Capítulo 18 — Arquitetura de segurança | Engenharia Segurança de OT, IoT e sistemas ciberfísicos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 18 publicada. Mapa, exemplo, EX052.

flowchart TD
  N0["18.1 Zonas que acompanham a segurança física"]
  N1["18.2 Acesso de engenharia"]
  N2["18.3 Ambientes sintéticos"]
  N3["Nota prática"]
  N4["18.1b Hosts de salto e saída"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX052"]

Desenho lógico

flowchart LR
  N0["18.1 Zonas que acompanham a segurança física"]
  N1["18.2 Acesso de engenharia"]
  N2["18.3 Ambientes sintéticos"]
  N3["Nota prática"]
  N4["18.1b Hosts de salto e saída"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX052"]

[18.1 Zonas que acompanham a segurança física]
    |
    v
[18.2 Acesso de engenharia]
    |
    v
[18.3 Ambientes sintéticos]
    |
    v
[Nota prática]
    |
    v
[18.1b Hosts de salto e saída]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX052]

Objetivos de aprendizagem

Você vai (1) aplicar o zoneamento Purdue/62443 na ABP; (2) definir fronteiras de confiança para o acesso de engenharia; (3) escolher quando um ambiente sintético é o lugar certo para testar.

18.1 Zonas que acompanham a segurança física

L0/L1 contêm o processo e o controle básico; L2, a supervisão; L3, as operações do site; L3.5, a DMZ; L4/L5, a empresa. O SIS fica com condutos cuidadosamente controlados. Os diagramas de arquitetura precisam conferir com o grafo de alcançabilidade, não com um pôster Purdue de marketing.

Lena confere o diagrama da ABP contra os resultados de alcançabilidade da exportação do firewall em cada revisão. Na ABP, as portas de engenharia do SIS-B só são alcançáveis pelo caminho da chave seletora durante os testes programados, e o escritório só alcança os dados do SCADA pela réplica do historiador na DMZ. Onde o diagrama e os resultados de alcançabilidade discordam, os resultados vencem e o diagrama é corrigido. Lena marca no diagrama o hash da exportação contra a qual ele foi conferido.

18.2 Acesso de engenharia

Estações de engenharia e laptops de fornecedores cruzam fronteiras de confiança. Prefira: host de salto na DMZ, contas com prazo, sessões monitoradas, nenhuma VPN permanente da internet para o L2. USB e modems celulares também são arquitetura — inventarie-os.

Na ABP, as sessões de fornecedores passam por um host de salto na DMZ, com contas com prazo e sessões gravadas. O inventário de Lena lista todo laptop de engenharia autorizado a se conectar, e qualquer VPN permanente encontrada numa revisão é relatada como constatação. O uso de USB nas estações de engenharia é registrado e revisado mensalmente.

18.3 Ambientes sintéticos

Quando os métodos são ruidosos ou a planta é frágil, use um ambiente sintético ou um gêmeo digital que espelhe a configuração. Os resultados então sustentam afirmações sobre a configuração espelhada, não sobre o comportamento do processo real. Diga isso no relatório.

# Lab 23 - reachability count on a synthetic Purdue-layered OT network
# Nodes: L5-ERP, L4-Office, L3.5-DMZ, L3-Hist, L2-SCADA, L1-PLC, L1-SIS, L0-IO
edges_flat=[("L5","L4"),("L4","L3"),("L3","L2"),("L2","L1-PLC"),("L2","L1-SIS"),("L1-PLC","L0"),("L1-SIS","L0"),("L4","L2")]
edges_zoned=[("L5","L4"),("L4","L3.5"),("L3.5","L3"),("L3","L2"),("L2","L1-PLC"),("L1-SIS","L0"),("L1-PLC","L0")]  # SIS not reachable from SCADA
def reach(edges, start):
    g={};
    for a,b in edges: g.setdefault(a,[]).append(b)
    seen=set(); stack=[start]
    while stack:
        n=stack.pop()
        if n in seen: continue
        seen.add(n); stack.extend(g.get(n,[]))
    return seen
for name,e in (("flat",edges_flat),("zoned",edges_zoned)):
    r=reach(e,"L4")
    print(f"{name}: L4 reaches {sorted(r)} count={len(r)} writes_to_SIS={'L1-SIS' in r}")

Saída esperada:

flat: L4 reaches ['L0', 'L1-PLC', 'L1-SIS', 'L2', 'L3', 'L4'] count=6 writes_to_SIS=True
zoned: L4 reaches ['L0', 'L1-PLC', 'L2', 'L3', 'L3.5', 'L4'] count=6 writes_to_SIS=False

Caso sintético — Ashford Batch Plant. A arquitetura-alvo do CNHP é o grafo zoneado: o L4 visualiza através do L3.5; a engenharia do SIS só pela chave seletora; nenhum conduto do L2 para o L1-SIS.

A cópia de bancada do firewall e do monitor da ABP mantida por Lena é um ambiente desse tipo; os seus relatórios declaram que os resultados se aplicam apenas à configuração espelhada.

18.4 Erros e limites

Os diagramas envelhecem. Revalide as zonas contra a exportação do firewall em operação a cada janela.

Lena compara o diagrama com a exportação do firewall em operação no início de cada janela e registra qualquer diferença como constatação. Um diagrama que não foi conferido contra a exportação é marcado como não verificado, para que ninguém se apoie nele por engano durante um incidente. O novo teste de seis meses depois encontrou exatamente esse tipo de deriva. A verificação leva minutos com o script de alcançabilidade. O seu resultado é arquivado com o registro da janela.

Nota prática

Pendure o diagrama de zonas ao lado do mapa de privilégios do Capítulo 8. Quando um fornecedor pedir uma regra temporária, aponte para a parede e pergunte qual aresta ele quer acrescentar — e qual requisito ela quebra.

18.1b Hosts de salto e saída

Os hosts de salto de engenharia são de alto valor: endureça-os, registre o início e o fim das sessões, proíba agentes pessoais de sincronização de arquivos e reconstrua-os a partir de imagens de referência entre as janelas, quando possível. As zonas de avaliação e de engenharia precisam de listas de permissões de saída: apenas os CIDRs da planta no escopo e o repositório de evidências. Uma saída aberta transforma um laptop comprometido num ponto de pivô que a permissão de trabalho nunca autorizou.

Lena exporta os diagramas do L2 e da DMZ de cada janela para o dossiê do CNHP e calcula o hash deles como de qualquer arquivo de evidência. Quando um auditor pergunta como o tráfego chegou ao L2, você mostra a versão do diagrama que estava em vigor, não um esboço mais novo e arrumado.

Exercícios

EX052 — Esboço de zonas. Posicione IHM, PLC-A, SIS-B, historiador e PC do escritório em zonas e nomeie dois controles nas setas. Rubrica: 3 = zonas claras + dois controles; 2 = só zonas; 1 = confuso; 0 = nada.
EX053 — Fronteira. Por que "mandar por e-mail um CSV de receita para o meu Gmail" é uma violação de fronteira? Rubrica: 3 = os dados saem das zonas controladas/autorização; 2 = aceno à privacidade; 1 = vago; 0 = aprova.
EX054 — Afirmação do gêmeo. Frase de limitação para testes feitos só em ambiente sintético. Rubrica: 3 = afirma a configuração, não o processo real; 2 = vaga; 1 = afirma demais; 0 = nada.

Síntese

Zonas, fronteiras do acesso de engenharia e limites honestos sobre o que um gêmeo pode provar.