Questão de Segurança da Informação — SIEM (Security Information and Event Management) — INSTITUTO AOCP 2024

SIEM no contexto do SecaaS

Gabarito: letra C. O SIEM (Security Information and Event Management) é a plataforma responsável por coletar, normalizar, correlacionar e analisar logs e eventos de segurança provenientes de múltiplas fontes, gerando alertas e relatórios em tempo real — exatamente o que descreve a alternativa C. No contexto do SecaaS (Security as a Service), o SIEM é oferecido como um serviço de gerenciamento de informações e eventos de segurança na nuvem, sendo uma das categorias de serviço típicas identificadas pela Cloud Security Alliance.

O SIEM combina duas disciplinas: o SEM (Security Event Management), que trata da gestão de eventos de segurança em tempo real, e o SIM (Security Information Management), que lida com a coleta e análise de informações de segurança a longo prazo. Essa combinação permite que a ferramenta não apenas monitore o ambiente em tempo real, mas também armazene e analise dados históricos para investigações, auditorias e conformidade.

O funcionamento do SIEM segue etapas bem definidas: coleta de logs e eventos de diversas fontes (servidores, firewalls, IDS/IPS, aplicações, bancos de dados, endpoints); normalização para padronizar formatos diferentes; armazenamento centralizado; análise para identificar padrões suspeitos; detecção de ameaças por assinaturas ou inteligência artificial; alertas sobre possíveis incidentes; investigação baseada em eventos históricos; e relatórios para auditoria e compliance.

Um ponto crucial é que o SIEM não bloqueia ataques — ele atua de forma detectiva, não preventiva. Ele identifica e alerta sobre atividades suspeitas, mas a ação de bloqueio cabe a outras ferramentas, como IPS (Intrusion Prevention System) ou firewalls. Essa distinção é fundamental para entender por que as alternativas A, D e E estão incorretas: elas atribuem ao SIEM funções que pertencem a outras soluções de segurança.

No contexto do SecaaS, o SIEM é uma das categorias de serviço oferecidas na nuvem, juntamente com gestão de identidade e acesso (IAM), prevenção contra perda de dados (DLP), segurança de rede, entre outras. A Cloud Security Alliance define SecaaS como a oferta de aplicações e serviços de segurança através da nuvem, e o gerenciamento de informações e eventos de segurança é uma das categorias típicas desse modelo de serviço.

A pegadinha desta questão está em confundir o SIEM com outras ferramentas de segurança: ele não protege contra DoS (função de firewalls/IPS), não criptografa dados (função de soluções de criptografia), não detecta acessos não autorizados a hosts (função de IDS/IPS ou EDR) e não faz backup (função de soluções de backup/DR). O SIEM é o centralizador e correlacionador de eventos — essa é a palavra-chave que identifica a alternativa correta.

Guarde a fronteira: SIEM = análise de logs + correlação de eventos + detecção de ameaças + resposta a incidentes. É exatamente nessa definição que as alternativas se dividem.

Alternativa A — ❌ Incorreta

Proteger contra ataques de negação de serviço (DoS) é função de firewalls, IPS (Intrusion Prevention System) e soluções de mitigação de DDoS, não do SIEM. O SIEM pode detectar um ataque de DoS ao correlacionar eventos (como um pico anormal de tráfego), mas não tem capacidade de bloquear ou mitigar o ataque — ele apenas gera alertas. A confusão aqui é atribuir ao SIEM uma função preventiva/reativa que pertence a outras camadas de defesa.

Alternativa B — ❌ Incorreta

Criptografar dados em repouso na nuvem é função de soluções de criptografia (como gerenciamento de chaves, KMS, ou criptografia de disco/banco de dados), não do SIEM. O SIEM trabalha com logs e eventos, não com o conteúdo dos dados armazenados. A criptografia é uma categoria separada de serviço no SecaaS, distinta do gerenciamento de informações e eventos de segurança.

Alternativa C — ✅ Correta ⟵ GABARITO

Esta é a definição precisa do SIEM: correlacionar e analisar registros históricos de redes e sistemas para fornecer relatórios em tempo real e alertas sobre eventos de segurança. O SIEM coleta logs de múltiplas fontes, normaliza, armazena, correlaciona eventos para identificar padrões suspeitos, gera alertas em tempo real e produz relatórios para auditoria e conformidade. A alternativa espelha exatamente as palavras-chave do conceito: correlação, análise, registros históricos, relatórios em tempo real e alertas.

Alternativa D — ❌ Incorreta

Detectar e prevenir acessos não autorizados a sistemas hospedeiros é função de IDS/IPS (Intrusion Detection/Prevention System) ou EDR (Endpoint Detection and Response), não do SIEM. O IDS monitora e detecta atividades suspeitas, o IPS detecta e bloqueia, e o EDR atua nos endpoints monitorando processos e comportamentos. O SIEM pode correlacionar os alertas gerados por essas ferramentas, mas não realiza a detecção/prevenção diretamente nos hosts.

Alternativa E — ❌ Incorreta

Fornecer backup em vários locais para garantir resiliência operacional é função de soluções de backup e recuperação de desastres (DR), não do SIEM. A continuidade de negócios e recuperação de desastres é outra categoria de serviço do SecaaS, separada do gerenciamento de informações e eventos de segurança. O SIEM não replica dados para fins de backup — ele armazena logs para análise e investigação, não para recuperação de desastres.

Gabarito: letra C