Capítulo 20 — Segurança de TO, IoT e sistemas ciberfísicos: casos fundamentais
Mapa da aula
Aula 20 publicada. Mapa, exemplo, EX058.
flowchart TD
N0["20.1 Rede elétrica da Ucrânia, dezembro de 2015"]
N1["20.2 Mirai, 2016"]
N2["20.3 Estação de tratamento de água, fevereiro de 202"]
N3["20.4 Ler os casos com cuidado"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX058"]
Desenho lógico
flowchart LR
N0["20.1 Rede elétrica da Ucrânia, dezembro de 2015"]
N1["20.2 Mirai, 2016"]
N2["20.3 Estação de tratamento de água, fevereiro de 202"]
N3["20.4 Ler os casos com cuidado"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX058"]
[20.1 Rede elétrica da Ucrânia, dezembro de 2015]
|
v
[20.2 Mirai, 2016]
|
v
[20.3 Estação de tratamento de água, fevereiro de 202]
|
v
[20.4 Ler os casos com cuidado]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX058]
Objetivos de aprendizagem
Você vai (1) resumir três incidentes documentados a partir de fontes primárias; (2) extrair de cada um o caminho de ataque e a lição defensiva; (3) distinguir o que está publicamente confirmado do que é especulação; e (4) relacionar cada caso com a LDHP.
20.1 Rede elétrica da Ucrânia, dezembro de 2015
O alerta IR-ALERT-H-16-056-01 do ICS-CERT dos EUA relata que três distribuidoras regionais de energia elétrica da Ucrânia sofreram ataques cibernéticos coordenados que causaram interrupções afetando cerca de 225.000 clientes. O alerta relata que os agentes provavelmente usaram credenciais legítimas obtidas de antemão para acesso remoto, apagaram sistemas com o malware KillDisk, sobrescreveram algumas HMIs e corromperam o firmware de dispositivos conversores serial-Ethernet nas subestações. A energia foi restabelecida, mas as empresas continuaram em operação restrita. Lição: credenciais roubadas e acesso remoto foram o caminho, e a recuperação dependeu de ser possível operar sem a automação danificada.
20.2 Mirai, 2016
Antonakakis et al. ("Understanding the Mirai Botnet", USENIX Security 2017) mediram uma botnet que infectou centenas de milhares de dispositivos IoT, em grande parte entrando com credenciais padrão de fábrica por Telnet, e depois lançou grandes ataques de negação de serviço. Lição: senhas padrão universais em larga escala são um risco de infraestrutura — exatamente o que a provisão 5.1 da ETSI EN 303 645 proíbe. O análogo na LDHP são os seus gateways de medidores: se eles fossem entregues com uma única senha padrão para toda a frota, uma varredura no estilo do Mirai encontraria cada um deles alcançável a partir da internet. O MTR-B do Capítulo 30, que falha na provisão 5.1, é o modelo de medidor nessa posição.
20.3 Estação de tratamento de água, fevereiro de 2021
O alerta da CISA AA21-042A descreve o acesso não autorizado ao sistema SCADA de uma estação de tratamento de água potável nos EUA por meio de software de acesso remoto, com uma tentativa de elevar os níveis de hidróxido de sódio. A equipe da planta percebeu e corrigiu a alteração antes que o software SCADA alarmasse. O alerta aponta um software de compartilhamento de área de trabalho e um sistema operacional em fim de vida como prováveis fraquezas. Lição: a vigilância do operador importa, e as ferramentas de acesso remoto fazem parte da superfície de ataque. O análogo na LDHP é a sua própria ferramenta de área de trabalho remota do fornecedor, sempre ligada, que Maya substituiu por sessões intermediadas de quatro horas.
20.4 Ler os casos com cuidado
Cada fonte documenta alguns fatos, e não outros. Escreva o que a fonte diz, cite-a e marque todo o resto como inferência. Recontagens populares muitas vezes acrescentam uma certeza que o relatório primário não tem. A tabela de casos de Maya segue essa regra. Para a estação de água de 2021, ela registra apenas o que o AA21-042A afirma — software de acesso remoto, compartilhamento de área de trabalho e um sistema operacional em fim de vida — e marca o seu análogo na LDHP, a ferramenta de área de trabalho remota do fornecedor sempre ligada, como inferência própria. Para o Mirai, o método de infecção vem da medição de Antonakakis et al., e não de resumos da imprensa. Para a Ucrânia, a lição que ela tira, manter procedimentos documentados de partida manual da caldeira, é rotulada como uma recomendação para a LDHP, e não como um achado da fonte.
Exemplo resolvido (LDHP sintética)
Maya monta uma tabela: caso, acesso inicial, efeito, o que o deteve, análogo na LDHP. Para o caso da água de 2021, o análogo é a ferramenta de área de trabalho remota do fornecedor sempre ligada da LDHP (Capítulo 13); para o Mirai, as senhas padrão dos gateways de medidores; para a Ucrânia, a necessidade de operar depois que a automação é danificada — a LDHP mantém procedimentos documentados de partida manual da caldeira.
Caso sintético — Lakeside District Heating Plant. Só os análogos na LDHP são sintéticos; os três casos vêm das fontes públicas citadas.
Erros e limites
Afirmações de atribuição em reportagens não fazem parte das evidências deste capítulo. As lições dos casos só se generalizam onde as condições coincidem.
Exercícios
- EX058 — Detalhes da fonte primária. A partir do alerta do ICS-CERT de 2016, informe o número aproximado de clientes afetados e uma ação dos agentes contra dispositivos de campo. Rubrica: 3 = ~225.000 e firmware dos conversores serial-Ethernet corrompido (ou KillDisk nas HMIs); 2 = um; 1 = número errado; 0 = nada.
- EX059 — O método de entrada do Mirai. O que o Mirai explorava principalmente para infectar dispositivos, e qual provisão da ETSI trata disso? Rubrica: 3 = credenciais padrão por Telnet; provisão 5.1; 2 = um; 1 = "um zero-day"; 0 = nada.
- EX060 — Fato versus inferência. Marque como fato da fonte ou inferência: (a) "um operador reverteu a alteração do hidróxido de sódio" (b) "o intruso pretendia um envenenamento em massa". Rubrica: 3 = (a) fato do AA21-042A, (b) inferência; 2 = um; 1 = os dois como fatos; 0 = nada.
Síntese
Leia os incidentes a partir das fontes primárias, separe o fato da narrativa e transforme cada um numa pergunta concreta sobre a sua própria planta.
Continue estudando — capítulo 20 de 40
← Capítulo 19 · Índice de capítulos do curso · Capítulo 21 →
Siga para a próxima lição escrita.