componente comunica essa informação para um serviço web externo para processamento de pagamentos (EWS). Ele também pode se comunicar com um componente que gerencia informações conhecidas conta de cliente (MCA), incluindo a poupança de um novo método de pagamento para uso futuro ou recuperação de um método existente de pagamento.
Baseado no projeto descrito acima, qual dos seguintes não é uma interface para ser testado a segurança durante o teste de integração de componentes?

Considere o seguinte excerto de um caso de uso de um aplicativo viagens de avião:

Nome: login de usuário
Pré-requisito: o usuário logado como convidado (default estado inicial)
1. O usuário digita o nome de usuário e senha válidos
2. aplicativo móvel envia as informações do usuário para o servidor
3. Servidor envia a autorização de aplicativo móvel
4. Servidor envia informações de conta atualizada de aplicativo móvel
Pós-condição: usuário está logado em sua conta

Qual dos seguintes corresponde corretamente um teste de segurança com o passo no caso de uso onde deveria ocorrer?

Você trabalha em uma empresa que desenvolve e mantém uma aplicação médica gestão de instalações vendidos para vários hospitais, clínicas de cuidados urgentes, farmácias e consultórios médicos em todo o mundo. restrições de funcionalidade rigorosa e de acesso a dados são impostas com base em papel (por exemplo, médicos, enfermeiros, administradores, e assim por diante têm acesso funcional e de dados diferente). Você é responsável por testes de segurança, incluindo o trabalho com as partes interessadas para definir critérios de aceitação de segurança para a aplicação.
Qual das seguintes é uma organização global critérios de aceitação de segurança para esta inscrição?

Você está trabalhando como um verificador de segurança de chumbo em um banco, com uma equipe que está usando métodos ágeis para criar um novo sistema de processamento de empréstimo à habitação. No lado do cliente, este sistema envolve a adição de novas páginas para aplicativo móvel existente do seu banco e também para recursos baseados em navegadores existentes do seu banco. No lado do servidor, web, aplicativos e banco de dados servidores existentes será expandido para lidar com o sistema.
No sistema, o processo começa quando um candidato começa um aplicativo. O pedido passa por uma sequência de estados durante este processo, em última análise, tanto a ser aprovada, recusado ou retirado. Em cada um desses estados, o requerente e outros participantes têm controles de acesso específicos que determinam a sua capacidade de ler, adicionar, e modificar dados.
O banco decidiu adicionar um novo estado para a aplicação, arquivadas, o que permite a dados associados para ser armazenado em mídia de backup offsite e removido do banco de dados principal. Os pedidos são arquivados cinco anos depois de ter sido recusado ou retirado, ou cinco anos após o empréstimo associado seja liquidado. Os designers argumentam que este arranjo aumenta a segurança, uma vez que torna impossível para dados sensíveis associados a tais aplicações arquivados poderia vazar.
Qual dos seguintes é um teste de regressão segurança necessária a partir desta mudança?