Capítulo 5 — Segurança de TO, IoT e sistemas ciberfísicos: alternativas de projeto

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX021.

flowchart TD
  N0["5.1 O problema"]
  N1["5.2 Três alternativas"]
  N2["5.3 Avaliando-as"]
  N3["5.4 Registrando as rejeições"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX021"]

Desenho lógico

flowchart LR
  N0["5.1 O problema"]
  N1["5.2 Três alternativas"]
  N2["5.3 Avaliando-as"]
  N3["5.4 Registrando as rejeições"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX021"]

[5.1 O problema]
    |
    v
[5.2 Três alternativas]
    |
    v
[5.3 Avaliando-as]
    |
    v
[5.4 Registrando as rejeições]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX021]

Objetivos de aprendizagem

Você vai (1) gerar alternativas de projeto genuinamente diferentes para proteger estações elevatórias remotas; (2) avaliá-las segundo critérios operacionais, de segurança e de ciclo de vida; (3) usar os conceitos de zonas e conduítes da IEC 62443 para descrever cada uma; e (4) documentar por que as alternativas rejeitadas foram rejeitadas.

5.1 O problema

As 23 estações elevatórias da BWRP bombeiam esgoto para a planta. Cada uma tem uma RTU com um modem celular que relata níveis e o estado das bombas ao SCADA e aceita comandos de partida e parada. Alguns modems têm endereços IP públicos, o que os coloca na categoria de exposição que o ATT&CK for ICS chama de T0883 Internet Accessible Device.

Os comandos são o que mais importa. Uma leitura de nível falsa poderia esconder um transbordamento, mas uma parada remota enviada a uma bomba durante uma tempestade poderia causar um. Por isso, qualquer projeto precisa responder a duas perguntas: quem consegue chegar às RTUs e se os comandos remotos são de fato necessários. As respostas variam de estação para estação, e é por isso que as alternativas são comparadas estação por estação.

5.2 Três alternativas

Alternativa 1 — APN privado: a operadora fornece um nome de ponto de acesso privado, de modo que os modems não têm endereços públicos; o tráfego chega à BWRP por um túnel gerenciado pela operadora. Alternativa 2 — VPN do lado da RTU: cada RTU (ou um pequeno roteador ao lado dela) estabelece um túnel IPsec até um concentrador da BWRP na DMZ. Alternativa 3 — enlace apenas de monitoramento com controle local: os comandos remotos são removidos; as RTUs executam o controle de nível localmente e apenas relatam, e os operadores despacham equipes para as exceções.

Cada alternativa muda uma coisa diferente. A primeira remove os endereços públicos, mas mantém a confiança na operadora. A segunda acrescenta a criptografia e a autenticação da própria BWRP, ao custo de mais equipamentos. A terceira remove a capacidade mais arriscada, os comandos remotos, e aceita uma resposta mais lenta. Elas são genuinamente diferentes, e é isso que torna útil compará-las.

5.3 Avaliando-as

A alternativa 1 é rápida e barata, mas confia no isolamento da operadora. A alternativa 2 dá à BWRP sua própria fronteira criptográfica, mas acrescenta 23 dispositivos a corrigir e certificados a gerenciar. A alternativa 3 é a que mais encolhe a superfície de ataque — sem comandos remotos não há manipulação remota das bombas —, mas alonga a resposta a algumas falhas, o que as operações precisam aceitar. Nos termos da 62443, cada alternativa define um conduíte diferente entre as zonas das estações elevatórias e a zona do SCADA, com capacidades de segurança diferentes.

Coloque a avaliação numa tabela com os mesmos critérios para cada alternativa, como tempo de implantação, custo em cinco anos, efeito sobre a resposta a transbordamentos e exposição remanescente. Pontue cada classe de estação separadamente, porque uma estação à beira da praia, com alta consequência de transbordamento, justifica mais do que uma estação no interior cujo transbordamento fica contido.

5.4 Registrando as rejeições

Um registro de projeto lista as alternativas rejeitadas e o motivo. Caso contrário, os revisores futuros voltam a propô-las sem conhecer o histórico.

Na BWRP, o registro anota que a alternativa 3 foi rejeitada porque partidas remotas de bombas evitaram três transbordamentos no ano passado. Se as operações mudarem depois, por exemplo acrescentando armazenamento local ou controle automático nas estações de alta consequência, o motivo pode deixar de valer, e o registro diz ao próximo revisor exatamente qual condição verificar. Date o registro e nomeie quem concordou com a rejeição.

Exemplo resolvido (BWRP sintética)

Daniel recomenda a alternativa 1 imediatamente (remove a exposição pública em um mês) e a alternativa 2 para as seis estações com maior consequência de transbordamento (perto das praias), com a alternativa 3 rejeitada porque as operações mostraram que partidas remotas de bombas evitaram três transbordamentos no ano passado.

Caso sintético — Bayside Water Reclamation Plant. As contagens de estações e o histórico de transbordamentos são inventados.

Erros e limites

Um APN privado não é criptografia; as redes internas das operadoras estão fora do controle da BWRP. As alternativas precisam ser testadas quanto aos efeitos da latência sobre a telemetria.

Exercícios

• EX021 — O registro da opção rejeitada. Escreva a entrada de rejeição da alternativa 3.
  Mostrar critérios de avaliação

  Rubrica: 3 = motivo com evidência e condições para reconsideração; 2 = só o motivo; 1 = "não escolhida"; 0 = nenhum.
• EX022 — Pressuposto de confiança num APN privado. Declare o pressuposto de confiança do qual a alternativa 1 depende.
  Mostrar critérios de avaliação

  Rubrica: 3 = a operadora isola o tráfego do APN e gerencia o acesso corretamente; 2 = vago; 1 = tentativa mínima; 0 = nenhum.
• EX023 — Custo de ciclo de vida das VPNs nas RTUs. Liste duas tarefas recorrentes que a alternativa 2 acrescenta.
  Mostrar critérios de avaliação

  Rubrica: 3 = renovação/rotação de certificados, correção do firmware dos roteadores (ou manutenção do concentrador); 2 = uma; 1 = tarefas pontuais; 0 = nenhum.
• EX024 — Justificar uma solução híbrida. Justifique aplicar a alternativa 2 apenas a seis estações.
  Mostrar critérios de avaliação

  Rubrica: 3 = classificação por consequência, custo proporcional ao risco; 2 = parcial; 1 = só o custo; 0 = nenhum.
• EX025 — Descrição do conduíte. Descreva o conduíte da alternativa 2 na linguagem de zonas e conduítes.
  Mostrar critérios de avaliação

  Rubrica: 3 = conduíte de cada zona de estação elevatória pelo túnel IPsec até o concentrador na DMZ e depois à zona do SCADA, com os controles declarados; 2 = parcial; 1 = "VPN"; 0 = nenhum.

Síntese

Um bom trabalho de projeto produz alternativas reais, avalia-as ao longo do ciclo de vida, escalona a proteção pela consequência e lembra por que as opções foram rejeitadas.