Questões de Concurso sobre IDS

Em um ambiente de rede corporativa, a implementação de um SIEM (Security Information and Event Management) é crucial para a detecção proativa de ameaças.

Qual a principal funcionalidade de um SIEM que o diferencia de um IDS/IPS (Intrusion Detection/Prevention System) e como ele contribui para a análise forense digital?

Uma empresa precisou proteger sua rede com um sistema de detecção de intrusão (IDS) que monitora todos os pacotes dessa rede e os compara com assinaturas de ataque em um banco de dados de ameaças conhecidas. Esse tipo de IDS é o:

O IDS (lntrusion Detection System) é um sistema de segurança utilizado para monitorar atividades suspeitas ou maliciosas em ambientes computacionais, permitindo identificar possíveis tentativas de invasão, exploração de vulnerabilidades ou comportamentos anômalos. Esses sistemas podem analisar eventos em hosts individuais ou no tráfego de rede, gerando alertas para que administradores de segurança possam tomar medidas preventivas ou corretivas. Considerando os diferentes tipos de IDS, existe uma categoria específica projetada para monitorar o tráfego da rede, analisando pacotes que circulam pelos segmentos de comunicação a fim de identificar padrões de ataques ou comportamentos suspeitos. Assim, qual é o tipo de IDS responsável por realizar esse monitoramento em nível de rede?

Durante a análise dos registros de tráfego da rede institucional do Conselho Regional de Enfermagem (Coren), a equipe de Tecnologia da Informação verificou a ocorrência de atividades incompatíveis com o padrão habitual de funcionamento dos sistemas corporativos. Entre os eventos observados estavam conexões simultâneas de origem externa, variações incomuns no fluxo de pacotes e tentativas reiteradas de interação com serviços publicados na infraestrutura interna. Diante da necessidade de ampliar o monitoramento da rede e fortalecer mecanismos automatizados de resposta a eventos suspeitos, a equipe buscou implementar soluções capazes de detectar atividades potencialmente maliciosas e agir preventivamente sobre o tráfego identificado. A partir desse contexto, assinale a alternativa que apresenta as soluções MAIS adequadas para essa finalidade.

A equipe de segurança da Assembleia busca um dispositivo que possa monitorar o tráfego de rede em tempo real, identificar padrões de ataques conhecidos ou anomalias comportamentais e, especificamente, tomar uma ação imediata, como derrubar a conexão ou bloquear o endereço IP de origem do tráfego malicioso detectado.

O dispositivo de segurança, responsável pela detecção de intrusão e pela prevenção ou bloqueio ativo do tráfego malicioso, é

A arquitetura de sistemas de detecção e prevenção de intrusão envolve a análise de assinaturas e anomalias. Sobre as distinções entre IDS e IPS, analise as seguintes afirmativas.

I- O IDS gera um impacto menor na latência da rede, pois não precisa processar o pacote antes de encaminhá-lo.

II- O IPS impede ataques conhecidos através da interrupção da sessão TCP ou bloqueio de IP.

III- O IDS é responsável por realizar o backup automático de bases de dados após um ataque.

IV- A principal função do IDS é a filtragem de pacotes baseada puramente em portas e protocolos, como um firewall comum.

V- O IPS pode sofrer com “falsos positivos”, o que pode causar o bloqueio indevido de tráfego legítimo.

É CORRETO o que se afirma apenas em:

Um consórcio intermunicipal de saúde implantou uma nova infraestrutura de rede para interligar hospitais e unidades básicas de saúde. Para aumentar a segurança, foram configurados equipamentos de rede capazes de controlar o tráfego de entrada e saída, além da instalação de um sistema no servidor responsável por monitorar conexões, bloquear acessos não autorizados e aplicar regras de comunicação entre redes internas e externas. Entre os mecanismos de defesa utilizados, assinale a alternativa que corresponde CORRETAMENTE a esse componente.

Em uma investigação de acesso não autorizado, o perito precisa identificar qual componente da arquitetura de segurança realiza a correlação centralizada de eventos provenientes de múltiplas fontes (firewalls, AD, IDS, endpoints e aplicações).

A tecnologia responsável por essa função é chamada

Após a identificação de um acesso não autorizado a um servidor crítico da Assembleia, o Analista de Redes deve iniciar o processo de resposta a incidentes. A primeira etapa é garantir que o invasor não possa mais atuar e preservar evidências.

Diante desse cenário, a primeira ação a ser tomada após a detecção e durante o estágio inicial de contenção de um incidente de segurança, é

Sistemas de detecção de intrusão (IDS) podem atuar de forma passiva ou ativa, sendo capazes, em ambos os casos, de bloquear automaticamente atividades maliciosas identificadas.

Em uma infraestrutura de rede corporativa, diferentes mecanismos de segurança são utilizados para proteção contra acessos não autorizados e ataques cibernéticos. Entre esses mecanismos destacam-se os firewalls, os sistemas de detecção de intrusão (IDS) e os sistemas de prevenção de intrusão (IPS). Com base nesses conceitos, assinale a alternativa CORRETA:

Para detectar um espectro maior de ataques em redes, é preciso realizar uma inspeção profunda de pacotes, e não somente em uma aplicação específica. Um dispositivo de segurança com esse tipo de atuação, que, ao observar pacotes suspeitos, ou uma série deles, impede que tais pacotes entrem na rede organizacional e também observa e gera alertas quando identifica tráfegos potencialmente malintencionados é denominado:

Em um ambiente de rede corporativa, um administrador de segurança implementou um Sistema de Detecção de Intrusão (IDS), baseado em anomalias para identificar ameaças internas e ataques de dia zero.

Assinale a opção que apresenta a principal desvantagem que esse administrador, provavelmente enfrentará em comparação com um IDS baseado em assinaturas, e o motivo.

IDS podem ser definidos como um tipo de ferramenta de software ou appliance capaz de detectar eventos com base em assinatura e em características que os tornam suspeitos na rede sob análise.

O que é um IDS (Intrusion Detection System)?

Na análise do incidente, o perito deve buscar vestígios nos metadados de arquivos em diferentes formatos, tais como PDF e JPG, além de logs do sistema e artefatos armazenados em memória.

Em um ambiente de segurança de rede, indique, entre as opções a seguir, o tipo de dispositivo projetado para detectar atividades maliciosas ou violações de políticas de segurança, mas não necessariamente bloquear o tráfego.

Atualmente, a detecção de anomalias utiliza diversos métodos de inteligência artificial para identificar automaticamente alterações inesperadas no comportamento normal de um conjunto de dados.

Com relação à detecção de anomalias, avalie as afirmativas a seguir.

I. Identificar e tratar anomalias de dados é importante por várias razões como, por exemplo, melhorar a qualidade de dados; tornar a tomada de decisão mais aprimorada; e alcançar desempenho otimizado em sistemas inteligentes.

II. A detecção de anomalias tem uma variedade de casos de uso em vários setores. Por exemplo, é usada em finanças para detecção de fraudes; na indústria, para identificar defeitos ou mau funcionamento de equipamentos; em cibersegurança, para detectar atividades incomuns de rede; e, na saúde, para identificar condições anormais de pacientes.

III. A detecção de valor discrepante pode ser desafiadora, porque as anomalias costumam ser raras e as características do comportamento normal podem ser complexas e dinâmicas. Do ponto de vista de uma organização, é essencial identificar anomalias reais em vez de falsos positivos ou ruído de dados.

Está correto o que se afirma em:

Uma diferença entre sistemas de segurança do tipo IDS e IPS é que o IPS