Capítulo 38 — Segurança de TO, IoT e sistemas ciberfísicos: validação

Mapa da aula

Aula 38 publicada. Mapa, exemplo, EX112.

flowchart TD
  N0["38.1 Projeto do novo teste"]
  N1["38.2 Resultados negativos"]
  N2["38.3 Nenhum método novo"]
  N3["Nota prática"]
  N4["38.1b Evidência da validação e arbitragem"]
  N5["Nota de campo — novo teste por amostra"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX112"]

Desenho lógico

flowchart LR
  N0["38.1 Projeto do novo teste"]
  N1["38.2 Resultados negativos"]
  N2["38.3 Nenhum método novo"]
  N3["Nota prática"]
  N4["38.1b Evidência da validação e arbitragem"]
  N5["Nota de campo — novo teste por amostra"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX112"]

[38.1 Projeto do novo teste]
    |
    v
[38.2 Resultados negativos]
    |
    v
[38.3 Nenhum método novo]
    |
    v
[Nota prática]
    |
    v
[38.1b Evidência da validação e arbitragem]
    |
    v
[Nota de campo — novo teste por amostra]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX112]

Objetivos de aprendizagem

Você vai (1) validar correções com novos testes; (2) evitar validações que reintroduzam risco de processo; (3) registrar resultados negativos.

38.1 Projeto do novo teste

Mesmo ponto de observação, menor privilégio, mesmo padrão de evidência. Para a correção de uma lista de permissões: confirme na bancada que a escrita é negada; não dispare escritas contra o CLP em operação.

Quando a lista de permissões do HIST-1 foi apertada na ABP, Lena refez o teste a partir do mesmo host de salto e da mesma conta usados na constatação original. Ela reproduziu uma escrita de função 16 na cópia de bancada do PLC-A e confirmou que o monitor a negou com o código de motivo esperado. A verificação ao vivo foi somente de leitura: ela comparou a versão da lista de permissões implantada com a versão da bancada, em vez de enviar escritas em direção a equipamentos de produção.

38.2 Resultados negativos

"Ainda aberto" é um resultado de validação válido. Os repositórios de constatações precisam aceitá-lo sem forçar o encerramento.

Na ABP, o novo teste das senhas de engenharia compartilhadas descobriu que elas ainda estavam em uso em duas estações, então a constatação ficou aberta, com a nova evidência anexada. O repositório de constatações de Lena permite que um novo teste registre "ainda aberto" com uma data e um motivo, e o dono recebe um novo prazo. Forçar todo novo teste a encerrar uma constatação estimularia os revisores a marcar correções como concluídas quando elas foram aplicadas só em parte.

38.3 Nenhum método novo

A validação dentro de uma janela do CNHP usa o método que encontrou o problema, ou uma verificação mais fraca, somente de leitura, como uma captura passiva do monitor — não é uma oportunidade de experimentar novos ataques.

Caso sintético — Ashford Batch Plant. Novo teste da regra do L4 para o L2: a alcançabilidade agora exclui o L1-SIS; ticket encerrado com o hash da exportação. Uma constatação separada sobre senhas de engenharia compartilhadas continuou aberta.

O plano de validação de Lena nomeia o método original no ticket antes de o novo teste começar. Quando um revisor sugeriu experimentar uma nova ferramenta de fuzzing durante a validação, ela a registrou como proposta para a avaliação seguinte.

38.4 Erros e limites

Ambiente diferente (bancada versus planta) significa que você validou a bancada.

Na ABP, a correção da lista de permissões de Lena foi validada primeiro na cópia de bancada do PLC-A, e o ticket dizia isso. Uma verificação separada, somente de leitura, confirmou que o monitor de produção rodava a mesma versão da lista de permissões, e só então a constatação foi marcada como corrigida em produção. Os relatórios mantêm os dois resultados separados, porque uma aprovação na bancada não pode mostrar que a configuração da planta confere com a da bancada, e algumas diferenças, como revisões de firmware, mudariam o resultado.

Nota prática

Os novos testes automatizados são verificações em lista de permissões com timeouts rígidos. Eles nunca incluem credential stuffing nem novas tentativas de exploit.

38.1b Evidência da validação e arbitragem

Os tickets de validação do CNHP se ligam à constatação original, ao método usado, ao número da permissão de trabalho, ao timestamp e ao hash da nova evidência. Um "parece bom" do supervisor sem esses campos não encerra uma constatação crítica. As disputas escalam para um árbitro nomeado, que compara os hashes das evidências — ele não ataca de novo.

Quando muitas constatações semelhantes compartilham uma causa-raiz, refaça o teste numa amostra mais os ativos originalmente relatados, e diga isso. As decisões do árbitro são finais para a janela e só podem ser contestadas na retrospectiva.

Os tickets de Lena trazem os quatro campos.

Nota de campo — novo teste por amostra

Vinte IHMs compartilhavam uma entrada faltando na lista de permissões. A validação refez o teste em cinco mais as duas originalmente relatadas, documentou a amostra e deixou a constatação aberta até que o trabalho na frota terminasse. Declarar as vinte encerradas depois de duas verificações teria sido uma mentira de medição.

38.5 Exemplo resolvido — novo teste de validação do projeto de zoneamento (ABP sintética)

Seis meses depois da implantação, Lena roda de novo a verificação de alcançabilidade do Capítulo 2 contra a exportação do firewall em operação e a lista de condutos da descoberta passiva. A exportação confere com o projeto em 8 dos 9 condutos; o nono mostra uma regra L4→L3 não documentada, acrescentada durante uma atualização do ERP. O relatório de validação registra a constatação negativa com evidências, atribui-a ao dono da rede e não introduz nenhum método de teste novo no meio da validação, para que os resultados continuem comparáveis com a linha de base do comissionamento. A zona do SIS-B continua inalcançável nos dois conjuntos de dados, o que é relatado como confirmado, e não presumido.

Exercícios

• EX112 — Novo teste. Passos para validar com segurança uma regra do L4 para o L2 removida. Rubrica: 3 = exportação+alcançabilidade, esperar nenhum caminho, evidência, nenhuma escrita ao vivo; 2 = parcial; 1 = ataque ao vivo; 0 = nada.
• EX113 — Negativo. Por que "ainda aberto" precisa poder ser registrado? Rubrica: 3 = honestidade/métricas; 2 = vago; 1 = sempre encerrar; 0 = nada.
• EX114 — Ambiente. Limitação quando o novo teste foi feito só na bancada. Rubrica: 3 = clara; 2 = vaga; 1 = afirma a planta; 0 = nada.

Síntese

Valide de forma estreita; guarde os negativos; não alargue os métodos.