Capítulo 26 — Infraestrutura crítica e segurança setorial: métodos II

Mapa da aula

Aula 26 publicada. Mapa, exemplo, EX051.

flowchart TD
  N0["26.1 Modelagem de ameaças com fluxos de dados"]
  N1["26.2 STPA: perigos a partir da estrutura de controle"]
  N2["26.3 Exercícios de mesa"]
  N3["26.4 Escolher os métodos"]
  N4["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX051"]

Desenho lógico

flowchart LR
  N0["26.1 Modelagem de ameaças com fluxos de dados"]
  N1["26.2 STPA: perigos a partir da estrutura de controle"]
  N2["26.3 Exercícios de mesa"]
  N3["26.4 Escolher os métodos"]
  N4["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX051"]

[26.1 Modelagem de ameaças com fluxos de dados]
    |
    v
[26.2 STPA: perigos a partir da estrutura de controle]
    |
    v
[26.3 Exercícios de mesa]
    |
    v
[26.4 Escolher os métodos]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX051]

Objetivos de aprendizagem e conexão

Depois deste capítulo, você consegue (1) construir modelos estruturados de ameaças de um sistema usando diagramas de fluxo de dados e uma lista de ameaças; (2) aplicar a análise de perigos baseada na teoria de sistemas (STPA) para encontrar ações de controle inseguras; (3) projetar e conduzir um exercício de mesa como método para testar planos; e (4) comparar esses métodos com os métodos de risco do Capítulo 23 e escolher entre eles. O capítulo se apoia nos Capítulos 21–24 e prepara o Capítulo 27 (verificação) e o Capítulo 28 (análise de falhas).

26.1 Modelagem de ameaças com fluxos de dados

Um diagrama de fluxo de dados mostra processos, repositórios de dados, entidades externas, fluxos e fronteiras de confiança (onde os dados passam de um nível de confiança para outro). A modelagem de ameaças percorre cada elemento e faz uma lista de perguntas. Uma lista amplamente usada, o STRIDE, pergunta sobre Spoofing (falsificação de identidade), Tampering (adulteração de dados), Repudiation (repúdio — negar uma ação), Information disclosure (divulgação de informações), Denial of service (negação de serviço) e Elevation of privilege (elevação de privilégio). Todo fluxo que atravessa uma fronteira de confiança merece a lista completa. O resultado é uma lista de ameaças com o elemento, o tipo de ameaça e uma mitigação proposta.

26.2 STPA: perigos a partir da estrutura de controle

O modelo STAMP de Leveson trata os acidentes como resultado de um controle inadequado, e não de cadeias de falhas de componentes (Leveson, 2004). O seu método de análise, a STPA, procede assim: definir as perdas e os perigos; modelar a estrutura de controle (quem controla o quê, com qual realimentação); para cada ação de controle, identificar as ações de controle inseguras (UCAs) em quatro formas — não fornecida quando necessária, fornecida quando insegura, fornecida cedo/tarde demais ou fora de ordem, interrompida cedo demais ou aplicada por tempo demais; depois, encontrar os cenários causais, incluindo realimentação ou comandos manipulados. A STPA se ajusta aos serviços críticos porque trata operadores, procedimentos, software e atacantes dentro de uma única estrutura.

26.3 Exercícios de mesa

Um exercício de mesa conduz uma equipe por um cenário em discussão, passo a passo, com injeções ("são 03:40; as telas do CAD mostram uma nota de resgate"). Ele testa planos, papéis e comunicação sem tocar nos sistemas em operação. Bons exercícios de mesa têm objetivos (por exemplo, "testar a decisão de passar ao despacho em papel"), um cenário sintético realista, um facilitador, observadores que registram as decisões e os tempos, e um debriefing imediato seguido de um plano de melhorias. Eles só são evidência de preparo na medida em que as constatações são postas em prática.

26.4 Escolher os métodos

Tabela da aula; deslize para ver todas as colunas →

Para o CEDC, a tabela sugere a STPA para o controle do despacho e um exercício de mesa para a contingência em papel, como o capítulo faz; uma avaliação de risco então ordena o trabalho resultante.

26.5 Exemplo resolvido: STPA do despacho do CEDC (sintético)

Este caso é sintético. Perda: resposta de emergência atrasada. Perigo: uma ambulância não é despachada para uma chamada com risco de vida dentro do tempo-alvo. Estrutura de controle: atendente → CAD → despachante → tripulação da ambulância (por rádio e terminais móveis de dados); realimentação do sistema de localização de veículos para o CAD. Ação de controle: "designar a ambulância disponível mais próxima". UCAs: não fornecida — a fila do CAD congelada depois de uma atualização que falhou; fornecida quando insegura — o CAD designa uma unidade mostrada como "disponível" porque a realimentação de localização está velha ou falsificada; tarde demais — a contingência manual adotada só depois de 20 minutos, porque ninguém é dono da decisão; interrompida cedo demais — um despachante cancela uma designação depois de um erro de fusão de chamadas duplicadas. Cada UCA leva a requisitos: um alarme de congelamento do CAD, indicadores de dados velhos nas localizações dos veículos, um dono nomeado da decisão de contingência com um gatilho de 5 minutos e confirmação antes de cancelar uma designação de alta prioridade. Note que duas UCAs não envolvem atacante algum.

26.6 Erros comuns e limites

• Modelos de ameaças sem fronteiras de confiança.
• STPA reduzida a uma lista de falhas de componentes.
• Exercícios de mesa sem objetivos nem acompanhamento.
• Escolher o método mais impressionante, em vez daquele de que a pergunta precisa.

A STPA do CEDC evitou o segundo erro ao nomear ações de controle inseguras, duas delas sem atacante algum. Uma revisão STRIDE do fluxo do historiador da CW sem marcar a fronteira de confiança DMZ–controle cometeria o primeiro. Um exercício de mesa sem o objetivo "decidir sobre o despacho em papel" comete o terceiro. E escolher a STPA para impressionar quando a pergunta é "qual estratégia de backup" comete o quarto.

Exercícios — capítulo 26

EX051 — STRIDE num fluxo. Objetivo: aplicar a lista. Entradas: o fluxo da CW "o coletor do historiador na DMZ lê OPC UA do servidor SCADA". Etapas: escreva uma ameaça para cada letra do STRIDE, com uma mitigação. Evidência esperada: seis linhas. Rubrica: 3 = seis ameaças plausíveis com mitigações correspondentes (por exemplo, coletor falsificado → certificados mútuos; adulteração → sessão assinada/autenticada; DoS → limites de taxa do lado do SCADA); 2 = quatro ou cinco; 1 = menos; 0 = nada.

EX052 — Projete um exercício de mesa. Objetivo: planejar um exercício. Entradas: CVH, cenário "um ransomware cifra o sistema de administração de pacientes num sábado à noite". Etapas: escreva os objetivos (dois), os participantes, quatro injeções com horários e as evidências que você vai registrar. Evidência esperada: plano. Rubrica: 3 = objetivos mensuráveis, participantes clínicos e técnicos, injeções realistas e crescentes (incluindo decisões de proteção de dados e de comunicação), tempos e decisões registrados; 2 = parcial; 1 = só o cenário; 0 = nada.

Síntese do capítulo

A modelagem de ameaças encontra ameaças onde os dados atravessam fronteiras de confiança; a STPA encontra ações de controle inseguras em estruturas sociotécnicas; os exercícios de mesa testam planos e pessoas. Cada um vê o que os outros deixam escapar, então escolha pela pergunta — e lembre-se de que muitos perigos não envolvem adversário algum.