Capítulo 36 — Infraestrutura crítica e segurança setorial: desempenho e escala | Engenharia Segurança de infraestrutura crítica e setores

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 36 publicada. Mapa, exemplo, EX071.

flowchart TD
  N0["36.1 Filas por toda parte"]
  N1["36.2 O custo da segurança"]
  N2["36.3 Carga de pico, degradada e de ataque"]
  N3["36.4 Escala"]
  N4["36.6 Atividade prática: Laboratório 13"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX071"]

Desenho lógico

flowchart LR
  N0["36.1 Filas por toda parte"]
  N1["36.2 O custo da segurança"]
  N2["36.3 Carga de pico, degradada e de ataque"]
  N3["36.4 Escala"]
  N4["36.6 Atividade prática: Laboratório 13"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX071"]

[36.1 Filas por toda parte]
    |
    v
[36.2 O custo da segurança]
    |
    v
[36.3 Carga de pico, degradada e de ataque]
    |
    v
[36.4 Escala]
    |
    v
[36.6 Atividade prática: Laboratório 13]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX071]

Objetivos de aprendizagem e conexão

Ao fim deste capítulo você será capaz de (1) modelar vazão, latência e utilização com a teoria das filas e a lei de Little; (2) estimar o custo de desempenho dos controles de segurança; (3) dimensionar sistemas para condições de pico e degradadas, incluindo a carga induzida por ataques; e (4) projetar para a escala — frotas de milhares de dispositivos — na gestão de chaves, no monitoramento e nas atualizações. Ele se apoia nos capítulos 11, 19 e 34 e prepara o Capítulo 41.

36.1 Filas por toda parte

As mensagens esperam em filas nos gateways, nos servidores e nos enlaces. A lei de Little, $L = \lambda W$, relaciona o número médio no sistema $L$, a taxa de chegada $\lambda$ e o tempo médio no sistema $W$, sob condições muito gerais. Para o modelo simples M/M/1 (chegadas aleatórias, serviço exponencial, um servidor com taxa de serviço $\mu$), a utilização é $\rho = \lambda/\mu$ e $W = 1/(\mu - \lambda)$. O atraso cresce sem limite quando $\rho \to 1$: com 80% de utilização, a mensagem média passa cinco tempos de serviço no sistema; com 96%, vinte e cinco. Dimensione para que a utilização de pico fique bem abaixo de 1 — em geral abaixo de 0,7 nos caminhos críticos para a latência.

36.2 O custo da segurança

Todo controle custa algo: bytes (os 22 bytes de sobrecarga do Laboratório 8), CPU (cálculo do MAC, handshakes TLS), latência (decisões de política, inspeção) e tempo dos operadores (nova autenticação, aprovações). Meça-os na bancada. Os custos costumam ser pequenos em relação às idas e voltas da rede, mas importam em enlaces restritos (rádio de baixa largura de banda), em dispositivos restritos (microcontroladores pequenos) e em escala. Para o TMRP, os custos medidos incluem os vinte e dois bytes extras por quadro, o cálculo do MAC de cada mensagem no verificador do lado do SCADA e o tempo dos operadores na aprovação por duas pessoas de mudanças de setpoint em massa. Nenhum é grande, mas é o limite de vazão do verificador que o exemplo resolvido precisa dimensionar.

36.3 Carga de pico, degradada e de ataque

Dimensione para a pior carga crível: inundações de alarmes em tempestades, rajadas de reconexão após quedas (Capítulo 34), recuperação do atraso após failover e inundações deliberadas. Um atacante que consiga enviar tráfego a um gateway pode empurrar a utilização para perto de 1 e atrasar alarmes legítimos; as defesas incluem limites de taxa por origem, filas com prioridade para os alarmes, rejeição precoce do tráfego não autenticado (faça primeiro a verificação barata) e margens de capacidade. Para o TMRP, a rajada de reconexão encontrada nos testes de integração é o exemplo mais claro, e a fila com prioridade para alarmes no verificador é a defesa escolhida no exemplo resolvido.

36.4 Escala

Na escala de frota, os processos manuais falham. O cadastro, a rotação e a revogação de chaves precisam ser automatizados, com auditoria; o monitoramento precisa agregar e priorizar; as atualizações precisam ser feitas em etapas e ser observáveis; o inventário precisa ser conciliado continuamente. Um procedimento que leva 30 minutos por dispositivo consome 500 horas de trabalho da equipe, cerca de três meses de um engenheiro em tempo integral, para mil dispositivos. A LRWA tem hoje apenas 42 estações de campo, mas o mesmo projeto pode depois ser usado numa frota muito maior, então o TMRP automatiza desde o início os registros de cadastro e rotação de chaves, em vez de depender de uma planilha mantida por um único engenheiro.

36.5 Exemplo resolvido: dimensionamento do gateway (sintético)

O verificador do lado do SCADA consegue processar 50 mensagens/s. Em regime permanente, as 42 estações da LRWA geram cerca de 20 mensagens/s ($\rho = 0.4$, $W \approx 33$ ms). Durante uma tempestade, os alarmes elevam as chegadas a 40/s ($\rho = 0.8$, $W = 100$ ms, cerca de 4 mensagens no sistema). Com 48/s, $W = 500$ ms e há em média 24 mensagens no sistema. A varredura sequencial de 42 estações, com 180 ms de ida e volta mais o tempo dos registradores, leva 7,8 s por ciclo; seis canais paralelos a reduzem a 1,3 s. Decisões: capacidade do verificador dobrada para 100 mensagens/s, por folga; fila com prioridade para os alarmes; relato por exceção para os alarmes, em vez de esperar pela varredura.

36.6 Atividade prática: Laboratório 13

# Lab 13 - is the telemetry gateway fast enough? M/M/1 and a polling cycle (synthetic, offline)
mu = 50.0                                    # messages/s the gateway can verify and forward
for lam in (20.0, 40.0, 45.0, 48.0):
    rho = lam / mu; W = 1 / (mu - lam); L = lam * W
    print(f"lambda={lam:>4} rho={rho:.2f} W={W*1000:6.1f} ms L={L:5.1f} msgs")
stations, regs_per_poll, rtt_ms, per_reg_ms = 42, 3, 180, 2
cycle = stations * (rtt_ms + regs_per_poll * per_reg_ms)
print(f"sequential polling cycle: {cycle/1000:.2f} s; with 6 parallel channels: {cycle/6/1000:.2f} s")

Saída esperada:

lambda=20.0 rho=0.40 W=  33.3 ms L=  0.7 msgs
lambda=40.0 rho=0.80 W= 100.0 ms L=  4.0 msgs
lambda=45.0 rho=0.90 W= 200.0 ms L=  9.0 msgs
lambda=48.0 rho=0.96 W= 500.0 ms L= 24.0 msgs
sequential polling cycle: 7.81 s; with 6 parallel channels: 1.30 s

As quatro primeiras linhas mostram o atraso crescendo bruscamente à medida que as chegadas se aproximam da capacidade do verificador, de cinquenta mensagens por segundo: com vinte mensagens por segundo, a mensagem média espera cerca de um terço de décimo de segundo, enquanto com quarenta e oito espera meio segundo e há duas dúzias de mensagens no sistema. As linhas da varredura mostram por que a LRWA usa seis canais paralelos: um ciclo sequencial de quase oito segundos deixaria os alarmes esperando muito antes de chegarem ao verificador.

36.7 Erros comuns e limites

Dimensionar para a carga média.
Ignorar que o atraso explode perto da utilização plena.
Supor que os custos de segurança são desprezíveis sem medi-los no dispositivo-alvo.
Procedimentos manuais que não escalam.
M/M/1 usado onde as chegadas são em rajadas ou o serviço é determinístico; trate-o como uma primeira aproximação.

O dimensionamento do TMRP evita os dois primeiros erros dimensionando para a carga de tempestade e mantendo o verificador dobrado bem abaixo da utilização plena, e trata os resultados de filas como uma primeira aproximação a ser conferida com as medições de bancada.

Exercícios — capítulo 36

EX071 — Dobrar a capacidade. Objetivo: quantificar a folga. Entradas: Laboratório 13 com $\mu = 100$. Passos: calcule $\rho$, $W$ e $L$ a 20, 40 e 48 mensagens/s; compare com $\mu = 50$. Evidência esperada: tabela. Rubrica: 3 = valores corretos (p. ex., a 48/s: ρ = 0,48, W ≈ 19,2 ms, L ≈ 0,92) e conclusão; 2 = um erro; 1 = uma única taxa; 0 = nada.

EX072 — Defesa contra inundações. Objetivo: projetar contra a carga de ataque. Entradas: um atacante na rede LTE consegue enviar 1.000 quadros forjados/s ao verificador. Passos: proponha três defesas em ordem de custo e explique como cada uma protege a latência dos alarmes. Evidência esperada: lista. Rubrica: 3 = filtragem no nível da rede por origem/túnel, verificações prévias baratas antes do MAC, limites de taxa por origem e filas com prioridade, com raciocínio sobre onde a carga é descartada; 2 = uma defesa; 1 = apenas "acrescentar capacidade"; 0 = nada.

Síntese do capítulo

As filas governam a latência; a lei de Little e os modelos de filas simples mostram que o atraso explode à medida que a utilização se aproxima de um. Meça os custos dos controles de segurança, dimensione para a carga de pico, degradada e de ataque, com prioridade para os alarmes, e automatize desde o início os processos na escala de frota.