Capítulo 20 — Infraestrutura crítica e segurança setorial: casos fundadores

Capítulo 20 — Infraestrutura crítica e segurança setorial: casos fundadores

Mapa da aula

Aula 20 publicada. Mapa, exemplo, EX039.

flowchart TD
  N0["20.1 Ler um caso"]
  N1["20.2 Seis casos"]
  N2["20.3 Comparar os casos"]
  N3["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX039"]

Desenho lógico

flowchart LR
  N0["20.1 Ler um caso"]
  N1["20.2 Seis casos"]
  N2["20.3 Comparar os casos"]
  N3["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> Q["EX039"]

[20.1 Ler um caso]
    |
    v
[20.2 Seis casos]
    |
    v
[20.3 Comparar os casos]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX039]

Objetivos de aprendizagem e conexão

Depois deste capítulo, você consegue (1) resumir seis casos públicos que moldaram a área a partir das suas fontes primárias ou autorizadas; (2) separar o que as fontes estabelecem do que é comumente repetido; (3) extrair lições transferíveis e compará-las entre setores; e (4) lidar honestamente com relatos revisados. O capítulo se apoia no Capítulo 19 e prepara o Capítulo 31 (casos avançados) e o trabalho de conclusão. Todas as descrições ficam no nível das fontes citadas; nenhum caso é ensinado como técnica.

20.1 Ler um caso

Para cada caso, registre: data e setor; o que aconteceu com o serviço (alcance, duração, pessoas afetadas); acesso inicial e propagação, só como a fonte descreve; resposta; tipo de fonte (alerta governamental, relatório de auditoria, análise revisada por pares, comunicado de empresa, jornalismo); e o que continua incerto. Os primeiros relatos muitas vezes estão errados; os relatos posteriores muitas vezes os corrigem. Um bom analista cita os dois.

Para Oldsmar, esse registro tem duas datas: o alerta de 2021 e a declaração de 2023 que o revisou. As duas pertencem ao registro, com o relato do alerta rotulado como superado, e não apagado.

20.2 Seis casos

Distribuição de energia na Ucrânia, dezembro de 2015. O alerta da CISA descreve ataques coordenados a três distribuidoras regionais que causaram interrupções afetando aproximadamente 225.000 clientes, com operação remota de disjuntores, destruição de alguns sistemas e perturbação das centrais de atendimento; a energia foi restabelecida passando para a operação manual (CISA IR-ALERT-H-16-056-01; ver também a análise da E-ISAC/SANS). Lição: a contingência manual e uma equipe capaz de operar sem automação foram decisivas.

WannaCry e o NHS, maio de 2017. O National Audit Office do Reino Unido constatou que o ransomware perturbou pelo menos um terço dos NHS trusts da Inglaterra, levou ao cancelamento de consultas e ao desvio de ambulâncias, e que as organizações afetadas tinham sistemas Windows sem patches ou sem suporte; o NHS não tinha ensaiado uma resposta nacional (NAO, 2017). Lição: um malware não direcionado pode causar dano clínico; a higiene básica e a coordenação ensaiada importam.

TRITON/HatMan, 2017. O relatório de análise de malware da CISA descreve um malware projetado para interagir com um controlador específico de sistema instrumentado de segurança, a camada destinada a evitar danos físicos (CISA MAR-17-352-01). Lição: os sistemas de safety são alvos, e a sua independência das redes de controle precisa ser real.

Tratamento de água em Oldsmar, fevereiro de 2021. O alerta da CISA relatou que agentes não identificados acessaram o sistema de controle de uma estação de tratamento de água por meio de um software de acesso remoto e aumentaram o setpoint de hidróxido de sódio, o que um operador percebeu e reverteu (CISA AA21-042A). Em 2023, um ex-administrador municipal disse que o evento provavelmente foi um erro de um funcionário, e não uma intrusão (WUSF, 2023). Lição: qualquer que seja a causa, o acesso remoto não gerenciado e a dependência de um único operador atento eram fraquezas — e as narrativas públicas podem ser revisadas.

Colonial Pipeline, maio de 2021. O alerta conjunto da CISA e do FBI sobre o ransomware DarkSide relata que os agentes implantaram ransomware contra a rede de TI de uma empresa de oleodutos, que não havia indicação de que as suas redes de TO tivessem sido diretamente afetadas e que a empresa desconectou proativamente certos sistemas de TO para garantir a sua segurança (CISA AA21-131A). A retrospectiva de dois anos da CISA nomeia a empresa e relembra as filas por combustível ao longo da costa leste que se seguiram (CISA, 2023). Lição: um comprometimento da TI pode parar as operações de TO por meio de dependências de negócio e de decisões preventivas, sem tocar no sistema de controle.

Atualização da CrowdStrike, julho de 2024. Uma atualização defeituosa de um software de segurança derrubou máquinas Windows no mundo inteiro; a Microsoft estimou que cerca de 8,5 milhões de dispositivos foram afetados, perturbando companhias aéreas, hospitais e bancos (Microsoft, 2024). Lição: nenhum adversário é necessário; uma dependência de software compartilhada é um ponto único de falha entre setores.

20.3 Comparar os casos

A tabela comprime cada caso numa lição para que eles possam ser comparados; ela não é um resumo do que aconteceu. Leia a coluna "Causa" de cima a baixo: dois dos seis não envolvem nenhum ataque direcionado ao sistema de controle.

20.4 Exemplo resolvido: lições para o CVH (aplicação sintética)

A aplicação é sintética; os casos estão citados acima. Para o Calder Valley Hospital, as lições transferíveis são: (1) ensaiar a operação sem TI (processos em papel, como os operadores ucranianos fizeram sem automação); (2) inventariar e isolar os dispositivos sem suporte (WannaCry); (3) confirmar que um comprometimento do BMS não consegue parar os controles locais de segurança da ventilação do centro cirúrgico (a lição do TRITON sobre camadas independentes); (4) governar o acesso remoto ao BMS (Oldsmar); (5) mapear quais processos clínicos dependem da TI de negócio, como a administração de pacientes (Colonial); e (6) planejar para a falha em massa de um produto de endpoint compartilhado (CrowdStrike).

20.5 Erros comuns e limites

• Repetir detalhes vívidos que nenhuma fonte primária sustenta.
• Citar o primeiro relato e ignorar a correção.
• Tratar todo caso como ataque.
• Transformar um estudo de caso numa receita de ataque.

Exemplos comuns: afirmar que Oldsmar foi "um hack" sem a revisão de 2023; repetir durações de interrupção que não estão na fonte citada; chamar a CrowdStrike de ataque; ou descrever as técnicas do Stuxnet quando a lição é a premissa que falhou. Cada um dos seis resumos aqui fica no nível que a sua fonte sustenta, e o EX039 pede que você confira um deles.

Exercícios — capítulo 20

EX039 — Conferência da fonte primária. Objetivo: separar a fonte da repetição. Entradas: um dos seis casos deste capítulo. Etapas: leia a fonte citada e liste três fatos que ela declara, uma afirmação comumente repetida que ela não declara (encontre uma numa notícia ou num blog) e como você formularia o caso para um relatório. Evidência esperada: lista e formulação. Rubrica: 3 = fatos exatos com a sua localização na fonte, uma afirmação sem sustentação identificada, formulação cuidadosa; 2 = só os fatos; 1 = fatos de fontes secundárias; 0 = nada.

EX040 — Lição entre setores. Objetivo: transferir uma lição. Entradas: Colonial Pipeline. Etapas: aplique a sua lição à Calder Transit: quais sistemas de TI de negócio poderiam forçar uma parada preventiva das operações ferroviárias, e o que poderia evitar isso? Evidência esperada: duas dependências e duas medidas. Rubrica: 3 = por exemplo, bilhetagem/receita, escala de tripulações, informação aos passageiros; medidas como regras de operação degradada acordadas previamente e separar as dependências operacionais das de negócio; 2 = uma de cada; 1 = genérico; 0 = nada.

Síntese do capítulo

Os casos fundadores da área ensinam pela comparação: contingência manual, higiene, independência do sistema de safety, governança do acesso remoto, dependência de negócio entre TI e TO e concentração em dependências compartilhadas. Leia as fontes primárias, mantenha as revisões à vista e transfira lições, e não técnicas.

Continue estudando — capítulo 20 de 40

← Capítulo 19 · Índice de capítulos do curso · Capítulo 21 →

Siga para a próxima lição escrita.