## Capítulo 5 — Letramento em segurança ### Mapa da aula Aula 05 publicada. Mapa, exemplo, EX010. ```mermaid flowchart TD N0["5.1 O vocabulário"] N1["5.2 A tríade CIA nos serviços críticos"] N2["5.3 Agentes e técnicas"] N3["5.5 Atividade prática"] N4["Síntese do capítulo"] N0 --> N1 --> N2 --> N3 --> N4 N4 --> EX["Exemplo resolvido"] EX --> Q["Exercício EX010"] ``` ### Desenho lógico ```mermaid flowchart LR N0["5.1 O vocabulário"] N1["5.2 A tríade CIA nos serviços críticos"] N2["5.3 Agentes e técnicas"] N3["5.5 Atividade prática"] N4["Síntese do capítulo"] N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX010"] ``` ```text [5.1 O vocabulário] | v [5.2 A tríade CIA nos serviços críticos] | v [5.3 Agentes e técnicas] | v [5.5 Atividade prática] | v [Síntese do capítulo] | v [Exemplo resolvido] --> [Exercício EX010] ``` ### Objetivos de aprendizagem e conexão Depois deste capítulo, você consegue (1) definir confidencialidade, integridade e disponibilidade e explicar por que os serviços críticos muitas vezes as ordenam de forma diferente da TI de escritório; (2) usar corretamente o vocabulário ativo, ameaça, vulnerabilidade, probabilidade, impacto, risco e controle; (3) descrever, em nível conceitual, as principais classes de agente de ameaça e de técnica de ataque; e (4) ler um alerta de segurança e extrair o que ele significa para uma dada organização. O capítulo se apoia nos Capítulos 1–4 e prepara o Capítulo 16 (arquitetura) e o Capítulo 19 (o escopo da área). ### 5.1 O vocabulário Um **ativo** é algo de valor: um serviço, um sistema, dados, um prédio, o tempo das pessoas. Uma **ameaça** é uma causa potencial de dano — um agente (um grupo criminoso, um insider, um Estado) ou um evento (uma enchente, uma atualização que falhou). Uma **vulnerabilidade** é uma fraqueza que uma ameaça pode explorar: uma falha sem patch, uma senha compartilhada, uma rota única de cabo. A **probabilidade** é o quão provável é que uma ameaça explore uma vulnerabilidade num período; o **impacto** é o dano se isso acontecer. O **risco** combina os dois — informalmente "probabilidade × impacto", embora o Capítulo 23 mostre por que a multiplicação muitas vezes engana. Um **controle** (ou salvaguarda) é uma medida que reduz a probabilidade ou o impacto. O guia de avaliação de risco do NIST apresenta esse vocabulário e esse processo ([SP 800-30 Rev. 1](https://csrc.nist.gov/pubs/sp/800/30/r1/final)). ### 5.2 A tríade CIA nos serviços críticos **Confidencialidade** significa que a informação é revelada apenas a quem tem autorização; **integridade** significa que a informação e os sistemas não são alterados sem autorização; **disponibilidade** significa que eles funcionam quando necessário. A TI de escritório muitas vezes põe a confidencialidade em primeiro lugar, porque vazamentos de dados pessoais têm custos legais e de reputação. Na TO, a ordem muitas vezes se inverte: uma empresa de água se importa primeiro com que as bombas funcionem (disponibilidade) e com que os comandos e as leituras sejam genuínos (integridade); o sigilo do nível de um reservatório importa muito menos. O guia de TO do NIST faz essa observação e acrescenta a **segurança física das pessoas (safety)** como preocupação predominante ([SP 800-82 Rev. 3](https://csrc.nist.gov/pubs/sp/800/82/r3/final)). A saúde mistura os dois: os prontuários exigem confidencialidade, enquanto as bombas de infusão e os ventiladores exigem integridade e disponibilidade. Um profissional de segurança num setor crítico precisa perguntar, para cada ativo, qual propriedade, ao falhar, prejudicaria as pessoas primeiro. ### 5.3 Agentes e técnicas Os agentes de ameaça diferem em motivação e capacidade. Os **grupos criminosos** buscam dinheiro, de forma mais visível por meio de ransomware que cifra os dados e ameaça publicá-los. Os **grupos patrocinados por Estados** podem buscar inteligência ou a capacidade de interromper serviços numa crise. Os **hacktivistas** buscam atenção. Os **insiders** podem ser maliciosos ou, com muito mais frequência, cometer erros. Os **acidentes** — atualizações que falham, configurações erradas, cabos cortados — causam muitas interrupções sem adversário algum. As técnicas são catalogadas em bases de conhecimento públicas como o MITRE ATT&CK; a versão para sistemas de controle industrial lista táticas desde o acesso inicial até "impair process control" (prejudicar o controle do processo) ([MITRE ATT&CK for ICS](https://attack.mitre.org/matrices/ics/)). No bacharelado, você deve conseguir ler um catálogo desses e dizer quais técnicas um controle trata; não se pede que você as execute. ### 5.4 Exemplo resolvido: ler um alerta para a CPN (sintético) **Este caso é sintético.** Um alerta de fornecedor (inventado) afirma: "As versões do gateway de acesso remoto VPN-G anteriores à 9.3 permitem que um atacante não autenticado execute código. Foi observada exploração. Corrigido na 9.3." A Calder Power Networks roda o VPN-G 9.1 na sede, acessível pela internet e usado pelos engenheiros para chegar à rede de controle. Extração: *ativo* — o gateway e tudo o que é alcançável por meio dele; *vulnerabilidade* — a falha na 9.1; *ameaça* — qualquer agente varrendo a internet, mais provável por causa da exploração observada; *impacto* — acesso potencial à rede de controle e, portanto, à operação dos alimentadores; *opções de controle* — atualizar para a 9.3 agora, ou desativar o gateway até a atualização e usar uma alternativa supervisionada. Catálogos públicos como a lista Known Exploited Vulnerabilities da CISA existem justamente para elevar a prioridade de falhas exploradas na prática ([CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)). A decisão não é difícil; o letramento está em reconhecer que "acesso remoto à TO" mais "explorado" mais "exposto à internet" supera uma falha com nota mais alta num dispositivo isolado. ### 5.5 Atividade prática Escolha um alerta recente dos [alertas de ICS da CISA](https://www.cisa.gov/news-events/ics-advisories). Sem testar nada, extraia o ativo, a vulnerabilidade, as versões afetadas, a situação de exploração, a correção do fornecedor e as mitigações recomendadas. Depois escreva duas frases sobre como a prioridade mudaria para um operador cujo dispositivo está (a) exposto à internet e (b) numa rede isolada. Escreva a resposta sobre a exposição como uma mudança de prioridade com um motivo, e não como uma nota nova. Exposto à internet mais explorado normalmente leva um alerta ao tratamento de emergência, como no VPN-G 9.1 da CPN; a mesma falha num dispositivo alcançável apenas a partir de uma célula isolada pode esperar a próxima janela planejada, se os controles compensatórios forem conferidos. ### 5.6 Erros comuns e limites - Usar "ameaça", "vulnerabilidade" e "risco" como sinônimos. - Supor que a confidencialidade vem sempre em primeiro lugar. - Tratar todo incidente como ataque; muitas interrupções são acidentes, e a resposta é diferente. - Aprender técnicas de ataque de forma operacional sem autorização (Capítulo 10). O EX010 mostra o primeiro erro: chamar o corte do cabo de vulnerabilidade confunde a ameaça (as obras na via) com a fraqueza (uma rota única de cabo). O segundo faz um controlador de dosagem da CW parecer um problema de privacidade, quando é a integridade que protege os consumidores. O terceiro trata um cabo cortado ou uma atualização que falhou como um incidente em que se deve procurar um atacante, atrasando o reparo. O quarto é o motivo de todo laboratório aqui ser offline. ### Exercícios — capítulo 5 **EX009 — Ordene as propriedades.** *Objetivo:* aplicar a CIA por ativo. *Entradas:* prontuários do CVH; controlador de dosagem de cloro da CW; serviço de autorização de cartões da Calder Mutual; gravações de chamadas do CEDC. *Etapas:* ordene C, I e A para cada um e justifique a propriedade do topo numa frase. *Evidência esperada:* tabela. *Rubrica:* 3 = ordenações defensáveis com motivos baseados em dano (dosagem: integridade/safety primeiro); 2 = uma fraca; 1 = ordenações sem motivos; 0 = nada. **EX010 — Vocabulário sob pressão.** *Objetivo:* usar os termos com precisão. *Entradas:* "O risco é que o cabo seja cortado por obras na via, o que é uma vulnerabilidade para o CEDC." *Etapas:* reescreva usando corretamente ativo, ameaça, vulnerabilidade e impacto. *Evidência esperada:* uma ou duas frases. *Rubrica:* 3 = obras como ameaça, rota única de cabo como vulnerabilidade, disponibilidade do despacho como impacto; 2 = um termo fora do lugar; 1 = dois fora do lugar; 0 = nada. ### Síntese do capítulo O letramento em segurança é vocabulário preciso aplicado a consequências reais. Ativos, ameaças, vulnerabilidades, probabilidade, impacto e controles são ideias distintas. Nos serviços críticos, a disponibilidade, a integridade e a safety muitas vezes superam a confidencialidade, e a prioridade certa de um alerta depende da exposição e da exploração, e não apenas de uma nota. ### Continue estudando — capítulo 05 de 40 [← Capítulo 04](#ch-04) · [Índice de capítulos do curso](../SUBJECTS.md) · [Capítulo 06 →](#ch-06) Siga para a próxima lição escrita. ## Worked answers **EX009.** Prontuários de pacientes: C > I > A (a divulgação prejudica os pacientes e viola a lei; a integridade também importa para o atendimento). Dosagem de cloro: I/safety > A > C (um setpoint errado envenena ou desinfeta pouco a água). Autorização de cartões: I ≈ A > C (pagamentos fraudulentos ou indisponíveis; a confidencialidade dos dados de cartão também é regulada — aceite C alta com justificativa). Gravações de chamadas: C ≈ I > A (conteúdo pessoal sensível; integridade probatória; disponibilidade necessária para revisão, mas não em tempo real). **EX010.** "O ativo é o serviço de despacho do CEDC. Um cabo cortado por obras viárias é uma ameaça; a rota única de cabo é uma vulnerabilidade; o impacto seria a perda de conectividade do despacho, atrasando a resposta de emergência."