Capítulo 39 — Infraestrutura crítica e segurança setorial: manutenibilidade
Mapa da aula
Aula 39 publicada. Mapa, exemplo, EX078.
flowchart TD
N0["39.1 Ciclos de vida longos"]
N1["39.2 Dívida técnica e obsolescência"]
N2["39.3 Agilidade criptográfica"]
N3["39.4 Desativação segura"]
N4["39.6 Atividade prática"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX078"]
Desenho lógico
flowchart LR
N0["39.1 Ciclos de vida longos"]
N1["39.2 Dívida técnica e obsolescência"]
N2["39.3 Agilidade criptográfica"]
N3["39.4 Desativação segura"]
N4["39.6 Atividade prática"]
N5["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX078"]
[39.1 Ciclos de vida longos]
|
v
[39.2 Dívida técnica e obsolescência]
|
v
[39.3 Agilidade criptográfica]
|
v
[39.4 Desativação segura]
|
v
[39.6 Atividade prática]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX078]
Objetivos de aprendizagem e conexão
Ao fim deste capítulo você será capaz de (1) projetar para a manutenibilidade ao longo de ciclos de vida longos — atualizações, peças de reposição, competências, documentação; (2) gerenciar a dívida técnica e a obsolescência em TO; (3) planejar a agilidade criptográfica e a transição para a criptografia pós-quântica; e (4) planejar a desativação com segurança. Ele se apoia nos capítulos 8, 14 e 31 e prepara os capítulos 41 e 44.
39.1 Ciclos de vida longos
Os ativos de infraestrutura duram décadas; o software e as ameaças mudam em meses. Manutenibilidade significa que o sistema pode ser mantido seguro e funcional por toda a sua vida: componentes substituíveis sem novo projeto; atualizações possíveis sem longas interrupções; documentação em dia; competências disponíveis. Escolhas de projeto que prejudicam a manutenibilidade incluem protocolos proprietários com um único fornecedor, código personalizado não documentado e hardware sem caminho de atualização. Para o TMRP, as RTUs instaladas agora talvez ainda funcionem nos anos 2040, então o projeto do gateway, o formato das mensagens e a gestão de chaves precisam ser manuteníveis ao longo desse período.
39.2 Dívida técnica e obsolescência
A dívida técnica é o custo futuro dos atalhos tomados agora: uma configuração fixa no código, um teste pulado, um gateway construído "temporariamente" para RTUs legadas. Registre os itens de dívida com dono, custo de correção e risco de deixá-los. A gestão da obsolescência acompanha as datas de fim de venda e de fim de suporte de cada componente e planeja a substituição antes que o suporte termine, mantendo reservas onde a substituição é lenta. Os gateways do TMRP para as unidades legadas RTU-A da PS1 e da PS2 estão registrados como dívida com horizonte de três anos. As reservas são compradas antes do fim de venda.
39.3 Agilidade criptográfica
Os algoritmos se enfraquecem e as normas mudam. A agilidade criptográfica é a capacidade de mudar algoritmos e tamanhos de chave sem projetar o sistema de novo: identificadores de algoritmo nos formatos de mensagem, caminhos de atualização de firmware e uma gestão de chaves capaz de provisionar novos tipos de chave. O NIST publicou suas primeiras normas de criptografia pós-quântica (FIPS 203, 204 e 205) em agosto de 2024 (anúncio do NIST); equipamentos de infraestrutura comprados agora talvez ainda estejam operando quando adversários com capacidade quântica forem plausíveis, então os mecanismos de chave pública em dispositivos de vida longa precisam de um caminho de migração. MACs simétricos como o HMAC-SHA256 são muito menos afetados; a troca de chaves e as assinaturas são onde a migração importa.
39.4 Desativação segura
Dispositivos aposentados contêm chaves, configurações e detalhes da rede. Passos da desativação: revogar chaves e certificados; remover contas; apagar ou destruir o armazenamento conforme a política; atualizar o inventário, os modelos e as listas de permissões; e remover as regras de firewall que serviam ao dispositivo. Regras obsoletas de dispositivos desativados são um caminho clássico para atacantes que colocam um novo dispositivo num endereço antigo. A revisão de manutenibilidade do TMRP constatou que não existia procedimento de desativação, então um foi escrito e ligado à gestão de mudanças. Ele será usado pela primeira vez quando a RTU-A legada da PS2 e seu gateway forem substituídos, como descreve o EX078.
39.5 Exemplo resolvido: revisão de manutenibilidade do TMRP (sintético)
A revisão constata: (1) os gateways da PS1/PS2 são dívida técnica com horizonte de três anos — registrados com plano de substituição; (2) o formato de mensagem do Laboratório 8 não tem identificador de algoritmo — alterado para incluir um ID de suíte de um byte (versão 1 = HMAC-SHA256-128) antes da implantação na frota, ao custo de um byte por mensagem; (3) a assinatura do firmware da RTU-B usa um esquema de assinatura clássico — pedido ao fornecedor um roteiro de migração pós-quântica como condição contratual; (4) não há modems LTE de reserva e o modelo chega ao fim de venda no ano que vem — comprar reservas agora, planejar a substituição; (5) procedimento de desativação ausente — escrito e ligado à gestão de mudanças.
39.6 Atividade prática
Monte um registro de obsolescência para os componentes do TMRP (RTUs, gateways, modems, servidores SCADA, sistema operacional, HSM) com datas presumidas, situação do suporte, reservas mantidas e plano de substituição. Inclua todos os componentes que a revisão do TMRP menciona: a RTU-A e a RTU-B, os gateways, os modems LTE, os servidores SCADA e seu sistema operacional, e o módulo de segurança de hardware. Para cada um, registre as datas presumidas de fim de venda e de fim de suporte, as reservas mantidas e o plano de substituição. Sinalize qualquer componente cujo suporte termine antes da substituição planejada, como a revisão constatou para os modems LTE. Mantenha o registro sob controle de mudanças para que ele continue atualizado.
39.7 Erros comuns e limites
- Projetos que exigem o fornecedor original para sempre.
- Dívida técnica não registrada.
- Formatos de mensagem sem versionamento nem identificadores de algoritmo.
- Dispositivos desativados que deixam chaves e regras de firewall para trás.
A revisão do TMRP encontrou o terceiro erro no quadro do Laboratório 8 e o corrigiu com um identificador de suíte de um byte antes da implantação na frota. Ela também registrou os gateways legados como dívida e escreveu o procedimento de desativação que faltava. Os modems LTE de reserva são comprados antes do fim de venda do modelo. O novo procedimento revoga as chaves e remove as regras de firewall obsoletas.
Exercícios — capítulo 39
EX077 — Adaptação para agilidade. Objetivo: acrescentar agilidade criptográfica. Entradas: formato de quadro do Laboratório 8. Passos: acrescente um ID de suíte de um byte e uma política do receptor que aceite apenas as suítes configuradas; mostre como a suíte 2 (um MAC diferente) poderia ser introduzida durante um período de transição e como a suíte 1 seria aposentada. Evidência esperada: projeto e esboço curto de código. Rubrica: 3 = ID de suíte autenticado (dentro do MAC), política de suítes permitidas por estação, prevenção de rebaixamento, passo de aposentadoria; 2 = ID de suíte não autenticado; 1 = apenas descrição; 0 = nada.
EX078 — Checklist de desativação. Objetivo: aposentar um dispositivo com segurança. Entradas: a RTU-A legada da PS2 e o gateway sendo substituídos pela RTU-B. Passos: escreva uma checklist de pelo menos oito passos, com a evidência de cada um. Evidência esperada: checklist. Rubrica: 3 = chaves revogadas, contas removidas, armazenamento apagado, inventário/modelo/lista de permissões atualizados, regras de firewall removidas, linhas de base do monitoramento atualizadas, destinação das reservas, aprovação formal; 2 = faltam regras ou chaves; 1 = genérico; 0 = nada.
Síntese do capítulo
Projete para décadas: componentes substituíveis, software atualizável, documentação em dia, competências disponíveis. Registre a dívida técnica, gerencie a obsolescência antes do fim do suporte, incorpore a agilidade criptográfica aos formatos e aos caminhos de atualização, com um plano de migração pós-quântica, e desative de modo que nada — chaves, contas, regras — sobreviva ao dispositivo.
Continue estudando — capítulo 39 de 50
← Capítulo 38 · Índice de capítulos do curso · Capítulo 40 →
Siga para a próxima lição escrita.