Capítulo 16 — Arquitetura de segurança
Mapa da aula
Aula 16 publicada. Mapa, exemplo, EX032.
flowchart TD
N0["16.1 Princípios que duram"]
N1["16.2 Uma arquitetura de referência em camadas"]
N2["16.3 Defesa em profundidade e zero trust"]
N3["16.4 Acesso remoto"]
N4["16.6 Atividade prática"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX032"]
Desenho lógico
flowchart LR
N0["16.1 Princípios que duram"]
N1["16.2 Uma arquitetura de referência em camadas"]
N2["16.3 Defesa em profundidade e zero trust"]
N3["16.4 Acesso remoto"]
N4["16.6 Atividade prática"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX032"]
[16.1 Princípios que duram]
|
v
[16.2 Uma arquitetura de referência em camadas]
|
v
[16.3 Defesa em profundidade e zero trust]
|
v
[16.4 Acesso remoto]
|
v
[16.6 Atividade prática]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX032]
Objetivos de aprendizagem e conexão
Depois deste capítulo, você consegue (1) aplicar os princípios clássicos de projeto — menor privilégio, padrões à prova de falha, economia de mecanismo, mediação completa, separação de privilégio; (2) descrever uma arquitetura de referência em camadas para um operador de serviço crítico, da empresa ao campo; (3) explicar a defesa em profundidade e o zero trust e os seus limites na tecnologia operacional; e (4) projetar um acesso remoto seguro para fornecedores. O capítulo se apoia nos Capítulos 7, 11 e 13 e prepara o Capítulo 21 (modelos de sistema) e o Capítulo 24 (controles).
16.1 Princípios que duram
Os princípios de Saltzer e Schroeder, de 1975, ainda enquadram a arquitetura de segurança (Saltzer and Schroeder): economia de mecanismo (manter tudo simples o bastante para ser verificado); padrões à prova de falha (negar a menos que seja permitido); mediação completa (conferir todo acesso); projeto aberto (a segurança não deve depender do sigilo do projeto); separação de privilégio (exigir mais de uma condição — duas pessoas, duas chaves); menor privilégio; menor mecanismo comum (minimizar os componentes compartilhados); e aceitabilidade psicológica (se for difícil demais de usar, as pessoas contornam). Cada um é uma lente para revisar um projeto: "o que aqui não é mediado? o que é compartilhado? o que os operadores vão contornar às 03:00?"
16.2 Uma arquitetura de referência em camadas
Os operadores de serviços críticos costumam separar: a zona corporativa (e-mail, escritório, sistemas de negócio); uma DMZ para a troca de dados (réplicas do historiador, servidores de patches, jump hosts de acesso remoto); operações/controle (servidores SCADA, IHMs, estações de engenharia); campo (controladores, RTUs, relés de proteção); e os sistemas de segurança (safety), que agem de forma independente para evitar danos. O tráfego entre as camadas passa por conduítes com regras explícitas (Capítulo 7). O guia de TO do NIST e a série ISA/IEC 62443 descrevem essas arquiteturas (SP 800-82 Rev. 3; ISA/IEC 62443). O ponto não é o desenho, e sim a propriedade que ele deveria garantir: nenhum caminho direto da internet ou do e-mail até qualquer coisa que controle um processo físico.
16.3 Defesa em profundidade e zero trust
A defesa em profundidade empilha controles independentes para que uma falha não seja catastrófica: segmentação, hardening, autenticação, monitoramento, backups, contingência manual. A sua fraqueza é o modo comum: camadas que compartilham uma conta de administrador ou um servidor de gerenciamento caem juntas. O zero trust elimina a confiança implícita baseada na localização na rede; toda requisição é autenticada e autorizada por recurso (NIST SP 800-207). Na TI corporativa, é uma direção forte. Na TO, muitos dispositivos não conseguem autenticar requisições individuais, então as ideias de zero trust se aplicam sobretudo nas fronteiras — usuários, estações de engenharia, acesso remoto —, enquanto a segmentação protege os dispositivos que não conseguem se defender sozinhos.
16.4 Acesso remoto
Os fornecedores e os engenheiros precisam de acesso remoto; o acesso remoto descontrolado é um dos caminhos mais comuns para dentro da TO. Um padrão defensável: o acesso termina num jump host na DMZ, nunca diretamente na zona de controle; autenticação multifator resistente a phishing; aprovação por sessão pelo operador de turno para fornecedores; contas com tempo limitado; gravação das sessões; e um botão de desligar que a sala de controle possa usar. Cada elemento responde a uma falha específica.
O novo projeto da CPN usa todos os elementos: um jump host na DMZ, contas de fornecedores ativadas por tíquete por até quatro horas, MFA resistente a phishing, sessões gravadas e um interruptor na sala de controle. O que ele não consegue impedir é o mau uso dentro de uma sessão de fornecedor aprovada de quatro horas.
16.5 Exemplo resolvido: o acesso remoto da CPN (sintético)
Este caso é sintético. O projeto atual da CPN: o gateway VPN-G exposto à internet (Capítulo 5) põe os usuários diretamente na rede de controle; três fornecedores têm contas permanentes; só senhas. Novo projeto: o VPN-G é atualizado e passa a terminar num jump host na DMZ; as contas de fornecedores ficam desativadas por padrão e são ativadas por tíquete pelo supervisor da sala de controle por até quatro horas; MFA resistente a phishing para a equipe; sessões gravadas num servidor que os fornecedores não conseguem alcançar; um interruptor físico na sala de controle que desativa o conduíte de acesso remoto. Risco residual, declarado: uma sessão de fornecedor aprovada continua sendo confiável durante a sua janela; a gravação apoia a detecção e a responsabilização, mas não impede o mau uso em tempo real.
16.6 Atividade prática
Desenhe a arquitetura da Calder Water do Capítulo 7 com as suas zonas e os três conduítes permitidos. Anote em cada conduíte o princípio a que ele serve e o controle que o impõe. Marque o componente cujo comprometimento mais prejudicaria e explique por quê.
Na arquitetura da CW, cada conduíte serve a um princípio: a visualização por HTTPS do corporativo para a DMZ aplica o menor privilégio, a leitura OPC UA do coletor da DMZ aplica a mediação completa no conduíte, e a consulta Modbus do SCADA ao campo se apoia nos padrões à prova de falha, negando todo o resto. O servidor SCADA é um forte candidato a componente cujo comprometimento mais prejudica, porque ele consegue tanto ver quanto comandar todos os controladores de campo.
16.7 Erros comuns e limites
- Diagramas de arquitetura que mostram as conexões pretendidas, e não as reais.
- Máquinas "dual-homed" que ligam zonas e contornam o conduíte.
- Camadas que compartilham administradores, credenciais ou ferramentas de gerenciamento.
- Aplicar os slogans do zero trust a dispositivos que não conseguem se autenticar.
No caso da CW, a conexão RDP do Laboratório 4, do corporativo direto para o controle, é o primeiro erro: um caminho que o diagrama não mostra. Um notebook de engenharia dual-homed é a causa habitual. O servidor de gerenciamento do CVH que administra firewalls, proteção de endpoints e backups com uma única conta (EX032) é o terceiro. O quarto se aplica às RTUs e aos PLCs.
Exercícios — capítulo 16
EX031 — Revisão por princípios. Objetivo: usar os princípios como lentes de revisão. Entradas: o projeto original de acesso remoto da CPN no exemplo resolvido deste capítulo. Etapas: nomeie quatro princípios de Saltzer–Schroeder que ele viola e como. Evidência esperada: quatro pares princípio–violação. Rubrica: 3 = quatro corretos (menor privilégio, padrões à prova de falha, mediação completa, separação de privilégio ou menor mecanismo comum) com explicação específica; 2 = três; 1 = um ou dois; 0 = nada.
EX032 — Modo comum. Objetivo: encontrar dependências compartilhadas escondidas. Entradas: o CVH tem firewalls de segmentação, proteção de endpoints e backups — todos administrados a partir de um servidor de gerenciamento usando uma única conta de administrador de domínio. Etapas: explique o risco de modo comum e proponha duas mudanças. Evidência esperada: explicação e mudanças. Rubrica: 3 = o comprometimento da conta/do servidor desativa as três camadas; mudanças como níveis/credenciais de administração separados e backups offline; 2 = uma mudança; 1 = vago; 0 = nada.
Síntese do capítulo
A arquitetura transforma princípios em propriedades impostas: nenhum caminho direto da internet até qualquer coisa que mova o mundo físico. Empilhe controles independentes, fique atento aos modos comuns, aplique o zero trust onde os dispositivos podem participar e segmente onde não podem, e trate o acesso remoto como o conduíte mais importante a projetar bem.
Continue estudando — capítulo 16 de 40
← Capítulo 15 · Índice de capítulos do curso · Capítulo 17 →
Siga para a próxima lição escrita.