Capítulo 3 — Segurança de TO, IoT e sistemas ciberfísicos: evidências especializadas

Mapa da aula

Aula 03 publicada. Mapa, exemplo, EX011.

flowchart TD
  N0["3.1 As fontes e os seus pontos cegos"]
  N1["3.2 Conflitos são informação"]
  N2["3.3 Avaliando alegações externas"]
  N3["3.4 Declarações de confiança"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX011"]

Desenho lógico

flowchart LR
  N0["3.1 As fontes e os seus pontos cegos"]
  N1["3.2 Conflitos são informação"]
  N2["3.3 Avaliando alegações externas"]
  N3["3.4 Declarações de confiança"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX011"]

[3.1 As fontes e os seus pontos cegos]
    |
    v
[3.2 Conflitos são informação]
    |
    v
[3.3 Avaliando alegações externas]
    |
    v
[3.4 Declarações de confiança]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX011]

Objetivos de aprendizagem

Você vai (1) avaliar a qualidade das fontes de evidência de segurança de TO; (2) conciliar evidências conflitantes de dados de rede, de host e de processo; (3) avaliar criticamente as alegações de fornecedores e de alertas; e (4) escrever uma avaliação de evidências que declare níveis de confiança.

3.1 As fontes e os seus pontos cegos

As capturas passivas de rede mostram quem falou com quem, mas não veem enlaces seriais nem o significado de cargas cifradas. Os registros de eventos dos controladores, quando existem, mostram mudanças de programa, mas muitas vezes são sobrescritos depois de algumas centenas de entradas. Os dados de processo no historiador mostram o efeito físico, mas não a causa. As trilhas de auditoria da IHM mostram as ações dos operadores, mas não as sessões das ferramentas de engenharia. O trabalho com evidências especializadas combina essas fontes porque cada uma deixa algo de fora.

Antes de confiar numa fonte, anote o que ela consegue e o que não consegue ver na BWRP. A captura cobre a rede da planta, mas não um técnico no painel de dosagem. O registro de eventos do PLC-D pode ter sido sobrescrito desde o evento. O historiador registra o setpoint, mas não quem o mudou. Essa lista diz a Daniel qual segunda fonte consultar para cada pergunta.

3.2 Conflitos são informação

Se o historiador mostra uma mudança de setpoint da dosagem às 14:02, mas nem a trilha de auditoria da IHM nem a captura de rede mostram uma escrita, as possibilidades são uma captura com falhas, uma defasagem de relógio, uma mudança local no painel ou uma lógica que altera o setpoint internamente. Cada hipótese prevê algo verificável: os registros da chave seletora do painel, uma comparação do programa do CLP, os contadores de perda de pacotes da captura.

Escreva cada hipótese com a verificação que a descartaria e execute primeiro as verificações mais baratas. Uma defasagem de relógio pode ser testada em minutos, comparando os carimbos de tempo de um evento conhecido entre sistemas. Registre o resultado de toda verificação, inclusive das que apenas eliminam uma possibilidade, porque são elas que tornam a conclusão final crível.

3.3 Avaliando alegações externas

Os alertas de ICS da CISA descrevem produtos afetados, versões, pontuações CVSS e mitigações coordenadas com os fornecedores; são evidência forte sobre a existência de uma vulnerabilidade e mais fraca sobre se ela é explorável na sua configuração. As declarações de fornecedores de que um produto "não é afetado" merecem um pedido do raciocínio. Os estudos de medição revisados por pares, como a análise do Mirai de Antonakakis et al. (USENIX Security 2017), trazem seções de método que você pode avaliar.

Na BWRP, um alerta que afeta um produto usado no PLC-D deve levar a duas perguntas: a versão afetada está instalada, e a função vulnerável é alcançável a partir de onde um atacante poderia estar? Registre as respostas ao lado do alerta no inventário. Quando um fornecedor disser que o produto não é afetado, arquive o seu raciocínio com a data, para que a alegação possa ser verificada depois.

3.4 Declarações de confiança

Declare a confiança explicitamente: alta (várias fontes independentes concordam), moderada (uma fonte forte, sem contradição), baixa (inferência a partir de dados indiretos). Os líderes agem de forma diferente em cada caso.

Associe o nível a cada conclusão, e não ao relatório como um todo, e diga quais fontes a sustentam. A constatação de Daniel sobre as 14:02 tem confiança alta porque a captura, a comparação do programa e o registro da chave seletora concordam. Uma conclusão apoiada só no registro da chave seletora seria moderada, e um palpite sobre quem estava no local, antes de conferir as escalas, seria baixa.

Exemplo resolvido (BWRP sintética)

Às 14:02, o historiador mostra o setpoint de dosagem de hipoclorito no PLC-D passando de 4,0 para 6,5 mg/L. Nenhuma entrada na auditoria da IHM, nenhuma escrita Modbus na captura. Daniel verifica: os contadores de perda da captura mostram 0 pacotes descartados; a comparação do programa do CLP mostra um programa inalterado; o registro da chave seletora do painel local mostra "modo local 14:01–14:05". Avaliação: confiança alta de que a mudança foi feita localmente no painel; próximo passo, identificar quem estava no local.

Caso sintético — Bayside Water Reclamation Plant. Horários, tags e valores são inventados.

Erros e limites

A ausência de evidência numa captura só tem significado se a cobertura e a perda da captura forem conhecidas. Os registros podem ser alterados por um invasor capaz.

Exercícios

• EX011 — Previsões a partir das hipóteses. Para a hipótese "defasagem de relógio", declare que evidência a confirmaria.
  Mostrar critérios de avaliação

  Rubrica: 3 = escrita correspondente encontrada no horário defasado na captura ou no registro da IHM, com a defasagem medida; 2 = parcial; 1 = vago; 0 = nenhum.
• EX012 — Confiança para evidência de uma única fonte. A única evidência de um login remoto é uma linha do registro da VPN. Que confiança e por quê?
  Mostrar critérios de avaliação

  Rubrica: 3 = moderada, no máximo, fonte única, pode ter sido alterada ou atribuída erroneamente; 2 = só o nível; 1 = alta; 0 = nenhum.
• EX013 — Interpretar uma alegação de "não afetado". Um fornecedor diz que sua RTU não é afetada pela falha de biblioteca de um alerta. O que você pergunta?
  Mostrar critérios de avaliação

  Rubrica: 3 = qual versão/componente, por que é inalcançável, evidências (SBOM, análise); 2 = uma; 1 = aceita; 0 = nenhum.
• EX014 — O que os contadores de perda da captura provam. Por que Daniel verificou os contadores de perda de pacotes antes de confiar em "nenhuma escrita vista"?
  Mostrar critérios de avaliação

  Rubrica: 3 = a ausência só tem significado se a captura estiver completa; 2 = parcial; 1 = vago; 0 = nenhum.
• EX015 — Ponto cego dos dados de processo. Nomeie uma coisa que o historiador nunca pode dizer sobre a mudança das 14:02.
  Mostrar critérios de avaliação

  Rubrica: 3 = quem ou o que a iniciou (causa/identidade); 2 = vago; 1 = errado; 0 = nenhum.

Síntese

O trabalho com evidências especializadas triangula fontes com pontos cegos conhecidos, trata os conflitos como hipóteses a testar e associa uma confiança a cada conclusão.