◇ OpenCyber Academy
Engenharia · Capítulo 50 · Português

Capítulo 50 — Defesa final

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 50 — Defesa final

Mapa da aula

Aula 50 publicada. Mapa, exemplo, EX099.

flowchart TD
  N0["50.1 O que os examinadores testam"]
  N1["50.2 A apresentação"]
  N2["50.3 Famílias de perguntas"]
  N3["50.4 Respostas honestas"]
  N4["50.5 Depois da defesa"]
  N5["50.7 Atividade prática"]
  N6["Síntese do capítulo"]
  N7["Capítulo 1"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX099"]

Desenho lógico

flowchart LR
  N0["50.1 O que os examinadores testam"]
  N1["50.2 A apresentação"]
  N2["50.3 Famílias de perguntas"]
  N3["50.4 Respostas honestas"]
  N4["50.5 Depois da defesa"]
  N5["50.7 Atividade prática"]
  N6["Síntese do capítulo"]
  N7["Capítulo 1"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX099"]

[50.1 O que os examinadores testam]
    |
    v
[50.2 A apresentação]
    |
    v
[50.3 Famílias de perguntas]
    |
    v
[50.4 Respostas honestas]
    |
    v
[50.5 Depois da defesa]
    |
    v
[50.7 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Capítulo 1]
    |
    v
[Exemplo resolvido] --> [Exercício EX099]

Objetivos de aprendizagem e conexão

Ao fim deste capítulo você será capaz de (1) preparar a apresentação técnica de defesa de um projeto final e de um trabalho de conclusão; (2) antecipar as perguntas dos examinadores por família e preparar respostas baseadas em evidências; (3) lidar com honestidade com as perguntas que você não consegue responder; e (4) planejar as correções e a passagem depois da defesa. Ele encerra o curso.

50.1 O que os examinadores testam

Os examinadores conferem se o candidato entende a necessidade e as restrições; tomou decisões de projeto defensáveis; verificou as alegações com competência; conhece os limites das evidências; e consegue raciocinar sobre mudanças ("e se o requisito fosse de 2 h?"). Eles leem o trabalho de conclusão com atenção e sondam as inconsistências. Na defesa do TMRP, os examinadores provavelmente vão sondar a insuficiência de R6 e o risco residual aceito D1. Eles podem perguntar o que mudaria se a reserva do hospital fosse de duas horas em vez de quatro, e o candidato deve raciocinar a partir da árvore de falhas e do modo automático local, em vez de chutar.

50.2 A apresentação

Vinte minutos: necessidade e consequência (2 min); requisitos (2); alternativas e seleção (3); arquitetura e principais controles (4); resultados de verificação e validação, com reprovações e correções (5); situação dos requisitos e riscos residuais (2); limitações e próximos passos (2). Uma mensagem por slide. Mostre a tabela de situação dos requisitos; os examinadores respeitam um "não atendido" dito com clareza. Para o TMRP, a tabela de situação dos requisitos mostraria R1, R2 e R7 como atendidos após correções e R6 como não atendido em doze horas, com as opções do ADR-015. Esse slide prepara a banca para as perguntas do exemplo resolvido, e declarar a insuficiência antes que um examinador a encontre conquista mais confiança do que qualquer resultado polido.

50.3 Famílias de perguntas

Prepare duas respostas por família, com referências ao dossiê.

50.4 Respostas honestas

Quando você não sabe: diga isso, diga como descobriria e — se puder — raciocine em voz alta rumo a uma resposta, deixando claro que é raciocínio. Não invente números. Quando um examinador encontra um erro: reconheça-o, avalie seu impacto sobre as alegações e proponha uma correção. No exemplo resolvido, o candidato faz isso quando perguntado sobre o risco residual D1: declara quem o aceitou, as evidências que o limitam e a alternativa que o eliminaria, sem fingir que o risco é desprezível. Nenhum número é inventado.

50.5 Depois da defesa

As correções são listadas numa tabela: pedido do examinador, mudança feita, localização. Passe o artefato e o dossiê ao patrocinador, com as limitações conhecidas e as necessidades de manutenção. Em projetos reais, encaminhe quaisquer constatações de segurança pelos processos do proprietário. Para o TMRP, a passagem vai para a diretora de operações da LRWA, com o dossiê, o item em aberto sobre R6 e a nota de que o limiar da estação inativa precisa ser ajustado de novo em campo. Qualquer constatação de segurança sobre equipamentos reais passaria pelos próprios processos da LRWA, e não pelo trabalho de conclusão.

50.6 Exemplo resolvido: respondendo a uma pergunta difícil (sintético)

Examinador: "Seu caso de garantia aceita o risco residual D1 — um centro SCADA comprometido emitindo comandos autênticos. Por que isso é aceitável para o abastecimento de um hospital?" Candidato: "Ele foi aceito pela diretora de operações, e não por mim, e o caso declara por quê: os limites locais (R3) mantêm qualquer setpoint aceito dentro de limites seguros, então o pior que um centro comprometido pode fazer na PS4 é parar as bombas, e a árvore de falhas mostra que perder o abastecimento exige então que o caminho do reservatório e o tanque do hospital também falhem. Se os examinadores considerarem isso insuficiente, a alternativa do ADR-012 — escritas de setpoint apenas locais na PS4 — elimina o controle remoto naquele local, a um custo de pessoal estimado em um acionamento por mês. Eu não alegaria que D1 é desprezível; alego que ele é limitado e tem dono."

50.7 Atividade prática

Realize uma defesa simulada com dois colegas atuando como examinadores, usando as famílias de perguntas; registre as perguntas que você não conseguiu responder e prepare as respostas. Peça aos examinadores que usem todas as famílias de perguntas e que sondem pelo menos um número do seu trabalho de conclusão. Registre cada pergunta que você não conseguiu responder e depois rastreie a resposta até o seu dossiê. Para o TMRP, as perguntas mais difíceis tratam da insuficiência de R6 e do risco residual D1; prepare essas respostas até conseguir dá-las de forma breve, com as evidências nomeadas e sem alegar mais do que o dossiê apoia.

50.8 Erros comuns e limites

O candidato do TMRP evita esses erros mostrando a insuficiência de R6 num slide, reconhecendo os erros com clareza, recusando-se a inventar números e mantendo uma tabela de correções pronta para os pedidos dos examinadores. Reprovações como a repetição após o reinício são apresentadas como constatações que a verificação pegou, com a correção e o novo teste, que é exatamente o que os examinadores querem ver. Uma tabela de correções está pronta. Cada alegação fica dentro do dossiê.

Exercícios — capítulo 50

EX099 — Banco de perguntas. Objetivo: antecipar o exame. Entradas: seu trabalho de conclusão ou o caso do TMRP. Passos: escreva doze perguntas (duas por família) e respostas curtas baseadas em evidências, com referências ao dossiê. Evidência esperada: banco. Rubrica: 3 = perguntas difíceis e específicas, com respostas honestas que incluem os limites; 2 = perguntas brandas; 1 = respostas sem evidências; 0 = nada.

EX100 — Tabela de correções. Objetivo: planejar as correções. Entradas: pedidos dos examinadores: (1) relatar a variabilidade do tempo de recuperação; (2) justificar a fração utilizável de 0,6 da bateria; (3) remover a alegação de que o detector "impede" ataques. Passos: escreva uma tabela de correções com a mudança, a localização e como cada uma é evidenciada. Evidência esperada: tabela. Rubrica: 3 = (1) reconhece o ensaio único e acrescenta um plano ou execuções simuladas repetidas, (2) acrescenta a fonte do fabricante ou uma análise de sensibilidade, (3) reformulação para "detecta"; 2 = uma fraca; 1 = sem localizações; 0 = nada.

Síntese do capítulo

A defesa testa a compreensão, o julgamento e a honestidade sobre os limites. Apresente com clareza a necessidade, o projeto, as evidências e a situação; prepare-se por família de perguntas, com referências ao dossiê; responda o que você sabe, raciocine de forma transparente sobre o que não sabe e transforme as constatações dos examinadores numa tabela de correções precisa e numa passagem responsável.

Continue estudando — capítulo 50 de 50

← Capítulo 49 · Índice de capítulos do curso · Resoluções →

Siga para a próxima lição escrita.

Resoluções e notas de avaliação

Cada resolução mostra uma resposta defensável. Os resultados numéricos foram produzidos executando os laboratórios e os scripts curtos descritos, com Python 3 e as sementes indicadas; seus últimos dígitos podem diferir se você mudar a ordem dos sorteios aleatórios. Nos exercícios de projeto, a rubrica do capítulo importa mais do que coincidir com a redação abaixo. Lowmarsh Regional Water Authority, St Brenna's Hospital, o TMRP e todos os números são sintéticos.

Capítulo 1

EX001. $d'(t) = 60\cdot\frac{2\pi}{24}\cos(2\pi t/24) \approx 15.71\cos(2\pi t/24)$ m³/h². Máximo de 15,71 m³/h² em $t = 0$ (06:00) e de novo a cada 24 h. Como 15,71 > 12, as bombas não conseguem acompanhar a demanda em todos os instantes: $d'(t) > 12$ quando $|t| < 2.68$ h, isto é, aproximadamente das 03:20 às 08:40 todos os dias. A reservação precisa cobrir o déficit durante a subida da manhã, o que é uma das razões pelas quais os reservatórios existem.

EX002. Interrupção às 06:00: 14,62 h. Interrupção às 18:00: 18,62 h. Estimativa pela demanda média: 17,33 h. O plano de emergência deve citar o pior horário de início plausível (≈ 14,6 h, ou menos se um nível inicial mais baixo for plausível), porque o plano precisa funcionar seja quando for que a interrupção comece; o valor da demanda média não é nem o pior caso nem o caso típico.

Capítulo 2

EX003. $\neg\text{RUN} = H \vee S \vee (\neg P \wedge \neg M)$. Uma permissão forjada só muda o resultado nos estados com $H = 0$, $S = 0$, $M = 0$ (em que RUN seria falso de outro modo): um estado em 16. Uma proposta: exigir, para a partida remota, tanto $P$ quanto uma segunda condição que não percorra o mesmo caminho de rede — por exemplo, uma chave seletora local de "remoto habilitado" $K$: $\text{RUN} = \neg H \wedge \neg S \wedge ((P \wedge K) \vee M)$. A chave seletora é acionada pela equipe da instalação para a operação remota planejada.

EX004. Com a RTU4 passando a usar apenas sat (e sat sem depender de nada), a perda de grid_f1 afeta fenwick_wtw, hollin_res, hospital_supply, lte, ps3, ps3_feed, rtu3 — ps4 e rtu4 sobrevivem. Mas o grafo do laboratório ainda marca hospital_supply como afetado, porque suas arestas são dependências do tipo E: o abastecimento "precisa" tanto do reservatório quanto da PS4. A lógica real é OU (qualquer um dos caminhos basta), o que este grafo simples não consegue expressar — o Capítulo 22 acrescenta tipos E/OU. Uma modelagem melhor da tarefa (a RTU4 precisa da LTE ou do satélite) também exige semântica de OU. Resposta honesta: o hospital provavelmente sobrevive à perda de F1 via PS4, mas este modelo não consegue mostrar isso.

Capítulo 3

EX005. Energia diária: 26 W × 24 h + 15 W × 10 h = 774 Wh na carga. Divida pela eficiência de 0,85, pela fração utilizável de 0,6 e pelo fator de fim de vida útil de 0,8: 774 / (0,85 × 0,6 × 0,8) ≈ 1.897 Wh nominais, ≈ 79 Ah a 24 V. É necessário um banco padrão de 80 Ah ou maior; o banco de 65 Ah da §3.5 deixa de atender a R5 no inverno.

EX006. Resposta-modelo: "A cifração da LTE protege a confidencialidade e, dependendo da configuração, a integridade do tráfego no trecho de rádio; ela não faz nada pela disponibilidade. Um interferidor ou uma queda da operadora reduz a relação sinal-ruído abaixo do que o enlace precisa, e nenhuma chave impede isso. A cifração também termina na operadora, então não autentica nossas RTUs perante nosso SCADA de ponta a ponta. Para a disponibilidade: (1) projetar as instalações para funcionar em modo automático local por 72 h sem telemetria e alarmar a perda de enlace no SCADA em até 60 s; (2) prover um caminho diverso (segunda operadora, com torres e energia diferentes, ou satélite) para as instalações mais críticas; (3) monitorar a qualidade do enlace para distinguir interferência de queda."

Capítulo 4

EX007. 01 06 00 01 00 03 → bytes de CRC 98 0B (quadro 01 06 00 01 00 03 98 0b). Trocar o último byte de dados para 02 dá 59 CB. Um atacante na linha serial calcula o CRC de um quadro forjado exatamente como o mestre legítimo, porque o algoritmo não tem segredo; o CRC só detecta corrupção acidental.

EX008. Mova len(resp) < 5 e uma verificação de comprimento total (len(resp) == 5 + 2*count para respostas normais, 5 para exceções) para antes do CRC; depois o CRC; depois if resp[0] == 0: return "reject: broadcast" e a verificação de unidade; depois função/contagem de bytes; depois a faixa. Testes: quadro truncado → "reject: shape"; quadro com unidade 0 e CRC válido → "reject: broadcast". Todos os casos originais mantêm uma rejeição. (Requisições de broadcast não recebem resposta no Modbus; uma resposta da unidade 0 é malformada.)

Capítulo 5

EX009. Exemplo: "R10 — O sistema deverá manter o abastecimento de água tratada ao St Brenna's dentro da pressão contratual durante a perda de qualquer estação de bombeamento isolada por pelo menos 24 h (análise + ensaio)." "R7 — Os alarmes prioritários deverão ser exibidos nas telas dos operadores em até 60 s após o evento em campo para 99% dos eventos, numa medição de 30 dias (teste)." "R8 — Os logs de segurança deverão ser encaminhados para fora do host em até 5 min e protegidos em integridade com âncoras diárias guardadas fora da zona de controle; a modificação de qualquer registro armazenado deverá ser detectável (teste)."

EX010. Operador: "A telemetria da PS4 pode apagar após cerca de 6 h sem energia da rede. Se a telemetria da PS4 for perdida durante uma falta de energia, despache o técnico de plantão para ler os manômetros locais na marca de 4 h." Gestor: "A bateria da telemetria da PS4 dura cerca de 6 h no fim da vida útil, contra um requisito de 24 h (R5). Durante uma interrupção longa perderíamos a visibilidade — não o abastecimento — na alimentação do hospital. Opções: substituir por um banco de 80 Ah (≈ custo de uma visita à instalação mais o equipamento, duas semanas) ou acrescentar uma entrada para gerador pequeno; provisoriamente: regra de despacho do técnico." Regulador: "Lacuna: R5 (24 h de autonomia da telemetria) não atendido na PS4 (6 h medidas no fim da vida útil). Procedimento compensatório em vigor desde [data]; correção até [data]."

Capítulo 6

EX011. Com $k = 0.12$ h⁻¹: janela = ln 4 / 0,12 ≈ 11,6 h. Com 4 h para o restabelecimento manual, o alarme precisa chegar em até ≈ 7,6 h; com uma margem de segurança, especifique muito menos. Requisito: "A perda da dosagem de cloro deverá ser alarmada na sala de controle em até 30 min, detectada por um analisador e um registrador independentes do controlador de dosagem." 30 min deixam uma margem grande sob o pior caso de decaimento em tempo quente.

EX012. Exata: 0,6065; 0,3679; 0,2231; 0,1353; 0,0821 em t = 1…5. Euler com h = 1: 0,5; 0,25; 0,125; 0,0625; 0,0312 (estável, subestima). h = 3 (fator −0,5): −0,5; 0,25; −0,125; 0,0625; −0,0312 — oscila de sinal, fisicamente sem sentido, embora decaia. h = 5 (fator −1,5): −1,5; 2,25; −3,375; 5,06; −7,59 — instável. Euler explícito aplicado a $x' = -kx$ multiplica por $(1 - kh)$ a cada passo; $|1 - kh| > 1$ quando $h > 2/k = 4$.

Capítulo 7

EX013. VPP: 0,009 (a priori 0,0001), 0,087 (0,001), 0,490 (0,01); com a priori 0,001 e FPR 0,001: 0,487. Reduzir dez vezes a taxa de falsos positivos melhora o valor preditivo aproximadamente tanto quanto um aumento de dez vezes na prevalência; com taxas-base baixas, a FPR é o parâmetro que vale a pena melhorar.

EX014. Indisponibilidade: β = 0 → 0,0004; β = 0,05 → 0,00136; β = 0,2 → 0,00426. Causas compartilhadas: energia e bateria da instalação; mastro de antena ou armário; mesmo modelo e firmware de modem; backhaul compartilhado ou acordos de roaming entre operadoras; mesma plataforma de provisionamento de SIM.

Capítulo 8

EX015. Pior caso: o sinal de sucção baixa aparece logo após uma leitura das entradas, então só é visto na varredura seguinte (até 45 ms depois); a confirmação exige uma segunda varredura consecutiva (45 ms); a saída é escrita no fim dessa varredura. Pior caso ≈ 45 + 45 + 45 = 135 ms (mais o atraso do módulo de saída), o que viola os 100 ms. Correção: reduzir a varredura de pior caso, fazer a filtragem com um temporizador numa tarefa mais rápida ou usar um desarme por fiação dedicada.

EX016. A inicialização segura impede: (1) a instalação persistente de firmware não assinado ou modificado; (2) a inicialização de uma imagem rebaixada, se a proteção contra rollback for aplicada. Ela não impede: (1) a exploração, em tempo de execução, de uma vulnerabilidade em firmware assinado → aplicação de correções, validação de entradas, restrição de rede; (2) mudanças de lógica maliciosas, mas legítimas, pela interface de engenharia → programação autenticada e baseada em papéis, com detecção de mudanças e registro em log.

Capítulo 9

EX017. 5 estados × 7 eventos = 35 pares. Listados: stopped+start, starting+run_confirmed, starting+timeout, running+stop, stopping+stop_confirmed, tripped+reset (6), mais trip a partir dos 5 estados (5) = 11. Não listados: 24. Exemplos com justificativa: tripped+start (religar dentro da falha — deve exigir reset local); stopped+run_confirmed (uma confirmação espúria ou forjada não pode criar a crença de "em funcionamento"); running+reset (o reset não pode limpar um desarme inexistente e mascarar o estado).

EX018. Invariante: para cada estação, last[st] nunca diminui e é igual ao maior contador aceito. Sequência 1, 2, 2, 1, 5 → aceita, aceita, rejeita (repetição), rejeita (repetição), aceita; estado final last[3] == 5. Após um reinício do receptor, last fica vazio, então mensagens já vistas voltam a ser aceitas, a menos que o receptor persista last ou que as chaves sejam trocadas no reinício.

Capítulo 10

EX019. Perigo: um operador bloqueado durante uma emergência não consegue agir; um atacante pode bloquear os operadores deliberadamente (negação de serviço). Alternativa: nenhum bloqueio nas IHMs da sala de controle; em vez disso, atraso progressivo após falhas, alertas para falhas repetidas, contas nominais com autenticação forte, controle de acesso físico à sala de controle e uma liberação de emergência com presença física e registro em log. Verifique por teste (tentativas malsucedidas produzem atrasos e alertas, nunca bloqueio) e por exercício (o operador consegue entrar sob estresse).

EX020. Não visite, não sonde e não tente entrar na página, e não compartilhe a captura de tela. Notifique a concessionária de forma privada pelo seu contato de segurança publicado ou, se não houver, por um programa de divulgação coordenada como o da CISA, relatando apenas o que você observou e onde. O trabalho do curso pode descrever o padrão ("interfaces de gerenciamento expostas em documentos de compras") sem nomear a concessionária, o fornecedor, o modelo ou o local.

Capítulo 11

EX021. O novo fluxo field → enterprise em TCP/445 é uma VIOLATION. Modele o jump host: acrescente a regra ("control", "field", "tcp", 22); então eng 10.5.0.12 → jump host 10.1.0.20 em TCP/22 é permitido; jump host → RTU 10.2.0.33 em TCP/22 é permitido; o acesso direto eng → RTU em TCP/22 continua sendo uma VIOLATION. Nenhuma regra dá à zona de engenharia acesso direto ao campo.

EX022. Típico: 120 + 180 + até 1.300 + 200 ≈ 1,8 s se um evento acabou de perder sua consulta (≈ 1,15 s em média, com espera de meio ciclo). Pior caso: 120 + 900 + 1.300 + 200 ≈ 2,5 s. A cláusula de 95% em até 1,5 s está em risco porque a espera pela consulta domina; a cláusula de 5 s é atendida. Mudança: relato por exceção (respostas não solicitadas) para os alarmes, para que não esperem pela consulta.

Capítulo 12

EX023. U = 2/10 + 4/40 + 10/100 = 0,40. Limite para n = 3: 3(2^{1/3} − 1) ≈ 0,780. U ≤ limite, então o conjunto é escalonável sob prioridades rate-monotonic. O teste é suficiente, não necessário: um conjunto que ultrapasse o limite ainda poderia ser escalonável (uma análise exata do tempo de resposta decidiria).

EX024. Mitigar agora: desabilitar o serviço de compartilhamento de arquivos no historiador, se não for necessário, ou restringi-lo a um único host de engenharia nomeado; monitorar tentativas de conexão; aplicar a correção após a certificação do fornecedor, na janela de manutenção seguinte; data de revisão na certificação + 14 dias. Aceitar sem nenhuma ação ignora o caminho alcançável a partir da zona de engenharia.

Capítulo 13

EX025. chain(recs[:5])[-1] == anchor[4] → True: um atacante que exclua o último registro e substitua a cabeça armazenada por anchor[4] passa despercebido. Incluir a contagem — âncora = H(cabeça ‖ n) — torna o truncamento detectável (verificado: a âncora truncada é diferente). Guarde a âncora no sistema de chamados de incidentes e num arquivo de gravação única fora da zona de controle e fora dos privilégios dos administradores do historiador.

EX026. O historiador de controle empurra os dados horários de energia e os valores de pressão ao vivo para uma réplica na DMZ (apenas para fora, imposto por firewall ou por um gateway unidirecional); finanças e o painel consultam a réplica. Nenhuma conexão de entrada na zona de controle. Se a réplica for comprometida, os atacantes podem ler ou falsificar os dados de relatório e os painéis — um problema de integridade e confidencialidade dos dados —, mas não ganham nenhum caminho para dentro do controle.

Capítulo 14

EX027. Lista de verificação: comprimento da entrada verificado antes da indexação; integridade verificada antes do uso; comparação de segredos em tempo constante; nenhum segredo no código-fonte; caminhos de erro que rejeitam; exceções não engolidas; limites para laços e tamanhos; registro das rejeições em log sem segredos; ordem de bytes explícita; testes para cada caminho de rejeição. Constatações: Laboratório 3 — quadros truncados informam "crc" em vez de formato (clareza do diagnóstico); Laboratório 8 — chave fixada no código-fonte (aceitável apenas como demonstração rotulada).

EX028. Faça a correspondência do aviso com as entradas e versões do SBOM; confirme se a função ou o recurso vulnerável está presente e alcançável na configuração da RTU-B (por exemplo, o servidor TLS está habilitado? o interpretador vulnerável da biblioteca é usado?); peça ao fornecedor uma avaliação e um firmware corrigido; aplique controles compensatórios (restringir o conduto, desabilitar o recurso); comunique às operações; agende a atualização por meio da implantação em etapas; registre a decisão.

Capítulo 15

EX029. Laboratório 8: aplica o projeto aberto (a segurança repousa na chave, não no segredo do algoritmo) e a mediação completa (toda mensagem é verificada); viola o privilégio mínimo/a separação no sentido de que a chave de demonstração está no código-fonte e é compartilhada entre as estações — correção: chaves por estação vindas de armazenamento protegido. Máquina de estados (§9.5): aplica padrões à prova de falhas (eventos não listados são rejeitados) e a separação de privilégios (o reset precisa de um operador local); não tratado: a economia de mecanismo, se for implementada com flags espalhadas — correção: implementação guiada por tabela.

EX030. Consequência 1: hospital sem água por > 4 h — funções usadas indevidamente: partida/parada das bombas na PS3/PS4, posições de válvulas; limite projetado: reservação própria do hospital mais uma lógica local de religamento automático que um comando remoto não consegue desabilitar. Consequência 2: superdosagem de cloro — funções: setpoint de dosagem e velocidade da bomba; limite projetado: bomba dosadora fisicamente dimensionada para que o curso máximo na vazão máxima não consiga ultrapassar uma concentração nociva, mais um desarme por fiação dedicada para residual alto.

Capítulo 16

EX031. Um mapeamento: N1 ← R3, R4, R5 (em parte), R9; N2 ← R1, R2, R3, R7, R8; N3 ← R6, R8; N4 ← R5, R7. N3 e N4 empatam com o menor número (dois cada); a proposta reforça N3: "R10 — Backups off-line das configurações do SCADA e dos controladores deverão ser feitos semanalmente, guardados fora dos domínios de controle e corporativo, e ter a restauração testada trimestralmente."

EX032. Itens de dados (ID da estação, contador, nível, pressão, alarmes); codificação (binária, big-endian, quadro de 28 bytes mais o ID da suíte); taxa (1 a cada 10 s por estação, mais alarmes por exceção); latência (≤ 1 s no gateway); autenticação (HMAC-SHA256-128, chave por estação); tratamento de erros (rejeitar e registrar em log; alarme após 3 rejeições em 10 min; alarme de estação inativa em 60 s); fonte de tempo (NTP interno por um conduto da lista de permissões; carimbos de tempo em UTC); propriedade (gateway: engenharia do TMRP; lado do SCADA: operações); processo de mudança (revisão do ICD sob controle de configuração, com aprovação dos dois donos).

Capítulo 17

EX033. Semente 17, ruído σ = 0,01 m, 48 h: limiar de 0,03 m → 2 episódios de falso alarme sem ataque (≈ 1 por dia), primeiro alarme na rampa de 0,05 m/h em 10,7 h; limiar de 0,05 m → 0 episódios de falso alarme, primeiro alarme da rampa em 10,9 h. Recomendação: 0,05 m — o atraso de detecção de 0,2 h é pequeno diante de horas de autonomia, enquanto falsos alarmes diários ensinariam os operadores a ignorar o detector. Confira de novo com dados reais de ruído.

EX034. Comprometer a RTU3 permite ao atacante falsificar tanto o nível quanto a vazão de entrada, de modo que o balanço de massa pode ser tornado coerente e o resíduo fica pequeno; comprometer apenas a RTU4 falsifica a vazão de saída e é detectável. Melhoria: um transmissor de nível independente ligado a um registrador separado (controlador e caminho de comunicação diferentes), ou uma leitura física regular da régua comparada com o SCADA.

Capítulo 18

EX035. A regra reprova no teste da DMZ: um servidor de ERP comprometido poderia enviar pacotes diretamente ao banco de dados do SCADA. Alternativa: o ERP escreve o estado das ordens de serviço num serviço da DMZ; um processo da zona de controle busca as atualizações (ou as recebe por um intermediário com validação estreita), validando formato e conteúdo; nenhuma conexão de entrada do corporativo para o controle.

EX036. Caminho: fornecedor → gateway de acesso da DMZ (MFA, contas nominais do fornecedor) → sessão aprovada a cada pedido pelo gerente de plantão → jump host na zona de controle → apenas a interface de diagnóstico da RTU-B; sessão gravada; o acesso expira no fim da janela aprovada; conta do fornecedor desabilitada entre as sessões. Evidências: logs do gateway e do jump host, sessões gravadas, um teste mostrando que a conexão direta do fornecedor às RTUs é bloqueada e uma revisão trimestral das contas.

Capítulo 19

EX037. Se a RTU persiste seu contador a cada 1.000 incrementos e reinicia, o último valor persistido pode estar até 999 atrás do último valor usado. Para evitar reutilizar um contador (o que o receptor rejeitaria, ou que poderia permitir repetição após um reinício do receptor), a RTU salta à frente pelo menos 1.000 além do valor persistido. O receptor precisa persistir o último contador aceito por estação, ou os dois lados trocam as chaves após o reinício.

EX038. A (chave da frota): uma RTU roubada permite ao ladrão forjar mensagens para todas as 42 estações; a recuperação exige trocar as chaves de todas as estações. B (chaves por estação): a falsificação fica confinada à estação roubada; uma chave é revogada e substituída. Armazenar 42 chaves num HSM é trivial para o SCADA. Recomendação: B.

Capítulo 20

EX039. Avaliado pela rubrica; por exemplo, distribuição de eletricidade: unidades de consequência — consumidores interrompidos × horas, MW não supridos, clientes críticos afetados; tecnologias — relés de proteção, sistemas de gerenciamento da distribuição, RTUs de subestações; regulações — normas NERC CIP (cite versão e data) e NIS2 (2022/2555) para operadores da UE; incidente — Ucrânia 2015, descrito a partir do IR-ALERT-H-16-056-01 da CISA.

EX040. Modelo: um único produto de segurança com acesso privilegiado ao kernel estava instalado em muitas organizações de setores diferentes e era atualizado automaticamente; uma atualização de conteúdo defeituosa derrubou hosts Windows simultaneamente, e a Microsoft estimou que cerca de 8,5 milhões de dispositivos foram afetados. A propriedade é uma causa comum por meio de uma dependência compartilhada, privilegiada e atualizada automaticamente. Prática: implantações de atualizações em etapas (canário) — pelos fornecedores e, onde possível, controladas pelos clientes para sistemas críticos — mais procedimentos de recuperação que não dependam dos hosts afetados. Não foi um ataque.

Capítulo 21

EX041. Continuidade do serviço: "Na perda do SCADA, a PS3 e a PS4 deverão continuar em controle automático local, e os operadores deverão conseguir operá-las localmente em até 1 h (exercício)." Contenção: "Diante da suspeita de comprometimento do SCADA, os caminhos de comando remoto para todas as estações deverão ser desabilitados a partir dos gateways em até 15 min após a decisão (teste)." Restauração: "A operação remota deverá ser restabelecida a partir de backups off-line verificados em até 8 h após a decisão de restabelecer (ensaio)."

EX042. Conflito: acesso contínuo do operador vs nova autenticação a cada 15 min. Opções: (a) manter a nova autenticação; (b) nenhuma nova autenticação; (c) a tela apenas de visualização permanece ativa; as ações de controle exigem uma nova autenticação rápida (aproximação do crachá ou PIN) após 15 min de inatividade, com a sala de controle sob controle de acesso físico. Recomendação: (c). Dono: gerente de operações (dono do risco), com o líder de segurança.

Capítulo 22

EX043. Com a PS4 precisando apenas de grid_f2 em modo automático local (sem LTE para o abastecimento) e o abastecimento como OU: {grid_f1} → o abastecimento funciona (via PS4); {ps4} → funciona (via reservatório); {ps4, grid_f1} → falha. Um modelo que faça o abastecimento depender da telemetria falha indevidamente no primeiro caso.

EX044. Estados: automático remoto, automático local, manual local, degradado (uma bomba), desarmado, fora de serviço. Caminho de ataque: comandos de parada forjados e partidas/paradas repetidas (automático remoto → desarmado pela proteção do motor de partida) → se o reset do desarme for remoto, o atacante mantém a estação desarmada → fora de serviço. Controle: o reset do desarme exige ação local; comandos autenticados; limite de taxa para os comandos de partida.

Capítulo 23

EX045. PS3 = PS4 = 1: topo = P(TANK) = 0,03. G1 = G2 = 1: caminho B perdido; caminho A perdido se a PS4 ou o GEN falhar: 1 − 0,98 × 0,95 = 0,069; topo = 0,03 × 0,069 = 0,00207. Interpretação: a autenticação dos comandos remotos remove o caminho mais barato do adversário (o topo cai de 0,03 para 9,1 × 10⁻⁵); se um adversário consegue cortar os dois alimentadores, o gerador e o tanque do hospital se tornam as barreiras decisivas — mantenha-os e teste-os.

EX046. Falsificação de identidade — quadros forjados (ATT&CK for ICS: Spoof Reporting Message) → MAC por estação. Adulteração — valores modificados em trânsito → MAC. Repúdio — disputas sobre comandos → logs assinados ou com MAC, com âncoras. Divulgação de informações — telemetria lida na rede da operadora → cifração da operadora mais cifração opcional da carga útil. Negação de serviço — interferência ou inundação (Denial of Service; Block Reporting Message) → retorno ao automático local, alarme de estação inativa, limites de taxa. Elevação de privilégios — comprometimento do gateway para emitir comandos → endurecimento do gateway, filtragem de códigos de função, limites locais.

Capítulo 24

EX047. (a) Simulação hidráulica mais STPA do caminho do setpoint — limite: fidelidade do modelo para transientes. (b) Experimento em bancada com inundações rotuladas — limite: o tráfego de laboratório difere do da instalação. (c) Exercício funcional noturno — limite: uma única ocasião, efeito do observador. (d) Avaliação de riscos estruturada com escalas definidas — limite: estimativas, não medições.

EX048. Verificação: comparar o Euler com a integral exata (Laboratório 1); testes unitários de demand e drawn; casos extremos (demanda zero → autonomia infinita; demanda constante → V/q). Validação: comparar a queda de nível prevista com dados do historiador de uma parada planejada das bombas; validade aparente da curva de demanda junto aos operadores; sensibilidade à amplitude da demanda. Uso pretendido: estimativa de autonomia para planejamento. Inválido para transientes de pressão, qualidade da água e hidráulica da rede.

Capítulo 25

EX049. Pesos (0,40, 0,20, 0,10, 0,15, 0,15): A 2,80, B 3,35, C 4,20, D 4,45 — D ultrapassa C. Pesos (0,20, 0,20, 0,30, 0,15, 0,15): A 3,60, B 3,35, C 4,20, D 3,65. A liderança de C depende de a operabilidade ter peso real; se os decisores valorizarem a prevenção de comandos forjados muito acima da operabilidade, D vence no papel — mas D não atende à necessidade do hospital, na prática, à noite, o que sugere que a operabilidade é mais bem expressa como uma restrição do que como um peso.

EX050. Ponto único de falha no gateway: aceitar — a falha do gateway precisa levar ao automático local, com alarme; acrescentar um gateway reserva frio por região. Contorno pelo modo manual: aceitar — chave seletora no painel, alarme no SCADA na mudança de modo, log local. Pessoal da gestão de chaves: aceitar — acrescentar 0,2 ETI de custo operacional e a manutenção do HSM ao caso de negócio; dono: gerente do TMRP.

Capítulo 26

EX051. A mediana de três tolera um transmissor falsificado ou com defeito. Um atacante que controle a RTU que lê os três consegue falsificar os três de forma coerente, derrotando a votação. Restabeleça a independência ligando os transmissores a módulos de E/S ou controladores separados, com comunicações separadas, de modo que nenhum comprometimento isolado controle duas das três entradas.

EX052. ADR-modelo: contexto — a PS4 é a alimentação direta do hospital, os setpoints mudam cerca de uma vez por mês; opções — C2 (remoto dentro dos limites) ou C3/variante de C2 (escritas de setpoint apenas locais, monitoramento remoto); decisão — escritas de setpoint apenas locais na PS4, partida/parada remota mantida com autenticação; consequências — visita mensal à instalação para mudanças de setpoint, procedimentos de resposta local mais rápidos, risco residual D1 na PS4 reduzido a partida/parada; rever se a frequência de mudanças de setpoint aumentar ou se o quadro de pessoal mudar.

Capítulo 27

EX053. Limite projetado: nenhuma (mecânico). Limites do controlador: PLC de dosagem. Alarme do analisador: registrador separado e suas comunicações. Registro e alarme das rejeições: via SCADA — compartilhados com o sistema que poderia estar comprometido. Mudança: log local não volátil de rejeições no PLC e um caminho de alarme independente (do registrador do analisador até a sala de controle por uma rota separada).

EX054. Os comandos falham fechados: se o gateway falhar, nenhum comando passa. A telemetria falha de forma visível: o SCADA gera um alarme de estação inativa em até 60 s. O controle local continua automaticamente, dentro dos limites impostos localmente. Desligar a estação transformaria a falha de um componente de segurança numa falha de abastecimento.

Capítulo 28

EX055. Com old = 5.2: v1 — NaN aceito (todas as comparações falsas); +∞ rejeitado (> hi); −∞ rejeitado (< lo); 5.5 aceito (|5,5 − 5,2| = 0,3 ≤ 0,5, limite inclusivo); 5.50001 rejeitado (> hi). A v2 rejeita NaN e ±∞ via isfinite, aceita 5.5 e rejeita 5.50001.

EX056. Campos: carimbo de tempo em UTC e fonte de tempo; ID do gateway; ID da estação; código do motivo (etiqueta, repetição, inatividade, formato, faixa); valor do contador (se interpretável); último contador aceito; SHA-256 do quadro recebido; endereço de origem. Exclua o material de chaves e a carga útil completa dos comandos onde ela poderia revelar setpoints sensíveis a quem lê os logs; o hash do quadro permite a correlação sem divulgação.

Capítulo 29

EX057. Revocação 5/7 ≈ 0,714; TFP no teste 3/7 ≈ 0,429. A cada 1.000 eventos com um malicioso: VP esperados ≈ 0,714, FP ≈ 428. Precisão operacional ≈ 0,0017. Interpretação: a estimativa da TFP a partir de 7 eventos benignos é extremamente incerta, mas mesmo uma melhoria de uma ordem de grandeza deixa o detector inutilizável para acionar plantonistas; ele precisa de uma TFP muito menor, medida sobre muito mais dados benignos.

EX058. Base: 40% × 4 h = 160 %·h, mais o triângulo de recuperação 0,5 × 8 × 40 = 160 → 320 %·h. Com o manual local a 85%: 15 × 4 = 60, mais 0,5 × 8 × 15 = 60 → 120 %·h. Neste caso sintético, R4 reduz a perda de resiliência em cerca de 62%.

Capítulo 30

EX059. O NaN dá falso em qualquer comparação, então as verificações negativas da v1 nunca o rejeitam, enquanto ±∞ falham em > hi ou < lo. Cerca de 2.000/10 = 200 casos de valores especiais, um quinto deles NaN → cerca de 40 esperados; 31 observados (o gerador sorteou 31 casos NaN com a semente 30), bem dentro da variação aleatória (desvio-padrão binomial ≈ 5,7). Todo caso NaN é uma aceitação insegura pela v1, então as 31 reprovações são exatamente os casos NaN.

EX060. Casos: (1) contadores 1, 2, 3 → todos aceitos; (2) repetir o 2 → rejeitado; (3) contador menor → rejeitado; (4) reinício do receptor e depois repetição de uma mensagem antiga → rejeitada (exige estado persistido ou rotação de chaves); (5) reinício do emissor → retoma em persistido + 1.000, aceito; contadores antigos rejeitados; (6) entrega fora de ordem (3 antes de 2) → 3 aceito, 2 rejeitado e registrado em log (comportamento documentado); (7) contador no máximo 2⁶⁴ − 1 → rotação de chaves exigida antes do estouro; testar que o emissor se recusa a dar a volta. Critérios de aprovação: resultados exatos de aceitação/rejeição e entradas de log.

Capítulo 31

EX061. Gatilhos: telemetria da PS4 ausente por > 5 min enquanto o enlace está ativo; qualquer quadro aceito que falhe na auditoria posterior; latência de alarme prioritário > 60 s em dois eventos numa hora; mudança inesperada do estado de uma bomba. Dono da decisão: gerente de operações de plantão. Reversão concluída em até 1 h (bem dentro da reserva de 4 h do hospital), com a PS4 em modo automático local o tempo todo.

EX062. Controles: endurecimento do sistema operacional e dos serviços; atualizações de firmware assinadas; chave num elemento seguro; filtragem de códigos de função e de faixa de registradores; chave de violação do gabinete alarmada no SCADA; registro em log local e encaminhado; portas não usadas desativadas; trancas físicas. Residual: um atacante com acesso físico ao gabinete aberto pode se conectar ao enlace serial legado e comandar a RTU diretamente; a detecção de violação reduz o tempo de permanência, mas não o impede.

Capítulo 32

EX063. Com duas equipes, a transição do estado 2 de volta ao estado 1 tem taxa 2μ, então $p_2 = p_0 \cdot 2r \cdot r/2 = p_0 r^2$ com $r = \lambda/\mu$. Indisponibilidade ≈ 1,41 × 10⁻⁴, igual à fórmula ingênua independente — porque o reparo independente é exatamente o que essa fórmula pressupõe. Uma equipe: 2,81 × 10⁻⁴, cerca do dobro.

EX064. Com MTTR de 504 h e uma equipe: indisponibilidade ≈ 0,078 (cerca de 28 dias por ano com as duas bombas paradas), contra 2,8 × 10⁻⁴ com uma reserva. Mantenha uma bomba reserva: o custo é irrisório diante de semanas de abastecimento do hospital por um único caminho.

Capítulo 33

EX065. Linhas-modelo para a malha de dosagem (perdas: água insegura; danos por superdosagem): não fornecida — o controlador não aumenta a dose quando a demanda sobe (realimentação de vazão falha); fornecida quando insegura — o controlador aumenta a dose quando o residual já está alto (leitura do analisador falsificada por um atacante); momento errado — aumento de dose aplicado depois que a vazão caiu (atraso na realimentação); por tempo demais — a dosagem continua depois que a vazão para (sinal de vazão travado). Restrições: monitoramento independente do residual, dose intertravada com a vazão, limite físico de curso.

EX066. Violações: estação de engenharia compartilhada (um único comprometimento pode reprogramar tanto a lógica de controle quanto a de segurança) e switch compartilhado (caminho de rede e falha comum). Arquitetura: estação de engenharia dedicada ao SIS mantida off-line, alterações no programa do SIS habilitadas apenas com uma chave física, SIS numa rede separada ou com fiação dedicada a seus sensores e elementos finais, exportação de dados somente leitura para o sistema de controle. Residual: um insider com a chave física, comprometimento do firmware do SIS na cadeia de suprimentos.

Capítulo 34

EX067. 42 × 180 = 7.560 mensagens; a 50 por segundo, 151,2 s para escoar; um alarme prioritário no fim espera cerca de 151 s, violando R7 (60 s). Correção: fila com prioridade para os alarmes e encaminhamento do valor mais recente, com preenchimento do histórico no historiador a taxa limitada.

EX068. Cláusulas: notificação de incidentes à LRWA em até 1 h após a detecção; divulgação de vulnerabilidades que afetem a rede privada em até 72 h; manutenção planejada notificada com 10 dias úteis de antecedência; prioridade de restauração para os locais da LRWA, com meta de 4 h; logs de acesso ao APN da LRWA fornecidos mensalmente; exercício conjunto anual.

Capítulo 35

EX069. R6 (8 h) conflita com o resultado do ensaio (12 h): R6 não é atendido. O abastecimento do hospital não depende da operação remota (modo automático local, 72 h), então a alegação N1 ainda pode se sustentar; o caso de garantia precisa registrar R6 como reprovado, com um plano de correção ou uma revisão acordada com as partes interessadas. A bateria de 24 h e a reserva de 4 h são consistentes.

EX070. D3: uso indevido do modo manual local na PS4 por um insider — resposta: regra de duas pessoas para o modo manual fora dos horários de manutenção, alarme e CFTV no painel. D4: comprometimento do caminho de atualização do firmware do gateway — resposta: atualizações assinadas com chaves num HSM, implantação em etapas, monitoramento do comportamento do gateway. D5: a persistência do contador falha após a perda de energia — resposta: teste de reinício (EX060) e rotação de chaves em reinício não limpo.

Capítulo 36

EX071. μ = 100/s: λ = 20 → ρ = 0,20, W = 12,5 ms, L = 0,25; λ = 40 → ρ = 0,40, W ≈ 16,7 ms, L ≈ 0,67; λ = 48 → ρ = 0,48, W ≈ 19,2 ms, L ≈ 0,92. Comparado com μ = 50 (33,3, 100 e 500 ms), dobrar a capacidade elimina a explosão do atraso em tempestades.

EX072. (1) Filtragem no nível da rede: apenas as extremidades dos túneis dos gateways podem alcançar o verificador — descarta a maior parte do tráfego forjado antes de qualquer computação. (2) Verificações prévias baratas (comprimento, ID de estação conhecido, contador plausivelmente à frente do último aceito) antes de calcular o MAC. (3) Limites de taxa por origem e uma fila com prioridade estrita para os alarmes verificados, de modo que as inundações sejam descartadas na prioridade mais baixa. Apenas acrescentar capacidade perde para um atacante que consegue escalar o tráfego.

Capítulo 37

EX073. Fraquezas: "não corresponde a uma ação de operador" é ambíguo — defina como nenhum comando de operador registrado para aquela estação e parâmetro nos 5 min anteriores; sem dados de contato — acrescente os números do gerente de plantão e da segurança de sobreaviso; restaurar setpoints remotamente poderia usar o caminho comprometido — especifique a restauração local pelo técnico de plantão se houver falhas de MAC no gateway.

EX074. O que aconteceu: o técnico conectou um laptop à rede da PS3 para baixar logs. Por que fazia sentido: a rota pelo jump host é lenta e exige um chamado; os logs eram necessários para uma ligação com o fornecedor naquela tarde. Defesas que falharam: sem segurança de porta no switch; sem caminho aprovado simples para os logs; o procedimento pressupunha o jump host sempre disponível. Mudanças: fornecer um coletor de logs na DMZ para que os técnicos não precisem se conectar; habilitar a segurança de porta; disponibilizar um conjunto de laptops de manutenção verificados; simplificar o acesso pelo jump host para a obtenção de logs somente leitura.

Capítulo 38

EX075. Com o T3b aprovado para R3, o T8 aprovado para R4 e o T6 aprovado para R8: untested ['R9'], tested but not passing [], verified 8/9 (88.9%). R9 permanece não verificado até que um teste do alarme de dosagem independente (por exemplo, parar a dosagem na bancada e cronometrar o alarme no registrador separado contra 15 min) seja escrito e aprovado. A verificação está completa para os outros oito requisitos; a validação de N1 ainda precisa das atividades com as partes interessadas do EX076.

EX076. (1) Exercício noturno: a equipe de operações passa a PS3 e a PS4 para o manual local com o efetivo noturno real; observar o tempo e os erros; sucesso: operação manual em até 1 h e pressão de abastecimento mantida. (2) Isolamento planejado da PS4 em período de baixa demanda, com o gerente de instalações do hospital monitorando o armazenamento e a pressão no local; sucesso: abastecimento mantido pelo reservatório, com o armazenamento nunca abaixo do nível que dá 4 h de reserva. Partes interessadas: gerente de operações, instalações do hospital, engenharia do TMRP.

Capítulo 39

EX077. Quadro: ID de suíte (1 byte) ‖ contador ‖ estação ‖ valor ‖ etiqueta, com o MAC calculado também sobre o ID de suíte (para que não possa ser alterado). O receptor mantém as suítes permitidas por estação, p. ex., {1} → {1, 2} durante a transição → {2}. Prevenção de rebaixamento: depois que uma estação tiver enviado a suíte 2, rejeitar dela a suíte 1. Aposentadoria: remover a suíte 1 de todos os conjuntos permitidos depois que todas as estações tiverem migrado e revogar as chaves da suíte 1.

EX078. Revogar a chave da estação e removê-la do HSM; remover as contas do gateway; apagar (ou destruir) o armazenamento do gateway e da RTU; atualizar o inventário, o modelo do sistema e o dossiê; remover as entradas da lista de permissões e as regras de firewall dos endereços antigos; atualizar as linhas de base do monitoramento; dar destinação às reservas ou colocá-las em quarentena; registrar a aprovação formal de operações e de segurança.

Capítulo 40

EX079. A detecção de lacunas registra 67 eventos de lacuna, cobrindo 81 contadores ausentes, com a semente 40. Os números diferem dos 21 descartes porque toda mensagem não aceita — corrompidas (14), atrasadas e inativas (22), descartadas (21) e os espaços em que um quadro antigo foi repetido no lugar do atual (24) — deixa seu contador sem uso; 14 + 22 + 21 + 24 = 81. Contadores ausentes consecutivos produzem um único evento de lacuna, então há menos eventos do que contadores ausentes.

EX080. Com as classes de reordenação e reinício (5% cada, semente 40): as mensagens reordenadas que chegam depois de sua sucessora são rejeitadas como repetições (17) — aceitável se documentado, já que dados antigos são descartados e o valor mais novo já está guardado, mas registre em log. Os reinícios do receptor não produzem nenhum erro visível (26 aceitas normalmente), e esse é o perigo: depois de um reinício, qualquer repetição que chegue antes da próxima mensagem nova seria aceita. A campanha, por acaso, não mostra nenhum caso assim; um teste determinístico (reinício e depois repetição) o expõe — uma falha silenciosa, a menos que o receptor persista o estado.

Capítulo 41

EX081. 150 mil: telemetria autenticada + backups off-line → 330; 200 mil: + manual local → 440 (custo 190); 250 mil: + RTUs de reserva → 530; 300 mil: telemetria autenticada, gerador de reserva, manual local, backups off-line → 590 (custo 280); 350 mil: + RTUs de reserva → 680 (custo 340). Benefício marginal a cada 50 mil adicionais: 110, 90, 60, 90 — em geral decrescente, mas irregular porque os controles são indivisíveis.

EX082. Das 14 execuções, três mudam o ótimo para {telemetria autenticada, gerador de reserva da PS4, manual local} (custo 250, benefício 520 nos valores de base): benefício do gerador de reserva × 1,2, backups off-line × 0,8 ou RTUs de reserva × 0,8. Todas as outras execuções mantêm o conjunto de base. Conclusão: a telemetria autenticada e o modo manual local são escolhas robustas; os últimos 90 mil do orçamento são um quase empate entre {backups off-line + RTUs de reserva} e o gerador de reserva, então essa parte da decisão deve se apoiar em estimativas melhores ou em critérios não monetários.

Capítulo 42

EX083. O protocolo inclui: pergunta (o detector cumulativo com limiar θ produz < 1 alarme falso por mês no ruído medido e detecta rampas de 0,05 m/h em até 2 h?); decisão (implantar e definir θ e o intervalo de recalibração); desenho (varredura em simulação, 100 sementes por célula); medições; regra de análise fixada com antecedência; validação contra duas semanas de ruído do historiador; limites (mistura perfeita, medidores de vazão honestos, tanque único).

EX084. Que taxa de alarmes falsos por dia veríamos na nossa taxa de eventos? Quais ataques estavam no conjunto de teste e quem os escolheu? A avaliação usou ajuste de pontos ou foi livre de vazamento (divisão treino/teste por tempo)? Quão semelhante à nossa planta é o testbed em escala e ruído? Como o desempenho se sustenta contra um atacante adaptativo que conhece o detector?

Capítulo 43

EX085. Avaliado pela rubrica; o acordo precisa nomear os supervisores, o escopo, o método de acesso, a confidencialidade, a integração de segurança, a aprovação da publicação, o caminho para as constatações incidentais e uma declaração explícita de que o estudante não testará nem explorará sistemas fora das tarefas acordadas.

EX086. Observação: os operadores registram as mudanças de setpoint num caderno de papel, além de no SCADA. Conexão: Capítulo 13 (proveniência) e Capítulo 37 (operações). Diferença: a prática duplica o log eletrônico; localmente racional, porque o caderno sobrevive às quedas do SCADA, apoia a passagem de turno e é confiável. Pergunta: os dois registros alguma vez divergem, e o caderno poderia servir como verificação independente de integridade?

Capítulo 44

EX087. Problemas: escopo sem limites ("concessionárias de água"), nenhum requisito nem critério de aceitação, nenhuma fonte de dados, tecnologia escolhida antes do problema. Reescrita: p. ex., "Um detector baseado em resíduos para dados de nível falsos num único reservatório sintético: requisitos, estudo de simulação com ruído com semente, critérios de aceitação < 1 alarme falso/mês e detecção de rampas de 0,05 m/h em até 2 h, 12 semanas, apenas dados sintéticos."

EX088. Aumento descontrolado do escopo (probabilidade média, impacto alto; mitigação: congelamento do escopo na CDR; gatilho: novos pedidos de funcionalidades depois da semana 6); segurança diante de reinícios mais difícil do que o planejado (M/A; prova de conceito na semana 2; gatilho: projeto não estável até a semana 4); fidelidade da bancada insuficiente (M/M; revisão com o supervisor; gatilho: constatação de um revisor); tempo (A/A; semana de folga; gatilho: atraso de um marco > 1 semana); disponibilidade do supervisor (B/M; revisões agendadas; gatilho: revisão perdida).

Capítulo 45

EX089. (1) "As chaves das 42 estações são geradas no laptop de um engenheiro (procedimento de GC §3.2); o comprometimento desse laptop expõe a frota; falha na intenção de R1; recomenda-se a geração no HSM ou no elemento seguro do gateway." (2) "O comportamento do receptor diante de reinícios não é coberto por nenhum teste (plano de verificação, tabela 4); R2 exige a rejeição de repetições após o reinício; recomendam-se testes conforme o EX060." (3) Retirar como preferência de projeto, ou reformular: "o projeto não declara por que o protocolo escolhido atende a R1 e R7; acrescentar a justificativa."

EX090. F2: aceita — alarme de estação inativa em 60 s e registro de lacunas de contador acrescentados; campanha executada de novo com a semente 40; dono: líder do gateway; data: duas semanas. F3: aceita — dossiê corrigido para "R6 não atendido (12 h)"; opções orçadas: geração paralela de imagens em hardware de reserva (9 h), mais imagem de SCADA de reserva (6 h); revisão pelas partes interessadas para decidir entre mudança de projeto e requisito revisado; dono: gerente do TMRP; data: próxima reunião do comitê diretor.

Capítulo 46

EX091. Gere a nova chave no HSM; distribua-a ao gateway com o ID de chave k+1; por 10 minutos o receptor aceita quadros marcados com qualquer dos dois IDs de chave (o ID da chave fica dentro do cabeçalho autenticado); o emissor passa para k+1 e os contadores continuam; se os quadros com k+1 falharem, reverta para k; depois da janela, o receptor rejeita k, e k é destruída nos dois lugares; registre cada passo em log.

EX092. Prosseguir com condições: iniciar o ensaio com o limiar de 60 s, monitorado por um engenheiro; coletar dados sobre os alarmes falsos de inatividade durante o congestionamento; ajustar o limiar (p. ex., 90 s para estações não críticas) até uma data declarada; informar aos operadores que alarmes de inatividade durante o congestionamento são esperados. A consequência de não detectar uma perda real de dados supera dois alarmes falsos por dia por um período limitado.

Capítulo 47

EX093. (1) Com a reconstrução dependendo apenas do isolamento: controle remoto em 9 h; caminho crítico isolar → reconstruir → restaurar a configuração → verificar → retomar; a geração de imagens sai do caminho. (2) Com uma reconstrução de 1 h a partir de uma imagem de reserva: 6 h; a cadeia da reconstrução e a cadeia da troca de chaves (isolar → trocar chaves → verificar → retomar) empatam agora em 6 h, então a troca de chaves passou a ser crítica e ganhos adicionais exigem encurtá-la também.

EX094. Opções: (a) pular a geração de imagens (mais rápida; evidências perdidas; a causa raiz e a persistência do atacante podem passar despercebidas; possíveis consequências regulatórias ou legais); (b) gerar as imagens primeiro (mais lenta); (c) gerar as imagens em paralelo usando hardware de reserva e reconstruir em hardware limpo (quase a mais rápida; evidências preservadas). Recomendação: (c), com uma decisão pré-aprovada de que a diretora de operações pode autorizar (a) apenas se o abastecimento estiver em risco. Dono: diretora de operações.

Capítulo 48

EX095. Script: percorra a pasta com os.walk; para cada arquivo, leia em blocos para o hashlib.sha256; escreva path, size, sha256, mtime com csv.writer. O horário de modificação é uma evidência fraca porque é facilmente alterado e não está vinculado ao conteúdo; um hash de conteúdo registrado no controle de versões (ID do commit e tag assinada) é muito mais forte.

EX096. Inconsistência: C3 mostra R6 não atendido (12 h). Reescrita: "Todos os requisitos, exceto a meta de restauração de 8 horas, foram verificados; um ensaio de recuperação restaurou a operação remota em 12 horas enquanto o abastecimento continuava em modo local, e são apresentadas duas opções de projeto para atender à meta."

Capítulo 49

EX097. Modelo de ruído sintético → afeta as alegações de alarmes falsos e de tempo de detecção do detector; o ruído real provavelmente não é gaussiano e tem deriva, então os alarmes falsos provavelmente estão subestimados. Bancada sem LTE real → afeta as alegações de latência e de rejeição por inatividade; a latência e o jitter reais aumentariam as rejeições por inatividade e a latência dos alarmes. Um único ensaio de recuperação → afeta a situação de R6; sem estimativa de variabilidade, as 12 h podem ser otimistas ou pessimistas.

EX098. Exemplo: "Necessidade: RTUs legadas numa concessionária de água aceitam comandos não autenticados pela LTE, pondo em risco o abastecimento de um hospital. Projeto: um gateway que acrescenta autenticação HMAC por estação, com contadores seguros diante de reinícios, retorno ao modo automático local e alarmes de estação inativa. Métodos: verificação em bancada, campanhas de injeção de falhas com semente e um ensaio de recuperação em sistemas sintéticos. Resultados: os requisitos de autenticação e de repetição foram atendidos, incluindo reinícios após uma correção; os alarmes atenderam aos 60 s; a restauração remota levou 12 h contra uma meta de 8 h, enquanto o abastecimento continuava localmente. Limitações: bancada sintética sem LTE real; um único ensaio de recuperação."

Capítulo 50

EX099. Avaliado pela rubrica. Perguntas fortes incluem: "O que acontece se o HSM falhar?"; "Por que 60 s?"; "O que seu modelo de falhas não incluiu?"; "Quem é dono de D1?"; "O que mudaria se a reserva do hospital fosse de 1 h?"; as respostas citam itens do dossiê e declaram os limites.

EX100. (1) Acrescentar a declaração de que um único ensaio não dá estimativa de variabilidade; acrescentar 100 execuções simuladas de recuperação com semente, com faixas de duração das tarefas, e relatar a mediana e o percentil 90; Seção 7.4 e Apêndice C. (2) Citar a recomendação de profundidade de descarga do fabricante da bateria ou acrescentar uma tabela de sensibilidade para 0,5–0,8; Seção 5.2. (3) Substituir "impede" por "detecta" e acrescentar o contexto do tempo de detecção; resumo e Seção 8.1.

Glossário