OpenCyber AcademyMapa da aula
Aula 02 publicada. Mapa, exemplo, EX003.
flowchart TD
N0["2.1 Camadas e confiança"]
N1["2.2 TI e TO"]
N2["2.3 O ciclo de vida do dispositivo"]
N3["2.4 Caso resolvido: imagem no Calder Valley Hospital"]
N4["2.5 Atividade prática"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX003"]
Desenho lógico
flowchart LR
N0["2.1 Camadas e confiança"]
N1["2.2 TI e TO"]
N2["2.3 O ciclo de vida do dispositivo"]
N3["2.4 Caso resolvido: imagem no Calder Valley Hospital"]
N4["2.5 Atividade prática"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX003"]
[2.1 Camadas e confiança]
|
v
[2.2 TI e TO]
|
v
[2.3 O ciclo de vida do dispositivo]
|
v
[2.4 Caso resolvido: imagem no Calder Valley Hospital]
|
v
[2.5 Atividade prática]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX003]
Objetivos de aprendizagem e conexão
Depois deste capítulo, você consegue (1) descrever as camadas de um sistema computacional — hardware, firmware, sistema operacional, aplicações, dados e pessoas — e dizer onde as decisões de segurança são tomadas em cada uma; (2) distinguir a tecnologia da informação (TI) da tecnologia operacional (TO) e explicar por que as suas prioridades diferem; (3) descrever o ciclo de vida de um dispositivo num serviço crítico, da aquisição ao descarte; e (4) explicar por que o componente mais antigo de um sistema muitas vezes define a sua segurança. O capítulo se apoia no hábito de grandezas explícitas do Capítulo 1 e prepara o Capítulo 3, em que você vai escrever código para inspecionar um inventário de dispositivos.
2.1 Camadas e confiança
Um computador é uma pilha. Na base está o hardware: processador, memória, armazenamento e interfaces. Acima dele está o firmware, o código de baixo nível guardado no dispositivo que o inicializa e controla o hardware. O sistema operacional (Capítulo 11) reparte o hardware entre os programas e impõe quem pode fazer o quê. As aplicações fazem o trabalho que interessa às pessoas — a biblioteca de medicamentos de uma bomba de infusão, um sistema de despacho, um switch de pagamentos. Os dados são o que as aplicações criam e consomem. As pessoas configuram, usam e mantêm tudo isso. Cada camada confia nas camadas abaixo dela: uma aplicação não pode ser mais confiável do que o sistema operacional em que roda, e um sistema operacional não consegue detectar um firmware que mente para ele. É por isso que a inicialização segura, o firmware assinado e o suporte do fornecedor importam tanto nos serviços críticos (Capítulo 17).
2.2 TI e TO
A tecnologia da informação trata informações: e-mail, prontuários, pagamentos, agendamentos. A tecnologia operacional monitora e controla processos físicos: válvulas, disjuntores, bombas, sinais, ventiladores. O NIST descreve a TO como sistemas que "interagem com o ambiente físico (ou gerenciam dispositivos que interagem com o ambiente físico)" (NIST SP 800-82 Rev. 3). A distinção importa porque as consequências diferem. Quando um sistema de TI falha, a informação fica indisponível ou errada; quando um sistema de TO falha, a água pode parar, um disjuntor pode não abrir ou um trem pode não receber um sinal. Espera-se tipicamente que os dispositivos de TO funcionem por 15 a 25 anos; eles podem não tolerar uma reinicialização durante a operação e muitas vezes são certificados numa configuração específica, de modo que aplicar patches exige a aprovação do fornecedor. A saúde acrescenta uma terceira categoria, os dispositivos médicos, que são produtos regulados cujo software o hospital não pode simplesmente alterar.
2.3 O ciclo de vida do dispositivo
A segurança é decidida muito antes de um ataque. Na aquisição, um comprador pode exigir software com suporte, um processo de divulgação de vulnerabilidades e uma lista de materiais de software (SBOM — uma lista dos componentes de software, ver CISA SBOM). Na instalação, os padrões podem ser alterados e o dispositivo colocado na zona de rede certa. Durante a operação, ele precisa de monitoramento, de patches onde for possível e de controles compensatórios onde não for. No fim do suporte, o fornecedor deixa de emitir correções; o dispositivo continua funcionando, e é exatamente por isso que permanece em serviço. No descarte, os dados precisam ser removidos. Uma estação de trabalho de imagem hospitalar comprada em 2014, sobre um sistema operacional cujo suporte terminou em 2020, não é uma anomalia por descuido; é a consequência normal de um dispositivo médico de 15 anos sobre um sistema operacional de 10 anos.
2.4 Caso resolvido: imagem no Calder Valley Hospital (sintético)
Este caso é sintético. O departamento de imagem do CVH opera a estação de trabalho IMG-01, ligada a um aparelho certificado pelo fabricante com um sistema operacional específico, cujo suporte terminou em 2020. O fabricante só oferece uma atualização junto com um aparelho novo (£400.000). As opções são: (a) substituir agora; (b) mantê-la e isolá-la — permitir apenas as conexões de que ela precisa com o arquivo de imagens, remover o e-mail e a navegação na web, monitorar o seu tráfego; (c) não fazer nada. A opção (c) deixa uma máquina sabidamente sem patches numa rede clínica plana. A opção (a) remove o risco, mas custa um orçamento de capital que o hospital não tem neste ano. A opção (b) é a resposta habitual: um controle compensatório que reduz a exposição até a substituição, com um dono nomeado e uma data de substituição. O registro da decisão diz qual risco permanece — um arquivo malicioso chegando pela conexão com o arquivo de imagens — e como ele é monitorado.
2.5 Atividade prática
Escolha um dispositivo que você usa todos os dias (um celular, um roteador doméstico, um notebook). Sem abri-lo nem mudar nada, descubra nas páginas públicas do fornecedor: a versão do firmware ou do sistema operacional, se ele ainda tem suporte e como as atualizações são entregues. Escreva uma nota de ciclo de vida de cinco linhas: aquisição, instalação, operação, fim do suporte, descarte. Faça o mesmo para um dispositivo imaginado num serviço crítico — uma bomba de infusão do CVH — e liste o que você precisaria perguntar ao fornecedor.
Para a bomba, pergunte ao fornecedor sobre o processo de atualização da biblioteca de medicamentos, a data de fim do suporte do firmware e quem pode instalar as atualizações.
2.6 Erros comuns e limites
- Supor que "ainda funciona" significa "ainda é seguro": os dispositivos sem suporte acumulam vulnerabilidades não corrigidas.
- Tratar a TO como TI: reiniciar um controlador durante a operação, ou varrê-lo de forma agressiva, pode perturbar o processo físico.
- Ignorar o firmware: ele é código, tem vulnerabilidades e raramente é inventariado.
- Esquecer as pessoas como camada: a maioria dos sistemas é configurada por alguém sob pressão de tempo.
No CVH, os quatro erros se encontram na IMG-01: ela ainda funciona, então ficou na rede clínica; a certificação do aparelho a torna semelhante à TO nas suas restrições de patches; ninguém listou o seu firmware; e os técnicos de radiologia que a usam escolheram as configurações compartilhadas da área de trabalho. O limite deste capítulo é que ele nomeia as camadas sem medir quantos dispositivos ficam em cada uma.
Exercícios — capítulo 2
EX003 — Localizar a decisão. Objetivo: ligar as camadas aos controles. Entradas: cinco controles: atualizações de firmware assinadas, contas de usuário do sistema operacional, os limites da biblioteca de medicamentos de uma aplicação, backups do banco de dados, treinamento da equipe. Etapas: atribua cada um a uma camada e declare uma falha que cada controle não trata. Evidência esperada: uma tabela de cinco linhas. Rubrica: 3 = camadas corretas e uma lacuna plausível para cada; 2 = um erro; 1 = só as camadas; 0 = nada.
EX004 — TI ou TO? Objetivo: raciocinar sobre as consequências. Entradas: o sistema de faturamento da CPN, a RTU de alimentador da CPN, o sistema de administração de pacientes do CVH, o BMS do CVH que controla a ventilação do centro cirúrgico. Etapas: classifique cada um como TI, TO ou dispositivo médico; nomeie a pior consequência plausível da sua falha; diga se provavelmente é necessária uma janela de patches aprovada pelo fornecedor. Evidência esperada: tabela e duas frases sobre o BMS. Rubrica: 3 = classes corretas, consequências ligadas a efeitos físicos na TO; 2 = pequeno deslize; 1 = só as classes; 0 = nada.
Síntese do capítulo
Os sistemas computacionais são pilhas de confiança, do hardware às pessoas. A TO e os dispositivos médicos controlam resultados físicos, vivem por décadas e nem sempre podem receber patches, então a segurança depende dos termos de aquisição, do posicionamento e dos controles compensatórios. O componente mais antigo e com menos suporte muitas vezes define a exposição real.