CompTIA Security+ (SY0-701) — Questões de prática e simulado

A confusão é compreensível e vem do fato de o switch exercer dois papéis. Na terminologia 802.1X existem três funções: a estação de trabalho é o suplicante, o switch de acesso é o autenticador e o servidor central é o servidor de autenticação. Na terminologia RADIUS há apenas duas, e o servidor de acesso à rede, que aqui é o switch, atua como cliente RADIUS. Ele passa informações do usuário aos servidores designados e age de acordo com a resposta recebida. Na prática, isso significa liberar a porta, atribuir uma VLAN ou deixar a porta não autorizada.

Portanto, o mesmo equipamento é um servidor do ponto de vista da estação de trabalho e um cliente do ponto de vista da infraestrutura de autenticação. A questão pede especificamente a terminologia RADIUS.

As alternativas incorretas correspondem às outras funções. O servidor de autenticação valida credenciais e retorna atributos de configuração, o que o switch não faz. O suplicante é a estação que apresenta as credenciais. A autoridade certificadora assina e atesta os certificados antecipadamente e não participa da troca em andamento, mesmo quando se usa autenticação baseada em certificados.

Dica de prova: quando a questão nomear uma terminologia explicitamente, enquadre o dispositivo nessa terminologia antes de responder. O mesmo equipamento tem nomes diferentes em 802.1X e RADIUS, e a questão testa exatamente essa diferença.

Os testes de invasão se distinguem pelo quanto os testadores sabem antes de começar. Em um ambiente desconhecido, frequentemente chamado de caixa-preta, eles começam com pouca ou nenhuma informação. Isso simula um atacante externo e testa detecção e exposição, mas gasta boa parte do orçamento descobrindo o ambiente. Um ambiente parcialmente conhecido, ou caixa-cinza, oferece algum conhecimento interno, como uma conta, e equilibra realismo e eficiência. Um ambiente conhecido, ou caixa-branca, fornece conhecimento explícito e amplo da estrutura e implementação internas, como código-fonte, documentos de projeto e contas, permitindo uma cobertura mais profunda em menos tempo. A escolha certa depende do objetivo e das restrições. Quando a meta é encontrar o máximo de falhas em uma lógica específica antes do lançamento, o conhecimento acelera o trabalho sem comprometer o objetivo. Dica de prova: combine o ambiente com a meta; escolha conhecido para cobertura sob pressão de tempo e desconhecido para realismo e testes de detecção.

O payload ' OR 1=1 --' é uma das strings de SQL injection mais reconhecíveis. Separando os componentes: a aspa simples (') encerra o literal de string na consulta SQL, OR 1=1 adiciona uma condição que é sempre verdadeira (ou seja, a cláusula WHERE sempre corresponde), e -- é o indicador de comentário SQL que ignora tudo depois dele. Por exemplo, uma consulta de login como SELECT * FROM users WHERE username='admin' AND password='[input]' vira SELECT * FROM users WHERE username='admin' AND password='' OR 1=1 --' e retorna todos os usuários, burlando a autenticação. WAFs detectam SQL injection usando correspondência de padrões (procurando palavras-chave e operadores SQL na entrada), detecção de anomalias (comparando requisições com o comportamento aprendido da aplicação) e bancos de assinaturas de padrões de ataque conhecidos. Embora WAFs forneçam uma defesa em profundidade valiosa, eles não devem ser a única proteção — consultas parametrizadas no código da aplicação são a correção principal. Dica de prova: OR 1=1 e sintaxe SQL semelhante em campos de formulário = SQL injection. O WAF fornece defense-in-depth, não substitui programação segura.

A criptografia pode ser aplicada na camada de aplicação, de banco de dados, de sistema de arquivos ou de hardware, e cada camada traça seu limite de proteção em um lugar diferente. Quanto mais baixa a camada, mais transparente ela é e menos ameaças ela realmente cobre: um disco autocriptografado protege os pratos, não o processo que os lê. Depois que a máquina inicializa e a chave é carregada, tudo acima dessa camada enxerga texto claro, então um invasor com execução remota de código ou credenciais válidas não é afetado. Camadas superiores reduzem a exposição. A criptografia em nível de banco de dados mantém os dados opacos para quem tem apenas acesso ao sistema de arquivos, e a criptografia em nível de aplicação os mantém opacos até mesmo para um banco de dados comprometido, ao custo de uma gestão de chaves mais complexa e da perda de capacidade de consulta. Por isso, escolher uma camada é um exercício de modelagem de ameaças, não uma caixa de seleção, e as camadas costumam ser combinadas. O erro comum é tratar qualquer criptografia em repouso como proteção contra qualquer invasor.