Capítulo 10 — Ética e prática autorizada

Mapa da aula

Aula 10 publicada. Mapa, exemplo, EX028.

flowchart TD
  N0["10.1 A autorização vem do proprietário"]
  N1["10.2 A permissão de trabalho"]
  N2["10.3 Divulgação coordenada"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX028"]

Desenho lógico

flowchart LR
  N0["10.1 A autorização vem do proprietário"]
  N1["10.2 A permissão de trabalho"]
  N2["10.3 Divulgação coordenada"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX028"]

[10.1 A autorização vem do proprietário]
    |
    v
[10.2 A permissão de trabalho]
    |
    v
[10.3 Divulgação coordenada]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX028]

Objetivos de aprendizagem

Você vai (1) distinguir autorização de mera possibilidade de acesso; (2) listar os elementos de uma permissão de trabalho escrita para testes em TO; (3) tratar vulnerabilidades descobertas por meio de divulgação coordenada; e (4) recusar pedidos que poriam pessoas em risco ou que excederiam o escopo.

10.1 A autorização vem do proprietário

Só o proprietário do ativo — ou alguém a quem ele tenha delegado por escrito — pode autorizar testes num sistema de TO. Um funcionário curioso da planta, um fornecedor que "já tem acesso mesmo" ou um professor que quer uma demonstração não podem concedê-la. No ambiente industrial, a autorização também precisa vir da operação: um teste legal, mas inseguro, continua inaceitável. O colega de Maya ofereceu exatamente esse tipo de falsa autoridade: o endereço IP de um controlador de aquecimento "real" encontrado num motor de busca e a sugestão de ler um registrador. Ninguém que fosse dono daquele controlador tinha concordado, então Maya recusou e sugeriu relatar a exposição ao CERT nacional.

10.2 A permissão de trabalho

Uma boa autorização de teste em TO nomeia os sistemas no escopo, a janela de tempo, as técnicas permitidas (apenas captura passiva, consultas somente de leitura ou testes de bancada), as pessoas na chamada, as condições de parada ("se ocorrer qualquer alarme de processo, pare e avise o líder de turno") e o plano de reversão. Ela é assinada pelo proprietário e pelo gerente de operação da área afetada. Para uma captura passiva no switch de controle da LDHP, a condição de parada poderia dizer: "qualquer alarme da HMI-1 ou qualquer mudança no tempo de varredura do PLC-H; parar a captura e informar o líder de turno". A reversão é remover a configuração da porta espelhada.

10.3 Divulgação coordenada

Se você encontrar uma falha num produto de fornecedor, relate-a ao fornecedor e, quando for o caso, à CISA, cujos alertas de ICS publicam correções coordenadas. A provisão 5.2 da ETSI EN 303 645 exige que fabricantes de IoT de consumo publiquem uma política de divulgação de vulnerabilidades; muitos fornecedores industriais mantêm programas semelhantes. Publicar detalhes de exploração antes de existir uma correção pode pôr em risco todas as plantas que usam aquele produto. Se o trabalho offline de Maya tivesse revelado uma falha real no firmware dos gateways de medidores, o caminho seria primeiro o contato de divulgação do fornecedor; o MTR-C, no Capítulo 30, é um aviso de que alguns fornecedores não têm nenhum, e nesse caso o CERT nacional ou a CISA coordenam no lugar dele.

Exemplo resolvido (LDHP sintética)

Um colega oferece a Maya o endereço IP de um controlador de aquecimento "real" encontrado num motor de busca da internet e sugere "só ler um registrador para provar que funciona". Maya recusa: não há autorização do proprietário, não há permissão de trabalho e a consequência para o processo é desconhecida. Em vez disso, ela anota a categoria de exposição (ATT&CK for ICS T0883) e sugere que o colega relate a exposição ao CERT nacional, que pode contatar o proprietário.

Caso sintético — Lakeside District Heating Plant. O colega e o controlador exposto são fictícios; o que importa é o raciocínio.

Erros e limites

"Somente leitura" não é automaticamente inofensivo — alguns dispositivos legados travam com requisições inesperadas. Códigos de ética não substituem a lei; os estudantes precisam conhecer a lei sobre uso indevido de computadores da sua jurisdição.

Exercícios

• EX028 — Condição de parada da permissão. Escreva uma condição de parada para uma captura de rede passiva no switch de controle da LDHP.
  Mostrar critérios de avaliação

  Rubrica: 3 = gatilho observável mais ação e quem é avisado; 2 = só o gatilho; 1 = vago, "se houver problemas"; 0 = nada.
• EX029 — Quem pode autorizar? O gerente de projeto de uma terceirizada manda um e-mail: "podem varrer o PLC-H". Isso basta?
  Mostrar critérios de avaliação

  Rubrica: 3 = não; precisa da aprovação do proprietário e da operação, com escopo e janela; 2 = não, sem justificativa; 1 = sim, com ressalvas; 0 = sim.
• EX030 — Divulgando uma falha de fornecedor. Liste os dois primeiros passos depois de encontrar um defeito que trava um modelo de controlador numa unidade de bancada.
  Mostrar critérios de avaliação

  Rubrica: 3 = preservar a evidência em sigilo e contatar o fornecedor/PSIRT (e a CISA ou o CERT nacional); 2 = um; 1 = publicar nas redes sociais; 0 = nada.

Síntese

Em TO, a prática ética é operacional: autorização escrita do proprietário, condições de parada explícitas e divulgação coordenada protegem pessoas, e não apenas reputações.