Capítulo 8 — Arquitetura de computadores
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX022.
flowchart TD
N0["8.1 Privilégio na planta"]
N1["8.2 A independência é física"]
N2["8.3 Evidências sem escrever no CLP"]
N3["Nota prática"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX022"]
Desenho lógico
flowchart LR
N0["8.1 Privilégio na planta"]
N1["8.2 A independência é física"]
N2["8.3 Evidências sem escrever no CLP"]
N3["Nota prática"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX022"]
[8.1 Privilégio na planta]
|
v
[8.2 A independência é física]
|
v
[8.3 Evidências sem escrever no CLP]
|
v
[Nota prática]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX022]
Objetivos de aprendizagem
Você vai (1) situar o CLP, o SIS e o SCADA num mapa de privilégios e de dependências; (2) explicar por que os sistemas de segurança precisam de hardware independente; (3) projetar uma coleta de evidências que não exija escrever no CLP.
8.1 Privilégio na planta
Um CLP executa a malha regulatória básica. Um SIS implementa as funções instrumentadas de segurança e precisa ser capaz de agir quando o CLP está errado ou comprometido. O SCADA e as IHMs são de supervisão: definem setpoints e exibem o estado. Uma arquitetura que deixa o SCADA escrever na lógica do SIS desfaz essa independência — exatamente o que o laboratório de alcançabilidade advertiu.
Na ABP, o PLC-A executa as malhas regulatórias do T-1, do T-2 e do R-101, e o SIS-B guarda os trips. Lena marca esses papéis no seu mapa de privilégios.
8.2 A independência é física
Independência não é uma tag de VLAN. Significa controladores separados, sensores separados onde a especificação de requisitos de segurança exigir e condutos que não permitam à rede regulatória alterar a lógica de segurança. A NIST SP 800-82 e a ISA/IEC 62443 tratam os sistemas de segurança como algo que exige um zoneamento cuidadoso; as normas de segurança de processo (IEC 61511) vão além quanto à independência. A arquitetura de segurança cibernética não pode desfazer aquilo que a arquitetura de segurança física pagou.
Lena verifica a independência rastreando fios e condutos, não lendo rótulos no desenho da rede. Os sensores de nível próprios do SIS-B no T-1 são o exemplo mais claro dessa independência.
8.3 Evidências sem escrever no CLP
A avaliação autorizada de TO prefere métodos somente leitura: exportações de configuração, dados espelhados do historiador, portas espelhadas, monitores seriais em modo de escuta. Escrever um setpoint de teste num CLP ativo é uma mudança de processo e precisa da mesma autorização que uma mudança de engenharia. Os laboratórios do curso nunca escrevem em dispositivos reais.
Caso sintético — Ashford Batch Plant. O SIS-B é um controlador separado, com os seus próprios sensores para o nível muito alto no T-1. O conjunto de regras do CNHP proíbe qualquer conduto do L2/L3 para as portas de engenharia do SIS, exceto por meio de uma chave física trancada durante os testes programados.
8.4 Erros e limites
As alegações de "air gap" muitas vezes escondem USB, laptops de fornecedores e modems celulares. Inventarie esses caminhos fora de banda com o mesmo cuidado que as rotas IP.
O inventário de Lena para a ABP lista cada porta USB das IHMs e das estações de engenharia, cada laptop de fornecedor que se conecta para suporte e cada modem celular instalado para diagnóstico remoto. Cada um recebe um dono e um controle, como o bloqueio de portas ou uma retirada registrada. Uma planta descrita como isolada é conferida com essa lista antes que alguém repita a alegação num relatório, porque um único modem esquecido pode criar um caminho que o grafo de zonas nunca mostra.
Nota prática
Desenhe o mapa de privilégios numa página: quem pode mudar setpoints, quem pode mudar a lógica, quem pode mudar os setpoints de segurança e por quais portas físicas. Pendure-o na sala de engenharia. As discussões sobre "só uma regra temporária" morrem mais rápido quando o mapa está à vista.
Exercícios
- EX022 — Mapa. Nomeie três ações que exigem privilégio de engenharia do SIS e três que uma IHM normal pode fazer. Rubrica: 3 = seis corretamente divididas; 2 = quatro; 1 = vago; 0 = nada.
- EX023 — Independência. Por que a separação por VLAN sozinha é insuficiente para a independência do SIS? Rubrica: 3 = controlador/sensores/caminho de gestão compartilhados ainda podem acoplar; 2 = uma razão; 1 = vago; 0 = alega que a VLAN basta.
- EX024 — Evidência. Proponha um caminho de evidência somente leitura para "a IHM consegue escrever o registrador 40050". Rubrica: 3 = exportação de configuração ou porta espelhada monitorada mostrando a capacidade/tentativa de escrita, sem escrita ao vivo; 2 = parcial; 1 = escrita ao vivo; 0 = nada.
Síntese
Mantenha a lógica de segurança independente no hardware e nos condutos; colete evidências sem se tornar um atuador.
Continue estudando — capítulo 08 de 50
← Capítulo 07 · Índice de capítulos do curso · Capítulo 09 →
Siga para a próxima lição escrita.