Questão de Segurança da Informação — Sistemas de Prevenção-Detecção de Intrusão — CESPE / CEBRASPE 2024
Segurança da Informação›Sistemas de Prevenção-Detecção de Intrusão
Código
ce173508
Banca
CESPE / CEBRASPE
Órgão
FINEP
Ano
2024
Nível
Superior
Cargo
Analista - Tecnologia da Informação - Infraestrutura
Acerca de sistemas de detecção de intrusão (IDS, na sigla em inglês) que funcionam em rede, assinale a opção correta.
ATecnicamente, há poucas diferenças entre um IDS passivo e um IDS ativo.
BA posição de um IDS na rede não interfere na sua capacidade de detecção de eventos maliciosos.
CUm IDS executa análises sobre os dados coletados dos usuários, mas é incapaz de fazer análise, em tempo real, de fluxo de rede para buscar evidências que comprovem uma ação maliciosa.
DUm IDS que se baseia em anomalia monitora as ações que ocorrem em uma rede sem a necessidade de aprender o comportamento padrão da rede.
EUm IDS que se baseia em assinaturas pode identificar o tráfego malicioso de alguns tipos de malware, desde que esteja assim configurado e a assinatura esteja na base do IDS.
Revelar gabarito e comentário▾
GabaritoE — Um IDS que se baseia em assinaturas pode identificar o tráfego malicioso de alguns tipos de malware, desde que esteja assim configurado e a assinatura esteja na base do IDS.
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
Sistemas de Detecção de Intrusão (IDS) em Rede
Gabarito: letra E. A alternativa E descreve corretamente o funcionamento de um IDS baseado em assinaturas: ele compara o tráfego de rede com uma base de assinaturas de ataques conhecidos e, se houver correspondência e o IDS estiver configurado para aquela assinatura, pode identificar o tráfego malicioso. As demais alternativas contêm erros conceituais importantes.
Alternativa A — ❌ Incorreta
Afirma que há poucas diferenças entre IDS passivo e ativo. Na verdade, a diferença é significativa: o IDS passivo apenas gera alertas, enquanto o IDS ativo pode tomar ações automáticas, como bloquear tráfego ou reconfigurar firewalls. Portanto, a afirmação está errada.
Alternativa B — ❌ Incorreta
Diz que a posição do IDS na rede não interfere na detecção. Isso é falso: a localização do sensor é crucial. Por exemplo, um NIDS posicionado na borda da rede pode monitorar o tráfego de entrada/saída, enquanto um posicionado em um segmento interno tem visibilidade diferente. A posição afeta diretamente quais eventos são capturados.
Alternativa C — ❌ Incorreta
Alega que o IDS é incapaz de analisar fluxo de rede em tempo real. Isso é incorreto: os NIDS (Network-based IDS) são projetados exatamente para analisar o tráfego de rede em tempo real, inspecionando pacotes e fluxos em busca de atividade maliciosa. Além disso, IDSs podem analisar logs e dados de usuários, mas não se limitam a isso.
Alternativa D — ❌ Incorreta
Afirma que um IDS baseado em anomalia não precisa aprender o comportamento padrão da rede. Na verdade, esse tipo de IDS funciona justamente estabelecendo uma linha de base (baseline) do comportamento normal — por exemplo, tráfego típico, horários, protocolos — e então detecta desvios como potenciais intrusões. Sem o aprendizado do padrão, não seria possível identificar anomalias.
SE LIGUE NESSA!
Em IDS baseado em anomalia, o processo de aprendizado pode ser estático (definido pelo administrador) ou dinâmico (usando machine learning). Mas em qualquer caso, é necessário conhecer o comportamento esperado.
Alternativa E — ✅ Correta ⟵ GABARITO
IDS baseado em assinaturas (ou signature-based) mantém uma base de assinaturas de ataques conhecidos, como padrões de bytes, sequências de comandos ou comportamento de malware. Quando o tráfego analisado corresponde a uma assinatura, e o IDS está configurado para detectá-la, ele gera um alerta. É uma técnica eficaz para ameaças conhecidas, mas não detecta ataques zero-day. A descrição está correta e reflete o funcionamento real.