Um sistema antivírus pode funcionar como um IDS (Intruder Detection System), identificando desvios de comportamento no sistema computacional para gerar alertas de atividade maliciosa. Quando isso ocorre, o antivírus está atuando
- A)como detector de mau uso.
Errada, porque detector de mau uso se relaciona mais com identificar uso indevido ou políticas violadas, não com desvios genéricos de comportamento do sistema.
- B)com base em rede.
Errada, pois base em rede caracteriza IDS que monitora tráfego de rede, e o enunciado fala de comportamento no sistema computacional.
- C)com base em host.
Errada, porque base em host é a classificação pelo local de monitoramento, e não pelo critério de detectar desvios comportamentais.
- D)como detector de anomalias.
Certa, pois a descrição fala em identificar desvios de comportamento para gerar alertas, o que é exatamente detecção por anomalias.
- E)de forma ativa.
Errada, porque atuação ativa remete a resposta automática ou bloqueio, enquanto o enunciado destaca apenas a geração de alertas.
Gabarito: D
Quando um antivírus identifica um comportamento estranho do sistema e dispara um alerta, ele está usando a lógica de detecção por anomalias. A ideia aqui não é procurar apenas uma assinatura conhecida de vírus, mas comparar o que está acontecendo com um padrão esperado de funcionamento. Se algo foge muito da curva, o sistema “desconfia” e avisa. No universo dos IDS, isso é bem clássico: detecção por assinatura procura algo já conhecido, enquanto detecção por anomalia procura desvios de comportamento. É como notar que alguém entrou no prédio com a roupa certa, mas no horário errado, pela porta errada e carregando um sofá. Pode até não ser o caso de um ataque, mas chama atenção. Por isso, o gabarito é a alternativa D. O enunciado destaca exatamente o “desvio de comportamento no sistema computacional para gerar alertas”, que é a essência de um detector de anomalias. Doutrinariamente, essa é uma das formas tradicionais de funcionamento de IDS, ao lado da detecção por assinatura e, em alguns contextos, da análise de comportamento. Só um cuidado: nem todo antivírus atua assim o tempo todo. Muitos trabalham primeiro com assinaturas, e alguns módulos mais avançados usam análise comportamental. A questão, porém, quer a classificação do modo de detecção descrito, e aí não tem mistério.