Questão de Segurança da Informação — SIEM (Security Information and Event Management) — CESPE / CEBRASPE 2023

SIEM (Security Information and Event Management)

✅ CERTO. O SIEM é, de fato, um conjunto de ferramentas de segurança integradas que concentram as informações de segurança em uma única plataforma, com o objetivo de coletar, normalizar, correlacionar e analisar eventos de segurança de múltiplas fontes. Essa é a definição central do conceito, e a afirmação do enunciado está em plena conformidade com ela.

O SIEM (Security Information and Event Management) é uma solução que combina duas funções: o SEM (Security Event Management), que gerencia eventos de segurança em tempo real, e o SIM (Security Information Management), que gerencia informações e logs de segurança a longo prazo. A ideia é justamente integrar essas duas capacidades em uma única ferramenta, que atua como um centralizador e correlacionador de eventos. Em um ambiente corporativo, milhares de eventos são gerados a cada segundo (logins, acessos, pacotes de rede, execução de processos, chamadas de API). Isoladamente, esses eventos não dizem muito; o papel do SIEM é transformar esses eventos dispersos em informação de segurança acionável, permitindo detectar ataques, conter danos e restaurar a normalidade do ambiente.

Na prática, o SIEM funciona em etapas: coleta de logs e eventos de diversas fontes (servidores, firewalls, IDS/IPS, aplicações, bancos de dados, endpoints); normalização para padronizar formatos; armazenamento centralizado; análise de eventos para identificar padrões suspeitos; detecção de ameaças por meio de assinaturas ou inteligência artificial; alertas e notificações sobre possíveis incidentes; investigação e resposta baseada em eventos históricos; e relatórios e compliance para auditorias e conformidade. É a base operacional de um SOC (Security Operations Center), que protege contra ameaças cibernéticas, detectando e respondendo a ataques.

A distinção que importa aqui é entre o SIEM e outras ferramentas de segurança, como o IDS/IPS e o SOAR. O IDS (Intrusion Detection System) monitora o tráfego de rede para detectar atividades suspeitas, mas não interfere no tráfego; o IPS (Intrusion Prevention System) age automaticamente, bloqueando conexões maliciosas. O SOAR (Security Orchestration, Automation and Response) foca na automação e orquestração da resposta a incidentes, executando playbooks pré-definidos. O SIEM, por sua vez, fornece a visão central e histórica, correlacionando eventos de todas essas fontes. Em conjunto, essas ferramentas permitem uma postura de segurança preventiva, detectiva e reativa.

A pegadinha que a banca poderia explorar é confundir o SIEM com uma ferramenta de resposta automática (como o SOAR) ou com um sistema de prevenção (como o IPS). No entanto, a afirmação do enunciado é fiel ao conceito: o SIEM é um conjunto de ferramentas integradas que concentra informações de segurança em uma única ferramenta. Não há qualquer erro na assertiva.

Alternativa C — ✅ Certa ⟵ GABARITO

A afirmação está correta. O SIEM é, por definição, um conjunto de ferramentas de segurança integradas que concentram as informações de segurança em uma única plataforma. Ele combina o SEM (Security Event Management) e o SIM (Security Information Management), coletando, normalizando, correlacionando e analisando logs e eventos de segurança de múltiplas fontes. As palavras-chave que definem o SIEM são exatamente: concentrar, ferramenta única, integrar e detecção. A assertiva espelha perfeitamente essa definição, sem qualquer distorção.

Gabarito: letra C (Certo).