Questão de Segurança da Informação — Tópicos Mesclados de Recursos de Segurança da Informação — CESPE / CEBRASPE 2026

SIEM, proxy e correlação de eventos: defesa em profundidade

✅ CERTO. A afirmação está correta: o SIEM (Security Information and Event Management) é uma plataforma que coleta, normaliza, correlaciona e analisa logs e eventos de segurança de múltiplas fontes, e os registros de navegação tratados por um proxy são exatamente o tipo de dado que pode ser correlacionado a eventos de firewalls, IDS e controles de acesso para ampliar a capacidade de detecção de atividades anômalas. Essa é a função central do SIEM: centralizar e correlacionar eventos para identificar padrões suspeitos.

O SIEM é uma ferramenta de segurança da informação que atua de forma detectiva, ou seja, não bloqueia ataques diretamente, mas fornece a visão centralizada e correlacionada necessária para identificar ameaças e anomalias. Ele combina duas funções: o SEM (Security Event Management), que gerencia eventos de segurança em tempo real, e o SIM (Security Information Management), que gerencia informações de segurança de forma mais ampla e histórica. O SIEM é a base operacional de um SOC (Security Operations Center), pois permite a análise em tempo real de eventos de segurança.

Na prática, o funcionamento do SIEM segue etapas: coleta de logs e eventos de diversas fontes (firewalls, IDS/IPS, servidores, aplicações, proxies, controles de acesso), normalização para padronizar formatos, armazenamento centralizado, análise de eventos para identificar padrões suspeitos, detecção de ameaças por assinaturas ou inteligência artificial, alertas sobre possíveis incidentes, investigação e resposta baseada em eventos históricos, e relatórios para auditoria e conformidade.

O proxy, por sua vez, é um equipamento de rede que atua como intermediário entre os usuários e a internet, tratando as requisições de navegação. Ele pode registrar logs de acesso, URLs visitadas, horários, usuários, entre outros dados. Esses registros são uma fonte rica de informação para o SIEM, pois permitem correlacionar o comportamento de navegação com outros eventos de segurança. Por exemplo, se um usuário acessa um site malicioso (detectado pelo proxy) e, em seguida, há uma tentativa de conexão anômala a um servidor interno (detectada pelo firewall ou IDS), o SIEM pode correlacionar esses eventos e gerar um alerta de possível comprometimento.

A correlação de eventos é o que diferencia o SIEM de uma simples ferramenta de log. Sem correlação, a detecção perde eficácia, pois cada fonte de log é analisada isoladamente. Com a correlação, o SIEM consegue identificar padrões que indicam atividade maliciosa ou anomalias operacionais, como um ataque em múltiplas etapas (kill chain) ou um comportamento de usuário fora do padrão. A afirmação da questão descreve exatamente esse cenário: o proxy fornece os registros de navegação, e o SIEM os correlaciona com eventos de outras fontes para ampliar a capacidade de detecção.

A pegadinha que a banca poderia explorar aqui é a confusão entre SIEM e outras ferramentas, como IDS/IPS ou SOAR. O SIEM não bloqueia ataques (função do IPS), nem automatiza respostas (função do SOAR), mas é o centralizador e correlacionador de eventos. A questão, no entanto, não cai nessa armadilha e descreve corretamente o papel do SIEM. Guarde a fronteira: SIEM = análise de logs + correlação de eventos + detecção de ameaças; IDS/IPS = detecção/prevenção de intrusão em tempo real; SOAR = orquestração e automação de resposta a incidentes.

Item — ✅ CERTO

A afirmação está correta porque descreve com precisão o papel do SIEM em uma arquitetura corporativa. O SIEM é uma plataforma que coleta, normaliza, correlaciona e analisa logs e eventos de segurança de múltiplas fontes, incluindo firewalls, IDS, controles de acesso e, como mencionado, proxies. Os registros de navegação tratados pelo proxy são uma fonte de dados valiosa que, quando correlacionada a outros eventos, permite identificar padrões suspeitos e atividades anômalas que não seriam detectadas se cada fonte fosse analisada isoladamente. A capacidade de correlação é exatamente o que amplia a capacidade de detecção, tornando a afirmação verdadeira.

Gabarito: ✅ CERTO.