Capítulo 22 — Infraestrutura crítica e segurança setorial: modelos de sistema e de dados
Mapa da aula
Aula 22 publicada. Mapa, exemplo, EX043.
flowchart TD
N0["22.1 O inventário primeiro"]
N1["22.2 Três visões de um sistema"]
N2["22.3 Estados degradados"]
N3["22.4 O modelo como informação sensível"]
N4["22.6 Atividade prática"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX043"]
Desenho lógico
flowchart LR
N0["22.1 O inventário primeiro"]
N1["22.2 Três visões de um sistema"]
N2["22.3 Estados degradados"]
N3["22.4 O modelo como informação sensível"]
N4["22.6 Atividade prática"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX043"]
[22.1 O inventário primeiro]
|
v
[22.2 Três visões de um sistema]
|
v
[22.3 Estados degradados]
|
v
[22.4 O modelo como informação sensível]
|
v
[22.6 Atividade prática]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX043]
Objetivos de aprendizagem e conexão
Ao fim deste capítulo você será capaz de (1) construir um inventário de ativos e um modelo de sistema que sustentem a análise de segurança; (2) modelar dependências funcionais, fluxos de dados e fronteiras de confiança; (3) representar estados degradados, e não apenas ligado/desligado; e (4) manter o modelo atualizado e protegido como informação sensível. Ele se apoia nos capítulos 2, 13 e 21 e prepara o Capítulo 23 (análise de ameaças e de falhas).
22.1 O inventário primeiro
Você não consegue proteger o que não conhece. Um inventário de ativos de TO registra, para cada dispositivo: identidade, localização, função, zona, endereços de rede, versões de hardware e de firmware, relações de comunicação, dono, criticidade e situação do suporte. Construa-o a partir de várias fontes e concilie-as: documentos de projeto, monitoramento passivo da rede, exportações de configuração e vistorias em campo. Cada fonte deixa coisas de fora — os documentos derivam, o monitoramento passivo não vê dispositivos silenciosos, as vistorias não veem os virtuais. Na LRWA, o inventário cobre as 42 estações de campo, o par SCADA e os gateways, construído a partir de documentos de projeto, do monitoramento passivo no switch de controle e no head-end da LTE, e de visitas às instalações.
22.2 Três visões de um sistema
- Visão funcional: o que o sistema faz — funções como "manter o nível do reservatório", "desinfetar", "dar visibilidade ao operador" — e quais funções dependem de quais (o grafo do Laboratório 2).
- Visão física/de rede: onde estão os ativos e como se conectam — zonas, condutos, enlaces.
- Visão de fluxo de dados: quais dados vão para onde, em que sentido, com que proteção, atravessando quais fronteiras de confiança. Os diagramas de fluxo de dados com fronteiras de confiança são a entrada da modelagem de ameaças (Capítulo 23).
Mantenha as visões ligadas: toda função mapeia para os ativos que a implementam; todo fluxo mapeia para um conduto.
22.3 Estados degradados
Grafos de ligado/desligado são úteis (Capítulo 2), mas insuficientes. Uma estação de bombeamento pode estar em automático remoto, automático local, manual local, degradada (uma bomba de duas) ou fora de serviço; o reservatório pode estar normal, baixo ou abaixo do piso. Um modelo de estados para cada função crítica, com transições causadas por falhas, ataques e ações dos operadores, permite perguntar: a partir da operação normal, que sequência de eventos chega a um estado inaceitável, e qual controle a interrompe? A PS4 é a primeira candidata óbvia na LRWA, porque alimenta o hospital diretamente.
22.4 O modelo como informação sensível
Um modelo de sistema preciso é um mapa para um adversário. Armazene-o com controle de acesso, versione-o e publique apenas abstrações. Trate as exportações para fornecedores e consultores sob acordos. Mantenha um registro de mudanças do modelo ligado à gestão de configuração (Capítulo 16), para que o modelo continue atualizado; um modelo desatualizado há um ano é um passivo apresentado como ativo. O modelo da LRWA, incluindo o grafo de dependências e as listas de permissões das zonas, é mantido com controle de acesso e versionado a cada mudança de configuração.
22.5 Exemplo resolvido: modelo funcional de Hollin Hill (sintético)
A função F1, "abastecer o St Brenna's", é satisfeita se o caminho A (PS4 direto) ou o caminho B (reservatório de Hollin Hill alimentado pela PS3) estiver disponível, e o tanque próprio do hospital cobrir a lacuna durante a comutação. O caminho A precisa da PS4, de sua energia (alimentador F2 ou gerador) e de seu controle (o automático local basta). O caminho B precisa do reservatório acima do piso e da PS3 com energia do alimentador F1. A telemetria não é necessária para o abastecimento — o controle automático local mantém as bombas funcionando —, mas é necessária para a visibilidade (F3) e para a intervenção remota. Essa percepção muda as prioridades: a propriedade de segurança mais importante para F1 é que ninguém consiga comandar remotamente as bombas para um estado inseguro, enquanto a perda da telemetria é um problema de visibilidade com uma folga de 72 h em automático local (R-local). A árvore de falhas do Capítulo 23 formaliza exatamente essa estrutura E/OU.
22.6 Atividade prática
Estenda o Laboratório 2 para que cada nó tenha um tipo de dependência E ou OU, e implemente uma função de disponibilidade que avalie se hospital_supply funciona dado um conjunto de nós em falha. Teste com as falhas {grid_f1}, {ps4} e {ps4, grid_f1}. Modele o abastecimento do hospital como um OU de seus dois caminhos, com a energia da PS4 como um OU do alimentador F2 e do gerador. Deixe a telemetria fora da função de abastecimento, como argumenta o exemplo resolvido, mas mantenha-a numa função de visibilidade separada, para que sua perda continue aparecendo. Depois confira seus três resultados com o EX043: o abastecimento deve sobreviver à perda do alimentador F1 ou à perda da PS4, e falhar apenas quando ambos forem perdidos.
22.7 Erros comuns e limites
- Inventário a partir de uma única fonte.
- Diagramas sem fronteiras de confiança ou sentido dos dados.
- Modelos de ligado/desligado onde os modos degradados decidem os resultados.
- Modelos que nunca são atualizados, ou que são compartilhados livremente.
- Tratar a perda da telemetria e o uso indevido do controle como a mesma consequência.
O modelo de Hollin Hill mostra claramente o último erro: tratar a perda da telemetria como perda do abastecimento mandaria o orçamento do TMRP para a redundância das comunicações, quando a propriedade que de fato protege o hospital é que as bombas não possam ser comandadas remotamente para um estado inseguro.
Exercícios — capítulo 22
EX043 — Avaliação E/OU. Objetivo: implementar e usar um modelo de dependências misto. Entradas: §22.6. Passos: implemente, execute os três testes, relate os resultados. Evidência esperada: código e saída. Rubrica: 3 = semântica correta; {grid_f1} → o abastecimento sobrevive via PS4, se a PS4 funcionar em automático local (sem precisar da LTE); {ps4} → sobrevive via reservatório; {ps4, grid_f1} → falha; 2 = telemetria exigida indevidamente para o abastecimento; 1 = não executado; 0 = nada.
EX044 — Modelo de estados. Objetivo: modelar estados degradados. Entradas: os modos da PS4 na §22.3. Passos: desenhe um modelo de estados com pelo menos cinco estados e os eventos (falha, ataque, ação do operador) entre eles; identifique um caminho de automático remoto até fora de serviço que um atacante remoto poderia conduzir, e o controle que o interrompe. Evidência esperada: tabela de estados e análise. Rubrica: 3 = estados e eventos coerentes, caminho de ataque realista, o controle o interrompe (por exemplo, o reset do desarme exige ação local); 2 = apenas estados; 1 = apenas ligado/desligado; 0 = nada.
Síntese do capítulo
Construa o inventário a partir de várias fontes conciliadas, modele o sistema nas visões funcional, física e de fluxo de dados, com fronteiras de confiança, represente explicitamente os modos degradados e mantenha o modelo atualizado e protegido. Bons modelos separam a visibilidade do controle e mostram qual propriedade realmente protege o serviço.
Continue estudando — capítulo 22 de 50
← Capítulo 21 · Índice de capítulos do curso · Capítulo 23 →
Siga para a próxima lição escrita.