Capítulo 26 — Infraestrutura crítica e segurança setorial: alternativas de arquitetura

Mapa da aula

Aula 26 publicada. Mapa, exemplo, EX051.

flowchart TD
  N0["26.1 Controle centralizado e distribuído"]
  N1["26.2 Padrões de redundância"]
  N2["26.3 Diversidade"]
  N3["26.4 Fluxos unidirecionais e autonomia local"]
  N4["26.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX051"]

Desenho lógico

flowchart LR
  N0["26.1 Controle centralizado e distribuído"]
  N1["26.2 Padrões de redundância"]
  N2["26.3 Diversidade"]
  N3["26.4 Fluxos unidirecionais e autonomia local"]
  N4["26.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX051"]

[26.1 Controle centralizado e distribuído]
    |
    v
[26.2 Padrões de redundância]
    |
    v
[26.3 Diversidade]
    |
    v
[26.4 Fluxos unidirecionais e autonomia local]
    |
    v
[26.6 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX051]

Objetivos de aprendizagem e conexão

Ao fim deste capítulo você será capaz de (1) comparar padrões de arquitetura para sistemas críticos — controle centralizado versus distribuído, esquemas de redundância, diversidade, fluxos unidirecionais, autonomia local; (2) analisar o comportamento de cada padrão diante de falhas e ataques; (3) quantificar os compromissos usando os modelos de disponibilidade, latência e custo dos capítulos anteriores; e (4) documentar as decisões de arquitetura com suas consequências. Ele desenvolve o conceito selecionado no Ateliê I e prepara o Capítulo 27.

26.1 Controle centralizado e distribuído

O controle centralizado (um SCADA dirigindo dispositivos de campo simples) dá aos operadores uma visão única e facilita a coordenação, mas concentra tanto as falhas quanto os ataques. O controle distribuído (controladores de campo capazes, que funcionam localmente e aceitam alvos de supervisão) degrada com elegância quando o centro ou a rede se perdem, ao custo de mais dispositivos para proteger e configurar. A maioria dos projetos resilientes é hierárquica: o controle local mantém a operação segura de forma autônoma; o centro otimiza e coordena. A escolha do TMRP, a hierárquica C2, mantém o controle automático local em todas as estações.

26.2 Padrões de redundância

• Reserva quente (hot standby): uma segunda unidade funcionando e pronta para assumir automaticamente (pares de servidores SCADA).
• Reserva fria (cold standby): uma reserva que precisa ser ligada ou instalada (RTUs reservas na prateleira).
• N+1: uma unidade a mais do que o necessário (três bombas onde duas atendem à demanda).
• Votação k-de-n: usada em sistemas de segurança operacional (sensores 2-de-3) para tolerar uma entrada defeituosa ou falsificada.

Cada padrão precisa ser julgado diante das causas comuns (Capítulo 7): dois servidores idênticos com software idêntico são redundantes contra falhas de hardware, não contra malware.

26.3 Diversidade

A diversidade — tecnologias, fornecedores, caminhos ou equipes diferentes — reduz as causas comuns. Ela custa mais, aumenta as habilidades necessárias e pode acrescentar superfície de ataque. Use-a onde uma causa comum seria inaceitável: um segundo caminho de comunicação por outra operadora e com outra energia; um desarme de segurança por fiação dedicada, independente do software; uma régua manual que um operador consiga ler quando toda a eletrônica está sob suspeita. Na LRWA, o argumento a favor da diversidade é mais claro no caminho da telemetria, onde uma segunda operadora com energia separada eliminaria a dependência compartilhada do alimentador F1, e em Hollin Hill, onde uma régua de nível manual dá aos operadores uma leitura em que podem confiar quando toda a eletrônica está sob suspeita.

26.4 Fluxos unidirecionais e autonomia local

Os gateways unidirecionais impõem fisicamente o fluxo de dados apenas para fora; eles eliminam toda uma classe de ataques de entrada no lado protegido, mas também eliminam o controle remoto por esse caminho. A autonomia local — a capacidade de uma instalação de funcionar com segurança sem o centro — é um padrão de resiliência que também limita a consequência dos ataques: um centro comprometido pode atrapalhar a otimização, mas não deve conseguir levar uma instalação para fora dos limites seguros se esses limites forem impostos localmente (R3). A opção C3 do TMRP leva isso ao limite para o monitoramento.

26.5 Exemplo resolvido: três arquiteturas do TMRP comparadas (sintético)

Tabela da aula; deslize para ver todas as colunas →

A tabela torna explícito o risco residual de C2: um centro SCADA comprometido ainda consegue emitir comandos autenticados dentro dos limites locais. Esse risco residual é aceito com base no monitoramento, na aprovação por duas pessoas para mudanças de setpoint em lote e em limites locais que mantêm o processo seguro.

26.6 Atividade prática

Escreva um ADR escolhendo entre C2 e C3 especificamente para a PS4 (a alimentação do hospital), considerando que os setpoints da PS4 mudam raramente. Parta da tabela de comparação e do que torna a PS4 especial: ela alimenta diretamente o St Brenna's e seus setpoints mudam raramente. Pese a segurança de eliminar as escritas remotas de setpoint contra o custo de enviar um técnico para cada mudança, especialmente à noite, com um único operador de plantão. Diga o que o faria rever a decisão, como mudanças de setpoint mais frequentes. A defesa do Capítulo 50 mais tarde se refere a um ADR com exatamente essa opção de controle apenas local para a PS4.

26.7 Erros comuns e limites

• Redundância sem diversidade, alegada como resiliência contra ataques.
• Diversidade em toda parte, sobrecarregando a capacidade de manutenção.
• Centralização por conveniência sem limites seguros locais.
• Ignorar o custo operacional de arquiteturas que eliminam o controle remoto.
• Comparações de arquitetura sem números onde há números disponíveis.

A tabela do TMRP evita o último erro ao colocar números onde eles existem, como a indisponibilidade das comunicações com um fator de causa comum, e ao declarar com clareza o custo de pessoal de C3. Ela também aceita abertamente o risco residual de C2, em vez de alegar que sua redundância protege contra ataques.

Exercícios — capítulo 26

EX051 — Votação contra falsificação. Objetivo: analisar a votação 2-de-3. Entradas: três transmissores de nível em Hollin Hill; seleção pela mediana. Passos: explique o que um transmissor falsificado consegue e não consegue fazer; o que um atacante que controle a RTU comum que lê os três consegue fazer; e como restabelecer a independência. Evidência esperada: meia página. Rubrica: 3 = a mediana tolera uma entrada falsificada, a RTU comum derrota a votação, independência por E/S ou controlador separados; 2 = ponto da RTU comum não percebido; 1 = genérico; 0 = nada.

EX052 — Decisão de arquitetura da PS4. Objetivo: escrever um registro de decisão. Entradas: §26.6. Passos: escreva o ADR com contexto, opções, decisão, consequências e condições de revisão. Evidência esperada: ADR. Rubrica: 3 = decisão justificada pela criticidade da PS4 e pelas mudanças raras de setpoint (C3 ou C2 com escritas de setpoint apenas locais, defendida), consequências incluindo o custo operacional, gatilhos de revisão; 2 = consequências fracas; 1 = sem opções; 0 = nada.

Síntese do capítulo

Escolha a arquitetura pelo modo como ela falha e pelo modo como pode ser atacada. O controle hierárquico com limites seguros locais combina operabilidade com degradação elegante. A redundância protege contra falhas independentes, a diversidade contra causas comuns; os fluxos unidirecionais eliminam os caminhos de ataque de entrada junto com o controle remoto. Quantifique onde puder e documente o risco residual que você aceita.