Questão de Segurança da Informação — Tópicos Mesclados de Recursos de Segurança da Informação — FCC 2026

UTM e SIEM: divisão de responsabilidades na segurança perimetral e centralizada

Gabarito: letra B. O SIEM é a ferramenta de coleta centralizada, correlação e análise de logs de múltiplas fontes para detecção de ameaças, enquanto o UTM (Unified Threat Management) é o firewall de próxima geração com proteção perimetral unificada (firewall, IPS, antivírus de gateway). A alternativa B espelha exatamente essa divisão de papéis, que é o núcleo da questão.

O UTM (Gerenciamento Unificado de Ameaças) é um appliance de segurança que consolida em um único dispositivo várias funções de proteção de perímetro: firewall, sistema de prevenção de intrusão (IPS), antivírus de gateway, filtro de conteúdo web, anti-spam e, em muitos casos, VPN. Sua função é bloquear ameaças na borda da rede, antes que cheguem aos sistemas internos. Já o SIEM (Security Information and Event Management) é uma plataforma que coleta logs e eventos de segurança de todas as fontes (servidores, firewalls, IDS/IPS, aplicações, bancos de dados, endpoints), normaliza esses dados, armazena de forma centralizada e realiza correlação de eventos para identificar padrões suspeitos que não seriam percebidos isoladamente. Enquanto o UTM age na prevenção (camada de rede), o SIEM atua na detecção e análise (camada de gestão de eventos).

Na prática, em um Ministério Público que precisa proteger dados investigativos sensíveis e garantir conformidade com a LGPD, a integração funciona assim: o UTM protege o perímetro da rede, bloqueando tráfego malicioso e tentativas de intrusão em tempo real; o SIEM coleta os logs gerados pelo UTM e por todos os outros sistemas, correlaciona esses eventos para detectar ameaças avançadas (como movimentação lateral de um atacante) e gera relatórios de auditoria e compliance. Um exemplo concreto: um atacante tenta explorar uma vulnerabilidade em um servidor web — o IPS do UTM bloqueia a tentativa e registra o evento; o SIEM, ao correlacionar esse evento com outras tentativas de acesso em horários incomuns, gera um alerta de possível ataque direcionado, permitindo que a equipe de segurança investigue e responda.

A distinção fundamental que a banca explora é: UTM = proteção perimetral (prevenção, atua na rede); SIEM = correlação e análise de eventos (detecção, atua na gestão de logs). O UTM não substitui o SIEM, pois não possui a capacidade de correlacionar eventos de múltiplas fontes heterogêneas nem de armazenar logs de longo prazo para fins forenses e de compliance. Da mesma forma, o SIEM não é um firewall — ele não inspeciona pacotes em tempo real nem bloqueia tráfego; ele analisa os dados que já foram coletados. Essa fronteira é o critério decisivo que separa as alternativas corretas das incorretas.

Alternativa A — ❌ Incorreta

Inverte completamente os papéis. O UTM não é responsável pela correlação de eventos de múltiplas fontes nem pela geração de relatórios de compliance — essa é a função do SIEM. E o SIEM não atua como firewall de última geração com inspeção profunda de pacotes — essa é a função do UTM. A alternativa troca as responsabilidades de cada ferramenta, o que é a pegadinha clássica da banca.

Alternativa B — ✅ Correta ⟵ GABARITO

Descreve com precisão a divisão de responsabilidades. O SIEM centraliza e correlaciona logs de segurança de todos os sistemas para detecção de ameaças avançadas — essa é a definição técnica de SIEM (coleta, normalização, correlação, alerta). O UTM fornece proteção perimetral unificada com firewall, IPS e antivírus gateway — essa é a definição de UTM (consolidação de múltiplas funções de segurança de rede em um único dispositivo). A alternativa espelha exatamente os papéis de cada ferramenta.

Alternativa C — ❌ Incorreta

Afirma que o UTM substitui completamente o SIEM, o que é falso. Embora alguns UTMs possuam módulos básicos de correlação e relatórios, eles não têm a capacidade de correlacionar eventos de múltiplas fontes heterogêneas (servidores, aplicações, bancos de dados, endpoints) nem de armazenar logs de longo prazo para fins forenses e de compliance, que são funções essenciais do SIEM. O UTM e o SIEM são complementares, não substitutos.

Alternativa D — ❌ Incorreta

Inverte as funções. O SIEM não realiza inspeção SSL de tráfego web em tempo real — essa é uma função de firewall de próxima geração ou UTM (inspeção de tráfego criptografado na borda da rede). E o UTM não é responsável pelo armazenamento de longo prazo de logs para fins forenses — essa é uma função do SIEM, que centraliza e armazena logs de todas as fontes. A alternativa troca os papéis de cada ferramenta.

Alternativa E — ❌ Incorreta

Atribui funções incorretas. O UTM não foca exclusivamente na proteção de endpoints — ele protege o perímetro da rede (firewall, IPS, antivírus de gateway). A proteção de endpoints é função de ferramentas como EDR (Endpoint Detection and Response) ou antivírus de estação. E o SIEM não gerencia políticas de firewall e controle de acesso à rede — essa é função do firewall/UTM. O SIEM coleta e correlaciona logs, não gerencia políticas de rede.

Gabarito: letra B