Questão de Segurança da Informação — IDS, IPS e Honeypots — INSTITUTO AOCP 2024

IDS e IPS: Detecção versus Prevenção

Gabarito: letra A. A alternativa correta é a letra A, pois um IDS (Intrusion Detection System) tem como função detectar atividades suspeitas, enquanto um IPS (Intrusion Prevention System) detecta e bloqueia o tráfego intruso em tempo real. Essa distinção fundamental é o cerne da questão, e o material de apoio confirma que o IPS "acrescenta à detecção de ataques a possibilidade de prevenção".

O IDS e o IPS são ferramentas de segurança de rede que trabalham com a detecção de intrusões, mas com papéis distintos. O IDS é um sistema passivo: ele monitora o tráfego, analisa pacotes e logs, e alerta o administrador sobre atividades suspeitas, mas não age diretamente para impedir o ataque. Já o IPS é um sistema ativo: ele opera inline, ou seja, todo o tráfego passa por ele, e além de detectar, ele pode bloquear conexões, descartar pacotes e tomar medidas para impedir a intrusão em tempo real.

A diferença prática é enorme. Imagine um IDS como um alarme de segurança: ele avisa que alguém invadiu, mas não impede a invasão. O IPS, por sua vez, é como um segurança que, além de ver o invasor, o impede de entrar. Essa capacidade de ação é o que diferencia os dois sistemas.

O material de apoio define claramente:

IDS – Sistema de Detecção de Intrusão:

"Um sistema de detecção de intrusão (IDS) tem como objetivo detectar atividades suspeitas, impróprias, incorretas ou anômalas."

IPS – Sistema de prevenção de intrusão:

"Um Sistema de prevenção de intrusão (IPS) acrescenta à detecção de ataques a possibilidade de prevenção. O IPS opera adotando medidas para bloquear as intrusões em tempo real."

Essa é a fronteira que separa as alternativas: a capacidade de bloquear o tráfego. O IDS apenas detecta e alerta; o IPS detecta e bloqueia. Guarde essa distinção, pois é exatamente nela que as alternativas se dividem.

Alternativa A — ✅ Correta ⟵ GABARITO

A alternativa A está correta porque descreve com precisão as funções de cada sistema. O IDS "é capaz apenas de detectar acessos não autorizados", o que é verdade, pois sua função é passiva, de monitoramento e alerta. O IPS "pode detectar e bloquear o tráfego de intrusos", o que também é verdade, pois ele opera de forma ativa, bloqueando conexões suspeitas. Essa é a definição clássica e o material de apoio confirma: o IPS "acrescenta à detecção de ataques a possibilidade de prevenção".

Alternativa B — ❌ Incorreta

A alternativa B inverte os papéis. Ela afirma que o IPS "pode detectar acessos não autorizados, restringir e liberar tais acessos", o que é parcialmente verdadeiro, mas o erro está na segunda parte: "enquanto um IDS pode apenas detectar o tráfego de intrusos". Na verdade, o IDS também pode detectar, mas a afirmação de que o IPS "restringe e libera" acessos é uma característica mais associada a um firewall ou a um sistema de controle de acesso, não ao IPS. O IPS bloqueia, mas não "libera" acessos de forma seletiva como um firewall. O erro central é a inversão da capacidade de bloqueio: o IDS não bloqueia, apenas detecta.

Alternativa C — ❌ Incorreta

A alternativa C afirma que IDS e IPS "têm funcionalidades idênticas e são intercambiáveis", o que é falso. A diferença fundamental é a capacidade de ação: o IDS é passivo (detecta e alerta), enquanto o IPS é ativo (detecta e bloqueia). Eles não são intercambiáveis, pois um IPS é uma evolução do IDS, adicionando a capacidade de prevenção. O material de apoio deixa claro que o IPS "acrescenta à detecção de ataques a possibilidade de prevenção", ou seja, não são idênticos.

Alternativa D — ❌ Incorreta

A alternativa D afirma que "um IDS é mais adequado para servidores locais, enquanto um IPS é mais eficaz em ambientes de nuvem", o que é uma generalização sem fundamento técnico. A escolha entre IDS e IPS não depende do ambiente (local ou nuvem), mas sim da necessidade de ação passiva ou ativa. Ambos podem ser usados em servidores locais e em nuvem, dependendo da arquitetura de segurança. Não há essa distinção de adequação por ambiente.

Alternativa E — ❌ Incorreta

A alternativa E afirma que "um IPS é uma versão mais antiga de um IDS, com menos recursos de segurança", o que é o oposto da verdade. O IPS é uma evolução do IDS, adicionando a capacidade de prevenção (bloqueio). Portanto, o IPS é mais novo e tem mais recursos, não menos. O material de apoio confirma que o IPS "acrescenta à detecção de ataques a possibilidade de prevenção", ou seja, é uma versão mais avançada.

Gabarito: letra A