Capítulo 21 — Infraestrutura crítica e segurança setorial: modelos de sistema
Mapa da aula
Aula 21 publicada. Mapa, exemplo, EX041.
flowchart TD
N0["21.1 A malha de controle"]
N1["21.2 Um modelo de referência em camadas"]
N2["21.3 Cadeias de serviço e modos degradados"]
N3["21.5 Atividade prática"]
N4["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX041"]
Desenho lógico
flowchart LR
N0["21.1 A malha de controle"]
N1["21.2 Um modelo de referência em camadas"]
N2["21.3 Cadeias de serviço e modos degradados"]
N3["21.5 Atividade prática"]
N4["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX041"]
[21.1 A malha de controle]
|
v
[21.2 Um modelo de referência em camadas]
|
v
[21.3 Cadeias de serviço e modos degradados]
|
v
[21.5 Atividade prática]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX041]
Objetivos de aprendizagem e conexão
Depois deste capítulo, você consegue (1) descrever uma malha de controle e os componentes de um sistema SCADA ou de controle industrial; (2) situar os ativos num modelo de referência em camadas, dos dispositivos de campo à empresa; (3) modelar um serviço como uma cadeia de funções com modos degradados; e (4) dizer a que tipos de ataque ou falha cada parte do modelo está exposta. O capítulo se apoia nos Capítulos 7, 16 e 19 e prepara o Capítulo 22 (dados e dependências) e o Capítulo 28 (análise de falhas).
21.1 A malha de controle
Todo processo físico controlado por computadores segue uma malha: um sensor mede (nível de reservatório, corrente de linha, posição do trem); um controlador compara a medição com um setpoint e calcula uma ação; um atuador age (velocidade da bomba, disparo do disjuntor, aspecto do sinal); o processo responde; o sensor mede de novo. Os controladores lógicos programáveis (PLCs) e as unidades terminais remotas (RTUs) rodam a malha localmente. Um sistema SCADA (supervisão e aquisição de dados) supervisiona muitas malhas numa área ampla: coleta as medições, mostra-as aos operadores em interfaces homem–máquina (IHMs), guarda o histórico num historiador e envia setpoints e comandos. Os sistemas instrumentados de segurança (SIS) vigiam condições perigosas e agem de forma independente para levar o processo a um estado seguro (NIST SP 800-82 Rev. 3).
A malha dá um vocabulário preciso para o que pode dar errado: medições falsas (o controlador age sobre uma mentira), comandos falsos (o atuador faz algo não pretendido), perda de visão (os operadores não conseguem ver), perda de controle (os operadores não conseguem agir) e comprometimento da proteção (o SIS não consegue agir). O MITRE ATT&CK for ICS organiza os impactos em termos semelhantes, como perda de visão, perda de controle e manipulação do controle (ATT&CK for ICS).
21.2 Um modelo de referência em camadas
Um modelo em camadas — amplamente conhecido como modelo de Purdue — situa os ativos por função: nível 0, o processo físico com sensores e atuadores; nível 1, o controle básico (PLCs, RTUs, SIS); nível 2, o controle supervisório (IHMs, SCADA local); nível 3, as operações do site (historiadores, estações de engenharia); uma DMZ; e os níveis 4–5, a TI corporativa. O modelo é um auxílio didático e de segmentação, e não uma lei da natureza: sensores conectados à nuvem, serviços remotos de fornecedores e dispositivos de campo sem fio atravessam os níveis. Use-o para perguntar "quais caminhos atravessam os níveis, e eles são controlados?"
21.3 Cadeias de serviço e modos degradados
Os operadores se importam com serviços, e não com níveis. Modele um serviço como uma cadeia de funções com modos degradados: o "fornecer água segura" da Calder Water = captar água bruta → tratar → monitorar a qualidade → armazenar → bombear → distribuir. Cada função tem estados normal, degradado e falho. "Monitorar a qualidade" degradado pode significar amostragem manual a cada hora em vez de analisadores contínuos; "bombear" degradado pode significar controle local pela equipe na estação, sem SCADA. Um modelo de serviço que inclui os modos degradados mostra por quanto tempo o serviço consegue continuar quando a automação é perdida — a pergunta que os operadores ucranianos responderam em 2015 (Capítulo 20).
21.4 Exemplo resolvido: restabelecimento de alimentador da CPN (sintético)
Este caso é sintético. O serviço da Calder Power Networks "restabelecer o fornecimento depois de uma falta num alimentador": um relé de proteção desliga o trecho com falta (nível 1, independente do SCADA); a RTU informa o desligamento (nível 1→2); o operador o vê na IHM (nível 2) e religa ou reconfigura remotamente (nível 2→1); os clientes são informados pelo sistema de interrupções (nível 4). Análise de falhas por elemento: se o relé falhar, a falta persiste — questão de safety; se o enlace da RTU falhar, os operadores perdem a visão desse alimentador — modo degradado: despachar uma equipe; se a IHM for comprometida, um estado falso poderia levar os operadores a energizar uma linha em que há equipes trabalhando — questão de safety que os procedimentos (bloqueios, permissões de trabalho, confirmação verbal) precisam pegar; se o sistema de interrupções falhar, os clientes não são informados — uma questão de qualidade do serviço. O modelo mostra que as consequências mais graves ficam onde a manipulação cibernética encontra os procedimentos de segurança humana.
21.5 Atividade prática
Desenhe a malha de controle e o modelo em camadas de um serviço de Calder que não seja água nem energia (sinalização ferroviária ou ventilação do centro cirúrgico do hospital). Rotule cada componente com o seu nível, qual de visão/controle/proteção ele sustenta e um modo degradado.
Para a ventilação do centro cirúrgico, o sensor pode ser um sensor de pressão no duto ou de trocas de ar no nível 0, o controlador do BMS no nível 1, a estação da manutenção predial no nível 2 e o servidor do BMS no nível 3. Um modo degradado é o controle manual local das unidades de tratamento de ar. Marque qual componente sustenta visão, controle ou proteção; um intertravamento de vazão mínima por fiação, se existir, é proteção.
21.6 Erros comuns e limites
- Tratar o modelo em camadas como uma descrição do tráfego real.
- Ignorar os sistemas de safety ou supor que eles são sempre independentes.
- Modelar os ativos sem o serviço que eles sustentam.
- Supor que a perda do SCADA significa a perda do serviço.
O modelo de alimentador da CPN mostra os dois primeiros: o relé fica no nível 1 e age sem o SCADA, mas, se estivesse em rede com a IHM, a sua independência precisaria de evidência. O terceiro erro listaria as RTUs sem dizer que elas servem ao restabelecimento dos alimentadores. O quarto ignora o modo degradado de despachar uma equipe quando um enlace de RTU falha.
Exercícios — capítulo 21
EX041 — Nomeie a perda. Objetivo: usar o vocabulário da malha. Entradas: (a) uma indisponibilidade do historiador; (b) uma IHM mostrando valores congelados; (c) um setpoint forjado aceito por um PLC; (d) um disparo do SIS desativado. Etapas: classifique cada um como perda de visão, perda de controle, manipulação ou perda de proteção, e declare o risco imediato. Evidência esperada: quatro classificações. Rubrica: 3 = (a) perda da visão histórica, baixo risco imediato; (b) perda de visão, perigosa porque os operadores podem agir sobre dados velhos; (c) manipulação do controle; (d) perda de proteção, gravidade máxima; 2 = uma errada; 1 = duas erradas; 0 = nada.
EX042 — Modos degradados. Objetivo: modelar a continuidade sem automação. Entradas: o "operar um serviço ferroviário seguro" da Calder Transit. Etapas: escreva a cadeia de funções e um modo degradado para três funções, com a restrição que cada um impõe (por exemplo, frequência reduzida). Evidência esperada: cadeia e modos. Rubrica: 3 = cadeia sensata (sinalização, controle de trens, comunicação com a tripulação, informação aos passageiros, bilhetagem) com modos degradados e restrições realistas; 2 = cadeia sem restrições; 1 = vago; 0 = nada.
Síntese do capítulo
Os sistemas de controle são malhas de medir, decidir e agir, supervisionadas pelo SCADA e protegidas por sistemas de safety independentes. Os modelos em camadas ajudam a segmentar; as cadeias de serviço com modos degradados mostram por quanto tempo um serviço sobrevive sem automação. As piores consequências surgem onde a manipulação encontra a safety e os procedimentos humanos.
Continue estudando — capítulo 21 de 40
← Capítulo 20 · Índice de capítulos do curso · Capítulo 22 →
Siga para a próxima lição escrita.