Capítulo 22 — Segurança de TO, IoT e sistemas ciberfísicos: dados e dependências

Mapa da aula

Aula 22 publicada. Mapa, exemplo, EX064.

flowchart TD
  N0["22.1 Inventário primeiro"]
  N1["22.2 Cadeias de dependência"]
  N2["22.3 Dependências de fornecedores"]
  N3["22.4 Pessoas como dependências"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX064"]

Desenho lógico

flowchart LR
  N0["22.1 Inventário primeiro"]
  N1["22.2 Cadeias de dependência"]
  N2["22.3 Dependências de fornecedores"]
  N3["22.4 Pessoas como dependências"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX064"]

[22.1 Inventário primeiro]
    |
    v
[22.2 Cadeias de dependência]
    |
    v
[22.3 Dependências de fornecedores]
    |
    v
[22.4 Pessoas como dependências]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX064]

Objetivos de aprendizagem

Você vai (1) construir um inventário de ativos e de dependências; (2) rastrear os fluxos de dados do dispositivo de campo até o uso no negócio; (3) encontrar pontos únicos de falha, incluindo pessoas e fornecedores; e (4) usar uma lista de materiais de software (SBOM) para raciocinar sobre vulnerabilidades herdadas.

22.1 Inventário primeiro

Você não consegue proteger o que não listou. O NIST SP 800-82r3 põe o inventário de ativos no início de um programa de segurança de TO. Um inventário útil registra não só fabricante, modelo e firmware, mas também função, zona, responsável, criticidade e o que depende do ativo. A lista de dependências de Maya neste capítulo parte de um inventário assim: TT-101, PLC-H com firmware v3.2, FV-12, switch de controle SW-2, HMI-1, servidor de licenças LIC-1, EWS-1 e o contrato de suporte do fornecedor. Registrar a v3.2 é o que permitiria à LDHP responder a um alerta de firmware de CLP no mesmo dia; registrar o LIC-1 como dependência da HMI-1 é o que expôs um ponto único de falha que nenhum diagrama de rede mostrava.

22.2 Cadeias de dependência

O PLC-H depende de alimentação de 24 V, dos seus módulos de E/S, do switch da rede de controle, da estação de engenharia para mudanças de lógica e do fornecedor para o firmware. A HMI-1 depende do Windows, do servidor de licenças do runtime da HMI e do controlador de domínio para as contas nominais. Uma queda do servidor de licenças que apague as HMIs é um incidente de disponibilidade com causa raiz cibernética, mesmo sem atacante. Maya marcou o LIC-1 como o ponto único de falha escondido e perguntou ao fornecedor da HMI sobre um período de carência da licença, que deixaria a HMI-1 continuar funcionando se o LIC-1 ficasse fora do ar por uma noite.

22.3 Dependências de fornecedores

O firmware do gateway de medidores embute uma pilha TCP/IP de código aberto e uma biblioteca TLS. Se uma vulnerabilidade for publicada nessa pilha, todos os gateways a herdam. Uma lista de materiais de software (SBOM) relaciona esses componentes para que, quando um alerta aparecer, a planta consiga responder "somos afetados?" em horas, e não em semanas. Os alertas de ICS da CISA identificam os produtos e as versões afetados, o que só ajuda se o seu inventário registrar versões. O MTR-C do Capítulo 30 é o caso em que um SBOM sozinho não basta: mesmo que ele mostre uma pilha afetada, o dispositivo não pode ser atualizado.

22.4 Pessoas como dependências

Se só um engenheiro consegue restaurar a lógica do PLC-H a partir do backup, essa pessoa é um ponto único de falha. Documente os procedimentos e treine mais gente. Na LDHP, o risco é maior à noite, no inverno. Se a lógica do PLC-H fosse corrompida, por um download malsucedido a partir da EWS-1 ou de propósito, restaurá-la exigiria o último arquivo de programa bom, a versão de firmware correspondente (v3.2 na lista de Maya) e alguém que conheça os passos de restauração naquele controlador. Se essa pessoa estiver de férias em janeiro, a caldeira opera em controle manual local até ela voltar. A recomendação de Maya foi um procedimento de restauração escrito, testado em bancada uma vez por ano por um segundo engenheiro, com o hash do arquivo de backup registrado ao lado de cada restauração testada.

Exemplo resolvido (LDHP sintética)

Maya escreve a lista de dependências da função de temperatura de ida: TT-101, PLC-H (firmware v3.2), FV-12, switch de controle SW-2, HMI-1, servidor de licenças LIC-1, estação de engenharia EWS-1, contrato de suporte do fornecedor. Ela marca o LIC-1 como um ponto único de falha escondido e recomenda verificar com o fornecedor da HMI o período de carência da licença.

Caso sintético — Lakeside District Heating Plant. As versões e os nomes são inventados.

Erros e limites

Um inventário construído apenas por varredura de rede deixa de fora dispositivos seriais e peças reserva desligadas, e a varredura ativa pode perturbar dispositivos frágeis; combine captura passiva, exportações de configuração e inspeções em campo.

Exercícios

• EX064 — Campos de um registro de inventário. Liste seis campos para uma entrada de inventário de ativos de TO.
  Mostrar critérios de avaliação

  Rubrica: 3 = seis, incluindo versão de firmware, zona e criticidade; 2 = quatro ou cinco; 1 = só fabricante/modelo; 0 = nada.
• EX065 — Respondendo a um alerta. Um alerta da CISA lista como afetadas as versões 2.0–2.4 da biblioteca TLS do gateway. Quais dois fatos do inventário decidem se a LDHP é afetada?
  Mostrar critérios de avaliação

  Rubrica: 3 = versão do firmware do gateway e versão do componente no seu SBOM; 2 = um; 1 = só o nome do fornecedor; 0 = nada.
• EX066 — Um ponto único escondido. Identifique um ponto único de falha da LDHP que não seja de rede e uma mitigação.
  Mostrar critérios de avaliação

  Rubrica: 3 = por exemplo, um único engenheiro, servidor de licenças, peça reserva única; com mitigação; 2 = só o ponto; 1 = só dispositivo de rede; 0 = nada.

Síntese

Inventários, cadeias de dependência e SBOMs permitem que uma planta raciocine sobre falhas e alertas antes que eles cheguem.