Capítulo 12 — Sistemas operacionais

Mapa da aula

Aula 12 publicada. Mapa, exemplo, EX034.

flowchart TD
  N0["12.1 As estações de trabalho fazem parte do sistema"]
  N1["12.2 Privilégio mínimo para engenheiros"]
  N2["12.3 Janelas de correção"]
  N3["Nota prática"]
  N4["12.1b Imagens e análise offline"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX034"]

Desenho lógico

flowchart LR
  N0["12.1 As estações de trabalho fazem parte do sistema"]
  N1["12.2 Privilégio mínimo para engenheiros"]
  N2["12.3 Janelas de correção"]
  N3["Nota prática"]
  N4["12.1b Imagens e análise offline"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX034"]

[12.1 As estações de trabalho fazem parte do sistema]
    |
    v
[12.2 Privilégio mínimo para engenheiros]
    |
    v
[12.3 Janelas de correção]
    |
    v
[Nota prática]
    |
    v
[12.1b Imagens e análise offline]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX034]

Objetivos de aprendizagem

Você vai (1) endurecer as IHMs e as estações de engenharia sem quebrar o controle; (2) coletar evidências do sistema operacional com privilégio mínimo; (3) planejar a aplicação de correções dentro das janelas de manutenção.

12.1 As estações de trabalho fazem parte do sistema de controle

As IHMs e as estações de engenharia muitas vezes rodam sistemas operacionais de uso geral com décadas de software legado. Tratá-las como simples PCs é o caminho pelo qual o malware entra no L2. As linhas de base de endurecimento (lista de permissões de aplicações, remoção do administrador local, controle de USB) precisam ser testadas contra a matriz de suporte do fornecedor da IHM — uma mudança de endurecimento sem suporte que apaga uma tela durante um lote é um incidente de disponibilidade.

Na ABP, Lena testa cada mudança de endurecimento numa IHM de bancada que roda a mesma versão do fornecedor antes de ela chegar à sala de controle, e registra quais itens o fornecedor suporta.

12.2 Privilégio mínimo para engenheiros

Contas nominais, direitos de administrador com prazo, elevações registradas. Senhas de engenheiro compartilhadas ainda são comuns e ainda estão erradas: elas destroem a atribuição e permanecem depois que os prestadores vão embora. Constatações sobre senhas compartilhadas são constatações de configuração, não convites para quebrar hashes.

Na ABP, a senha de engenheiro compartilhada na eng-WS-1 é substituída por contas nominais, e cada elevação é registrada com a pessoa e o motivo. Os prestadores recebem contas que expiram ao fim da sua ordem de serviço. Lena relata as senhas compartilhadas a partir da configuração e da lista de contas, nunca testando-as.

12.3 Janelas de correção

As correções de TO entram nas janelas de manutenção, não na Patch Tuesday. Encaixe os trabalhos por risco nas horas disponíveis; adie o que não couber, em vez de invadir a produção.

"""Lab: fit patch jobs into plant maintenance windows (synthetic, greedy by risk)."""
windows = [("W1 Sat 02-06", 4.0), ("W2 Sun 02-04", 2.0)]
jobs = [("HMI OS update", 1.5, 8), ("historian DB patch", 2.5, 5), ("PLC-A firmware", 3.0, 9),
        ("eng-WS AV update", 0.5, 3), ("switch firmware", 1.0, 6)]   # name, hours, risk score
left = {w: h for w, h in windows}; plan = {w: [] for w, _ in windows}; deferred = []
for name, h, r in sorted(jobs, key=lambda j: -j[2]):
    for w, _ in windows:
        if left[w] >= h:
            left[w] -= h; plan[w].append(name); break
    else:
        deferred.append(name)
for w, _ in windows:
    print(w, plan[w], f"spare={left[w]:.1f}h")
print("deferred:", deferred)

Saída esperada:

W1 Sat 02-06 ['PLC-A firmware', 'switch firmware'] spare=0.0h
W2 Sun 02-04 ['HMI OS update', 'eng-WS AV update'] spare=0.0h
deferred: ['historian DB patch']

Caso sintético — Ashford Batch Plant. O laboratório de correções adiou o patch do banco de dados do historiador porque W1 e W2 estavam cheias de trabalhos de maior risco no CLP e na IHM. Lena agendou uma janela dedicada no mês seguinte, em vez de espremê-lo na manhã de domingo.

Cada trabalho adiado mantém o seu ticket e a sua data. Os adiamentos são revistos mensalmente.

12.4 Erros e limites

Não desabilite o antivírus nem a lista de permissões para agradar o fornecedor sem uma exceção escrita e um monitoramento compensatório. Plantas offline também precisam de controle de mídias.

Quando o fornecedor da IHM pede uma exceção, Lena registra qual proteção é relaxada, em qual host, por quanto tempo e qual monitoramento a substitui. A exceção tem um dono e uma data de expiração. Os hosts offline continuam recebendo mídias por meio de uma estação de varredura e de uma transferência registrada, já que os pendrives são a rota habitual para dentro de uma rede isolada.

Nota prática

Todo patch adiado recebe um ticket com o risco residual e uma data. "Adiado sem data" é como sobrevivem imagens de sistema operacional de IHM com uma década. Revise a lista de adiados na mesma reunião que planeja a próxima janela.

12.1b Imagens e análise offline

Imagens de disco completas de IHMs têm alto impacto: tiram sistemas do ar, podem conter receitas proprietárias e convidam a navegar fora do escopo. Prefira leituras ao vivo com privilégio mínimo e exportações de configuração. Se uma imagem for realmente necessária, a permissão de trabalho precisa nomear a cadeia de custódia, a criptografia em repouso, quem pode montá-la e uma data de destruição — e os laboratórios do curso continuam não praticando a extração de imagens de hosts reais. Plantas offline também precisam de controle de mídias; air gaps que escondem USB e modems celulares não são air gaps.

Lena nunca precisou de uma imagem completa na ABP.

Exercícios

• EX034 — Conta. Especifique um padrão de privilégio mínimo para o acesso de engenharia ao CLP. Rubrica: 3 = nominal, com prazo, registrado, controle duplo para o download de lógica; 2 = três de quatro; 1 = administrador compartilhado; 0 = nada.
• EX035 — Laboratório. Qual trabalho foi adiado e por quê? Rubrica: 3 = patch do banco de dados do historiador; janelas cheias depois dos trabalhos de maior risco; 2 = só o nome; 1 = vago; 0 = errado.
• EX036 — Exceção. Escreva uma exceção de USB de uma linha para a colocação em serviço por um fornecedor, com controle compensatório. Rubrica: 3 = com prazo, mídia verificada, host monitorado; 2 = parcial; 1 = USB aberto; 0 = nada.

Síntese

Endureça e corrija as estações de trabalho como se fossem controladores — porque, para o malware, elas são a porta.