Capítulo 42 — Segurança de TO, IoT e sistemas ciberfísicos: pesquisa aplicada
Mapa da aula
Aula 42 publicada. Mapa, exemplo, EX124.
flowchart TD
N0["42.1 Perguntas que cabem"]
N1["42.2 Desenho"]
N2["42.3 Divulgação"]
N3["Nota prática"]
N4["42.1b Compartilhamento de dados e resultados negativ"]
N5["Nota de campo — registro de emendas"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX124"]
Desenho lógico
flowchart LR
N0["42.1 Perguntas que cabem"]
N1["42.2 Desenho"]
N2["42.3 Divulgação"]
N3["Nota prática"]
N4["42.1b Compartilhamento de dados e resultados negativ"]
N5["Nota de campo — registro de emendas"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX124"]
[42.1 Perguntas que cabem]
|
v
[42.2 Desenho]
|
v
[42.3 Divulgação]
|
v
[Nota prática]
|
v
[42.1b Compartilhamento de dados e resultados negativ]
|
v
[Nota de campo — registro de emendas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX124]
Objetivos de aprendizagem
Você vai (1) formular uma pergunta de pesquisa sobre programas de segurança de TO; (2) escolher medidas e linhas de base com a higiene da avaliação de detectores; (3) manter o uso dual fora da pesquisa dos estudantes.
42.1 Perguntas que cabem
A dupla aprovação reduz os incidentes de alargamento de condutos? Mostrar os denominadores muda a interpretação da cobertura pelas partes interessadas? Não "novo bypass contra o CLP da marca X".
A pesquisa aplicada de Lena na ABP seguiu esse padrão: ela escolheu uma pergunta sobre linhas de base de detectores, apresentada no exemplo resolvido abaixo. A pergunta podia ser respondida com tráfego gravado e mudaria diretamente o modo como a planta configura o seu monitor. Ela recusou uma sugestão de estudar bypasses contra uma marca específica de CLP, porque isso produziria conhecimento de ataque sem melhorar o modo como a ABP opera as suas defesas.
42.2 Desenho
Pré-registre as medidas; use dados sintéticos ou operacionais consentidos; relate intervalos e classes de ataque (Urbina et al.; Giraldo et al.). A replicação vence o teatro da novidade.
Lena registrou as suas medidas, os comprimentos das linhas de base e o limiar antes de analisar os 60 dias de tráfego gravado da ABP. O seu registro de emendas guarda a única mudança que ela fez depois do registro, com o motivo. Os resultados são relatados com intervalos para cada comprimento de linha de base, para que os leitores vejam onde a evidência é fraca. Ela prefere confirmar com cuidado uma constatação anterior a alegar uma nova que ninguém consegue reproduzir.
42.3 Divulgação
Se a pesquisa encontrar por acidente um problema real num CLP ou numa ferramenta de fornecedor, siga a divulgação coordenada com o fornecedor e a planta — não um blog da turma.
Caso sintético — Ashford Batch Plant. O estudo aplicado de Lena mediu quantos dias de linha de base um detector de novos condutos precisa antes que seus alertas falsos fiquem abaixo de um por semana (§42.5); pré-registrado, sintético+anonimizado.
O plano de pesquisa de Lena nomeava a equipe de segurança de produto do fornecedor como o primeiro contato para qualquer falha encontrada num produto, e só permitia a publicação depois da resposta do fornecedor. A tese descreveria uma falha apenas em termos gerais. O seu orientador revisou o plano antes que qualquer tráfego fosse analisado.
42.4 Erros e limites
Projetos de curso não são pesquisa com seres humanos; evite coletar dados pessoais de operadores.
A pesquisa de Lena na ABP usou o tráfego entre dispositivos, não registros do que operadores individuais fizeram, então nenhuma pessoa podia ser identificada pelos seus dados. Onde ações de operadores apareciam nos logs, como os reconhecimentos na HMI-1, ela removeu os nomes de usuário antes da análise. Estudar pessoas de forma adequada exige uma revisão ética que um projeto de curso não tem, então qualquer pergunta sobre o comportamento dos operadores fica para trabalhos futuros, com as aprovações apropriadas, em vez de ser respondida com dados coletados informalmente.
Nota prática
O código de análise pré-registrado de Lena fica no repositório do CNHP, com um commit de congelamento feito antes da primeira captura do piloto. Emendar depois de espiar exige uma emenda registrada.
42.1b Compartilhamento de dados e resultados negativos
Mesmo métricas sintéticas mais anonimizadas vindas do monitor de uma planta precisam de um acordo escrito com a organização anfitriã antes de entrarem numa tese de estudante. A pesquisa aplicada publicável inclui resultados negativos. Esconder os negativos enviesa a turma seguinte para uma confiança vazia.
A seção de ética da tese declara a fronteira do uso dual com uma recusa concreta, como deixar de publicar os endereços de registradores de que um atacante precisaria no PLC-A.
O acordo de Lena com a ABP para os dados foi assinado antes da análise, e a sua tese relata, com figuras completas, os comprimentos de linha de base que nunca atingiram o limiar.
Nota de campo — registro de emendas
Depois de espiar os dados piloto, um estudante quis mudar a medida primária. O registro de emendas guardou o motivo e manteve a medida original como análise secundária. Pré-registro sem disciplina de emendas é teatro.
O acordo nomeia quem pode ver as extrações brutas e quando elas são apagadas.
Cada entrada de emenda traz a data, o motivo e o commit que mudou o código de análise.
42.5 Exemplo resolvido — uma pergunta de pesquisa que cabe na planta (ABP sintética)
A pesquisa aplicada de Lena pergunta: no tráfego gravado da ABP, quantos dias de linha de base são necessários para que os alertas falsos de um detector de condutos novos caiam abaixo de um por semana? O desenho usa 60 dias de tráfego sintético, mas realista, linhas de base deslizantes de 3, 7, 14 e 28 dias e um limiar pré-registrado. O registro de emendas guarda uma mudança: uma atualização do ERP acrescentou tráfego no dia 33, então esse dia é analisado separadamente, em vez de removido em silêncio. O planejamento da divulgação faz parte do desenho: se o trabalho revelar uma falha de produto, ela vai para o PSIRT do fornecedor antes da publicação.
Exercícios
- EX124 — Pergunta. Uma pergunta de pesquisa aceitável. Rubrica: 3 = foco no programa/processo; 2 = limítrofe; 1 = foco em exploit; 0 = nada.
- EX125 — Medida. Medida primária para o estudo da dupla aprovação. Rubrica: 3 = por exemplo, tentativas de alargamento não aprovadas/trimestre; 2 = vaga; 1 = "segurança"; 0 = nada.
- EX126 — Uso dual. Recuse um projeto que pede um novo exploit de CLP. Rubrica: 3 = recusa + alternativa; 2 = recusa; 1 = aceita; 0 = nada.
Síntese
Pesquise o programa e o processo; deixe a armamentização de lado.
Continue estudando — capítulo 42 de 50
← Capítulo 41 · Índice de capítulos do curso · Capítulo 43 →
Siga para a próxima lição escrita.