O MPF processa milhares de requisições diárias e está preocupado com ataques cibernéticos, como varreduras de porta, ataques de negação de serviço (DoS) e a disseminação de malware. Para proteger sua infraestrutura, o MPF decide implementar um sistema IDS que: • detecte ataques conhecidos rapidamente; • reconheça padrões de tráfego anormais que possam indicar novos tipos de ataques; e • minimize alarmes falsos que possam sobrecarregar a equipe de resposta. O tipo mais adequado para atender essas necessidades é um sistema IDS:
- A)baseado em anomalias;
Errada, porque a detecção por anomalias ajuda a perceber comportamentos novos, mas costuma gerar mais falsos positivos e não é a mais rápida para ataques já conhecidos.
- B)baseado em assinaturas;
Errada, porque assinaturas detectam bem ameaças conhecidas e com baixa taxa de erro, mas não identificam bem padrões novos ou desconhecidos.
- C)com implementação de controle de acesso baseado em identidade;
Errada, porque controle de acesso baseado em identidade é outra medida de segurança, não um tipo de IDS.
- D)que combine assinaturas e detecção baseada em anomalias;
Certa, porque combina a rapidez e precisão das assinaturas com a capacidade de detectar comportamentos anormais, equilibrando cobertura e redução de falsos alarmes.
- E)baseado em assinaturas, configurado para ignorar alarmes de anomalias.
Errada, porque um sistema baseado em assinaturas não deve simplesmente ignorar anomalias, já que isso eliminaria a capacidade de perceber ataques novos ou desvios relevantes.
Gabarito: D
Em sistemas IDS, voce precisa pensar em dois mundos: o da detecção por assinaturas e o da detecção por anomalias. O primeiro funciona como uma lista de crimes já conhecidos: se o tráfego bater com um padrão previamente catalogado, o alerta dispara rápido. É ótimo para ataques já mapeados, como certas varreduras de porta, malwares conhecidos e padrões clássicos de DoS. Já a detecção por anomalias olha para o comportamento esperado da rede e procura desvios. Se de repente surge um volume estranho de conexões, horários incomuns ou um perfil de tráfego que foge do normal, o IDS levanta a mão. Isso ajuda a perceber ataques novos ou variações que ainda não viraram “assinatura”. O problema é que cada abordagem sozinha tem uma fraqueza. Assinaturas são rápidas e precisas, mas não enxergam bem o que ainda não foi documentado. Anomalias pegam novidades, mas costumam gerar mais alarmes falsos, o que pode cansar a equipe de segurança. Em prova, quando o enunciado quer velocidade para ataques conhecidos, percepção de padrões anormais e redução de falsos positivos, ele está pedindo uma solução combinada. Por isso, o gabarito é a letra D: um IDS que combine assinaturas e detecção baseada em anomalias. Doutrinariamente, é a ideia clássica de complementaridade entre métodos: um cobre a base conhecida e o outro amplia a cobertura para comportamentos suspeitos. Na prática, é o melhor casamento para não deixar o cofre aberto e nem tocar sirene à toa a cada espirro da rede.