Questão de Noções de Informática — Segurança da Informação — CESPE / CEBRASPE 2022
Noções de Informática›Segurança da Informação
Código
ce150643
Banca
CESPE / CEBRASPE
Órgão
POLITEC-RO
Ano
2022
Nível
Superior
Um sistema antivírus pode funcionar como um IDS (Intruder Detection System), identificando desvios de comportamento no sistema computacional para gerar alertas de atividade maliciosa. Quando isso ocorre, o antivírus está atuando
Acomo detector de mau uso.
Bcom base em rede.
Ccom base em host.
Dcomo detector de anomalias.
Ede forma ativa.
Revelar gabarito e comentário▾
GabaritoD — como detector de anomalias.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Antivírus como IDS – Detecção de anomalias
Gabarito: letra D. Quando um antivírus identifica desvios de comportamento no sistema para gerar alertas, ele está atuando como um detector de anomalias (anomaly-based IDS). Essa é uma das abordagens de detecção de intrusão, em contraste com a detecção por assinatura (mau uso) e com a classificação por local de implantação (rede/host).
A banca cobra a diferença entre os métodos de detecção de intrusão. Os antivírus modernos podem usar técnicas de IDS, e o enunciado descreve exatamente a detecção baseada em comportamento (anomalias). O contexto de apoio () explica que antivírus utilizam métodos como assinatura, heurística e comportamento – este último é o que permite identificar desvios de comportamento, ou seja, anomalias.
NÃO CAIA NESSA!
Trocar o conceito de detecção de anomalias por detecção de mau uso (assinatura) ou pela localização do IDS (rede/host). O candidato pode confundir a abordagem comportamental (anomalias) com a baseada em regras fixas (mau uso), ou fixar-se no fato de o antivírus ser um software instalado no host (alternativa C). Mas o enunciado fala em desvios de comportamento, que é a marca da detecção de anomalias.
Métodos de detecção de intrusão (IDS): Por assinatura (mau uso); Compara padrões conhecidos; Ex.: antivírus tradicional; Por anomalia (comportamento); Identifica desvios de comportamento; Ex.: antivírus moderno (enunciado); Por local de implantação; Rede (NIDS); Monitora tráfego de rede; Host (HIDS); Monitora o sistema local
Alternativa A — ❌ Incorreta
Detector de mau uso (misuse detection) baseia-se em assinaturas de ataques conhecidos. Não se trata de identificar desvios de comportamento, mas sim de comparar padrões predefinidos. A descrição do enunciado é de comportamento anômalo, não de assinatura.
Alternativa B — ❌ Incorreta
Com base em rede (network-based IDS) monitora o tráfego de rede. O antivírus, em sua atuação descrita, analisa o comportamento do sistema local (host), não o tráfego de rede. Além disso, a classificação “em rede” é sobre o local de implantação, não sobre o método de detecção.
Alternativa C — ❌ Incorreta
Com base em host (host-based IDS) refere-se ao local onde o IDS é implantado (no computador). Embora o antivírus seja uma ferramenta baseada em host, a questão pergunta qual o tipo de detecção que está sendo realizada ao identificar desvios de comportamento. O método é anomalia, não a localização.
Alternativa D — ✅ Correta ⟵ GABARITO
Detector de anomalias. A identificação de “desvios de comportamento” é a essência da detecção de anomalias. O antivírus atua como um IDS baseado em comportamento, gerando alertas quando o sistema foge do padrão esperado. É exatamente o que o enunciado descreve.
Alternativa E — ❌ Incorreta
De forma ativa. IDS pode ser passivo (apenas alerta) ou ativo (IPS, que toma ações). O enunciado diz apenas que gera alertas, o que é passivo. Além disso, “forma ativa” não é um método de detecção, mas sim uma característica de resposta. O foco da questão é o método de detecção.
MNEMÔNICO
CID
CConfidencialidade (dados acessíveis só a quem é autorizado)IIntegridade (dados exatos, consistentes e não alterados indevidamente)DDisponibilidade (informação/sistemas acessíveis quando necessário)