Capítulo 2 — Segurança de TO, IoT e sistemas ciberfísicos: fronteira da pesquisa

Capítulo 2 — Segurança de TO, IoT e sistemas ciberfísicos: fronteira da pesquisa

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 Por que a fronteira é difícil de ver"]
  N1["2.2 Famílias de pesquisa"]
  N2["2.3 As normas como hipóteses"]
  N3["2.4 Avaliação crítica: o que torna crível um artigo"]
  N4["2.6 Atividade prática — Laboratório 2: codifique o m"]
  N5["2.7 Uma lacuna falseável"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 Por que a fronteira é difícil de ver"]
  N1["2.2 Famílias de pesquisa"]
  N2["2.3 As normas como hipóteses"]
  N3["2.4 Avaliação crítica: o que torna crível um artigo"]
  N4["2.6 Atividade prática — Laboratório 2: codifique o m"]
  N5["2.7 Uma lacuna falseável"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX008"]

[2.1 Por que a fronteira é difícil de ver]
    |
    v
[2.2 Famílias de pesquisa]
    |
    v
[2.3 As normas como hipóteses]
    |
    v
[2.4 Avaliação crítica: o que torna crível um artigo]
    |
    v
[2.6 Atividade prática — Laboratório 2: codifique o m]
    |
    v
[2.7 Uma lacuna falseável]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você será capaz de (1) organizar a literatura de segurança de TO em famílias de pesquisa, (2) ler normas como hipóteses testáveis, (3) avaliar artigos de detecção em relação às armadilhas de avaliação conhecidas, (4) usar incidentes públicos apenas no nível em que os seus analistas os publicaram e (5) declarar uma lacuna falseável. Ele se apoia na escada de alegações do Capítulo 1 e alimenta a proposta do Capítulo 3.

2.1 Por que a fronteira é difícil de ver

A pesquisa em segurança de TO está espalhada pela engenharia de controle (detecção de falhas, controle resiliente), pela segurança computacional (detecção de intrusões, análise de protocolos), pela engenharia de segurança física (análise de perigos, segurança funcional) e pela prática industrial (white papers de fornecedores, alertas governamentais). A mesma ideia aparece sob nomes diferentes: a detecção de falhas baseada em resíduos de um engenheiro de controle é a detecção de anomalias baseada em física de um pesquisador de segurança. Uma busca de escopo precisa, portanto, usar sinônimos de cada comunidade e pesquisar bases de dados de engenharia, além dos veículos de segurança.

Mantenha uma tabela de sinônimos com uma coluna por comunidade e uma linha por ideia, e atualize-a à medida que a triagem revelar novos termos. Pesquise as bases de engenharia com o vocabulário de controle e os veículos de segurança com o vocabulário de segurança; depois junte e elimine as duplicatas. Registre de qual comunidade veio cada estudo incluído, para que um leitor possa ver se o mapa é equilibrado ou pende para uma tradição.

2.2 Famílias de pesquisa

Arquitetura e segmentação. O modelo de referência Purdue, descrito na NIST SP 800-82 Rev. 3, organiza em camadas a empresa (níveis 4–5), a gestão de operações (3), o controle supervisório (2), o controle básico (1) e o processo físico (0), com uma DMZ industrial entre a TI e a TO. A ISA/IEC 62443-3-2 reformula a segmentação como zonas e condutos, com níveis de segurança-alvo. As perguntas de pesquisa incluem se os desenhos de segmentação de fato reduzem os caminhos de ataque alcançáveis e como a IIoT conectada à nuvem corrói o modelo em camadas.

Segurança de protocolos. Protocolos industriais clássicos, como o Modbus, foram projetados sem autenticação: a especificação do Modbus Application Protocol define códigos de função e modelos de dados, mas nenhum campo de segurança. O DNP3 acrescentou o Secure Authentication; o OPC UA inclui um modelo de segurança. A pesquisa estuda a adoção, as falhas de implementação e o custo de acrescentar segurança a redes determinísticas já existentes.

Detecção. A detecção baseada em rede modela o tráfego; a detecção baseada em processo (baseada em física) modela a planta. Giraldo et al. fizeram um levantamento da detecção baseada em física e constataram que as avaliações raramente consideram um adversário que conhece o detector; Urbina et al. propuseram medir o quanto um atacante furtivo consegue deslocar o processo enquanto permanece abaixo do limiar do detector — a ideia do impacto na detecção do Capítulo 1.

Coengenharia de segurança física e cibernética. Os métodos de análise de perigos (HAZOP, STPA) estão sendo estendidos a causas adversariais; a IEC 62443 e as normas de segurança funcional estão sendo alinhadas. A pesquisa pergunta como uma falha de segurança cibernética pode derrotar uma função de segurança física e como certificar ambas.

Evidências de ameaça. O MITRE ATT&CK for ICS cataloga técnicas de adversários como Modify Parameter, Spoof Reporting Message e Manipulation of View, cada uma fundamentada em relatos públicos. Incidentes públicos — a manipulação dos acionamentos das centrífugas pelo Stuxnet enquanto exibia valores normais, as quedas da distribuição na Ucrânia em 2015 e o malware dirigido a sistemas instrumentados de segurança (TRITON/TRISIS) — mostram que a manipulação da visão, a repetição de valores normais para os operadores, é um objetivo documentado de adversários, e não especulativo.

2.3 As normas como hipóteses

Uma norma codifica a crença de especialistas: "zonas com nível de segurança 2 resistem a atacantes casuais". Trate essas afirmações como hipóteses. Uma tese pode medir se um desenho de zonas reduz a alcançabilidade, se uma prática recomendada de alarmes reduz a sobrecarga dos operadores ou se um nível de segurança é alcançável dentro do orçamento de tempo de varredura de um controlador. Não cite uma norma como evidência de que as suas recomendações funcionam; cite-a como a alegação que você testa.

Escreva cada afirmação testada na tese tal como a norma a formula e, depois, como a hipótese mensurável que você derivou dela, para que os leitores possam julgar a tradução. Um resultado nulo é útil: se um desenho de zonas recomendado não reduz a alcançabilidade na sua topologia, isso diz algo sobre o desenho ou sobre a topologia, e ambos merecem ser relatados.

2.4 Avaliação crítica: o que torna crível um artigo de detecção em TO

Aplique o alerta de Sommer e Paxson — a detecção de anomalias funciona mal quando o espaço "normal" é aberto e os ataques são raros — e a lista de verificação de Arp et al. Pergunte a cada artigo: o conjunto de dados era uma bancada de testes ou uma planta? Os ataques foram gerados pelas mesmas pessoas que construíram o detector? O adversário conhece o detector? O limiar foi escolhido no conjunto de teste? O impacto na detecção é relatado? Conjuntos de dados públicos como o SWaT, do iTrust, vêm de uma bancada real (em escala reduzida) de tratamento de água, o que os torna valiosos, mas cada conjunto tem um conjunto fixo de ataques e uma planta fixa; alegações de generalização para além deles precisam de um segundo contexto.

2.5 Exemplo resolvido: avaliando os estudos sintéticos S1–S8

O padrão é a lacuna: nenhum estudo combina (a) um adversário ciente do detector, (b) limiares fixados antes do teste, (c) o impacto na detecção e (d) a validação numa segunda planta independente.

2.6 Atividade prática — Laboratório 2: codifique o mapa

Copie a tabela para um CSV e conte, com o módulo csv do Python, quantos estudos satisfazem cada critério. Contagens esperadas a partir da tabela: adversário plenamente ciente = 2 (S2, S7), limiares de validação = 4 (S2, S5, S6, S7), impacto plenamente relatado = 2 (S2, S7), dois contextos = 1 (S5). Mude uma decisão de codificação e observe como a declaração da lacuna muda; registre essa sensibilidade nas suas anotações.

Uma pequena mudança pode fazer um estudo cruzar a linha. Se a ciência do adversário em S5 for codificada como plena em vez de parcial, três estudos satisfazem esse critério em vez de dois, mas nenhum ainda combina as quatro propriedades, então a lacuna sobrevive. Registre cada regra de codificação com um exemplo e peça a um segundo codificador que codifique a tabela de forma independente antes de você se apoiar nela.

2.7 Uma lacuna falseável

Lacuna fraca: "A detecção baseada em física é pouco estudada." Lacuna forte: "Nenhuma avaliação relata tanto o atraso de detecção quanto o desvio máximo do processo na detecção para ataques de replay de sensor numa malha de nível, com limiares fixados com antecedência, em duas plantas independentes; prevemos que um resíduo de balanço de massa reduz o atraso em relação a um alarme de faixa e que a vantagem desaparece quando o atacante também controla o sensor de vazão independente." A versão forte nomeia a condição sob a qual a contribuição falha.

A lacuna forte prevê a sua própria falha, que o Setpoint Study mais tarde confirma como a classe B. É essa previsão que permite a uma banca julgar a tese com justiça: se o detector de resíduo também tivesse captado a classe B, a lacuna precisaria ser revista, porque um detector não deveria ser capaz de enxergar através de uma mentira coerente nos dois sensores sem algum outro sinal independente.

2.8 Erros comuns e limites

Citar material de marketing de fornecedores como evidência; tratar as técnicas do ATT&CK como frequências (elas são possibilidades documentadas, não taxas de base); alegar novidade por causa do nome de um novo conjunto de dados; descrever incidentes para além do que as análises públicas afirmam.

Um artigo de fornecedor pode apontar para uma pergunta, mas não pode respondê-la. O ATT&CK diz que a manipulação da visão já foi observada, não com que frequência. Um novo conjunto de dados só é novidade se permitir testar algo que não se podia testar antes. Ao descrever o Stuxnet, a Ucrânia ou o TRITON, diga o que os analistas citados relataram e pare aí.

Exercícios — capítulo 2

• EX008 — Sinônimos para sensores manipulados. Monte uma tabela de sinônimos com pelo menos quatro termos da engenharia de controle e quatro da segurança para o conceito "detectar dados de sensor manipulados". Rubrica: 3 = ≥4 termos de controle + ≥4 de segurança para sensores manipulados; 2 = 3+3; 1 = só um lado; 0 = nenhum.
• EX009 — Mapa Purdue da Plant A. Mapeie os componentes da Plant A do Setpoint Study para os níveis Purdue 0–3 e nomeie o conduto que uma consulta ao historiador atravessa. Rubrica: 3 = componentes L0–L3 + a consulta ao historiador cruza a DMZ TI/TO (3.5) e 3–2; 2 = níveis sem conduíte; 1 = parcial; 0 = nenhum.
• EX010 — Hipótese de zonas da 62443. Reescreva uma recomendação de zonas e condutos da IEC 62443 como uma hipótese mensurável. Rubrica: 3 = hipótese mensurável com corte ≥90% na alcançabilidade de escrita e método de medição; 2 = hipótese sem métrica; 1 = slogan; 0 = nenhum.
• EX011 — Avaliar o estudo S4. Avalie o estudo S4 com cinco perguntas da §2.4 e declare que resultado ele pode apoiar. Rubrica: 3 = cinco pontos de avaliação + teto de sustentação (sinaliza algumas amostras; não atraso/impacto/generalização); 2 = avaliação sem teto; 1 = vago; 0 = nenhum.
• EX012 — Duas técnicas do ATT&CK for ICS. Escolha duas técnicas do ATT&CK for ICS relevantes para o Setpoint Study e explique por que a presença delas na matriz não é evidência de frequência. Rubrica: 3 = Spoof Reporting Message + Modify Parameter e nenhuma alegação de taxa-base; 2 = técnicas sem ressalva; 1 = uma técnica; 0 = nenhum.
• EX013 — Inverter a codificação do adversário em S5. Execute o Laboratório 2, mude a codificação do adversário em S5 para "sim" e relate como a declaração da lacuna muda. Rubrica: 3 = contagem de cientes→3, retirar o absoluto "nenhum estudo ciente", manter a lacuna da combinação; 2 = só a contagem; 1 = contagem errada; 0 = nenhum.
• EX014 — Lacunas fraca e forte sobre DNP3-SA. Escreva uma declaração de lacuna fraca e uma forte para outro tema de TO (por exemplo, a adoção do DNP3 Secure Authentication). Rubrica: 3 = fraca vs forte com amostra pública + previsão de latência; 2 = fraca/forte sem números; 1 = uma afirmação; 0 = nenhum.

Síntese do capítulo

A fronteira fica entre comunidades; leia-a com sinônimos, trate as normas como hipóteses e avalie os artigos de detecção quanto à ciência do adversário, ao vazamento do limiar, ao relato do impacto e à validação num segundo contexto. Uma lacuna só é útil quando diz como poderia ser fechada e como esse fechamento poderia falhar.

Continue estudando — capítulo 02 de 08

← Capítulo 01 · Índice de capítulos do curso · Capítulo 03 →

Siga para a próxima lição escrita.