Um sistema de detecção de intrusão pode ser definido como um mecanismo automatizado de segurança e defesa detectando atividades ameaçadoras em uma rede ou em um computador. O tipo de sistema de detecção de intrusão baseado em regras predefinidas e que verifica se o tráfego de rede coincide com essas regras é o sistema de detecção de intrusão baseado em
- A)anomalias.
Errada, porque detecção por anomalias busca desvios do comportamento normal, e não regras previamente cadastradas.
- B)assinaturas.
Certa, pois o sistema compara o tráfego com padrões ou regras conhecidas, caracterizando detecção por assinaturas.
- C)redes neurais.
Errada, porque redes neurais podem ser usadas em soluções inteligentes de segurança, mas não definem, por si só, o modelo clássico descrito no enunciado.
- D)aprendizado de máquina.
Errada, pois aprendizado de máquina é uma técnica possível em segurança, mas a descrição da questão aponta para a classificação tradicional por assinaturas.
Gabarito: B
Um sistema de detecção de intrusão (IDS) funciona como um "vigia" da rede: ele observa o tráfego e tenta identificar comportamentos suspeitos. Entre os modelos mais cobrados em prova, há dois clássicos: o baseado em assinaturas e o baseado em anomalias. O primeiro compara o tráfego com padrões já conhecidos de ataque, como se fosse uma lista de ameaças famosas. Quando o enunciado fala em "regras predefinidas" e em verificar se o tráfego coincide com essas regras, ele está descrevendo exatamente a lógica de assinaturas. É como um antivírus de rede: se o pacote bate com um padrão previamente catalogado, o sistema alerta. A vantagem é a precisão para ameaças conhecidas; a desvantagem é que ataques novos podem passar despercebidos até a regra ser criada. Já o modelo por anomalias procura desvios do comportamento normal, não depende de uma lista fixa de ataques. Por isso, a banca usa muito essa diferença para confundir: uma coisa é comparar com o conhecido, outra é procurar o esquisito. Aqui, o texto foi direto ao ponto ao falar de regras predefinidas, então não tem mistério. Em doutrina de segurança da informação, essa distinção é padrão: IDS por assinaturas detecta padrões previamente definidos, enquanto IDS por anomalia identifica variações fora do normal. Logo, o gabarito B está correto.