Questão de Segurança da Informação — IDS, IPS e Honeypots — FCC 2025

IDS/IPS: a solução robusta para detecção e bloqueio em tempo real

Gabarito: letra B. A alternativa correta é a que combina IPS baseado em rede (bloqueio ativo em tempo real) com análise de comportamento (detecção de ameaças desconhecidas, como zero-day) e integração a um SIEM (correlação centralizada de eventos). Essa combinação atende aos três requisitos do enunciado: cobertura de todos os protocolos, proteção contra ameaças conhecidas e desconhecidas, e alinhamento às tecnologias mais recentes.

Para entender por que a letra B é a única que satisfaz plenamente o enunciado, é preciso dominar a diferença fundamental entre IDS e IPS, e como as técnicas de detecção se complementam.

IDS (Intrusion Detection System) é um sistema passivo: ele monitora o tráfego ou as atividades do sistema, detecta atividades suspeitas, impróprias, incorretas ou anômalas, e gera alertas. Mas não bloqueia o ataque — funciona como um alarme de segurança, avisando os administradores para que tomem providências. O IDS pode ser baseado em host (HIDS), em rede (NIDS) ou híbrido.

IPS (Intrusion Prevention System) é um sistema ativo: acrescenta à detecção a possibilidade de prevenção, operando em modo inline (todo o tráfego passa por ele) e adotando medidas para bloquear as intrusões em tempo real. O IPS é, essencialmente, um IDS ativo.

Quanto às metodologias de detecção, há duas grandes famílias:

• Baseada em assinaturas (Knowledge-Based / Misuse Detection): compara o tráfego com um banco de dados de padrões de ataques conhecidos. É rápida e eficiente para ameaças conhecidas, mas não detecta ataques novos (zero-day).

• Baseada em comportamento/anomalias (Behavior-Based / Anomaly Detection): cria um perfil do comportamento normal da rede e alerta quando há desvios. É capaz de detectar ameaças desconhecidas, mas pode gerar falsos positivos.

A solução mais robusta, portanto, combina as duas abordagens: usa assinaturas para as ameaças conhecidas e análise comportamental para as desconhecidas. E, para dar visibilidade centralizada e correlação de eventos, integra-se a um SIEM (Security Information and Event Management), que coleta, normaliza, armazena e correlaciona logs de diversas fontes, permitindo detectar padrões suspeitos e responder a incidentes de forma mais eficaz.

A pegadinha clássica da banca é inverter os papéis: afirmar que o IDS bloqueia (errado, ele só detecta) ou que o IPS apenas alerta (errado, ele bloqueia). Além disso, a banca costuma apresentar soluções incompletas, como IPS apenas por assinaturas (não cobre ameaças desconhecidas) ou sem integração com SIEM (perde a correlação centralizada).

Guarde a fronteira: IDS = passivo (detecta e alerta); IPS = ativo (detecta e bloqueia). E para proteção completa, é preciso aliar assinaturas + análise comportamental + SIEM. É exatamente esse trio que a alternativa B apresenta.

Alternativa A — ❌ Incorreta

A alternativa A menciona "IDS híbrido com prevenção de intrusões". O problema é que um IDS híbrido (Hybrid IDS) combina HIDS e NIDS, mas continua sendo um sistema de detecção — ele não faz prevenção por si só. A prevenção é característica do IPS. Além disso, a alternativa não menciona a análise comportamental, essencial para detectar ameaças desconhecidas. O erro está em atribuir capacidade de prevenção a um IDS, confundindo os papéis.

Alternativa B — ✅ Correta ⟵ GABARITO

A alternativa B é a única que reúne todos os elementos exigidos: IPS baseado em rede (bloqueio ativo em tempo real, cobrindo todo o tráfego), análise de comportamento (detecção de ameaças desconhecidas, como zero-day) e integração a um SIEM (correlação centralizada de eventos, alinhada às tecnologias modernas de segurança). Essa combinação atende plenamente aos requisitos do enunciado: cobertura de todos os protocolos, proteção contra ameaças conhecidas e desconhecidas, e alinhamento às tecnologias mais recentes.

Alternativa C — ❌ Incorreta

A alternativa C propõe um IPS baseado em assinaturas. Embora o IPS seja ativo e bloqueie em tempo real, a detecção apenas por assinaturas limita a proteção a ameaças conhecidas — não cobre ataques desconhecidos (zero-day), que o enunciado exige. Falta a análise comportamental ou de anomalias. Além disso, não há menção a SIEM, o que enfraquece a capacidade de correlação e visibilidade centralizada.

Alternativa D — ❌ Incorreta

A alternativa D descreve um IDS/IPS com monitoramento passivo, alertas detalhados e análise manual. O termo "monitoramento passivo" indica que o sistema apenas detecta e alerta, sem bloqueio automático — característica de IDS, não de IPS. Além disso, a "análise manual" é incompatível com a exigência de bloqueio em tempo real e com a robustez esperada de uma solução moderna. A alternativa falha por não oferecer prevenção ativa.

Alternativa E — ❌ Incorreta

A alternativa E propõe um IPS em nuvem com detecção de anomalias, mas sem integração a um SIEM. A ausência de SIEM é o ponto crítico: sem ele, perde-se a correlação centralizada de eventos, a visibilidade consolidada e a capacidade de resposta coordenada a incidentes — elementos essenciais para uma solução robusta e alinhada às tecnologias atuais. Além disso, a detecção apenas por anomalias pode gerar muitos falsos positivos, e a falta de assinaturas pode deixar passar ameaças conhecidas que não se desviam do comportamento normal.

Gabarito: letra B