Capítulo 28 — Segurança de TO, IoT e sistemas ciberfísicos: análise de falhas

Mapa da aula

Aula 28 publicada. Mapa, exemplo, EX082.

flowchart TD
  N0["28.1 Árvores de falhas"]
  N1["28.2 Acrescentando eventos cibernéticos"]
  N2["28.3 FMEA para o gateway"]
  N3["28.4 Visão em gravata-borboleta"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX082"]

Desenho lógico

flowchart LR
  N0["28.1 Árvores de falhas"]
  N1["28.2 Acrescentando eventos cibernéticos"]
  N2["28.3 FMEA para o gateway"]
  N3["28.4 Visão em gravata-borboleta"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX082"]

[28.1 Árvores de falhas]
    |
    v
[28.2 Acrescentando eventos cibernéticos]
    |
    v
[28.3 FMEA para o gateway]
    |
    v
[28.4 Visão em gravata-borboleta]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX082]

Objetivos de aprendizagem

Você vai (1) construir uma árvore de falhas para a perda de calor no distrito; (2) combinar portas E e OU com probabilidades simples; (3) acrescentar eventos induzidos por ataques cibernéticos a uma análise no estilo da segurança física; e (4) usar a análise de modos e efeitos de falha (FMEA) para um gateway IoT.

28.1 Árvores de falhas

Uma árvore de falhas começa com um evento topo indesejado e o decompõe em causas ligadas por portas. Uma porta OU significa que qualquer filho causa o pai; uma porta E precisa de todos os filhos. Para eventos independentes, P(OU) ≈ soma das probabilidades quando elas são pequenas, e P(E) = produto. Para o evento topo da LDHP, a árvore de perda de calor por quatro horas deste capítulo, a porta OU no topo significa que qualquer ramo basta; a porta E sob o ramo (c) significa que o ataque só tem sucesso se as suas três condições forem verdadeiras. Se cada uma dessas três tivesse probabilidade 0,1 e elas fossem de fato independentes, o ramo (c) seria 0,001; os próximos parágrafos explicam por que uma causa cibernética quebra essa suposição.

28.2 Acrescentando eventos cibernéticos

Evento topo: perda de calor no distrito por mais de quatro horas. Filhos da porta OU: (a) as duas caldeiras desarmam e não conseguem religar; (b) as bombas de circulação param; (c) o setpoint de ida é manipulado e não é detectado por quatro horas. O evento (c) é ele próprio uma porta E: escrita de setpoint não autorizada e os operadores não percebem e o detector falha. Eventos cibernéticos quebram a suposição de independência: um único intruso pode causar várias falhas "independentes" ao mesmo tempo, então trate a causa comum com cuidado. Na LDHP, um único intruso com acesso à HMI-1 poderia escrever o setpoint e também silenciar a tela de alarmes da qual os operadores dependem para percebê-lo.

28.3 FMEA para o gateway

A FMEA lista cada componente, os seus modos de falha, efeitos, detecção e severidade. Os modos de falha do gateway incluem perda de energia (leituras ausentes — detectada por heartbeat), firmware corrompido (dados malformados — detectado por validação), adulteração da configuração (leituras falsas plausíveis — difícil de detectar) e expiração do certificado (uplink recusado — detectada por monitoramento). Para a LDHP, a adulteração da configuração é a linha que merece atenção: um gateway configurado para escalar cada leitura por 0,9 produz números plausíveis que passam nas verificações de validação e de heartbeat, e só apareceriam numa comparação dos totais dos gateways com o calor que sai da planta. A classificação STRIDE de Maya põe a tomada do gateway em primeiro lugar por esse motivo. A expiração do certificado, ao contrário, é fácil de detectar e fácil de prevenir com um alerta de renovação, então fica baixa, apesar de interromper todas as leituras.

Exemplo resolvido (LDHP sintética)

Probabilidades anuais (ilustrativas): escrita não autorizada 0,05; os operadores não a percebem por quatro horas 0,2; o detector falha 0,1. P(c) = 0,05 × 0,2 × 0,1 = 0,001. As duas caldeiras não religam 0,002; bombas 0,003. P(topo) ≈ 0,002 + 0,003 + 0,001 = 0,006 por ano. Mas se o intruso também conseguir suprimir os alarmes da HMI, "os operadores não percebem" deixa de ser 0,2 e a independência da porta E desmorona — P(c) pode se aproximar de 0,05 × 1 × 0,1 = 0,005.

Caso sintético — Lakeside District Heating Plant. Todas as probabilidades são inventadas para ilustração e não devem ser reutilizadas.

28.4 Visão em gravata-borboleta

Um diagrama em gravata-borboleta (bow-tie) põe o evento topo no centro, as ameaças e as barreiras preventivas à esquerda, e as consequências com as barreiras mitigadoras à direita. Ele ajuda os operadores a ver que o SIS-H é uma barreira mitigadora para a sobretemperatura, mas não oferece nada para a subtemperatura causada por um setpoint rebaixado. A contribuição de Maya para o HAZOP no Capítulo 32 faz o mesmo argumento pelo outro lado: o trip de alta temperatura do SIS-H é a salvaguarda para um setpoint manipulado que superaquece a caldeira, mas um setpoint escrito para 30 °C, como no exercício de mesa do Capítulo 29, causa perda de calor sem jamais se aproximar de um ponto de trip. Para essa consequência, as barreiras ficam à esquerda da gravata-borboleta: a lista de permissão do firewall, as contas nominais, os limites de setpoint de 70–110 °C do PLC-H e o alerta do monitor.

Erros e limites

As probabilidades de eventos adversariais são julgamentos; apresente-as como faixas. As árvores de falhas deixam escapar as interações que não foram desenhadas.

Exercícios

• EX082 — Calculando uma porta E cibernética. Com escrita 0,1, operadores não percebem 0,3 e detector falha 0,2, calcule P(c).
  Mostrar critérios de avaliação

  Rubrica: 3 = 0,006; 2 = método certo; 1 = soma em vez de multiplicar; 0 = nada.
• EX083 — Causa comum. Explique como uma única intrusão pode quebrar a independência da porta E.
  Mostrar critérios de avaliação

  Rubrica: 3 = o mesmo agente suprime alarmes/cega o detector, então os eventos ficam correlacionados; 2 = parcial; 1 = vago; 0 = nada.
• EX084 — Uma linha de FMEA. Escreva a linha da FMEA para a expiração do certificado do gateway.
  Mostrar critérios de avaliação

  Rubrica: 3 = modo, efeito, detecção, severidade, ação; 2 = quatro; 1 = só o modo; 0 = nada.

Síntese

Árvores de falhas e FMEA trazem eventos cibernéticos para a engenharia de confiabilidade — desde que você questione a independência que os adversários são pagos para quebrar.