Capítulo 11 — Sistemas operacionais

Mapa da aula

Aula 11 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["11.1 Windows e Linux dentro da planta"]
  N1["11.2 Matrizes de suporte"]
  N2["11.3 Listas de permissão e controle de mídias"]
  N3["11.4 Evidências com privilégio mínimo"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["11.1 Windows e Linux dentro da planta"]
  N1["11.2 Matrizes de suporte"]
  N2["11.3 Listas de permissão e controle de mídias"]
  N3["11.4 Evidências com privilégio mínimo"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX031"]

[11.1 Windows e Linux dentro da planta]
    |
    v
[11.2 Matrizes de suporte]
    |
    v
[11.3 Listas de permissão e controle de mídias]
    |
    v
[11.4 Evidências com privilégio mínimo]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) identificar onde sistemas operacionais de uso geral aparecem numa arquitetura de TO; (2) explicar por que as matrizes de suporte dos fornecedores restringem o endurecimento; (3) aplicar listas de permissão de aplicações e controle de mídias removíveis; e (4) coletar evidências de hosts com privilégio mínimo.

11.1 Windows e Linux dentro da planta

Os CLPs rodam firmware de tempo real, mas HMIs, estações de engenharia, historiadores e servidores OPC rodam Windows ou Linux. É nesses hosts que caem cargas de phishing, pendrives infectados e ferramentas de acesso remoto. O NIST SP 800-82r3 os trata como ativos de TO com restrições de TO: podem não receber patches mensais, podem rodar software certificado apenas para uma versão antiga do sistema operacional e podem ser necessários 24 horas por dia. Na LDHP, esses hosts são a HMI-1, a EWS-1 e o HIST-1. A EWS-1 é a que mais importa, porque consegue baixar lógica para o PLC-H, e é por isso que a ferramenta que explora drivers descrita no AA22-103A é relevante mesmo para uma planta sem produtos nomeados.

11.2 Matrizes de suporte

O fornecedor da HMI certifica uma versão específica do sistema operacional, um service pack e um produto antivírus. Aplicar uma configuração de endurecimento não suportada — desabilitar um serviço que o runtime da HMI usa, por exemplo — pode deixar os operadores com uma tela em branco durante uma onda de frio. O endurecimento segue, portanto, a sequência teste em bancada, comitê de mudanças, implantação na janela, e as exceções são documentadas com controles compensatórios. Para a HMI-1, Maya propôs a lista de permissão em modo de auditoria por duas semanas antes da imposição, e o fornecedor confirmou; remover a conta de administrador local compartilhada exigia uma conta de serviço do runtime, que ela documentou como exceção em vez de forçar a mudança. Essa sequência é a matriz de suporte na prática.

11.3 Listas de permissão e controle de mídias

A lista de permissão de aplicações autoriza apenas executáveis conhecidos, o que combina com as HMIs, porque o seu conjunto de software raramente muda. O controle de mídias removíveis — quiosques de varredura, armazenamento USB bloqueado, mídias de transferência assinadas — trata da forma mais comum de o malware atravessar um air gap. Ambos são controles de host listados entre os requisitos de sistema da IEC 62443-3-3 para proteção contra código malicioso (SR 3.2). A proposta de Maya para a HMI-1 aplicou os dois: lista de permissão em modo de auditoria por duas semanas, depois imposição, e armazenamento USB em massa bloqueado, exceto pelo quiosque de varredura. O período de auditoria importa porque lista todos os executáveis que o runtime da HMI realmente inicia, inclusive os que a documentação do fornecedor esqueceu, antes de bloquear qualquer coisa.

11.4 Evidências com privilégio mínimo

Numa investigação, prefira exportar o log de eventos, a lista de software instalado e a lista de processos em execução com uma conta somente de leitura a gerar a imagem do disco de uma HMI em operação. A imagem pode exigir parada e copia receitas proprietárias. Na LDHP, um login suspeito na HMI-1 numa noite de inverno seria investigado primeiro a partir de exportações: o log de eventos do Windows para o login, a lista de processos mostrando se o runtime da HMI ou outra coisa estava rodando, e a lista de software instalado comparada com a versão certificada pelo fornecedor. Uma imagem completa da HMI-1 significaria tirar a tela dos operadores, o que exige o acordo do líder de turno e um plano para operar a caldeira pelos controles locais.

Exemplo resolvido (LDHP sintética)

A HMI-1 da LDHP roda uma versão do Windows certificada pelo seu fornecedor. Maya propõe três mudanças: habilitar a lista de permissão em modo de auditoria por duas semanas e depois impô-la; bloquear o armazenamento USB em massa, exceto pelo quiosque de varredura; remover a conta de administrador local usada por todos os turnos e emitir contas nominais. O fornecedor confirma as duas primeiras; a terceira exige uma conta de serviço do runtime, que ela documenta como exceção.

Caso sintético — Lakeside District Heating Plant. A resposta do fornecedor é inventada; fornecedores reais publicam os seus próprios guias de endurecimento.

Erros e limites

Um modo de auditoria que nunca passa para imposição é teatro. Varreduras de antivírus durante o pico de carga podem deixar uma HMI lenta; agende-as.

Exercícios

• EX031 — Por que o modo de auditoria primeiro? Explique o propósito de rodar a lista de permissão em modo de auditoria antes de impô-la na HMI-1.
  Mostrar critérios de avaliação

  Rubrica: 3 = descobrir os executáveis legítimos sem bloquear a operação e depois impor uma lista revisada; 2 = parcial; 1 = "para testar"; 0 = nada.
• EX032 — Escolhendo um método de evidência. Diante de uma suspeita de infecção na HMI-1, escolha entre exportação ao vivo e imagem de disco e justifique.
  Mostrar critérios de avaliação

  Rubrica: 3 = primeiro a exportação ao vivo somente de leitura; imagem apenas se justificada, permitida e agendada; 2 = só a escolha; 1 = imagem imediatamente; 0 = nada.
• EX033 — Documentando uma exceção de endurecimento. Escreva o registro de exceção para a conta de serviço do runtime.
  Mostrar critérios de avaliação

  Rubrica: 3 = motivo, controle compensatório, responsável, data de revisão; 2 = três; 1 = só o motivo; 0 = nada.

Síntese

Os hosts de uso geral são a camada mais frágil de uma planta; endureça-os dentro do suporte do fornecedor, controle o que roda e o que é conectado, e investigue-os com delicadeza.