Questão de Segurança da Informação — Malware (Vírus, Worms, Trojans, etc.) — FCC 2026

Modelos de IA em EDR: detecção comportamental e zero-day

Gabarito: letra D. Os modelos de IA em soluções de EDR são treinados com grandes conjuntos de dados para aprender padrões intrínsecos de comportamento e, após implantados, identificam ameaças desconhecidas (zero-day) ao detectar desvios significativos desses padrões ou similaridades comportamentais — é exatamente o que a alternativa D descreve. As demais alternativas confundem IA com técnicas tradicionais (assinaturas, whitelisting, correlação de logs) ou com hardware.

O EDR (Endpoint Detection and Response) é uma solução avançada de segurança de endpoint que monitora, detecta, investiga e responde a incidentes diretamente nos dispositivos finais. Diferentemente dos antivírus tradicionais, que dependem de assinaturas de malwares conhecidos, o EDR observa comportamento, contexto e encadeamento de eventos. É aí que entra a IA: ela é treinada com grandes volumes de dados para aprender o que é "comportamento normal" em um endpoint. Depois de implantada, qualquer desvio significativo desse padrão aprendido — ou uma similaridade comportamental com algo já visto como malicioso — gera um alerta. Isso permite detectar ameaças zero-day, ou seja, aquelas que ainda não possuem assinatura conhecida porque acabaram de ser criadas.

A lógica por trás disso é simples: malware, por mais novo que seja, precisa executar ações para causar dano — criar processos, escrever em arquivos, acessar a rede, modificar o registro. Essas ações, quando analisadas em conjunto, formam um padrão comportamental que se desvia do que é esperado. A IA, treinada para reconhecer esses padrões, consegue flagrar o comportamento anômalo mesmo sem nunca ter visto aquele malware específico. É uma abordagem complementar à detecção por assinatura: enquanto esta é reativa (precisa conhecer a ameaça), a comportamental é proativa (identifica o comportamento suspeito).

Um exemplo prático: um ransomware novo chega a um endpoint e começa a criptografar arquivos em massa. Um antivírus tradicional só o detectaria se tivesse a assinatura daquele ransomware específico. Um EDR com IA, porém, percebe que há um processo realizando milhares de operações de escrita em arquivos em poucos segundos — um comportamento que foge completamente do padrão normal de uso — e bloqueia o processo antes que o dano se complete. É essa capacidade de detectar o desconhecido pelo comportamento que define a IA defensiva moderna.

A pegadinha central desta questão é a confusão entre as gerações de detecção de malware. A primeira geração de antivírus usava assinaturas (hash); a segunda, heurística; a terceira, interceptação de atividade; a quarta, proteção completa. A IA entra como evolução da análise comportamental, não como assinatura, whitelisting ou correlação de logs. Guarde essa fronteira: IA em EDR = comportamento e anomalia, não assinatura — é exatamente nela que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Descreve a detecção por assinaturas hash (MD5, SHA-256), que é a técnica tradicional de antivírus de primeira geração. A IA não depende de bancos de assinaturas de malwares conhecidos; pelo contrário, sua principal vantagem é justamente detectar ameaças sem assinatura conhecida, por análise comportamental. A eficácia da IA não está na velocidade de atualização de assinaturas, mas na qualidade do treinamento e na capacidade de generalizar padrões.

Alternativa B — ❌ Incorreta

Descreve whitelisting aplicativo estrito, uma técnica de controle de aplicações em que apenas programas previamente aprovados podem executar. Isso é uma política de segurança, não um modelo de IA. O whitelisting bloqueia tudo que não está na lista branca, mas não "aprende" padrões nem detecta desvios comportamentais — é uma abordagem estática e binária, oposta à dinâmica da IA.

Alternativa C — ❌ Incorreta

Descreve um SIEM com correlação de logs e regras if-then-else predefinidas. Embora SIEMs modernos possam usar IA para melhorar a correlação e reduzir falsos positivos, a alternativa descreve a abordagem tradicional baseada em regras escritas por analistas. A IA em EDR não se limita a correlacionar logs com regras predefinidas — ela aprende padrões a partir de dados e detecta anomalias sem regras explícitas.

Alternativa D — ✅ Correta ⟵ GABARITO

Descreve com precisão o funcionamento de modelos de IA em EDR: treinamento com grandes conjuntos de dados para aprender padrões intrínsecos e, após implantados, identificação de ameaças zero-day por detecção de desvios significativos desses padrões ou similaridades comportamentais. É exatamente a definição de detecção comportamental baseada em IA, que permite identificar malware desconhecido sem depender de assinaturas.

Alternativa E — ❌ Incorreta

Afirma que a IA é inerente ao hardware (GPUs) e que a troca por CPU menos potente invalidaria a proteção. Isso é um absurdo técnico: a IA é um modelo de software que pode ser executado em diferentes hardwares. GPUs aceleram o processamento, mas não são condição de existência da IA. A qualidade do modelo treinado é o que importa, não o hardware específico em que roda.

Gabarito: letra D