Questão de Segurança da Informação — SIEM (Security Information and Event Management) — Quadrix 2025

SIEM (Security Information and Event Management)

Gabarito: letra B. O SIEM é a plataforma projetada exatamente para agregar, padronizar (normalizar) e correlacionar eventos de segurança de múltiplas fontes em tempo real, gerando alertas consolidados — é a base operacional de um SOC. As demais opções (EDR, servidor de logs, WAF e NGFW) desempenham papéis distintos e não atendem à descrição completa do enunciado.

O problema descrito na questão é clássico: logs de firewalls, servidores Windows/Linux e Active Directory espalhados em locais e formatos diferentes. Sem uma camada de consolidação, o analista de segurança não consegue enxergar o quadro completo de um ataque — cada fonte isolada mostra apenas um fragmento. É aí que entra o SIEM (Security Information and Event Management), que combina duas disciplinas: o SEM (Security Event Management), focado na gestão de eventos em tempo real, e o SIM (Security Information Management), voltado ao armazenamento e análise de informações históricas.

O funcionamento do SIEM segue um fluxo bem definido: primeiro ele coleta logs e eventos de diversas fontes (firewalls, IDS/IPS, servidores, aplicações, bancos de dados); depois normaliza esses dados, ou seja, padroniza formatos diferentes em um esquema comum; em seguida armazena tudo de forma centralizada; e então correlaciona os eventos, buscando padrões suspeitos que não seriam percebidos isoladamente. Quando identifica algo relevante, gera alertas e notificações, apoiando a investigação e a resposta a incidentes. É por isso que o SIEM é considerado a base operacional de um SOC (Security Operations Center) — ele transforma eventos dispersos em informação de segurança acionável.

Um exemplo prático: um atacante invade um servidor web, depois tenta acessar o Active Directory e, por fim, executa um comando em um host Linux. Isoladamente, cada log pode parecer inofensivo. Mas o SIEM, ao correlacionar os três eventos em sequência, identifica o padrão de ataque e dispara um alerta consolidado. Sem essa correlação, a detecção perde eficácia — e é exatamente essa a dificuldade descrita no enunciado.

É importante distinguir o SIEM de outras ferramentas de segurança, pois a banca explora essas diferenças. O EDR (Endpoint Detection and Response) atua nos endpoints (estações, servidores, notebooks), monitorando processos e comportamentos suspeitos no ponto final do ataque. O servidor de logs apenas armazena logs de forma centralizada, sem correlacionar ou gerar alertas inteligentes. O WAF (Web Application Firewall) protege especificamente aplicações web contra ataques como SQL Injection e XSS. E o NGFW (Next-Generation Firewall) é um firewall com funcionalidades avançadas, como inspeção profunda de pacotes e prevenção de intrusão, mas não é uma plataforma de correlação de eventos.

A pegadinha desta questão está em confundir o SIEM com o servidor de logs (alternativa C). Ambos centralizam logs, mas o servidor de logs não realiza a correlação nem a análise em tempo real — ele é apenas um repositório. O SIEM vai além: normaliza, correlaciona e gera alertas. Guarde essa fronteira: centralizar ≠ correlacionar. É exatamente nesse ponto que as alternativas se dividem.

Alternativa A — ❌ Incorreta

O EDR (Endpoint Detection and Response) é uma solução focada nos endpoints — estações de trabalho, servidores e notebooks. Ele monitora processos, comportamento de arquivos e atividades suspeitas no próprio dispositivo, oferecendo visibilidade e resposta no ponto final do ataque. Embora possa enviar dados para um SIEM, o EDR não é projetado para agregar e correlacionar logs de múltiplas fontes como firewalls, servidores e Active Directory. A descrição do enunciado exige uma plataforma centralizadora e correlacionadora, papel do SIEM, não do EDR.

Alternativa B — ✅ Correta ⟵ GABARITO

O SIEM (Security Information and Event Management) é exatamente a plataforma descrita: coleta logs e eventos de múltiplas fontes (firewalls, servidores Windows/Linux, Active Directory), normaliza os formatos distintos, correlaciona os eventos em tempo real e gera alertas consolidados. É a ferramenta central de um SOC, permitindo detectar padrões suspeitos que não seriam percebidos isoladamente. As palavras-chave do enunciado — "agregar", "padronizar", "correlacionar", "tempo real", "alertas consolidados" — são a definição clássica de SIEM.

Alternativa C — ❌ Incorreta

O servidor de logs (ou central de logs) é um repositório que armazena logs de forma centralizada, mas não realiza a correlação nem a análise em tempo real com geração de alertas consolidados. Ele é um componente que pode alimentar um SIEM, mas sozinho não resolve o problema descrito no enunciado, que exige padronização e correlação de eventos. A banca tenta confundir o candidato ao oferecer uma opção que também "centraliza" logs, mas sem a inteligência de correlação.

Alternativa D — ❌ Incorreta

O WAF (Web Application Firewall) é um firewall especializado em proteger aplicações web, filtrando e monitorando tráfego HTTP/HTTPS contra ataques como SQL Injection, Cross-Site Scripting (XSS) e outras ameaças específicas da camada de aplicação. Ele não tem a função de agregar e correlacionar logs de múltiplas fontes de segurança; sua atuação é focada no tráfego web, não na consolidação de eventos de todo o ambiente.

Alternativa E — ❌ Incorreta

O NGFW (Next-Generation Firewall) é um firewall de próxima geração que combina funcionalidades tradicionais de filtragem de pacotes com recursos avançados, como inspeção profunda de pacotes (DPI), prevenção de intrusão (IPS) e controle de aplicações. Embora possa gerar logs e até integrar-se a um SIEM, ele é um dispositivo de controle de tráfego, não uma plataforma de correlação de eventos. A descrição do enunciado — agregar, padronizar e correlacionar eventos de múltiplas fontes — é exclusiva do SIEM.

Gabarito: letra B