Questão de Segurança da Informação — IDS, IPS e Honeypots — CESPE / CEBRASPE 2026
Segurança da Informação›IDS, IPS e Honeypots
Código
ce390558
Banca
CESPE / CEBRASPE
Órgão
TCU
Ano
2026
Cargo
AUFC ( )
A respeito de controles e testes de segurança para aplicações web, múltiplos fatores de autenticação e soluções para segurança da informação, julgue o item a seguir.
O uso de um SIEM devidamente configurado para correlação em tempo real elimina a necessidade de mecanismos de prevenção de um IPS, já que os eventos consolidados permitem bloquear as atividades maliciosas diretamente a partir da análise centralizada.
CCerto
EErrado
Revelar gabarito e comentário▾
GabaritoE — Errado
Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.
SIEM, IDS e IPS: papéis complementares na defesa em profundidade
❌ ERRADO. O SIEM, mesmo com correlação em tempo real, não elimina a necessidade de um IPS, pois são ferramentas com funções distintas e complementares: o SIEM centraliza e correlaciona eventos para gerar visibilidade e alertas, enquanto o IPS atua inline no tráfego, bloqueando atividades maliciosas em tempo real. A afirmação confunde o papel de análise centralizada com o de prevenção ativa, que são camadas diferentes da estratégia de defesa em profundidade.
Para entender por que a afirmação está errada, é preciso compreender o que cada ferramenta faz e como elas se complementam em um ambiente corporativo. O SIEM (Security Information and Event Management) é o "coração do SOC": ele coleta logs de múltiplas fontes (servidores, firewalls, IDS/IPS, aplicações, bancos de dados, endpoints), armazena esses dados e realiza a correlação de eventos, identificando padrões suspeitos que não seriam percebidos isoladamente. Em um ambiente moderno, milhares de eventos ocorrem a cada segundo (logins, acessos, pacotes de rede, execução de processos, chamadas de API); o papel do SIEM é transformar esses eventos dispersos em informação de segurança acionável, permitindo detectar ataques, conter danos e restaurar a normalidade.
O IPS (Intrusion Prevention System), por sua vez, é uma ferramenta que atua diretamente no fluxo de dados. Ele possui todas as capacidades de detecção de um IDS, mas com o diferencial de agir automaticamente, bloqueando conexões, pacotes ou sessões consideradas maliciosas. O IPS baseado em rede opera em modo inline, ou seja, todo o tráfego da rede passa pelo sistema, o que permite não só detectar ataques, mas também preveni-los, enviando mensagens de 'drop' das conexões. Essa ação de bloqueio é imediata e ocorre no ponto exato do tráfego, algo que um SIEM, por ser uma plataforma de análise centralizada, não faz diretamente.
A confusão central da questão está em supor que a análise centralizada (função do SIEM) poderia substituir a ação preventiva no tráfego (função do IPS). Na prática, são camadas complementares de uma estratégia de defesa em profundidade: o SIEM fornece a visão central e histórica, enquanto o IPS observa e controla o tráfego de rede em tempo real. Um não substitui o outro; eles se reforçam. O SIEM pode até receber alertas do IPS e correlacioná-los com outros eventos, mas a capacidade de bloquear uma atividade maliciosa no exato momento em que ela ocorre é exclusiva de ferramentas como o IPS (ou firewalls, WAFs, etc.), que estão posicionadas no caminho do tráfego.
NÃO CAIA NESSA!
A banca explora a confusão entre análise e ação. O SIEM analisa e correlaciona; o IPS age e bloqueia. Dizer que o SIEM "permite bloquear as atividades maliciosas diretamente a partir da análise centralizada" é um erro conceitual: o SIEM não é uma ferramenta inline e não tem a função de bloquear tráfego. Ele pode até disparar ações automatizadas via SOAR, mas isso não elimina a necessidade do IPS, que atua na camada de rede com bloqueio em tempo real. Guarde: SIEM centraliza e correlaciona; IPS bloqueia.
SIEM
1Coleta e armazenamento de logs
2Correlação de eventos
3Visibilidade e alertas
4Não bloqueia tráfego (não é inline)
5IPS
Atua inline no tráfego
Detecta e bloqueia em tempo real
Ação imediata (drop de conexões)
6Relação
Complementares (defesa em profundidade)
SIEM não elimina IPS
LEVEL · soulevel.com.br
Item — ❌ ERRADO
A afirmação está incorreta porque atribui ao SIEM uma função que não lhe é própria: a de bloquear atividades maliciosas diretamente. O SIEM é uma ferramenta de coleta, armazenamento e correlação de eventos, fornecendo visibilidade e alertas, mas não atua no tráfego de rede para bloqueio em tempo real. Essa função é do IPS, que opera em modo inline e adota medidas para bloquear intrusões. Além disso, a premissa de que o SIEM "elimina a necessidade" de um IPS contraria o princípio de defesa em profundidade, em que múltiplas camadas de segurança se complementam. O SIEM e o IPS são ferramentas complementares, não substitutas.