OpenCyber AcademyMapa da aula
Aula 05 publicada. Mapa, exemplo, EX010.
flowchart TD
N0["5.1 O vocabulário"]
N1["5.2 A tríade CIA nos serviços críticos"]
N2["5.3 Agentes e técnicas"]
N3["5.5 Atividade prática"]
N4["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX010"]
Desenho lógico
flowchart LR
N0["5.1 O vocabulário"]
N1["5.2 A tríade CIA nos serviços críticos"]
N2["5.3 Agentes e técnicas"]
N3["5.5 Atividade prática"]
N4["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX010"]
[5.1 O vocabulário]
|
v
[5.2 A tríade CIA nos serviços críticos]
|
v
[5.3 Agentes e técnicas]
|
v
[5.5 Atividade prática]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX010]
Objetivos de aprendizagem e conexão
Depois deste capítulo, você consegue (1) definir confidencialidade, integridade e disponibilidade e explicar por que os serviços críticos muitas vezes as ordenam de forma diferente da TI de escritório; (2) usar corretamente o vocabulário ativo, ameaça, vulnerabilidade, probabilidade, impacto, risco e controle; (3) descrever, em nível conceitual, as principais classes de agente de ameaça e de técnica de ataque; e (4) ler um alerta de segurança e extrair o que ele significa para uma dada organização. O capítulo se apoia nos Capítulos 1–4 e prepara o Capítulo 16 (arquitetura) e o Capítulo 19 (o escopo da área).
5.1 O vocabulário
Um ativo é algo de valor: um serviço, um sistema, dados, um prédio, o tempo das pessoas. Uma ameaça é uma causa potencial de dano — um agente (um grupo criminoso, um insider, um Estado) ou um evento (uma enchente, uma atualização que falhou). Uma vulnerabilidade é uma fraqueza que uma ameaça pode explorar: uma falha sem patch, uma senha compartilhada, uma rota única de cabo. A probabilidade é o quão provável é que uma ameaça explore uma vulnerabilidade num período; o impacto é o dano se isso acontecer. O risco combina os dois — informalmente "probabilidade × impacto", embora o Capítulo 23 mostre por que a multiplicação muitas vezes engana. Um controle (ou salvaguarda) é uma medida que reduz a probabilidade ou o impacto. O guia de avaliação de risco do NIST apresenta esse vocabulário e esse processo (SP 800-30 Rev. 1).
5.2 A tríade CIA nos serviços críticos
Confidencialidade significa que a informação é revelada apenas a quem tem autorização; integridade significa que a informação e os sistemas não são alterados sem autorização; disponibilidade significa que eles funcionam quando necessário. A TI de escritório muitas vezes põe a confidencialidade em primeiro lugar, porque vazamentos de dados pessoais têm custos legais e de reputação. Na TO, a ordem muitas vezes se inverte: uma empresa de água se importa primeiro com que as bombas funcionem (disponibilidade) e com que os comandos e as leituras sejam genuínos (integridade); o sigilo do nível de um reservatório importa muito menos. O guia de TO do NIST faz essa observação e acrescenta a segurança física das pessoas (safety) como preocupação predominante (SP 800-82 Rev. 3). A saúde mistura os dois: os prontuários exigem confidencialidade, enquanto as bombas de infusão e os ventiladores exigem integridade e disponibilidade. Um profissional de segurança num setor crítico precisa perguntar, para cada ativo, qual propriedade, ao falhar, prejudicaria as pessoas primeiro.
5.3 Agentes e técnicas
Os agentes de ameaça diferem em motivação e capacidade. Os grupos criminosos buscam dinheiro, de forma mais visível por meio de ransomware que cifra os dados e ameaça publicá-los. Os grupos patrocinados por Estados podem buscar inteligência ou a capacidade de interromper serviços numa crise. Os hacktivistas buscam atenção. Os insiders podem ser maliciosos ou, com muito mais frequência, cometer erros. Os acidentes — atualizações que falham, configurações erradas, cabos cortados — causam muitas interrupções sem adversário algum. As técnicas são catalogadas em bases de conhecimento públicas como o MITRE ATT&CK; a versão para sistemas de controle industrial lista táticas desde o acesso inicial até "impair process control" (prejudicar o controle do processo) (MITRE ATT&CK for ICS). No bacharelado, você deve conseguir ler um catálogo desses e dizer quais técnicas um controle trata; não se pede que você as execute.
5.4 Exemplo resolvido: ler um alerta para a CPN (sintético)
Este caso é sintético. Um alerta de fornecedor (inventado) afirma: "As versões do gateway de acesso remoto VPN-G anteriores à 9.3 permitem que um atacante não autenticado execute código. Foi observada exploração. Corrigido na 9.3." A Calder Power Networks roda o VPN-G 9.1 na sede, acessível pela internet e usado pelos engenheiros para chegar à rede de controle.
Extração: ativo — o gateway e tudo o que é alcançável por meio dele; vulnerabilidade — a falha na 9.1; ameaça — qualquer agente varrendo a internet, mais provável por causa da exploração observada; impacto — acesso potencial à rede de controle e, portanto, à operação dos alimentadores; opções de controle — atualizar para a 9.3 agora, ou desativar o gateway até a atualização e usar uma alternativa supervisionada. Catálogos públicos como a lista Known Exploited Vulnerabilities da CISA existem justamente para elevar a prioridade de falhas exploradas na prática (CISA KEV). A decisão não é difícil; o letramento está em reconhecer que "acesso remoto à TO" mais "explorado" mais "exposto à internet" supera uma falha com nota mais alta num dispositivo isolado.
5.5 Atividade prática
Escolha um alerta recente dos alertas de ICS da CISA. Sem testar nada, extraia o ativo, a vulnerabilidade, as versões afetadas, a situação de exploração, a correção do fornecedor e as mitigações recomendadas. Depois escreva duas frases sobre como a prioridade mudaria para um operador cujo dispositivo está (a) exposto à internet e (b) numa rede isolada.
Escreva a resposta sobre a exposição como uma mudança de prioridade com um motivo, e não como uma nota nova. Exposto à internet mais explorado normalmente leva um alerta ao tratamento de emergência, como no VPN-G 9.1 da CPN; a mesma falha num dispositivo alcançável apenas a partir de uma célula isolada pode esperar a próxima janela planejada, se os controles compensatórios forem conferidos.
5.6 Erros comuns e limites
- Usar "ameaça", "vulnerabilidade" e "risco" como sinônimos.
- Supor que a confidencialidade vem sempre em primeiro lugar.
- Tratar todo incidente como ataque; muitas interrupções são acidentes, e a resposta é diferente.
- Aprender técnicas de ataque de forma operacional sem autorização (Capítulo 10).
O EX010 mostra o primeiro erro: chamar o corte do cabo de vulnerabilidade confunde a ameaça (as obras na via) com a fraqueza (uma rota única de cabo). O segundo faz um controlador de dosagem da CW parecer um problema de privacidade, quando é a integridade que protege os consumidores. O terceiro trata um cabo cortado ou uma atualização que falhou como um incidente em que se deve procurar um atacante, atrasando o reparo. O quarto é o motivo de todo laboratório aqui ser offline.
Exercícios — capítulo 5
EX009 — Ordene as propriedades. Objetivo: aplicar a CIA por ativo. Entradas: prontuários do CVH; controlador de dosagem de cloro da CW; serviço de autorização de cartões da Calder Mutual; gravações de chamadas do CEDC. Etapas: ordene C, I e A para cada um e justifique a propriedade do topo numa frase. Evidência esperada: tabela. Rubrica: 3 = ordenações defensáveis com motivos baseados em dano (dosagem: integridade/safety primeiro); 2 = uma fraca; 1 = ordenações sem motivos; 0 = nada.
EX010 — Vocabulário sob pressão. Objetivo: usar os termos com precisão. Entradas: "O risco é que o cabo seja cortado por obras na via, o que é uma vulnerabilidade para o CEDC." Etapas: reescreva usando corretamente ativo, ameaça, vulnerabilidade e impacto. Evidência esperada: uma ou duas frases. Rubrica: 3 = obras como ameaça, rota única de cabo como vulnerabilidade, disponibilidade do despacho como impacto; 2 = um termo fora do lugar; 1 = dois fora do lugar; 0 = nada.
Síntese do capítulo
O letramento em segurança é vocabulário preciso aplicado a consequências reais. Ativos, ameaças, vulnerabilidades, probabilidade, impacto e controles são ideias distintas. Nos serviços críticos, a disponibilidade, a integridade e a safety muitas vezes superam a confidencialidade, e a prioridade certa de um alerta depende da exposição e da exploração, e não apenas de uma nota.