OpenCyber Academy
Pesquisa doutoral · Capítulo 8 · Português
Código do curso: OCA-206Capítulo 08: OCA-206-C008

Capítulo 8 — Defesa e plano de publicação

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX045.

flowchart TD
  N0["8.1 Auditoria do registro de alegações"]
  N1["8.2 Famílias de perguntas dos examinadores"]
  N2["8.3 Sequenciamento das publicações"]
  N3["8.4 Divulgação coordenada"]
  N4["8.5 Tradução para a prática"]
  N5["8.6 Programa de pós-doutorado"]
  N6["Síntese do capítulo"]
  N7["Capítulo 1"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX045"]

Desenho lógico

flowchart LR
  N0["8.1 Auditoria do registro de alegações"]
  N1["8.2 Famílias de perguntas dos examinadores"]
  N2["8.3 Sequenciamento das publicações"]
  N3["8.4 Divulgação coordenada"]
  N4["8.5 Tradução para a prática"]
  N5["8.6 Programa de pós-doutorado"]
  N6["Síntese do capítulo"]
  N7["Capítulo 1"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX045"]

[8.1 Auditoria do registro de alegações]
    |
    v
[8.2 Famílias de perguntas dos examinadores]
    |
    v
[8.3 Sequenciamento das publicações]
    |
    v
[8.4 Divulgação coordenada]
    |
    v
[8.5 Tradução para a prática]
    |
    v
[8.6 Programa de pós-doutorado]
    |
    v
[Síntese do capítulo]
    |
    v
[Capítulo 1]
    |
    v
[Exemplo resolvido] --> [Exercício EX045]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você será capaz de (1) auditar um registro de alegações antes da defesa, (2) preparar-se para as famílias de perguntas dos examinadores, (3) sequenciar as publicações, (4) encaminhar vulnerabilidades de produtos pela divulgação coordenada e (5) traduzir as constatações para operadores e organismos de normalização. Ele conclui o projeto iniciado no Capítulo 1.

8.1 Auditoria do registro de alegações

Toda alegação da tese precisa de evidência, escopo e um falseador, e precisa evitar uma redação que alegue demais. O Laboratório 8 automatiza a primeira passada.

# Lab 8: audit a thesis claim register (synthetic). Every claim needs evidence, scope and a falsifier.
claims = [
 {"id": "C1", "text": "Residual CUSUM detects replay on Plant A tank model", "evidence": "Lab3 100/100", "scope": "simulated tank, single-sensor replay", "falsifier": "replay+flow"},
 {"id": "C2", "text": "Method secures water utilities", "evidence": "", "scope": "", "falsifier": ""},
 {"id": "C3", "text": "Band alarms miss replay", "evidence": "Lab3 0/100", "scope": "band +/-1.5", "falsifier": ""},
 {"id": "C4", "text": "Detection holds on testbed T2", "evidence": "Ch5 table 5.2", "scope": "T2, class A replay", "falsifier": "class B: flow meter also spoofed"},
]
overreach = ("secures", "prevents all", "guarantees", "real-world")
for c in claims:
    issues = [f for f in ("evidence", "scope", "falsifier") if not c[f]]
    if any(w in c["text"].lower() for w in overreach): issues.append("overreach wording")
    print(c["id"], "PASS" if not issues else "REVISE: " + ", ".join(issues))

Saída esperada:

C1 PASS
C2 REVISE: evidence, scope, falsifier, overreach wording
C3 REVISE: falsifier
C4 PASS

A C2 precisa ser apagada ou estreitada; a C3 precisa de um falseador (por exemplo, "uma faixa estreita o bastante para captar o replay excederia o orçamento de alarmes falsos do turno"). Uma lista de palavras-chave é uma verificação grosseira; a auditoria humana continua lendo cada alegação.

A lista de palavras-chave do Laboratório 8 é deliberadamente curta, então passar por ela prova pouco. Uma auditoria humana ainda deve ler a C4 em relação aos resultados da T2: o seu escopo é o replay da classe A porque a classe B escapou da detecção na T2, e a revocação de 18 em 20 pertence ao lado da alegação, não só no capítulo de resultados. Repita a auditoria depois de cada revisão do resumo ou da conclusão e guarde a saída de cada execução no histórico do registro de alegações, para que os examinadores vejam como as alegações se estreitaram.

8.2 Famílias de perguntas dos examinadores

Prepare respostas para: posicionamento ("o que há de novo além de Page e Giraldo?"), validade ("por que uma bancada de testes deveria generalizar?"), adversário ("o que faz um atacante mais forte?"), segurança ("como você limitou os experimentos na T2?"), ética ("o que você reteve e por quê?") e impacto ("o que um operador deve mudar na segunda-feira?"). A resposta à última é arquitetural: providenciar uma segunda medição, com fiação independente, das principais grandezas do processo e exibir os valores previstos ao lado dos relatados.

Ensaie cada família em voz alta com um colega que interrompa e mantenha uma folha com uma resposta curta e um ponteiro para a figura ou tabela que a sustenta. Quando não souber, diga que evidência responderia à pergunta e o que você de fato tem. Responda à pergunta feita e pare.

8.3 Sequenciamento das publicações

Artigo 1: a contribuição de metodologia de avaliação (impacto na detecção e métricas por evento, com a lição de reprodução no estilo do TankBench-21 contada de forma genérica). Artigo 2: a comparação do Setpoint Study, com as condições de fronteira. Artigo 3: a constatação sobre a interpretabilidade pelos operadores, com colaboradores de fatores humanos. Libere o arquivo T0/T1 com o Artigo 2.

Planeje cada artigo de modo que ele não contradiga a tese nem os outros artigos e registre quais alegações e figuras cada um reutiliza. Se o artigo sobre operadores atrasar por causa da revisão de fatores humanos, os outros dois ainda podem sair; o arquivo é liberado com o Artigo 2 porque é esse o artigo cujos números ele reproduz. Acerte a autoria com os colaboradores antes de começar a escrever.

8.4 Divulgação coordenada

Se a pesquisa revelar uma vulnerabilidade num produto comercial — por exemplo, um CLP que aceita escritas não autenticadas num registrador que deveria ser somente leitura —, relate-a ao fornecedor e, quando apropriado, a um coordenador como o programa de divulgação coordenada de vulnerabilidades da CISA, combine um cronograma e publique os detalhes técnicos apenas depois que houver mitigações disponíveis. Uma propriedade de projeto documentada numa especificação pública (a falta de autenticação no Modbus) não é uma divulgação de vulnerabilidade; uma falha de implementação é.

Registre o cronograma da divulgação no apêndice da tese, com as datas do primeiro contato, da confirmação pelo fornecedor e da publicação. Se o fornecedor não responder, siga o processo do coordenador em vez de publicar antes. A tese ainda pode descrever a classe de fraqueza, retendo nomes de produtos e passos até que existam mitigações.

8.5 Tradução para a prática

Escreva um resumo de duas páginas para os operadores, com níveis de confiança: "Confiança alta (modelo + bancada): os alarmes de faixa sozinhos não detectam leituras de nível repetidas. Confiança média (dois contextos): uma medição de vazão independente mais uma verificação do resíduo detecta o replay de um único sensor. Nenhuma proteção: se um único dispositivo ou CLP controla as duas medições." Sugira aos grupos de trabalho de normalização que caminhos de medição independentes sejam considerados na avaliação dos níveis de segurança das zonas — como proposta, não como constatação de conformidade.

Teste o resumo com um ou dois operadores antes de liberá-lo: eles conseguem dizer o que verificar na segunda-feira? Se não conseguirem, os níveis de confiança ou a recomendação precisam ser reescritos. Mantenha o resumo coerente com a alegação estreitada e não deixe que um formato mais curto descarte o caso em que um único dispositivo controla as duas medições.

8.6 Programa de pós-doutorado

Estender a plantas com várias malhas, testar modelos calibrados em vez de inventados, medir o tempo de resposta dos operadores com equipes reais de salas de controle (com consentimento) e estudar atacantes da classe C, que modificam a lógica do CLP.

Cada extensão testa uma fronteira que a tese mediu, mas não conseguiu cruzar. As plantas com várias malhas testam se os resíduos continuam interpretáveis quando as malhas interagem. Os modelos calibrados testam se os parâmetros inventados exageraram a separação. Os operadores reais testam a interpretabilidade em escala. Os atacantes da classe C, que podem reescrever a lógica do controlador, testam se algum invariante sobrevive quando o próprio controlador mente; os mesmos limites de segurança e a mesma revisão ética se aplicam às quatro.

Exercícios — capítulo 8

Síntese do capítulo

Audite cada alegação, prepare-se para as seis famílias de perguntas, publique numa ordem que construa credibilidade, divulgue as falhas de implementação por meio de coordenação e traduza as constatações com uma confiança explícita. A contribuição do doutorado é um método medido e os seus limites medidos.

Respostas comentadas

EX045. Usando o parágrafo do EX032 ou da §5.5: "detectou o replay da classe A na simulação" → PASS com escopo; "robusto ao viés de calibração" → REVISE: acrescentar escopo (≤0,4 unidade); "funciona em plantas reais" → REVISE: alega demais.

EX046. Posicionamento: "O CUSUM e os resíduos são estabelecidos; a nossa contribuição é medir o atraso e o impacto na detecção para a manipulação da visão em dois contextos e identificar a capacidade do atacante na qual o método falha." Segurança: "Todos os ataques rodaram em simulação ou na T2, com uma válvula boia mecânica independente do CLP, uma bandeja coletora, uma parada de emergência física e uma autoridade de parada nomeada; nenhum sistema de produção foi tocado."

EX047. 1: artigo de metodologia num veículo de segurança (estabelece as métricas); 2: comparação num veículo de segurança de controle/CPS (usa essas métricas); 3: estudo com operadores num veículo de fatores humanos. A ordem constrói o vocabulário de que os artigos posteriores dependem.

EX048. O Modbus não tem autenticação: propriedade de projeto documentada, não uma divulgação. O CLP aceita escritas num registrador protegido: falha de implementação → divulgação coordenada. Fiação compartilhada na T2: problema de configuração do laboratório → avisar o dono do laboratório; não é uma vulnerabilidade de produto.

EX049. Alta: os alarmes de faixa sozinhos não detectam leituras de nível repetidas. Média: uma medição de vazão independente mais o resíduo detecta o replay de um único sensor. Desconhecida: a proteção contra um atacante que controla as duas medições não foi testada — não a pressuponha.

EX050. Ano 1: modelo calibrado com várias malhas; H: revocação da detecção por resíduo ≥80%, com alarmes falsos ≤1 por turno, quando as malhas se acoplam. Ano 2: estudo com operadores, com consentimento; H: exibir os valores previstos ao lado dos relatados reduz em ≥20% o tempo até o diagnóstico correto. Ambos com limiares congelados e critérios de refutação.

Fim das resoluções. Volte ao índice de capítulos do curso.