Capítulo 26 — Segurança de TO, IoT e sistemas ciberfísicos: métodos II

Mapa da aula

Aula 26 publicada. Mapa, exemplo, EX076.

flowchart TD
  N0["26.1 Diagramas de fluxo de dados"]
  N1["26.2 STRIDE por elemento"]
  N2["26.3 Casos de abuso"]
  N3["26.4 Mapeando para o ATT&CK"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX076"]

Desenho lógico

flowchart LR
  N0["26.1 Diagramas de fluxo de dados"]
  N1["26.2 STRIDE por elemento"]
  N2["26.3 Casos de abuso"]
  N3["26.4 Mapeando para o ATT&CK"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX076"]

[26.1 Diagramas de fluxo de dados]
    |
    v
[26.2 STRIDE por elemento]
    |
    v
[26.3 Casos de abuso]
    |
    v
[26.4 Mapeando para o ATT&CK]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX076]

Objetivos de aprendizagem

Você vai (1) aplicar modelagem de ameaças no estilo STRIDE a um diagrama de fluxo de dados do sistema de medidores; (2) traduzir ameaças em técnicas do ATT&CK for ICS, quando aplicável; (3) escrever casos de abuso com pré-condições; e (4) priorizar mitigações pela classificação de consequências do Capítulo 23.

26.1 Diagramas de fluxo de dados

Desenhe processos (círculos), repositórios de dados (linhas paralelas), entidades externas (caixas) e fluxos de dados (setas), e então marque as fronteiras de confiança onde os dados passam de uma zona para outra. O sistema de medidores da LDHP: medidores → gateway (rádio) → gateway → nuvem de faturamento (TLS) → nuvem → banco de dados de faturamento → réplica do historiador (exportação unidirecional para o balanceamento da rede). Na LDHP, o enlace de rádio dos medidores até o gateway e o uplink TLS do gateway até a nuvem de faturamento são fronteiras de confiança, assim como a exportação unidirecional para a réplica do historiador. Cada fronteira é onde a tabela STRIDE de Maya faz as suas perguntas; um diagrama sem elas poria as leituras domiciliares e os dados da caldeira na mesma zona de confiança.

26.2 STRIDE por elemento

Spoofing (falsificação de identidade), Tampering (adulteração), Repudiation (repúdio), Information disclosure (divulgação de informação), Denial of service (negação de serviço) e Elevation of privilege (elevação de privilégio) formam uma lista de estímulos. No enlace de rádio medidor–gateway: falsificação de identidade (um medidor falso), adulteração (leituras alteradas), divulgação de informação (consumo domiciliar). No gateway: elevação de privilégio pela sua interface web. O STRIDE foi projetado para software, então acrescente um estímulo de TO: consequência física — esta ameaça consegue alterar o fornecimento de calor? A tabela de Maya produziu 14 ameaças no total. As três primeiras por consequência foram a tomada de um gateway que envia configuração maliciosa a todos os medidores da sua rua, a adulteração de leituras em trânsito e o comprometimento de uma conta na nuvem que expõe o histórico de todas as residências.

26.3 Casos de abuso

Um caso de abuso declara agente, pré-condição, ação e resultado. "Um morador com equipamento de rádio e conhecimento do protocolo do medidor (pré-condição: nenhuma autenticação de mensagens no enlace de rádio) repete as leituras mais baixas do mês anterior (ação) para que a conta seja reduzida (resultado)." Escrever as pré-condições torna a mitigação óbvia: autenticar as leituras e usar contadores, como no Capítulo 17. A repetição pelo morador fica baixa na tabela de Maya, porque o seu resultado é uma única conta reduzida; o caso de abuso ainda importa, porque o mesmo contador ausente permitiria que um atacante no nível do gateway repetisse uma rua inteira. O laboratório de HMAC do Capítulo 17 mostra a correção: a mensagem repetida é rejeitada pelo contador, mesmo com a tag correta.

26.4 Mapeando para o ATT&CK

Nem toda ameaça de IoT tem uma técnica no ATT&CK for ICS, e não há problema nisso. Onde tem — gateway alcançado a partir da internet (T0883), serviços remotos abusados (T0886) —, registre o ID para ligar com a inteligência de ameaças. Para o sistema de medidores da LDHP, a T0883 serve para uma interface de gerenciamento de gateway alcançável a partir da internet, e a T0886, para o abuso de um serviço remoto usado para gerenciar gateways. Ameaças no nível da residência, como um morador repetindo a leitura do mês anterior, não têm técnica no ATT&CK for ICS, porque o framework descreve ataques ao controle industrial, e não fraude de faturamento. A tabela de Maya deixa essas linhas em branco na coluna de técnica, em vez de forçar uma correspondência ruim, e anota a provisão da ETSI EN 303 645 que se aplica no lugar.

Exemplo resolvido (LDHP sintética)

A tabela de Maya rende 14 ameaças. Classificadas por consequência, as três primeiras são: tomada de um gateway enviando configuração maliciosa a todos os medidores da sua rua; adulteração de leituras em trânsito; comprometimento de uma conta na nuvem expondo o histórico de todas as residências. A repetição por um morador fica mais abaixo: real, mas limitada a uma conta.

Caso sintético — Lakeside District Heating Plant. A lista de ameaças é o resultado de um exercício, não uma avaliação de um produto real.

Erros e limites

Um modelo de ameaças só é tão completo quanto o seu diagrama. O STRIDE lista ameaças, não probabilidades. Rode o modelo de novo quando a arquitetura mudar.

Exercícios

• EX076 — STRIDE na fronteira de confiança. Nomeie uma ameaça para cada um de S, T e D no fluxo do gateway para a nuvem.
  Mostrar critérios de avaliação

  Rubrica: 3 = três ameaças plausíveis; 2 = duas; 1 = uma; 0 = nada.
• EX077 — Escrevendo um caso de abuso. Escreva um caso de abuso para a interface web do gateway.
  Mostrar critérios de avaliação

  Rubrica: 3 = agente, pré-condição, ação, resultado; 2 = três; 1 = vago; 0 = nada.
• EX078 — Pondo a repetição abaixo da tomada do gateway. Justifique a classificação.
  Mostrar critérios de avaliação

  Rubrica: 3 = escopo do impacto (uma conta vs uma rua inteira/configuração) e consequência; 2 = parcial; 1 = só "menos provável"; 0 = nada.

Síntese

A modelagem de ameaças transforma um diagrama numa lista classificada de casos de abuso cujas pré-condições apontam diretamente para as mitigações.