Ava77ar

Aqui les dejo las preguntas y respuestas de mi exámen sobre seguridad (3er estrella) del Desarrollador 5 Estrellas de Microsoft, espero les sirva. Lo APROBE con 75 (hay 5 respuestas incorrectas), asi que si alguien quiere ayudar a corregir las malas, sera bienvenido. Unos puntines no me vendrian mal , asi que si te quedan algunos, te los agradezco de antemano. 1. ¿Qué representa el objeto WindowsPrincipal? a) El usuario actual de la aplicación. b) El contexto de seguridad bajo el cual se ejecuta el código. c) La colección entera de los usuarios autenticados. d) El usuario actual de la máquina. 2. ¿Qué significa Elevation of Privilege? a) Que es posible disminuir o incluso anular la disponibilidad de la Aplicación. b) Que un atacante puede asumir roles de usuario con mayor privilegio. c) Que un desconocido puede acceder a un recurso determinado con una identidad falsa d) Que los datos pueden ser modificados mientras fluyen por la aplicación 3. ¿Cuándo se prefiere a Seguridad integrada? a) Se prefiere al utilizar la aplicación Web en intranets. b) Se prefiere cuando no existen servidores de seguridad en la conexión de enrutamiento. c) Ambas "a" y "b" son correctas d) Ninguna es correcta 4. ¿Que mejoras de seguridad nos provee la firma de los ensambles con un nombre seguro? a) Garantizan la exclusividad del nombre al basarse en pares de claves únicas b) Protegen la procedencia de la versión de un ensamblado c) Proporcionan una comprobación de integridad importante d) Todas son validas 5. Los modos de autenticación de IIS son: a) Anónima, Básica (Basic), De texto implícita (Digest), Windows integrada (NTLM), Windows integrada (Kerberos) b) Básica (Basic), De texto implícita (Digest), Windows integrada (NTLM), Basada en certificados de cliente c) Anónima, Básica (Basic), De texto implícita (Digest), Windows integrada (NTLM), Windows integrada (Kerberos), Basada en certificados de cliente d) Anónima, Básica (Basic), Windows integrada (NTLM), Windows integrada (Kerberos), Basada en certificados de cliente 6. El método DREAD permite analizar las amenazas con: a) 2 niveles de importancia b) 3 niveles de importancia c) 5 niveles de importancia d) 15 niveles de importancia 7. El método STRIDE permite: a) Definir las interfaces que los objetos deben implementar b) Establecer los atributos que cada método debe tener respecto de la seguridad c) Identificar las amenazas por tipo d) Ninguna de las anteriores 8. ¿Cuál es la definición de Spoofing? a) Que se puede probar quien es el agresor y denegar un recurso o servicio. b) Que un desconocido puede acceder a un recurso determinado con una identidad falsa c) Que es posible disminuir o incluso anular la disponibilidad de la Aplicación. d) Que un atacante puede asumir roles de usuario con mayor privilegio. 9. ¿Usando autenticación Forms, donde se guarda la información de usuario? a) En una cookie en el cliente. b) En la dirección URL de la página. c) En una cookie en el cliente ó en la dirección URL de la pagina d) Ninguna es valida. 10. Configurando un sitio ASP.Net con autenticación anónima, y agregando <authentication mode="Windows"/> en la sección <system.web> del archivo de configuración del sitio web ocurre lo siguiente: a) La propiedad User del objeto WindowsIdentity devuelve el usuario que ingreso al sitio b) El proceso de ASP.Net se ejecuta con la identidad predefinida (ASPNET en Windows XP ó 2000 / NETWORKSERVICE en Windows 2003) c) La propiedad User del objeto WindowsIdentity devuelve el usuario IUSR_<NombreEquipo> d) b) y c) son correctos 11. En un sitio que use autenticación de Windows integrada, que tengan en la sección <system.web> del archivo de configuración las entradas <authentication mode="Windows"/> y además <identity impersonate ="true"/>, ocurre lo siguiente: a) La propiedad User del objeto WindowsIdentity devuelve el usuario que ingreso al sitio b) El proceso de ASP.Net se ejecuta con la identidad del usuario que ingreso al sitio c) La propiedad User del objeto WindowsIdentity devuelve el usuario IUSR_<NombreEquipo> d) a) y b) son correctos 12. Cuando en un sitio web de ASP.Net, se usa autenticación Forms y no se ha usado suplantación (esto es: Identity impersonate = false) ocurre lo siguiente: a) ASP.Net es el responsable de la autenticación y autorización, y el proceso de Asp.Net se ejecuta con la identidad predeterminada. b) ASP.Net es el responsable de la autenticación y autorización, y el proceso de Asp.Net se ejecuta con la identidad del usuario que utiliza el sitio. c) IIS es el responsable de la autenticación y autorización, y el proceso de Asp.Net se ejecuta con la identidad predeterminada. d) IIS es el responsable de la autenticación y autorización, y el proceso de Asp.Net se ejecuta con la identidad del usuario que utiliza el sitio. 13. Configurando un sitio ASP.Net con seguridad de texto implicita (Digest), y agregando <authentication mode="Windows"/> en la seccion <system.web> del archivo de configuración del sitio web ocurre lo siguiente: a) La propiedad User del objeto WindowsIdentity devuelve el usuario que ingreso al sitio b) El proceso de ASP.Net se ejecuta con la identidad del usuario que ingreso al sitio c) La propiedad User del objeto WindowsIdentity devuelve el usuario IUSR_<NombreEquipo> d) a) y b) son correctos 14. ¿Cuáles son las ventajas de desarrollar una aplicación en una arquitectura con varios niveles? a) Los niveles son fáciles de cambiar y pueden ser desarrollados por equipos separados. b) Los niveles se pueden asignar en varios servidores. c) Desarrollar una aplicación en niveles mejora la velocidad de la aplicación. d) Los niveles se pueden asignar en un servidor. 15. ¿Para que sirven los atributos de seguridad que se pueden aplicar a las clases o métodos? a) Para permitir que un componente use recursos a los que el usuario que lo utiliza no tiene permisos. b) Para cambiar el nivel de seguridad del usuario que utiliza dicho componente c) Para demandar que el usuario que ejecuta dicho método o clase tenga derecho a determinado recurso. d) a) y c) son válidas 16. Usando II5 y ASP.Net: a) Las llamadas HTTP son recibidas por Inetinfo.exe y los redirige a aspnet_wp.exe b) Las llamadas HTTP son recibidas por Http.Sys y los redirige a w3wp.exe c) Las llamadas HTTP son recibidas por Inetinfo.exe y los redirige a w3wp.exe d) Las llamadas HTTP son recibidas por Http.Sys y los redirige a aspnet_wp.exe 17. Usando II6 y ASP.Net: a) Las llamadas HTTP son recibidas por Inetinfo.exe y los redirige a aspnet_wp.exe b) Las llamadas HTTP son recibidas por Inetinfo.exe y los redirige a w3wp.exe c) Las llamadas HTTP son recibidas por Http.Sys y los redirige a w3wp.exe d) Las llamadas HTTP son recibidas por Http.Sys y los redirige a aspnet_wp.exe 18. El mecanismo por el cual se identifica a un usuario se denomina: a) Autorización b) Impersonalización c) Autenticación d) Identificación 19. El mecanismo por el cual se concede permiso sobre un recurso a un usuario, se denomina: a) Autorización b) Impersonalización c) Autenticación d) Concesión 20. SQL injection es una práctica que permite: a) Tomar el control del equipo donde se ejecuta la aplicación sin autorización. b) La ejecución de sentencias SQL que no han sido programadas por el desarrollador de la aplicación c) Ingresar datos en la base de datos sin tener los permisos necesarios. d) Permite consultar una tabla de SQL 21 ¿Qué significa Repudiation? a) Que un desconocido puede acceder a un recurso determinado con una identidad falsa b) Que los datos pueden ser modificados mientras fluyen por la aplicación c) Que no se puede probar quien es el agresor de una acción determinada. d) Que es posible disminuir o incluso anular la disponibilidad de la Aplicación. 22. Un componente, para que pueda manejarse como seguro debe a) Estar firmado con una clave b) Tener identificación específica de versión c) Definir atributos en sus métodos d) Todas las anteriores 23. ¿Cuál es el Mecanismo de autenticación más seguro proporcionado por IIS? a) Digest b) Anónimo c) Windows integrado d) Básico 24. ¿Que mejoras no provee WSE? a) Autenticación de usuarios b) Encriptación de datos c) Transmisión de grandes volúmenes binarios d) Todas son validas 25. Si un hacker logra saltar el firewall y entrar a la zona desmilitarizada: a) Tiene acceso automáticamente a la red interna b) Tiene acceso a la red interna y a la red que expone servicios públicos c) Tiene acceso solo a la red que expone servicios públicos d) Ninguna es válida 26. ¿Qué significa Tampering? a) Que un desconocido puede acceder a un recurso determinado con una identidad falsa b) Que no se puede probar quien es el agresor de una acción determinada c) Que los datos pueden ser modificados mientras fluyen por la aplicación d) Que es posible disminuir o incluso anular la disponibilidad de la Aplicación. 27. Cual de las siguientes afirmaciones es incorrecta a) La inyección de SQL es un problema específico del motor de base de datos b) ASP.Net 2.0 automáticamente impide la Inyección de SQL c) ASP.Net 2.0 automáticamente impide la ejecución de scripts entre sitios d) Todas las afirmaciones son verdaderas Y como consejo, estudia primero, no hagas trampa!