Sistemas de Detecção de Intrusão (IDS)
✅ CERTO. A afirmação está correta: um IDS baseado em rede (NIDS) realiza a análise de atividades da rede, verificando o conteúdo dos pacotes, incluindo as camadas superiores do modelo TCP/IP, em busca de tentativas de ataque. Essa é a definição clássica de um sistema de detecção de intrusão, que atua de forma passiva, monitorando o tráfego para identificar atividades suspeitas.
Um Sistema de Detecção de Intrusão (IDS) é uma ferramenta de segurança que tem como objetivo detectar atividades suspeitas, impróprias, incorretas ou anômalas em um sistema ou rede. Ele funciona como um "alarme" ou "câmera de segurança" digital: monitora o que acontece, analisa os dados e emite alertas quando identifica algo que se parece com uma intrusão ou ataque. É importante destacar que o IDS é um sistema passivo — ele detecta e alerta, mas não age diretamente para bloquear a ameaça. Essa ação de bloqueio é função do IPS (Intrusion Prevention System), que é uma evolução do IDS.
Existem diferentes tipos de IDS, cada um com seu foco de atuação:
IDS baseado em rede (NIDS): monitora o tráfego de um segmento de rede, geralmente com a interface de rede em modo "promíscuo". A detecção é realizada com a captura e análise dos cabeçalhos e conteúdos dos pacotes. É exatamente esse tipo de IDS que a questão descreve.
IDS baseado em host (HIDS): monitora as atividades em um único dispositivo (servidor ou estação de trabalho), analisando logs, arquivos de auditoria e chamadas de sistema.
IDS híbrido (Hybrid IDS): combina os pontos fortes do HIDS e do NIDS, coletando o tráfego da rede, mas processando apenas os pacotes endereçados ao próprio sistema.
A análise feita pelo NIDS envolve a inspeção dos pacotes que trafegam na rede. Isso inclui a verificação dos cabeçalhos (que contêm informações como endereços IP de origem e destino, portas, protocolos) e também do conteúdo (payload) dos pacotes. Ao analisar as "camadas superiores TCP/IP", o IDS está examinando os dados da aplicação, ou seja, o conteúdo efetivamente transmitido, como uma requisição HTTP, um comando de protocolo ou um arquivo transferido. É nessa camada que muitos ataques se manifestam, como tentativas de exploração de vulnerabilidades em serviços web, injeção de SQL, ou envio de payloads maliciosos.
Para entender melhor a diferença entre as ferramentas de segurança, veja a tabela abaixo:
Característica | IDS | IPS | Firewall |
|---|
Função principal | Detectar e alertar sobre atividades suspeitas | Detectar e bloquear atividades maliciosas em tempo real | Filtrar o tráfego com base em regras predefinidas (portas, IPs, protocolos) |
Ação | Passiva (apenas monitora e alerta) | Ativa (age para impedir o ataque) | Ativa (permite ou bloqueia o tráfego) |
Análise | Profunda, incluindo conteúdo dos pacotes (camadas superiores) | Profunda, incluindo conteúdo dos pacotes | Geralmente superficial, baseada em cabeçalhos e regras |
Posicionamento | Fora do fluxo de dados (passivo) | Inline (no caminho do tráfego) | No perímetro da rede (ponto de passagem) |
A pegadinha que a banca pode explorar é a confusão entre IDS e IPS. Enquanto o IDS apenas detecta e alerta, o IPS detecta e previne, bloqueando a intrusão em tempo real. A questão afirma corretamente que o IDS faz a análise das atividades da rede, o que é uma característica fundamental do NIDS. A banca também pode tentar confundir o IDS com o firewall, mas o firewall atua principalmente nas camadas mais baixas (rede e transporte), filtrando com base em regras, enquanto o IDS faz uma análise mais profunda do conteúdo.
Guarde a distinção entre detectar (IDS) e prevenir (IPS): é exatamente nessa fronteira que as questões sobre esse tema se dividem. O IDS é o "vigia" que avisa; o IPS é o "segurança" que age.
Item — ✅ CERTO
A afirmação está correta porque descreve com precisão a função de um IDS baseado em rede (NIDS). O NIDS monitora o tráfego do segmento de rede, capturando e analisando os cabeçalhos e conteúdos dos pacotes, o que inclui a inspeção das camadas superiores do modelo TCP/IP (como a camada de aplicação). Essa análise profunda permite identificar tentativas de ataque que não seriam percebidas por um firewall tradicional, que atua principalmente nas camadas de rede e transporte. O IDS, portanto, é uma ferramenta essencial para a detecção de intrusões, complementando a proteção oferecida por outras soluções de segurança.
Gabarito: ✅ CERTO