A equipe de guerra cibernética do Tribunal de Justiça, após treinamento realizado em ferramenta baseada em defesa cibernética, entendeu, quanto ao método de abordagem de detecção empregado, que um sistema de detecção de intrusão pode ser classificado como baseado em uso indevido ou em anomalia. A característica dos sistemas de detecção de intrusão que se enquadram na classe de detecção por uso indevido é a que:
- A)procura por padrões de ataques e intrusões previamente conhecidos, além de ataques com características precisas, bem definidas e que podem ser facilmente codificadas em um sistema especialista;
Certa, porque a detecção por uso indevido procura padrões de ataques já conhecidos e facilmente codificáveis.
- B)determina ou cria modelos que representem o comportamento normal ou esperado do sistema computacional ou rede em análise e alertam sempre que desvios nesse comportamento esperado forem encontrados;
Errada, porque descreve detecção por anomalia, baseada no comportamento normal do sistema e em desvios.
- C)tem como premissa básica que atividades de intrusão ou ataque façam parte do subconjunto composto por atividades anômalas;
Errada, porque trata a intrusão como parte das atividades anômalas, o que é lógica da detecção por anomalia.
- D)estabelece um perfil de utilização normal do sistema, sendo que qualquer variação desse perfil que tenha significado estatístico e ultrapasse o limiar estabelecido pode vir a ser um ataque;
Errada, porque fala em perfil normal e variação estatística, característica típica da detecção por anomalia.
- E)estabelece um limiar em que não se deixe de detectar tentativas reais, chamadas de falsos negativos, nem detectar tentativas que na verdade são atividades normais, conhecidas como falsos positivos.
Errada, porque aborda equilíbrio entre falsos positivos e falsos negativos, e não a distinção entre uso indevido e anomalia.
Gabarito: A
Em sistemas de detecção de intrusão, a ideia central muda conforme o método de abordagem. Na detecção por anomalia, o sistema aprende o que é comportamento normal e dispara alerta quando encontra desvios. Já na detecção por uso indevido, ele procura sinais de ataques já conhecidos, como se tivesse uma lista de "suspeitos procurados". É mais ou menos a diferença entre reconhecer um rosto específico e perceber que alguém está agindo de forma esquisita na fila do banco. A questão pede exatamente a característica da detecção por uso indevido: identificar padrões de ataques e intrusões previamente conhecidos, com regras bem definidas e que podem ser codificadas em um sistema especialista. Por isso, o gabarito é a letra A. Na doutrina de segurança da informação, essa classificação é clássica: uso indevido = assinatura, padrão conhecido, ataque já catalogado; anomalia = desvio do padrão normal. Em prova, a banca gosta de misturar os conceitos, então vale gravar a regra de ouro: se fala em "padrões conhecidos", pense em uso indevido; se fala em "desvio do normal", pense em anomalia.