GabaritoB — assinatura.
Gabarito: letra B. O IDS que utiliza um banco de dados com ataques já conhecidos é do tipo assinatura (signature-based). Esse método compara o tráfego com padrões predefinidos de ataques, identificando atividades maliciosas por correspondência direta.
A banca cobra a distinção entre as duas principais abordagens de detecção de intrusão: assinatura e anomalia. Enquanto a primeira depende de um banco de dados de assinaturas de ataques conhecidos, a segunda detecta desvios do comportamento normal da rede.
Critério | IDS por Assinatura | IDS por Anomalia |
|---|---|---|
Base de funcionamento | Banco de dados de ataques conhecidos | Linha de base do comportamento normal |
Método de detecção | Comparação com padrões predefinidos | Identificação de desvios estatísticos |
Capacidade principal | Detectar ataques conhecidos | Detectar ataques desconhecidos (zero-day) |
Exemplo de sistema | Snort (modo assinatura), OSSEC (modo assinatura) | Sistemas com aprendizado de máquina |
O IDS por anomalia não usa ataques conhecidos; ele estabelece uma linha de base do comportamento normal e sinaliza desvios. É útil para detectar ataques desconhecidos (zero-day), mas não se baseia em um banco de dados de ataques prévios.
O IDS baseado em assinatura (ou assinatura) é exatamente o que a questão descreve: mantém um banco de dados com padrões de ataques já conhecidos e os compara com o tráfego monitorado. Exemplos clássicos são o Snort (NIDS) e o OSSEC (HIDS) quando operam nesse modo.
De rede (NIDS) refere-se ao local de implantação do sensor, não ao método de detecção. Um NIDS pode ser tanto baseado em assinatura quanto em anomalia. A questão pergunta especificamente sobre o tipo de detecção, não sobre a arquitetura.
Base64 não é um tipo de IDS. Base64 é um esquema de codificação de dados, usado em representação de binários em texto. Não possui qualquer relação com sistemas de detecção de intrusão.
De host (HIDS) também é uma classificação por local de instalação (no host), e não por método de detecção. Um HIDS pode utilizar assinatura, anomalia ou ambos. Portanto, não é o tipo que se caracteriza pelo uso de banco de dados de ataques conhecidos.
Gabarito: letra B (IDS por assinatura).
Link permanente: /questoes/ce156212