Questão de Segurança da Informação — IDS, IPS e Honeypots — FCC 2025

IDS, IPS e Honeypots: a defesa em profundidade contra vulnerabilidades

Gabarito: letra D. Quando uma vulnerabilidade já existe em um software de terceiros e não pode ser corrigida imediatamente, a medida mais crucial é implementar um sistema de detecção de intrusão (IDS) para monitorar atividades suspeitas e alertar sobre tentativas de exploração — é a camada de segurança que detecta o ataque em andamento, complementando o firewall e a criptografia já existentes. As demais alternativas tratam de medidas preventivas ou periféricas, mas nenhuma ataca diretamente o risco de exploração da vulnerabilidade conhecida.

O cenário descrito é um clássico de defesa em profundidade: o servidor já possui firewall (controle de tráfego) e criptografia (proteção dos dados em repouso), mas foi identificada uma vulnerabilidade em software de terceiros. Vulnerabilidade é a fragilidade do sistema; ameaça é o agente que pode explorá-la; e o ataque é a exploração efetiva. O firewall, por mais bem configurado, não consegue bloquear ataques que utilizam portas legítimas ou que exploram falhas em aplicações permitidas — exatamente o caso de uma vulnerabilidade em software instalado. A criptografia protege os dados, mas não impede que um atacante, uma vez dentro do sistema, acesse os dados já descriptografados em memória ou durante o processamento.

O IDS (Intrusion Detection System) é um sistema passivo que tem como objetivo detectar atividades suspeitas, impróprias, incorretas ou anômalas. Ele não bloqueia o ataque, mas alerta o administrador sobre a ocorrência, permitindo uma resposta rápida. Já o IPS (Intrusion Prevention System) é a evolução que, além de detectar, bloqueia a intrusão em tempo real, operando em modo inline e podendo descartar conexões suspeitas. Para o caso em tela, a implementação de um IDS (ou IPS, que também é uma opção válida) é a medida mais alinhada com a necessidade de monitorar e detectar a exploração da vulnerabilidade, enquanto as demais medidas são complementares ou insuficientes.

A banca explora a confusão entre medidas preventivas (senhas, antivírus, desabilitar acesso remoto) e medidas de detecção/resposta (IDS/IPS). A vulnerabilidade já existe; o que falta é a capacidade de perceber quando ela é explorada. Reforçar senhas não impede a exploração de uma falha de software; desabilitar acesso remoto pode até reduzir a superfície de ataque, mas não elimina a vulnerabilidade se o servidor for acessível por outros meios; antivírus nas estações protege os clientes, não o servidor; e testes de penetração são importantes, mas são pontuais e não fornecem monitoramento contínuo. O IDS, por sua vez, fornece vigilância contínua sobre o tráfego e as atividades do sistema, exatamente o que se precisa para detectar a exploração da vulnerabilidade conhecida.

Guarde a distinção central: prevenir (evitar que o ataque ocorra) × detectar (perceber que o ataque está ocorrendo ou ocorreu) × responder (agir para conter o dano). A questão pede a medida adicional mais crucial para mitigar o risco de exploração — e, diante de uma vulnerabilidade já identificada, a detecção é o elo que faltava na cadeia de defesa.

Alternativa A — ❌ Incorreta

Reforçar a política de senhas é uma medida preventiva de controle de acesso, mas não impede a exploração de uma vulnerabilidade em software de terceiros. O atacante pode explorar a falha sem precisar de credenciais válidas, ou pode obter acesso por outros meios. A vulnerabilidade é no software, não no mecanismo de autenticação.

Alternativa B — ❌ Incorreta

Realizar testes de penetração regulares é uma boa prática de segurança, mas é uma medida pontual e periódica, não contínua. Além disso, o enunciado já identificou a vulnerabilidade; o que se busca é mitigar o risco de exploração agora, e um teste de penetração não fornece monitoramento em tempo real. A redação da alternativa também é confusa ao mencionar "corrigir os antivírus, trocar o equipamento", o que foge do foco da questão.

Alternativa C — ❌ Incorreta

Desabilitar completamente o acesso remoto pode reduzir a superfície de ataque, mas não elimina a vulnerabilidade — o servidor pode ser acessado por outros meios (rede interna, serviços legítimos). Além disso, pode inviabilizar a administração do servidor, o que não é uma medida equilibrada. A detecção de intrusão é mais eficaz porque monitora qualquer tentativa de exploração, independentemente do vetor.

Alternativa D — ✅ Correta ⟵ GABARITO

Implementar um sistema de detecção de intrusão (IDS) é a medida mais crucial porque monitora continuamente as atividades suspeitas no servidor e na rede, alertando os administradores sobre tentativas de exploração da vulnerabilidade. O IDS complementa o firewall e a criptografia, formando a defesa em profundidade. Conforme o material de apoio, o IDS "tem como objetivo detectar atividades suspeitas, impróprias, incorretas ou anômalas" e "pode detectar ataques que são realizados por meio de portas legítimas permitidas e que, portanto, não podem ser protegidos pelo firewall". Essa é exatamente a situação do enunciado: a vulnerabilidade está em um software de terceiros, e o IDS é a ferramenta capaz de perceber a exploração.

Alternativa E — ❌ Incorreta

Garantir antivírus atualizado nas estações de trabalho protege os clientes, não o servidor. A vulnerabilidade está no servidor, e um atacante pode explorá-la diretamente, sem passar pelas estações. O antivírus nas estações é uma medida de proteção periférica, não a mais crucial para mitigar o risco no servidor.

Gabarito: letra D — a implementação de um IDS é a medida que fornece a detecção contínua necessária para mitigar o risco de exploração da vulnerabilidade identificada.