Capítulo 8 — Revisão independente e defesa

Capítulo 8 — Revisão independente e defesa

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX045.

flowchart TD
  N0["8.1 Auditoria das alegações"]
  N1["8.2 Famílias de perguntas da banca"]
  N2["8.3 Divulgação"]
  N3["8.4 Briefing para operadores"]
  N4["8.6 Depois da defesa"]
  N5["Síntese do capítulo"]
  N6["Capítulo 1"]
  N7["Capítulo 2"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX045"]

Desenho lógico

flowchart LR
  N0["8.1 Auditoria das alegações"]
  N1["8.2 Famílias de perguntas da banca"]
  N2["8.3 Divulgação"]
  N3["8.4 Briefing para operadores"]
  N4["8.6 Depois da defesa"]
  N5["Síntese do capítulo"]
  N6["Capítulo 1"]
  N7["Capítulo 2"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX045"]

[8.1 Auditoria das alegações]
    |
    v
[8.2 Famílias de perguntas da banca]
    |
    v
[8.3 Divulgação]
    |
    v
[8.4 Briefing para operadores]
    |
    v
[8.6 Depois da defesa]
    |
    v
[Síntese do capítulo]
    |
    v
[Capítulo 1]
    |
    v
[Capítulo 2]
    |
    v
[Exemplo resolvido] --> [Exercício EX045]

Objetivos de aprendizagem e conexão

Depois deste capítulo, você consegue (1) auditar as alegações antes da submissão, (2) preparar-se para as perguntas da banca, (3) conduzir a divulgação de falhas de implementação e (4) traduzir as constatações para operadores com níveis de confiança.

8.1 Auditoria das alegações

Toda alegação precisa de evidência, escopo e um falseador. Apague "protege concessionárias de água"; mantenha "detectou o replay de um único sensor em dois contextos sintéticos". Faça a auditoria no resumo, na lista de contribuições e na conclusão — é lá que as alegações excessivas se escondem. Peça a um colega que marque todo verbo que implique eficácia em campo ("protege", "impede", "garante a segurança", "blinda") e justifique ou remova cada um. Um script de palavras-chave ajuda numa primeira passada; a auditoria humana ainda lê cada alegação no contexto.

Registre o desfecho de cada alegação no registro de alegações, com a data da auditoria. Uma alegação que sobrevive precisa de um ponteiro para uma tabela ou figura; uma alegação estreitada precisa da nova redação; uma alegação cortada precisa de uma nota sobre o motivo. A auditoria termina quando toda frase do resumo tem uma linha.

8.2 Famílias de perguntas da banca

Posicionamento (o que é novo?), validade (por que generalizar?), adversário (atacante mais forte?), segurança (como foi limitado?), ética (o que foi retido?), impacto (o que muda na segunda-feira de manhã?). Resposta sobre o impacto: exigir uma segunda medição, com fiação independente, das variáveis-chave e exibir os valores previstos versus os relatados.

Prepare uma folha de consulta de uma página com uma resposta de duas frases para cada família e um ponteiro para uma figura ou tabela. Na defesa, responda à pergunta feita e pare — não ofereça o capítulo inteiro. Se não souber, diga que evidência a responderia e o que você de fato tem. Ensaie uma vez em voz alta com um colega que interrompa.

8.3 Divulgação

Propriedades de projeto de especificações públicas (o Modbus não tem autenticação) não são vulnerabilidades. As falhas de implementação de um produto passam pelo fornecedor e, quando apropriado, pela CVD da CISA antes que os detalhes sejam publicados.

No Harbor Loop, isso significa descrever o replay como consequência da falta de autenticação do Modbus, sem tratá-lo como uma falha nova. Se o trabalho na bancada R2 revelasse um defeito no firmware de um CLP específico, o produto e os detalhes seriam retidos da dissertação até que o fornecedor tivesse sido avisado, com o cronograma acordado e registrado.

8.4 Briefing para operadores

Confiança alta: alarmes de faixa sozinhos não percebem leituras de nível repetidas (modelo + desenho). Média: medição de vazão independente mais o resíduo detecta o replay de um único sensor (dois contextos sintéticos). Nenhuma: proteção quando um único dispositivo controla as duas medições — falha medida.

Mantenha o briefing em uma página, com cada afirmação marcada com sua confiança e sua evidência. Os operadores vão agir com base na linha "nenhuma": se um único dispositivo lê tanto o nível quanto o medidor de vazão, não se pode confiar na detecção por resíduo. O briefing deve dizer o que verificar na segunda-feira, por exemplo se as duas medições têm fiação independente.

8.5 Erros comuns e limites

Exagero na apresentação da defesa; publicar detalhes de exploits antes da divulgação; rótulos de confiança sem evidência.

Na defesa, fique dentro do escopo que a dissertação mediu e responda às perguntas sobre atacantes mais fortes com a classe B, e não com especulação. Retenha os detalhes de implementação até que a divulgação esteja concluída. Todo rótulo de confiança do briefing para operadores precisa nomear a evidência por trás dele; um rótulo sem evidência é uma opinião apresentada como constatação. Antes da defesa, ensaie uma vez cada família de perguntas com a folha de consulta e marque qualquer resposta que vá além dos contextos medidos, para que ela possa ser estreitada antes que as perguntas reais cheguem.

8.6 Depois da defesa

Arquive o PDF final, o registro de alegações, a tag do código e a documentação ética. Se um artigo for submetido, congele o texto da dissertação que o artigo não pode contradizer. Agende os cronogramas de divulgação antes dos prazos das conferências, não depois. Agradeça aos operadores e gerentes de laboratório que tornaram a bancada R2 possível — e não os surpreenda com um comunicado à imprensa que apresente o laboratório do campus como uma planta vulnerável.

Mantenha o manifesto e os hashes do arquivo junto ao texto final, para que um leitor posterior possa mostrar qual código produziu os números publicados. Se chegarem correções depois da defesa, acrescente-as como errata datada, em vez de editar a cópia arquivada.

Exercícios — capítulo 8

• EX045 — Auditar três alegações do Capítulo 6. Audite três alegações do seu parágrafo do Capítulo 6. Rubrica: 3 = três alegações PASS/REVISE com correções; 2 = duas; 1 = uma; 0 = nenhum.
• EX046 — Respostas de defesa sobre posicionamento e segurança. Escreva respostas-modelo às perguntas de posicionamento e de segurança. Rubrica: 3 = respostas de posicionamento + limite de segurança da R2; 2 = uma família; 1 = vago; 0 = nenhum.
• EX047 — Sequenciar dois artigos da dissertação. Sequencie dois artigos da dissertação e justifique a ordem. Rubrica: 3 = ordem dos dois artigos com razão de dependência; 2 = ordem sem razão; 1 = um artigo; 0 = nenhum.
• EX048 — Três classificações de divulgação. Classifique três constatações como divulgação / não divulgação / problema do laboratório. Rubrica: 3 = divulgação / não / problema do laboratório corretos para as três constatações; 2 = duas corretas; 1 = uma; 0 = nenhum.
• EX049 — Briefing para operadores sem testes da classe B. Escreva o briefing para operadores caso a classe B não tivesse sido testada. Rubrica: 3 = alta/média/desconhecida com a classe B explicitamente não testada; 2 = falta a desconhecida; 1 = um nível; 0 = nenhum.
• EX050 — Proposta de doutorado além do Harbor Loop. Esboce uma proposta de doutorado que estenda o Harbor Loop a plantas calibradas com várias malhas. Rubrica: 3 = extensão de doutorado com hipóteses falseáveis para várias malhas; 2 = temas sem H; 1 = vago; 0 = nenhum.

Síntese do capítulo

Audite, prepare-se, divulgue com cuidado, traduza com rótulos de confiança. A contribuição do mestrado é uma comparação medida e os seus limites medidos.

Continue estudando — capítulo 08 de 08

← Capítulo 07 · Índice de capítulos do curso · Resoluções →

Siga para a próxima lição escrita.

Resoluções

Capítulo 1

EX001. "Numa malha de nível sintética com Modbus/TCP, habilitar a proteção contra escrita nos registradores de setpoint reduz em ≥90% as mudanças de setpoint não autorizadas bem-sucedidas, em relação a uma linha de base sem proteção, sob uma rajada de escritas roteirizada, e essa proteção compromete a disponibilidade quando a estação de engenharia precisa de escritas legítimas?" EX002. Controle: geração de resíduos, redundância analítica, FDI baseada em observadores, validação de sensores. Segurança: injeção de dados falsos, falsificação de sensores, replay, manipulação da visão, ADS baseado em física. EX003. Incluir medições ou surveys revisados por pares sobre detecção/protocolos de ICS de 2010–2026; excluir marketing de fornecedor sem método. White paper do fornecedor → excluir; medição de campo do DNP3 → incluir. EX004. "E comercial": key() remove os caracteres não alfanuméricos, então um registro cinzento intitulado "Sensor replay attacks on water-treatment testbeds" (2021) colapsa sobre o registro do arXiv, mas "Modbus security: a survey of attacks & defenses" não coincide com o registro do IEEE, porque a palavra "and" sobrevive à normalização enquanto o "&" desaparece — converta "&" em "and" antes de remover os caracteres. O kappa varia quando uma decisão muda, porque a concordância ao acaso depende das taxas marginais. EX005. Protocolo: IEEE/ACM/Scopus/arXiv 2010–2026; sinônimos do EX002; dois revisores de triagem; meta de κ≥0,6 depois do conserto dos critérios; fluxo cinzento separado. EX006. O DOI identifica a mesma obra entre variantes de título; a chave por título sozinha mantém as duplicatas "Survey" e "survey" quando a pontuação difere, a menos que haja normalização — DOI primeiro é mais rigoroso. EX007. Giraldo: survey revisado por pares (alto, para o enquadramento). Alerta da CISA: evidência de praticantes (médio, para a existência de problemas). Blog de fornecedor: marketing (baixo; só hipótese).

Capítulo 2

EX008. L0: tanque/bomba/sensores; L1: CLP; L2: SCADA; L3: historiador. Conduítes: SCADA↔CLP (Modbus), historiador↔SCADA. EX009. "Um conduíte que permite apenas os códigos de função Modbus 3/4 (leituras) de L2 para L1 reduz em ≥90% os hosts capazes de escrever setpoints, em relação a uma rede plana, medido pela alcançabilidade num inventário sintético." EX010. Modbus Application Protocol: nenhum campo de autenticação. DNP3-SA: define desafios de autenticação para requisições críticas. A comparação é sobre a presença de um mecanismo, não sobre a adoção. EX011. Sustenta no máximo "o detector sinalizou ≥1 ponto nesses segmentos nesta bancada"; não atraso, impacto, generalização nem desempenho contra um adversário ciente. EX012. Spoof Reporting Message; Modify Parameter. A matriz documenta técnicas, não taxas. EX013. Fraca: "A detecção baseada em física precisa de mais estudos." Forte: o parágrafo da lacuna na §2.5. EX014. Arp: métricas inadequadas, avaliação só em laboratório, vazamento entre treino e teste. Específica de TO: ignorar o impacto físico no momento da detecção.

Capítulo 3

EX015. Comparação de detectores → experimento controlado. Adoção → levantamento com base amostral. Confiança dos operadores → entrevista/levantamento com revisão ética. EX016. H1 sustentada (80/80 vs 0/80). H4 sustentada (0/80). Alarmes falsos da faixa, 11/80, registrados. EX017. Transbordamento para a bandeja coletora; válvula boia mecânica + bandeja; gerente de laboratório nomeado com parada de emergência. EX018. A beneficência favorece publicar a classe de capacidade + a defesa arquitetural; reter os passos específicos de produtos até a CVD, se houver uma falha de produto. EX019. Métricas, sementes 0–79 para avaliação / 1000–1079 para ajuste, k=0,8 h=6, nenhuma mudança de limiar depois da carga na R2. EX020. Código T0; traços T1; fiação T2; citações T2 (identificáveis) ou T1 se totalmente anonimizadas.

Capítulo 4

EX021. Má configuração, e não a segmentação; monitoramento em outro lugar; preferência do atacante; viés de relato; janela de estudo curta — cada uma com um teste que as distinga. EX022. Varrer os ganhos; se os ataques lentos evadem mas o transbordamento continua pequeno, a limitação no estilo de Urbina se sustenta. EX023. Ela define o domínio da contribuição (caminhos de medição independentes), o que é acionável para os defensores. EX024. Vazamento do ajuste, atraso, impacto, alarmes falsos por turno, consciência do adversário. EX025. Capacidade do atacante → honestidade dos sensores → resíduo → CUSUM → instante do alarme → transbordamento; o alarme de faixa é um caminho paralelo a partir do nível. EX026. Um ataque que altera um sensor sem relação com o balanço de massa (por exemplo, um sensor de temperatura) não deveria elevar sistematicamente o resíduo nível–vazão.

Capítulo 5

EX027. H1: revocação ≥95%, atraso ≤60; H2: alarmes falsos do CUSUM ≤ os da faixa; H3: transbordamento no alarme menor para o CUSUM; H4: revocação na classe B ≤10%. Limiares atrelados à metade da margem até o trip. EX028. Segurança: válvula boia nunca alcançada em 3 execuções. Dados: perda de registros <1%. EX029. Não é possível limitar a R2; o historiador não consegue registrar a 1 Hz; a ética nega as entrevistas → passar para uma dissertação só de simulação, com escopo explícito. EX030. Classe A: falsificação do nível + escrita na bomba; classe B: + falsificação da vazão; conhecimento da faixa; objetivo: manipulação da visão; fora do escopo: válvula boia, adulteração física. EX031. O piloto serve para viabilidade; usá-lo na validação aproveita os mesmos dados duas vezes e infla o desempenho. EX032. Risco: operadores revelam práticas inseguras; mitigar com notas confidenciais, relato agregado e direito de desistir.

Capítulo 6

EX033. Use o parágrafo da §6.3 com os números dos Laboratórios 3/6. EX034. Sementes independentes alargam os ICs (o ruído compartilhado deixa de se cancelar). EX035. Estocásticas: sorteios de ruído. Paramétricas: orifício, k, viés. Estruturais: tanque único, ignorar o atraso. EX036. "k e h com hash registrado antes que qualquer dado de ataque da R2 seja aberto." EX037. Relatar a proporção de detecção + a mediana do atraso entre os detectados, ou uma curva de sobrevivência. EX038. Não são incerteza sobre plantas reais nem sobre o erro estrutural do modelo.

Capítulo 7

EX039. Resumo que inclui a classe B = 0/80 e apenas os dois contextos sintéticos. EX040. As cinco linhas da §7.2 mais o instante fixo de início do ataque (direção desconhecida) e o objetivo único do atacante (superestima a generalidade). EX041. Segue o padrão do EX041 do doutorado; diagrama de fiação T2; notas dos operadores T2. EX042. Inventado; parâmetros listados; proibido: alegações sobre plantas reais. EX043. Exemplo: Introdução 8 mil, Fundamentação 10 mil, Métodos 12 mil, Resultados 12 mil, Discussão 8 mil, Conclusão 2 mil (ajuste às regras locais). EX044. Alegação excessiva "protege plantas" → "detectou o replay da classe A num modelo sintético e declara a falha na classe B".

Capítulo 8

EX045. Auditar as frases da §6.3 quanto a evidência/escopo/falseador. EX046. Posicionamento: medir quando os invariantes entre sensores ajudam. Segurança: válvula boia + parada de emergência da R2; nenhuma produção. EX047. Artigo 1: métricas/metodologia; Artigo 2: a comparação do Harbor Loop — metodologia primeiro. EX048. Modbus sem autenticação: não é divulgação. CLP aceita escritas num registrador protegido: CVD. Fiação compartilhada na R2: problema do laboratório. EX049. Alta/média como na §8.4; desconhecida para o atacante que controla os dois sensores — não alegar. EX050. Planta calibrada com várias malhas; H: revocação ≥80% com alarmes falsos ≤1/turno sob acoplamento; limiares congelados; contexto de um segundo parceiro industrial.

Fim das resoluções. Volte ao índice de capítulos do curso.

Glossário

ATT&CK for ICS. Base de conhecimento de técnicas da MITRE sobre adversários de sistemas de controle industrial; não é uma distribuição de frequências.

Classe A / classe B (Harbor Loop). A classe A falsifica um sensor enquanto uma medição independente continua honesta; a classe B controla as duas de forma consistente e derrota um resíduo de balanço de massa.

CUSUM. Soma cumulativa de Page (1954) aplicada a um resíduo entre medições com fiação independente.

Harbor Loop. Caso contínuo do mestrado (sintético): malha de nível Modbus/TCP usada na revisão de escopo, nos experimentos e nas alegações dirigidas aos operadores.

Manipulação da visão. Alimentar leituras falsas para que operadores ou detectores não percebam um estado do processo que diverge.

Menlo Report. Princípios éticos do DHS (2012) para pesquisa em TIC, usados para decidir que detalhes de evasão publicar.

Bancada R2. Bancada laboratorial isolada de bomba e tanque, com válvula boia mecânica, bandeja coletora e parada de emergência nomeada; usada, como a T2, nas verificações com limiares congelados.

Níveis Purdue / zonas da IEC 62443. Vocabulário de arquitetura e segmentação para enunciar hipóteses mensuráveis sobre conduítes.

F1 com ajuste por pontos. Pontuação que credita um segmento de ataque inteiro depois de um alarme; esconde o atraso de detecção.

Detecção por resíduo / baseada em física. Detectores que comparam as medições do processo com uma relação física (por exemplo, o balanço de massa).