Capítulo 40 — Tese e apresentação

Mapa da aula

Aula 40 publicada. Mapa, exemplo, EX118.

flowchart TD
  N0["40.1 Estrutura da tese"]
  N1["40.2 Slides"]
  N2["40.3 Prevendo as perguntas"]
  N3["40.4 Publicação responsável"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX118"]

Desenho lógico

flowchart LR
  N0["40.1 Estrutura da tese"]
  N1["40.2 Slides"]
  N2["40.3 Prevendo as perguntas"]
  N3["40.4 Publicação responsável"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX118"]

[40.1 Estrutura da tese]
    |
    v
[40.2 Slides]
    |
    v
[40.3 Prevendo as perguntas]
    |
    v
[40.4 Publicação responsável]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX118]

Objetivos de aprendizagem

Você vai (1) estruturar uma monografia de bacharelado em segurança de TO; (2) projetar slides que mostrem evidências, e não decoração; (3) preparar-se para uma defesa oral com perguntas previstas; e (4) publicar um pacote de replicação de forma responsável.

40.1 Estrutura da tese

Introdução (problema, pergunta, contribuição); fundamentação (normas e trabalhos anteriores, citados com precisão — NIST SP 800-82r3, as partes relevantes da IEC 62443, técnicas do ATT&CK for ICS, artigos revisados por pares que você leu); método; resultados; discussão, incluindo as limitações; conclusão e trabalhos futuros; apêndices com o código e as descrições dos dados. Mantenha o rótulo de sintético visível em toda legenda de figura que use dados da LDHP. Na tese de Maya, o capítulo de fundamentação cita a técnica T0836 do ATT&CK for ICS e o CISA AA21-042A para o problema, a IEC 62443-3-3 para os controles de zonas e conduítes por trás da sua lista de permissão, e Urbina et al. para avaliar detectores pelo impacto do atacante. Toda figura construída a partir de capturas da LDHP traz "dados sintéticos" na legenda.

40.2 Slides

Uma mensagem por slide, enunciada no título: "O monitoramento baseado em regras não detectou a deriva lenta; uma regra cumulativa a recuperou". Mostre a matriz de confusão, os denominadores e o intervalo. Evite imagens de hackers e ícones de cadeado; os examinadores os leem como sinal de conteúdo fraco. O slide de resultados de Maya mostra a sua matriz de oito casos com as contagens em cada célula, três verdadeiros positivos, um falso positivo, dois falsos negativos, dois verdadeiros negativos, e o intervalo de Wilson para a revocação de 3/5, de aproximadamente 0,23 a 0,88. O seu título enuncia o achado, em vez de "Resultados". Uma banca pode então perguntar sobre o falso positivo, uma escrita de manutenção sinalizada, sem precisar antes decifrar o gráfico.

40.3 Prevendo as perguntas

Prepare respostas para: Por que dados sintéticos? Como isto falharia numa planta real? Qual é a carga de alarmes falsos sobre os operadores por turno? Por que essas classes de ataque? O que faria um atacante que conhece as suas regras? Responder "não sei, mas é assim que eu descobriria" é aceitável; inventar números não é. Para a pergunta sobre alarmes falsos, Maya pode responder com os seus próprios dados: um falso positivo em oito casos é pouco demais para estimar a carga por turno, e ela diz isso, com o número de horas tranquilas de que precisaria para medi-la. Para a pergunta sobre o atacante, as suas duas falhas de detecção já respondem a uma parte: muitas escritas pequenas dentro da faixa permitida, e escritas feitas pela própria HMI-1.

40.4 Publicação responsável

Publique o código, as sementes e os dados sintéticos sob uma licença aberta. Não publique nada que seja um ataque funcional contra produtos reais. Se o trabalho encontrou uma vulnerabilidade real, a publicação espera a divulgação coordenada (Capítulo 10). O repositório da tese de Maya conteria o código do monitor, as capturas sintéticas da LDHP com o seu gerador e as sementes, e os oito casos rotulados. Não conteria nada que envie escritas Modbus, porque o monitor só lê arquivos de captura. Se o trabalho dela tivesse revelado uma falha no tratamento do código de função 8 por um CLP real, a descrição na tese esperaria até que o fornecedor tivesse uma correção.

Exemplo resolvido (LDHP sintética)

A defesa de Maya abre com a contribuição numa frase: "Um monitor de escritas Modbus baseado em regras, com uma regra de mudança cumulativa, detectou cinco de seis classes de ataque sintéticas em capturas da LDHP; a classe restante — escritas a partir de uma HMI legítima — exige correlação com a identidade do operador." O seu slide de encerramento lista três limitações e o plano para um sucessor do Capítulo 39.

Caso sintético — Lakeside District Heating Plant. A tese é uma ilustração resolvida sobre dados simulados.

Erros e limites

Uma tese é julgada mais pelo raciocínio e pela honestidade que pelo tamanho do resultado. Capítulos longos de literatura que resumem sem avaliar acrescentam páginas, não notas.

Exercícios

• EX118 — Um título de slide que carrega a afirmação. Escreva o título do slide que mostra o resultado de revocação de 4/5.
  Mostrar critérios de avaliação

  Rubrica: 3 = afirmação em frase completa, com ressalva; 2 = afirmação sem ressalva; 1 = "Resultados"; 0 = nada.
• EX119 — Defendendo-se de um atacante informado. Esboce uma resposta para "o que faria um atacante que conhece as suas regras?".
  Mostrar critérios de avaliação

  Rubrica: 3 = admite a evasão (por exemplo, pela HMI ou abaixo do limiar cumulativo), cita um orçamento de impacto no estilo de Urbina, propõe uma defesa; 2 = dois; 1 = nega; 0 = nada.
• EX120 — O que não publicar. Nomeie um item que deve ficar fora do pacote de replicação público, e por quê.
  Mostrar critérios de avaliação

  Rubrica: 3 = qualquer coisa utilizável contra produtos reais ou quaisquer dados fornecidos pelo proprietário; com justificativa; 2 = só o item; 1 = "o código"; 0 = nada.

Síntese

Uma tese encerra o curso mostrando que você consegue enquadrar uma pergunta de segurança de TO, respondê-la com evidências honestas e comunicar os limites da resposta às pessoas que precisam agir com base nela.