Questão de Segurança da Informação — Conceitos de Firewall, Proxy e DMZ — FCC 2025

Ferramentas de segurança: SIEM, WAF e Firewall

Gabarito: letra E. Os controles descritos correspondem, respectivamente, a SIEM (centralizar e correlacionar logs), WAF (proteger aplicação web contra SQL Injection e XSS) e Firewall (restringir acesso por IP e portas). A questão testa a capacidade de distinguir as funções de cada ferramenta de segurança, um tema clássico em concursos.

O SIEM (Security Information and Event Management) é a ferramenta que coleta, normaliza e correlaciona logs de eventos de segurança de diversas fontes (firewalls, IDS, servidores, aplicações) para identificar padrões e possíveis incidentes. Ele é o "cérebro" da central de segurança, transformando dados brutos em alertas acionáveis. O WAF (Web Application Firewall) é um firewall especializado na camada de aplicação (camada 7 do modelo OSI), projetado para proteger aplicações web contra ataques como SQL Injection, XSS (Cross-Site Scripting) e CSRF. Ele inspeciona o tráfego HTTP/HTTPS e filtra requisições maliciosas. O Firewall tradicional atua nas camadas de rede e transporte, filtrando pacotes com base em regras de endereços IP de origem/destino, portas e protocolos, controlando o tráfego entre redes.

A distinção entre essas ferramentas é fundamental. O firewall é o "porteiro" que controla o tráfego por IP e porta; o WAF é o "segurança especializado" que entende o protocolo HTTP e protege a aplicação; o SIEM é o "analista" que correlaciona informações de várias fontes para detectar incidentes. O IDS (Intrusion Detection System) detecta intrusões de forma passiva, apenas alertando, enquanto o IPS (Intrusion Prevention System) detecta e bloqueia ativamente. O SIEM não bloqueia ataques diretamente, mas fornece a visão centralizada para a equipe de segurança agir.

A pegadinha da questão está em confundir as funções do IDS/IPS com as do SIEM e do WAF. O controle 1 (correlacionar logs) é claramente função do SIEM, não do IDS/IPS. O controle 2 (proteger contra SQL Injection e XSS) é função do WAF, não do IDS/IPS. O controle 3 (restringir por IP e porta) é função clássica do firewall. A alternativa E é a única que associa corretamente as três funções.

Alternativa A — ❌ Incorreta

A sequência IDS - Firewall - WAF está incorreta. O controle 1 (correlacionar logs) não é função do IDS, que apenas detecta intrusões de forma passiva, sem correlacionar eventos de múltiplas fontes. O controle 2 (proteger contra SQL Injection e XSS) não é função do Firewall tradicional, que atua nas camadas de rede/transporte, não na camada de aplicação. O controle 3 (restringir por IP e porta) não é função do WAF, que é especializado em aplicações web.

Alternativa B — ❌ Incorreta

A sequência WAF - IDS - IPS está incorreta. O controle 1 (correlacionar logs) não é função do WAF, que protege aplicações web, não centraliza logs. O controle 2 (proteger contra SQL Injection e XSS) não é função do IDS, que apenas detecta intrusões, sem a capacidade de filtrar tráfego de aplicação. O controle 3 (restringir por IP e porta) não é função do IPS, que bloqueia intrusões, mas não é a ferramenta primária para controle de acesso por IP/porta.

Alternativa C — ❌ Incorreta

A sequência WAF - IPS - SIEM está incorreta. O controle 1 (correlacionar logs) não é função do WAF, que protege aplicações web. O controle 2 (proteger contra SQL Injection e XSS) não é função do IPS, que atua na detecção/prevenção de intrusões em nível de rede, não na camada de aplicação. O controle 3 (restringir por IP e porta) não é função do SIEM, que é uma ferramenta de análise e correlação, não de filtragem de tráfego.

Alternativa D — ❌ Incorreta

A sequência IPS - SIEM - IDS está incorreta. O controle 1 (correlacionar logs) não é função do IPS, que bloqueia intrusões em tempo real, mas não correlaciona logs de múltiplas fontes. O controle 2 (proteger contra SQL Injection e XSS) não é função do SIEM, que analisa logs, mas não filtra tráfego de aplicação. O controle 3 (restringir por IP e porta) não é função do IDS, que apenas detecta intrusões, sem capacidade de filtragem.

Alternativa E — ✅ Correta ⟵ GABARITO

A sequência SIEM - WAF - Firewall está correta. O controle 1 (centralizar e correlacionar logs) é a função principal do SIEM, que coleta eventos de segurança de diversos dispositivos e os correlaciona para identificar incidentes. O controle 2 (proteger contra SQL Injection e XSS) é a função do WAF, que inspeciona o tráfego HTTP/HTTPS e filtra requisições maliciosas na camada de aplicação. O controle 3 (restringir acesso por IP e porta) é a função clássica do Firewall, que filtra pacotes com base em regras de endereços e portas.

Gabarito: letra E