Questão 880242

Os IDS são capazes de detectar uma variedade de mecanismos de intrusão. Geralmente possuem mecanismos de detecção de ataques não conhecidos o que sugere que esses sistemas além de mecanismos de assinaturas de ataques, tem componentes de aprendizado/adaptação.

A detecção de intrusões não precisa ser, necessariamente, em tempo real, mas sendo dentro de um tempo curto, tende a ser suficiente, uma vez que o tempo de resposta em tempo real exige ações em tempo real e nem sempre isso é desejável. O que não pode ocorrer são respostas a intrusões anos após a ocorrência.

Devem apresentar análises tão simples quanto possíveis, pois sistemas dessa magnitude costumam monitorar diversas interfaces e redes distintas. Por isso, as respostas de segurança podem ser automatizadas, quando possível e simples de validar, quando o sistema apresentar possíveis falsos positivos.

Sistemas de detecção de intrusão são determinísticos, ou seja, eles sabem exatamente quando um ataque está acontecendo sem qualquer sombra de dúvidas. Isso só é possível graças aos novos sistemas de inteligência artificial, de aprendizado profundo, que são capazes de sempre saber o que é ou não um ataque.

Ter boa acurácia é algo fundamental para qualquer sistema de detecção de intrusão. Um falso positivo pode ocorrer e vai levar a intervenção para monitoramento, mas é muito pior quando temos um falso negativo, pois um ataque ocorreu e o sistema de detecção de intrusão falhou em determinar que era um ataque.