Capítulo 5 — Contas, senhas padrão e linhas de base dos dispositivos

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX021.

flowchart TD
  N0["5.1 Senhas padrão nos prédios"]
  N1["5.2 Contas compartilhadas da manutenção"]
  N2["5.3 Uma linha de base para compras"]
  N3["5.4 Regras que a manutenção consegue seguir"]
  N4["5.5 Verificar se a mudança funcionou"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX021"]

Desenho lógico

flowchart LR
  N0["5.1 Senhas padrão nos prédios"]
  N1["5.2 Contas compartilhadas da manutenção"]
  N2["5.3 Uma linha de base para compras"]
  N3["5.4 Regras que a manutenção consegue seguir"]
  N4["5.5 Verificar se a mudança funcionou"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX021"]

[5.1 Senhas padrão nos prédios]
    |
    v
[5.2 Contas compartilhadas da manutenção]
    |
    v
[5.3 Uma linha de base para compras]
    |
    v
[5.4 Regras que a manutenção consegue seguir]
    |
    v
[5.5 Verificar se a mudança funcionou]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX021]

Objetivos de aprendizagem

Você vai (1) encontrar contas padrão e compartilhadas nos sistemas prediais; (2) aplicar ideias da ETSI EN 303 645 e do NIST IR 8259 às compras; e (3) definir regras de senha práticas para a equipe de manutenção.

5.1 Senhas padrão nos prédios

Controladores e interfaces web muitas vezes saem de fábrica com nomes de usuário e senhas documentados. Os integradores às vezes mantêm uma única senha em todas as instalações que atendem. Ambas as coisas significam que qualquer pessoa que tenha lido um manual ou trabalhado para aquele integrador consegue entrar.

No Millbrook, a interface web do DOOR-SRV ainda aceitava a senha de fábrica do seu manual público. Uma verificação de senhas padrão deve cobrir cada controlador e interface web do inventário, feita pelo empreiteiro ou com ele durante um horário agendado, sem que você tente senhas contra sistemas ativos por conta própria. Registre cada resultado e a data da verificação.

5.2 Contas compartilhadas da manutenção

A estação de trabalho do BMS pode ter um único login usado por todos os engenheiros de turno. Isso torna as mudanças impossíveis de rastrear. Contas individuais, mesmo que só no servidor do BMS, permitem que o registro de tendências nomeie a pessoa que alterou um valor de referência.

As contas nominais também ajudam quando algo dá errado. Se um valor de referência de um centro cirúrgico muda à noite, um login compartilhado não consegue dizer quem fez a mudança, enquanto um nominal consegue, como mostra a revisão de tendências do Capítulo 9. Onde um controlador permite apenas uma conta, guarde a senha no cofre e registre cada uso com o nome do engenheiro.

5.3 Uma linha de base para compras

A ETSI EN 303 645 exige, entre outras provisões, ausência de senhas padrão universais, uma política de divulgação de vulnerabilidades, atualizações de software e comunicação segura; o NIST IR 8259 lista atividades fundamentais que os fabricantes devem realizar. O setor de compras do hospital pode transformá-las em perguntas contratuais para novos dispositivos prediais, de modo que o problema diminua com o tempo.

Para cada novo dispositivo predial, pergunte ao fornecedor por escrito: cada unidade tem uma senha única, existe uma forma publicada de relatar vulnerabilidades, por quanto tempo serão fornecidas atualizações e a comunicação é protegida? Guarde as respostas com o registro da compra. Um fornecedor que não consegue responder já é, por si só, uma informação útil para o comprador.

5.4 Regras que a manutenção consegue seguir

Senhas únicas por dispositivo, guardadas num cofre de senhas gerenciado; contas nominais no BMS; direitos de administrador apenas para trabalho planejado; senhas trocadas quando funcionários de um empreiteiro saem.

Escreva as regras numa página, combinadas com o gerente de manutenção, e verifique se o cofre está disponível nos turnos que precisam dele. Quando uma regra for difícil de seguir, como trocar as senhas sempre que funcionários de um empreiteiro saem, combine como o hospital ficará sabendo da saída. Revise as regras depois de qualquer incidente que tenha envolvido uma conta.

5.5 Verificar se a mudança funcionou

Depois que uma senha for trocada, tente a antiga a partir da estação de trabalho do BMS, no mesmo horário agendado, para confirmar que ela falha, e confirme que os operadores ainda conseguem entrar com o novo arranjo.

Registre os dois resultados no chamado de mudança. Se a senha antiga ainda funcionar, a mudança não teve efeito, talvez porque o dispositivo tem mais de uma conta ou interface. Se os operadores não conseguirem entrar com o novo arranjo, podem voltar a uma senha compartilhada, o que desfaz o trabalho; resolva o problema de acesso no mesmo horário.

Exemplo resolvido (Millbrook sintético)

Aisha e o empreiteiro do BMS revisam o DOOR-SRV, o servidor de controle de acesso. A sua interface web ainda aceita a senha de fábrica listada no manual público. O empreiteiro a troca durante um horário agendado, registra-a no cofre do hospital e cria contas nominais para os três seguranças que gerenciam as agendas das portas.

Caso sintético — Millbrook. O dispositivo e as contas são inventados.

Erros e limites

A ETSI EN 303 645 tem como alvo a IoT de consumo; para controladores prediais de nível industrial, os requisitos de componentes da IEC 62443-4-2 são mais adequados. Alguns controladores antigos permitem apenas uma conta.

Exercícios

• EX021 — Por que as senhas de integradores importam. Explique o risco de uma senha de integrador reutilizada em muitos hospitais.
  Mostrar critérios de avaliação

  Rubrica: 3 = um vazamento ou um ex-funcionário abre todas as instalações; 2 = parcial; 1 = vago; 0 = nenhum.
• EX022 — Mudanças rastreáveis. Como as contas nominais do BMS ajudam depois de uma mudança inesperada de valor de referência?
  Mostrar critérios de avaliação

  Rubrica: 3 = o registro de tendências/auditoria mostra quem a fez; apoia a investigação; 2 = parcial; 1 = vago; 0 = nenhum.
• EX023 — Perguntas contratuais. Transforme três provisões da ETSI EN 303 645 em perguntas para o contrato de compra.
  Mostrar critérios de avaliação

  Rubrica: 3 = três perguntas precisas (senhas padrão, divulgação, atualizações/criptografia); 2 = duas; 1 = uma; 0 = nenhum.
• EX024 — Saída de um funcionário do empreiteiro. Um engenheiro do empreiteiro que conhecia senhas do Millbrook sai da empresa. O que acontece?
  Mostrar critérios de avaliação

  Rubrica: 3 = trocar no cofre as senhas afetadas, revisar os acessos, registrar; 2 = parte; 1 = vago; 0 = nenhum.
• EX025 — A norma certa. Que norma se encaixa melhor do que a ETSI EN 303 645 num controlador industrial de BMS, e por quê?
  Mostrar critérios de avaliação

  Rubrica: 3 = IEC 62443-4-2; requisitos de componentes para automação industrial; 2 = só o nome; 1 = errada; 0 = nenhum.

Síntese

Senhas padrão trocadas, contas nominais, senhas em cofre e perguntas contratuais de base fecham as portas mais fáceis.