Capítulo 2 — Segurança de TO, IoT e sistemas ciberfísicos: seminário avançado | Mestrado Segurança de OT, IoT e sistemas ciberfísicos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 Arquitetura: Purdue e zonas"]
  N1["2.2 Protocolos"]
  N2["2.3 Famílias de detecção"]
  N3["2.4 Evidências de ameaças"]
  N4["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 Arquitetura: Purdue e zonas"]
  N1["2.2 Protocolos"]
  N2["2.3 Famílias de detecção"]
  N3["2.4 Evidências de ameaças"]
  N4["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX008"]

[2.1 Arquitetura: Purdue e zonas]
    |
    v
[2.2 Protocolos]
    |
    v
[2.3 Famílias de detecção]
    |
    v
[2.4 Evidências de ameaças]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem e conexão

Depois deste capítulo, você consegue (1) explicar os níveis do modelo Purdue e as zonas da ISA/IEC 62443, (2) descrever por que os protocolos industriais clássicos não têm autenticação, (3) contrastar a detecção de rede com a detecção baseada em física, (4) ler o ATT&CK for ICS como evidência de capacidade, não de frequência, e (5) extrair uma lacuna falseável de um mapa da literatura.

2.1 Arquitetura: Purdue e zonas

A NIST SP 800-82 Rev. 3 apresenta o modelo Purdue: níveis 0–1 (processo e controle básico), 2 (supervisão), 3 (operações), 4–5 (corporativo), com uma DMZ industrial. A ISA/IEC 62443-3-2 pede que você particione o sistema em zonas com um nível de segurança-alvo e controle os conduítes entre elas. Uma dissertação pode tratar um desenho de zonas como hipótese: um conduíte que permite apenas leituras Modbus do nível 2 para o nível 1 reduz a alcançabilidade de escrita numa fração medida, numa topologia sintética?

No Harbor Loop, a fronteira relevante fica entre o nível de supervisão e o CLP, onde o Modbus/TCP transporta tanto leituras quanto escritas. Desenhe essa fronteira na dissertação, mesmo que o estudo meça a detecção e não a segmentação, porque o leitor precisa saber quais posições do atacante o replay pressupõe. Um conduíte que bloqueia escritas não impede leituras repetidas, e é por isso que a detecção continua importando.

2.2 Protocolos

O Modbus Application Protocol define códigos de função (incluindo a escrita de um único registrador ou de vários) e um modelo de dados, mas nenhum campo de autenticação ou de integridade. O DNP3 Secure Authentication e os modelos de segurança do OPC UA mostram que a indústria acrescentou opções; a adoção e a qualidade das implementações continuam sendo questões empíricas. Nunca apresente "o Modbus é inseguro" como constatação — é uma propriedade de projeto da especificação.

Para o estudo Harbor Loop, a propriedade relevante é que uma resposta que carrega um valor de nível não tem nenhum campo que prove que ele veio do transmissor. É por isso que o replay é possível, e é por isso que a dissertação mede a detecção e não a prevenção. Nomeie os códigos de função que o seu modelo de atacante usa, para que o leitor veja de quais partes da especificação os resultados dependem.

2.3 Famílias de detecção

Os detectores de rede observam pacotes; os detectores baseados em física observam se os valores dos sensores e atuadores obedecem às leis do processo. Giraldo et al. fizeram um levantamento destes últimos; Urbina et al. defenderam medir o impacto sob um adversário furtivo. Sommer e Paxson alertaram que a detecção de anomalias falha quando o "normal" é aberto; Arp et al. listaram armadilhas de avaliação, incluindo a pontuação com ajuste por pontos.

O Harbor Loop está na segunda família: seu CUSUM de resíduo compara a leitura de nível com uma estimativa conduzida pelo medidor de vazão. Os alertas dos dois artigos se aplicam diretamente. A operação normal de uma malha de água é razoavelmente fechada, o que ajuda, mas a pontuação deve usar episódios de ataque, não pontos, e a avaliação deve perguntar o que um adversário furtivo ainda conseguiria fazer. A classe B é essa pergunta.

2.4 Evidências de ameaças

O MITRE ATT&CK for ICS lista técnicas como Modify Parameter e Spoof Reporting Message. Os relatos públicos sobre o Stuxnet, os apagões ucranianos de 2015 e o TRITON/TRISIS mostram que a manipulação da visão e o ataque a sistemas de segurança são objetivos documentados de adversários. Use-os no nível das análises públicas citadas; não invente detalhes operacionais.

Para a dissertação, essas evidências sustentam uma frase: manipular o que os operadores veem é um objetivo documentado de adversários, então testar a detecção de uma leitura de nível repetida é relevante. Elas não sustentam alegações sobre a frequência com que concessionárias de água enfrentam replay. Mantenha a citação na técnica e na análise pública, e deixe as alegações de frequência fora do capítulo de fundamentação.

2.5 Exemplo resolvido: codificar uma lacuna

Dos doze estudos sintéticos L1–L12, apenas dois relatam o impacto no momento da detecção, apenas um congela os limiares antes de um segundo contexto e nenhum combina adversário ciente do detector + limiares congelados + impacto + segunda planta. Lacuna: nenhuma avaliação da detecção por resíduo contra o replay de sensores relata revocação por evento, atraso e transbordamento no alarme com limiares congelados em dois contextos e uma classe explícita de atacante que controla dois sensores.

Escreva a lacuna como uma única frase que nomeia o que falta e depois confira cada palavra contra a tabela codificada. Se um estudo tiver combinado limiares congelados e uma segunda planta, a lacuna encolhe e a frase precisa mudar. Uma lacuna construída a partir de uma tabela de codificação pode ser auditada; uma lacuna construída a partir de impressões sobre o campo, não.

2.6 Erros comuns e limites

Citar normas como evidência de que funcionam; tratar o ATT&CK como taxas-base; alegar novidade a partir do nome de um novo conjunto de dados.

Esses erros compartilham um padrão: confundem a existência de um documento com evidência de um efeito. Uma norma diz o que deve ser feito; não mostra que fazê-lo reduz danos. O ATT&CK lista o que adversários já foram vistos fazendo, não com que frequência. Um novo conjunto de dados é útil, mas a novidade precisa vir da pergunta que ele permite responder.

Exercícios — capítulo 2

EX008 — Mapa Purdue da malha L1 do Harbor Loop. Mapeie os componentes da malha L1 do Harbor Loop nos níveis Purdue 0–3 e nomeie dois conduítes.
Mostrar critérios de avaliação
Rubrica: 3 = componentes L0–L3 + dois conduítes (SCADA↔CLP, historiador↔SCADA); 2 = só os níveis; 1 = parcial; 0 = nenhum.
EX009 — Zona da 62443 como hipótese mensurável. Reescreva uma recomendação de zonas da 62443 como hipótese mensurável.
Mostrar critérios de avaliação
Rubrica: 3 = hipótese mensurável de conduíte somente leitura com métrica ≥90%; 2 = hipótese sem métrica; 1 = slogan; 0 = nenhum.
EX010 — Autenticação no Modbus versus DNP3-SA. Compare o Modbus e o DNP3 Secure Authentication quanto à presença de autenticação, usando apenas especificações públicas.
Mostrar critérios de avaliação
Rubrica: 3 = Modbus sem autenticação vs desafios do DNP3-SA; presença, não adoção; 2 = só a presença; 1 = alegação de adoção; 0 = nenhum.
EX011 — Teto para um estudo com F1 com ajuste por pontos. Avalie um estudo fictício que relata F1 com ajuste por pontos = 0,99 numa única bancada; declare o que ele pode sustentar.
Mostrar critérios de avaliação
Rubrica: 3 = teto de sustentação apenas para sinalização de segmentos; exclui atraso/impacto/generalização/adversário ciente; 2 = teto sem exclusões; 1 = aceita o 0,99; 0 = nenhum.
EX012 — Duas técnicas do ATT&CK para o Harbor Loop. Selecione duas técnicas do ATT&CK for ICS para o Harbor Loop; explique por que elas não são evidência de frequência.
Mostrar critérios de avaliação
Rubrica: 3 = Spoof Reporting Message + Modify Parameter + não é frequência; 2 = técnicas sem ressalva; 1 = uma; 0 = nenhum.
EX013 — Lacunas fraca e forte sobre detecção por resíduo. Escreva enunciados de lacuna fraca e forte para a detecção por resíduo do replay de sensores.
Mostrar critérios de avaliação
Rubrica: 3 = lacuna fraca vs forte com a substância da §2.5; 2 = fraca/forte sem detalhe de TO; 1 = uma; 0 = nenhum.
EX014 — Armadilhas de Arp mais uma de TO. Liste três armadilhas de avaliação de Arp et al. que se aplicam a detectores de TO e uma armadilha específica de TO.
Mostrar critérios de avaliação
Rubrica: 3 = três armadilhas de Arp + a armadilha de TO do impacto na detecção; 2 = só Arp; 1 = uma armadilha; 0 = nenhum.

Síntese do capítulo

O seminário oferece arquitetura, protocolos, famílias de detecção e evidências de ameaças — e a disciplina de transformá-los em hipóteses e lacunas, e não em slogans.