Capítulo 6 — Exposição dos sistemas prediais à internet | Profissionalizante Segurança de OT, IoT e sistemas ciberfísicos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 06 publicada. Mapa, exemplo, EX026.

flowchart TD
  N0["6.1 Como acontece"]
  N1["6.2 Verificar a exposição"]
  N2["6.3 Ler o resultado"]
  N3["6.4 Responder"]
  N4["6.5 Evitar a repetição"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX026"]

Desenho lógico

flowchart LR
  N0["6.1 Como acontece"]
  N1["6.2 Verificar a exposição"]
  N2["6.3 Ler o resultado"]
  N3["6.4 Responder"]
  N4["6.5 Evitar a repetição"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX026"]

[6.1 Como acontece]
    |
    v
[6.2 Verificar a exposição]
    |
    v
[6.3 Ler o resultado]
    |
    v
[6.4 Responder]
    |
    v
[6.5 Evitar a repetição]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX026]

Objetivos de aprendizagem

Você vai (1) explicar por que interfaces prediais acabam na internet; (2) comparar uma exportação de exposição com uma lista aprovada; e (3) responder a uma exposição não aprovada.

6.1 Como acontece

Um empreiteiro abre uma porta para alcançar a página web do BMS de casa; uma empresa de elevadores acrescenta um roteador; uma regra de firewall de um projeto nunca é removida. O MITRE ATT&CK for ICS lista a T0883 Internet Accessible Device exatamente para essa situação, e os alertas da CISA insistem repetidamente em retirar as interfaces de sistemas de controle do acesso direto pela internet.

No Millbrook, uma regra acrescentada em 2023 para o comissionamento do chiller expôs o BACnet e o login web do BMS diretamente à internet, e ninguém a removeu depois do projeto. Toda abertura desse tipo começa com um pedido razoável por conveniência. A tarefa é dar aos empreiteiros uma rota suportada, para que não precisem pedir portas.

6.2 Verificar a exposição

A equipe de redes do hospital, ou um serviço autorizado, produz uma lista dos endereços públicos e serviços abertos do hospital. O analista a compara com a lista aprovada — normalmente apenas o gateway de acesso remoto.

"""Lab 6: compare a synthetic external-exposure export with approved internet-facing services."""
approved = {("203.0.113.10", 443)}
found = [("203.0.113.10", 443, "VPN gateway"), ("203.0.113.24", 47808, "BACnet/IP"),
         ("203.0.113.24", 80, "BMS web login")]
for ip, port, svc in found:
    print(f"{ip}:{port:<6} {svc:14} {'approved' if (ip, port) in approved else 'NOT APPROVED - report'}")
print("unapproved:", sum((ip, port) not in approved for ip, port, _ in found))

Execute com python3 lab_exposure.py. Saída verificada:

203.0.113.10:443    VPN gateway    approved
203.0.113.24:47808  BACnet/IP      NOT APPROVED - report
203.0.113.24:80     BMS web login  NOT APPROVED - report
unapproved: 2

Obtenha a exportação com as pessoas que são donas dos endereços e não sonde endereços do hospital você mesmo, a menos que a equipe de redes tenha autorizado. A lista aprovada deve ser curta e nomear um responsável para cada item. O Laboratório 6 compara a exportação do Millbrook com uma lista aprovada que contém apenas o gateway VPN.

6.3 Ler o resultado

O gateway VPN em 203.0.113.10, porta 443, está aprovado. O endereço 203.0.113.24 expõe BACnet/IP na 47808 e um login web do BMS na 80. Ambos não estão aprovados: qualquer pessoa na internet poderia tentar ler ou comandar controladores, ou adivinhar a senha web.

A exposição importa mais por causa do que está por trás dela. O BACnet aceita comandos de qualquer um que o alcance, então isso não é apenas um vazamento de dados, mas uma rota até as configurações de ar dos centros cirúrgicos e do chiller. Essa combinação a coloca no topo do relatório do analista para a equipe de redes e a manutenção.

6.4 Responder

Relate imediatamente à equipe de redes e à manutenção; peça ao dono da rede que feche a exposição por meio de uma mudança emergencial; verifique nos registros as conexões vindas de fora; descubra quem a abriu e por quê, e dê a essa pessoa uma rota suportada em troca.

Guarde a exportação, os horários e os trechos dos registros com o relatório, porque eles mostram quanto tempo durou a exposição e se alguém a usou. No Millbrook, os registros do firewall mostraram muitas tentativas externas de alcançar a porta 47808 nos últimos meses. Essa constatação é repassada à manutenção para verificar nas configurações dos controladores e nos registros de tendências se houve mudanças no mesmo período.

6.5 Evitar a repetição

Acrescente uma verificação mensal de exposição ao calendário da equipe de redes, exija uma data de término em toda regra de firewall aberta para um projeto e faça os empreiteiros solicitarem acesso remoto pelo processo do gateway, em vez de pedirem portas.

Cada medida fecha uma causa. A verificação mensal pega o que escapa; as datas de término fazem as regras de projeto expirarem; o processo do gateway dá aos empreiteiros uma rota que não precisa de portas abertas. Acompanhe a verificação mensal no registro, com a data e o resultado, para que um mês perdido fique visível.

Exemplo resolvido (Millbrook sintético)

A equipe de redes rastreia o 203.0.113.24 até uma regra de firewall acrescentada em 2023 para um projeto de comissionamento do chiller. Ela a remove em menos de uma hora; os registros do firewall mostram muitas tentativas externas de conexão à porta 47808 nos últimos meses. O empreiteiro recebe contas no gateway em troca.

Caso sintético — Millbrook. Os endereços pertencem à faixa de documentação 203.0.113.0/24, e os eventos são inventados.

Erros e limites

As listas de exposição são retratos instantâneos; repita mensalmente. Teste apenas endereços que pertencem à sua organização, por meios autorizados.

Exercícios

EX026 — Como a exposição acontece. Descreva duas formas pelas quais uma interface do BMS se torna alcançável pela internet.
Mostrar critérios de avaliação
Rubrica: 3 = duas rotas concretas (porta do empreiteiro, regra esquecida, roteador do fornecedor); 2 = uma; 1 = vago; 0 = nenhum.
EX027 — Terceira constatação. Se a exportação também encontrasse 203.0.113.10 na porta 22, o que o laboratório imprimiria para ela e no total?
Mostrar critérios de avaliação
Rubrica: 3 = linha NOT APPROVED e "unapproved: 3"; 2 = um; 1 = aprovado; 0 = nenhum.
EX028 — Nome da técnica. Que técnica do ATT&CK for ICS descreve a situação do 203.0.113.24?
Mostrar critérios de avaliação
Rubrica: 3 = T0883 Internet Accessible Device; 2 = só o nome; 1 = errada; 0 = nenhum.
EX029 — Passos da resposta. Liste os passos da resposta depois de encontrar uma exposição não aprovada.
Mostrar critérios de avaliação
Rubrica: 3 = relatar, fechamento emergencial pelo dono, verificar registros, achar a causa, oferecer alternativa segura; 2 = três; 1 = um; 0 = nenhum.
EX030 — Limite dos testes. Por que Aisha não testa os endereços de outros hospitais "para comparação"?
Mostrar critérios de avaliação
Rubrica: 3 = não autorizado, potencialmente ilegal, pode causar interrupção; 2 = um; 1 = tudo bem; 0 = nenhum.

Síntese

Só o gateway fica de frente para a internet; qualquer outra coisa encontrada é relatada, fechada e substituída por uma rota suportada.