Questão 10567

• Banca: ESAF
• Órgão: CGU
• Ano: 2006
• Provas: ESAF - 2006 - CGU - Analista de Finanças e Controle - Tecnologia da Informação - Prova 3
• Disciplina: Segurança da Informação
• Assuntos: Sistemas de Prevenção-Detecção de Intrusão

A respeito da detecção de intrusão é incorreto afirmar que

• A. a detecção de intrusos baseia-se na suposição de que o comportamento de intrusos difere do comportamento de usuários legítimos.
• B. a detecção baseada em regras compreende a definição de um conjunto de regras usadas para decidir a respeito de um dado comportamento.
• C. SDIs (Sistemas de Detecção de Intrusos) de rede utilizam fontes de informação tais como auditoria do sistema operacional e logs do sistema.
• D. ataques de DoS (Denial of Service) consistem em sobrecarregar um servidor com uma quantidade excessiva de solicitação e são considerados possíveis de detectar por parte de SDIs.
• E. um falso negativo ocorre quando uma ação maléfica é classificada como normal, aumentando as vulnerabilidades.

Gabarito: C

Comentários

• Host-based IDS gets info from OS and logs, not Network-based IDS like stated on item (C). The pitfall is this little word "rede", that leads to a different kind of IDS.

• Detecção de intrusão é uma tentativa de monitorar estações ou fluxos de rede com o intuito de descobrir ações de intrusos. Mais especificamente, um SDI tenta detectar ataques ou usos impróprios e alerta o responsável pela rede do acontecimento. O funcionamento é análogo ao de um sistema de detecção de ladrões, usado em casas para se proteger de eventuais incidentes. O sistema domiciliar inicialmente precisa ser configurado e ter especificado o que monitorar (janelas, portas, movimento) e para quem alertar ou chamar em caso de uma invasão (polícia, donos da casa). No sistema computacional, também precisamos determinar se queremos monitorar fluxos de rede, processos internos de uma estação ou servidor, ou ainda um sistema de arquivos, por exemplo. E devemos deixar claro para quem enviar os alarmes ou relatórios e como estes devem ser enviados, tendo como alternativas o e-mail, pager, ou ainda um pacote SNMP.

   

  
  fonte: http://www.gta.ufrj.br/grad/03_1/sdi/index.htm

• O erro da alternativa "c" está em afirmar que um SDI de rede (ou NIDS) utiliza fontes de informação de auditoria do sistema operacional e logs do sistema. Isso seria verdade para o SDI de hosts (ou HIDS), que utiliza informações do host para detectar intrusão.