Capítulo 5 — Letramento em segurança

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX013.

flowchart TD
  N0["5.1 A ordem de preocupação em TO"]
  N1["5.2 Ameaça, vulnerabilidade, consequência"]
  N2["5.3 O ATT&CK for ICS como vocabulário"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX013"]

Desenho lógico

flowchart LR
  N0["5.1 A ordem de preocupação em TO"]
  N1["5.2 Ameaça, vulnerabilidade, consequência"]
  N2["5.3 O ATT&CK for ICS como vocabulário"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX013"]

[5.1 A ordem de preocupação em TO]
    |
    v
[5.2 Ameaça, vulnerabilidade, consequência]
    |
    v
[5.3 O ATT&CK for ICS como vocabulário]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX013]

Objetivos de aprendizagem

Você vai (1) definir confidencialidade, integridade e disponibilidade para uma planta de aquecimento; (2) acrescentar segurança física (safety) e confiabilidade como propriedades de primeira classe; (3) separar ameaça, vulnerabilidade e consequência; e (4) mapear uma técnica pública do MITRE ATT&CK for ICS para um ativo da LDHP.

5.1 A ordem de preocupação em TO

Na TI de escritório, a confidencialidade costuma vir na frente. Numa planta de aquecimento distrital, a ordem em geral se inverte: primeiro a segurança das pessoas e dos equipamentos, depois a disponibilidade e a integridade do controle, e só então a confidencialidade dos dados. Tabelas de receitas ou leituras dos medidores dos clientes continuam importando — os dados dos medidores são dados pessoais —, mas uma planilha vazada não escalda ninguém, enquanto um setpoint manipulado pode escaldar. Maya aplicou isso quando o gerente da planta perguntou se devia criptografar primeiro o banco de dados do historiador: ela classificou acima a separação entre a rede do escritório e o PLC-H, porque uma escrita de setpoint pode cortar o calor das casas e uma cópia do banco de dados não pode.

5.2 Ameaça, vulnerabilidade, consequência

Uma ameaça é um agente ou evento com a intenção ou o potencial de causar dano. Uma vulnerabilidade é uma fraqueza que torna o dano possível. Uma consequência é o que de fato acontece com o processo. Os estudantes costumam confundi-las: "o Modbus não tem autenticação" é uma vulnerabilidade, "um terceirizado insatisfeito" é uma fonte de ameaça e "perda de calor para 4.000 casas em janeiro" é uma consequência. Declarações de risco precisam das três. A declaração de risco de Maya para o PLC-H as une: um terceirizado na rede do escritório (ameaça) consegue escrever no registrador 100 porque o Modbus não tem autenticação e a porta 502 é alcançável (vulnerabilidade), baixando o setpoint de ida para 30 °C e cortando o calor de 4.000 casas (consequência).

5.3 O ATT&CK for ICS como vocabulário

O MITRE ATT&CK for ICS cataloga comportamentos de adversários observados contra sistemas industriais. A técnica T0836 Modify Parameter descreve a alteração de parâmetros do controlador, como setpoints ou limites, para causar um efeito; a T0883 Internet Accessible Device descreve alcançar controladores expostos diretamente à internet. Use esses identificadores para descrever comportamentos com precisão — não como uma lista de verificação que alega ser completa. Na LDHP, a T0836 descreve o cenário ao qual este livro mais retorna: uma escrita no holding register 100, o setpoint de temperatura de ida. A T0883 descreve o controlador de aquecimento "real" do colega, encontrado num motor de busca no Capítulo 10. Nomeá-las permite que Maya ligue as suas notas a alertas públicos sem sugerir que a planta tenha sofrido qualquer uma delas.

Exemplo resolvido (LDHP sintética)

Declaração: "Uma parte não autorizada com acesso à VLAN do escritório (ameaça) poderia usar o caminho Modbus não autenticado pela regra 14 (vulnerabilidade) para alterar o setpoint de ida, comportamento descrito pela técnica T0836 Modify Parameter do ATT&CK for ICS, reduzindo o calor entregue em cerca de 1 MW (consequência, do Capítulo 1); o SIS-H cabeado limita o dano por sobretemperatura." Cada oração é separável, e cada uma pode ser contestada.

Caso sintético — Lakeside District Heating Plant. O gerente da planta pergunta se criptografar o banco de dados do historiador é a prioridade máxima. Maya o classifica abaixo da separação entre o escritório e o PLC-H e explica por quê, usando a ordem de preocupação de TO.

Erros e limites

O ATT&CK lista comportamentos observados; a ausência de uma técnica não prova que ela não possa acontecer. Segurança física (safety) não é o mesmo que segurança da informação (security), e controles de segurança nunca podem enfraquecer uma função de segurança física.

Exercícios

• EX013 — Separando ameaça, fraqueza e dano. Classifique: (a) "senha padrão no gateway de medidores", (b) "grupo de ransomware", (c) "a caldeira desarma e o distrito fica sem calor por seis horas".
  Mostrar critérios de avaliação

  Rubrica: 3 = vulnerabilidade, ameaça, consequência; 2 = duas certas; 1 = uma; 0 = nada.
• EX014 — Priorizando na LDHP. Justifique colocar a integridade do setpoint acima da confidencialidade dos dados dos medidores na LDHP, sem dizer que a confidencialidade não importa.
  Mostrar critérios de avaliação

  Rubrica: 3 = consequência física vs dano à privacidade, ambas mantidas; 2 = só a ordem; 1 = descarta a privacidade; 0 = nada.
• EX015 — Mapeando um gateway exposto. Qual ID de técnica do ATT&CK for ICS descreve o gateway de medidores alcançável a partir da internet, e o que esse mapeamento não prova?
  Mostrar critérios de avaliação

  Rubrica: 3 = T0883 e "não prova exploração nem completude"; 2 = só o ID; 1 = ID errado; 0 = nada.

Síntese

Letramento em segurança em TO significa falar com precisão sobre ameaças, fraquezas e consequências físicas, com a segurança física no topo e vocabulários compartilhados usados com honestidade.