Capítulo 16 — Arquitetura de segurança
Mapa da aula
Aula 16 publicada. Mapa, exemplo, EX046.
flowchart TD
N0["16.1 Os níveis de Purdue como mapa inicial"]
N1["16.2 A DMZ industrial"]
N2["16.3 Níveis de segurança"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX046"]
Desenho lógico
flowchart LR
N0["16.1 Os níveis de Purdue como mapa inicial"]
N1["16.2 A DMZ industrial"]
N2["16.3 Níveis de segurança"]
N3["Síntese"]
N0 --> N1 --> N2 --> N3 --> Q["EX046"]
[16.1 Os níveis de Purdue como mapa inicial]
|
v
[16.2 A DMZ industrial]
|
v
[16.3 Níveis de segurança]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX046]
Objetivos de aprendizagem
Você vai (1) posicionar os ativos da LDHP nos níveis de referência de Purdue; (2) projetar uma DMZ entre as zonas corporativa e de controle; (3) atribuir níveis de segurança-alvo às zonas usando os conceitos da IEC 62443-3-2; e (4) explicar a defesa em profundidade sem afirmar que alguma camada isolada é suficiente.
16.1 Os níveis de Purdue como mapa inicial
O modelo de Purdue numera os níveis a partir do processo físico (0), passando por sensores e atuadores (1), controle supervisório (2) e operações do local (3), até o nível corporativo (4–5). Ele é antigo e imperfeito — serviços em nuvem e gateways de IIoT borram os níveis —, mas oferece um vocabulário comum. Na LDHP, os transmissores e a caldeira ficam nos níveis 0–1, o PLC-H e o SIS-H no nível 1, o SCADA e a HMI no nível 2, o HIST-1 no nível 3, e o faturamento e o e-mail no nível 4. O valor do mapa está nos lugares em que os dispositivos da LDHP não se encaixam: os gateways de medidores e a nuvem de faturamento ficam fora dos níveis, e o SIS-H divide o nível 1 com o PLC-H, embora precise continuar independente dele.
16.2 A DMZ industrial
Entre os níveis 3 e 4 fica uma zona desmilitarizada que abriga os sistemas de que os dois lados precisam: uma réplica do historiador, um servidor de patches, um jump host para acesso remoto. A regra é que nenhuma sessão atravessa a DMZ de ponta a ponta; os usuários corporativos se conectam a serviços da DMZ, e os sistemas da zona de controle enviam dados para os serviços da DMZ ou são consultados por eles. O NIST SP 800-82r3 descreve esse padrão na sua discussão sobre arquitetura de defesa em profundidade. Na LDHP, a DMZ abrigaria a réplica do historiador que o faturamento e a equipe de análise leem, o servidor de patches da HMI-1 e o jump host que as sessões dos fornecedores alcançam antes de qualquer sistema da zona de controle.
16.3 Níveis de segurança
A IEC 62443 define os níveis de segurança SL 1–4 pelo atacante a que uma zona precisa resistir, desde a violação casual ou coincidente (SL 1) até meios sofisticados com recursos amplos (SL 4). A avaliação de risco fixa um nível-alvo (SL-T) por zona; os componentes precisam então de capacidades (SL-C) que, com medidas compensatórias, o alcancem (SL-A). A proposta de Maya fixa SL-T 3 para a zona de controle da caldeira, porque o seu comprometimento pode cortar o calor de milhares de casas, SL-T 2 para a zona dos medidores e nenhum conduíte roteável para o SIS-H. O SL-C do próprio PLC-H é baixo, já que ele não consegue autenticar clientes Modbus, então alcançar o SL-A 3 depende dos controles compensatórios ao seu redor.
Exemplo resolvido (LDHP sintética)
Maya propõe SL-T 3 para a zona de controle da caldeira (PLC-H, HMI-1), SL-T 2 para a zona dos medidores IoT, e mantém o SIS-H como uma zona própria, sem nenhum conduíte roteável. Justificativa: o comprometimento da zona de controle pode causar perda de calor para milhares de casas; o comprometimento dos medidores afeta principalmente o faturamento e a privacidade; o SIS precisa continuar independente de ambos.
Caso sintético — Lakeside District Heating Plant. As escolhas de nível de segurança aqui ilustram o raciocínio; uma avaliação real segue o processo documentado da IEC 62443-3-2.
Erros e limites
Uma DMZ com uma regra de firewall "any → any" entre as suas metades é um diagrama, não um controle. Os níveis de Purdue não ditam a confiança; um sensor de IIoT pode falar diretamente com um serviço em nuvem e precisa ser zoneado pelos seus próprios méritos.
Exercícios
- EX046 — Posicionando o gateway de medidores. Onde você posicionaria o gateway de medidores IoT da LDHP no modelo de Purdue ou ao redor dele, e por que ele não se encaixa bem? Rubrica: 3 = zona própria (muitas vezes ao lado do nível 3/DMZ), porque faz a ponte entre dispositivos de campo e um serviço em nuvem; 2 = nível sem justificativa; 1 = nível 1 dentro da zona de controle; 0 = nada.
- EX047 — Um conjunto de regras para a DMZ. Escreva duas regras de firewall que permitam aos usuários corporativos ver dados do historiador sem alcançar o HIST-1. Rubrica: 3 = HIST-1 → réplica na DMZ (envio) e Corporativo → réplica (leitura), sem Corporativo → HIST-1; 2 = uma; 1 = regra direta; 0 = nada.
- EX048 — Justificando o SL-T 3. Em duas frases, justifique o SL-T 3 para a zona de controle da caldeira. Rubrica: 3 = gravidade da consequência e atacante habilidoso plausível; 2 = um dos dois; 1 = "é importante"; 0 = nada.
Síntese
Arquitetura é a arte de decidir quais sessões podem existir; zonas, conduítes, uma DMZ de verdade e níveis de segurança tornam essas decisões explícitas e testáveis.
Continue estudando — capítulo 16 de 40
← Capítulo 15 · Índice de capítulos do curso · Capítulo 17 →
Siga para a próxima lição escrita.