Um IPS identificou pacotes maliciosos por meio de escaneamen...
O método empregado denomina-se:
Gabarito comentado
Confira o gabarito comentado por um dos nossos professores
Alternativa Correta: D - correspondência com estado.
Vamos entender por que a alternativa D é a correta. A questão aborda um Sistema de Prevenção de Intrusão (IPS) que identifica pacotes maliciosos analisando o tráfego de dados como um todo, em vez de apenas pacotes individuais. Este método é conhecido como correspondência com estado ou stateful inspection.
Um IPS que usa a correspondência com estado monitora o estado de conexões de rede, permitindo uma análise mais detalhada das comunicações em andamento. Diferentemente da simples inspeção de pacotes, a abordagem com estado permite que o IPS entenda o contexto das comunicações, detectando padrões de ataque que emergem ao longo de várias trocas de dados.
Alternativas Incorretas:
A - bastião duplo em T: Essa opção não é relevante para a detecção de intrusões. Os bastiões são geralmente utilizados em configurações de firewall para aumentar a segurança, mas não se referem a técnicas de identificação de pacotes maliciosos.
B - anomalia de tráfego: Embora a detecção de anomalias possa ser usada para identificar padrões suspeitos no tráfego de rede, ela se baseia na identificação de desvios de comportamento esperado, não necessariamente por análise de estado.
C - anomalia estatística: Similar à anomalia de tráfego, este método baseia-se em estatísticas e padrões de uso, em contraste com a análise de estados das conexões.
E - correspondência com padrão: Está mais relacionada à detecção baseada em assinaturas, onde pacotes são comparados a assinaturas conhecidas de ataques, sem exame do estado das conexões.
Compreender as diferenças entre métodos de detecção de intrusão é crucial para responder corretamente a questões sobre IPS em concursos. A técnica de correspondência com estado é uma abordagem avançada que se destaca por sua capacidade de análise contextual.
Gostou do comentário? Deixe sua avaliação aqui embaixo!
Clique para visualizar este gabarito
Visualize o gabarito desta questão clicando no botão abaixo
Comentários
Veja os comentários dos nossos alunos
Achei essa questão esquisita.
A análise de protocolo com estado foca no comportamento do protocolo — por exemplo, pode identificar um ataque de distributed denial-of-service (DDoS) detectando um único endereço IP fazendo muitas solicitações de conexão TCP simultaneamente em um curto período.
https://www.ibm.com/br-pt/topics/intrusion-prevention-system
- O termo IPS (Intrusion Prevention System) refere-se a um Sistema de Prevenção de Intrusões, uma tecnologia de segurança usada para detectar e prevenir atividades maliciosas ou não autorizadas em uma rede. O IPS monitora o tráfego de rede em tempo real e pode tomar ações automáticas para proteger o ambiente, como bloquear ou impedir ataques cibernéticos, antes que eles causem danos.
- Funcionalidades do IPS:
- Monitoramento em tempo real: O IPS inspeciona o tráfego de rede em busca de padrões conhecidos de ataques, vulnerabilidades ou comportamentos suspeitos.
- Prevenção ativa: Diferente do IDS (Intrusion Detection System), que apenas detecta intrusões e gera alertas, o IPS também toma ações corretivas imediatamente. Isso pode incluir o bloqueio de pacotes de dados maliciosos, a interrupção de sessões ou a reconfiguração de firewalls.
- Análise de assinaturas: O IPS usa uma base de dados de assinaturas de ameaças conhecidas (como vírus, worms, ataques de negação de serviço) para identificar ataques com base em padrões específicos.
- Análise comportamental: Além das assinaturas, o IPS pode analisar comportamentos anômalos na rede. Por exemplo, um tráfego excessivo de uma máquina pode indicar um ataque de negação de serviço (DDoS)
- A. bastião duplo em T: Termo que não se relaciona com detecção de intrusões.
- B. anomalia de tráfego: Refere-se a comportamentos de tráfego que estão fora do normal, mas não necessariamente à análise de assinaturas.
- C. anomalia estatística: Refere-se à identificação de padrões anômalos em dados de tráfego, mas não é o foco da análise de assinaturas.
- D. correspondência com estado: Envolve a análise de estados de conexão, observando o comportamento ao longo do tempo, permitindo identificar atividades maliciosas baseadas em um conjunto de pacotes.
- E. correspondência com padrão: Esse método é de fato relevante na detecção de intrusões, pois se refere à identificação de pacotes que correspondem a assinaturas específicas de ataques. Contudo, a descrição fala em "um conjunto de tráfego de dados", o que sugere uma análise mais contextual.
- Correspondência com padrão (opção E) é uma técnica válida para identificação de ataques, onde o sistema procura pacotes que se encaixam em padrões conhecidos (assinaturas de ataque).
- Correspondência com estado (opção D) refere-se à análise de pacotes em relação ao estado de uma conexão, podendo ser mais abrangente no contexto de detecção de intrusões, considerando as relações entre os pacotes.
A escolha entre D e E pode depender do enfoque específico da questão:
- Se o foco for em analisar pacotes dentro de um contexto de tráfego maior (conexões e estados), D é a melhor resposta.
- Se o foco estiver na identificação de pacotes que seguem padrões específicos de ataque (análise de assinatura), então E é mais apropriada.
Dado que a banca marcou D, isso sugere que o foco estava na análise do estado das conexões no contexto da detecção. Se a pergunta fosse mais centrada na identificação direta de assinaturas, então E poderia ser uma escolha válida.
Na minha visão passível de anulação.
O item descreve a identificação de pacotes maliciosos por meio de escaneamento em busca de assinaturas de ataque em um conjunto de tráfego de dados, em vez de analisar pacotes de forma isolada. Esse processo indica uma análise mais abrangente, onde o tráfego contínuo ou os padrões de comunicação são considerados como um todo, em busca de correspondências com assinaturas de ataque.
O método descrito na questão é caracterizado por uma análise que leva em conta a sequência de pacotes ou o fluxo de dados em vez de tratar pacotes individuais de forma separada. Isso implica que o IPS (Sistema de Prevenção de Intrusões) está analisando o estado ou o contexto da comunicação para identificar atividades maliciosas.
A alternativa que mais se adequa a esse tipo de análise é a correspondência com estado. Esse método envolve o rastreamento do estado da conexão ou do fluxo de tráfego, permitindo que o sistema entenda o contexto da comunicação, facilitando a detecção de ataques mais complexos que envolvem múltiplos pacotes ou fluxos de dados.
Portanto, a resposta correta é:
Resposta: D - correspondência com estado - chatgpt
Bastião Duplo em T
Este termo não é comum em IPS, mas pode se referir a uma arquitetura de segurança ou uma estratégia de defesa em profundidade, onde há múltiplos níveis de proteção (semelhante a duas "defesas" em T) para proteger uma rede. No contexto de IPS, isso pode significar a aplicação de múltiplas técnicas ou camadas de segurança para detectar e bloquear intrusões de forma mais eficaz.
Anomalia de tráfego
Anomalia de tráfego refere-se a padrões de tráfego na rede que são diferentes dos comportamentos normais esperados. Isso pode indicar um ataque ou atividade suspeita, como um DDoS (Distributed Denial of Service) ou um scan de rede. O IPS pode ser configurado para identificar essas anomalias e tomar medidas preventivas, como bloquear o tráfego suspeito.
Anomalia estatística
A anomalia estatística envolve a análise do tráfego de rede com base em métodos estatísticos para identificar comportamentos que se desviarem de padrões conhecidos. Por exemplo, se um fluxo de tráfego usualmente consome 100 Kbps e, de repente, começa a consumir 1 Mbps sem explicação, isso seria considerado uma anomalia estatística. Essa técnica pode ser usada em IPS para detectar atividades incomuns que podem indicar um ataque ou comprometimento.
Correspondência com estado
A correspondência com estado refere-se a monitorar o estado de uma sessão ou conexão. O IPS mantém o estado de cada conexão para verificar se os pacotes que estão sendo enviados e recebidos são consistentes com os pacotes anteriores de uma conexão estabelecida. Se um pacote estiver fora de contexto (não corresponder ao estado esperado de uma conexão), o IPS pode sinalizá-lo como uma ameaça.
Correspondência com padrão
A correspondência com padrão (ou signature-based detection) envolve o comparar pacotes ou fluxos de dados com padrões conhecidos de ataques (também chamados de "assinaturas"). Por exemplo, se um pacote de dados corresponder a uma assinatura conhecida de um vírus ou exploit, o IPS pode detectá-lo e bloquear a ameaça. Esse tipo de detecção é muito eficaz para ataques conhecidos, mas tem limitações para detectar novas ameaças ou variantes desconhecidas.
- Bastião duplo em T: Pode se referir a múltiplas camadas de defesa ou uma estratégia de segurança em várias frentes (não é um termo técnico comum em IPS, mas pode estar relacionado a arquiteturas de segurança).
- Anomalia de tráfego: Detecta comportamentos incomuns de tráfego de rede que podem indicar um ataque.
- Anomalia estatística: Usa análise estatística para identificar variações no tráfego que podem indicar atividades maliciosas.
- Correspondência com estado: Monitora o estado das conexões para garantir que os pacotes de dados estejam em conformidade com o protocolo de comunicação.
- Correspondência com padrão: Detecta ataques conhecidos comparando pacotes de dados com assinaturas específicas.
-CHATGPT
Clique para visualizar este comentário
Visualize os comentários desta questão clicando no botão abaixo
Conheça nossos planos