Capítulo 7 — Acesso remoto de empreiteiros e fornecedores

Mapa da aula

Aula 07 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["7.1 Muitas mãos"]
  N1["7.2 Lições do AA21-042A"]
  N2["7.3 Um processo controlado"]
  N3["7.4 Remover as rotas antigas"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["7.1 Muitas mãos"]
  N1["7.2 Lições do AA21-042A"]
  N2["7.3 Um processo controlado"]
  N3["7.4 Remover as rotas antigas"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX031"]

[7.1 Muitas mãos]
    |
    v
[7.2 Lições do AA21-042A]
    |
    v
[7.3 Um processo controlado]
    |
    v
[7.4 Remover as rotas antigas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) inventariar todas as rotas remotas para dentro dos sistemas prediais; (2) aplicar as lições do CISA AA21-042A; e (3) projetar um processo controlado de acesso remoto para empreiteiros.

7.1 Muitas mãos

Um hospital pode ter empreiteiros separados para BMS, chillers, elevadores, alarmes de incêndio e controle de acesso, cada um querendo suporte remoto. Sem uma política, cada um instala a sua própria rota: uma ferramenta de área de trabalho remota na estação de trabalho, um roteador, um modem celular.

No Millbrook, Aisha encontrou quatro rotas separadas, três delas instaladas por empreiteiros para a própria conveniência. Nenhuma era maliciosa, mas cada uma era uma entrada que o hospital não controlava. A primeira tarefa é listar cada rota, com quem a instalou, o que ela alcança e se alguém ainda a usa.

7.2 Lições do AA21-042A

O alerta da CISA sobre o comprometimento, em 2021, de uma estação de tratamento de água nos EUA descreve um software de acesso remoto sendo usado para alcançar um sistema de controle. As suas recomendações incluem autenticação multifator, senhas fortes para a área de trabalho remota, fechamento das portas de área de trabalho remota não usadas e auditoria das conexões remotas. O MITRE ATT&CK for ICS descreve o mau uso dessas rotas como T0886 Remote Services.

Para o Millbrook, as lições se aplicam diretamente às rotas que Aisha encontrou. Uma ferramenta de área de trabalho remota na BMS-WS é o mesmo tipo de rota descrito no alerta. Exigir autenticação multifator, auditar as conexões e fechar o acesso de área de trabalho remota não usado são passos práticos que a manutenção e os empreiteiros podem combinar, sem esperar por um projeto maior.

7.3 Um processo controlado

Um único gateway de acesso remoto de propriedade do hospital; uma conta nominal e com fator múltiplo para cada engenheiro de empreiteiro; contas desabilitadas por padrão e habilitadas por chamado; acesso limitado ao sistema específico que o empreiteiro mantém; sessões gravadas sempre que possível; a conta desabilitada quando a sessão termina.

Escreva o processo num documento curto que os empreiteiros assinam, para que saibam como obter acesso numa emergência, além de para o trabalho planejado. Teste-o uma vez com cada empreiteiro antes de as rotas antigas serem removidas. Revise as contas do gateway semanalmente, porque contas deixadas habilitadas depois de uma sessão são, elas próprias, uma constatação, como mostra mais adiante o relatório de risco do Millbrook.

7.4 Remover as rotas antigas

Quando o gateway estiver em funcionamento, remova as ferramentas de área de trabalho remota instaladas diretamente nas estações de trabalho prediais e desconecte os modems não gerenciados — de comum acordo com o empreiteiro e a manutenção, num horário planejado, para que o suporte não se perca durante uma emergência.

No Millbrook, a ordem foi combinada com a manutenção: a ferramenta de área de trabalho remota só foi removida depois que a conta do empreiteiro do BMS no gateway funcionou, o roteador do chiller uma semana depois, e a conexão do elevador foi restringida em vez de removida. Registre cada remoção com a data e quem a confirmou, e depois verifique de novo o inventário de rotas para garantir que nada reapareceu.

Exemplo resolvido (Millbrook sintético)

O inventário de rotas de Aisha encontra quatro entradas: o gateway, uma ferramenta de área de trabalho remota na BMS-WS instalada pelo empreiteiro do BMS, a conexão celular do elevador e o roteador de um fornecedor do chiller. A manutenção aprova um plano: a ferramenta de área de trabalho remota é removida na semana 1, depois que a conta do empreiteiro no gateway funcionar; o roteador do chiller na semana 2; a conexão do elevador é restringida à central de serviços do empreiteiro dos elevadores, com exigência de chamado.

Caso sintético — Millbrook. As rotas e os prazos são inventados.

Erros e limites

Algumas conexões de elevadores e de alarmes de incêndio são exigidas para o monitoramento de segurança; restrinja-as e registre-as, em vez de removê-las às cegas.

Exercícios

• EX031 — Contar as rotas. Liste as quatro rotas remotas que Aisha encontrou.
  Mostrar critérios de avaliação

  Rubrica: 3 = gateway, área de trabalho remota na BMS-WS, celular do elevador, roteador do chiller; 2 = três; 1 = uma; 0 = nenhum.
• EX032 — Aplicar o alerta. Aplique duas recomendações do AA21-042A ao acesso do empreiteiro do BMS.
  Mostrar critérios de avaliação

  Rubrica: 3 = MFA na conta do gateway e auditoria das sessões (ou fechar a porta de RDP/senha forte); 2 = uma; 1 = vago; 0 = nenhum.
• EX033 — Limites por sistema. Por que a conta do empreiteiro do chiller não deve alcançar o servidor de controle de acesso?
  Mostrar critérios de avaliação

  Rubrica: 3 = menor privilégio; o comprometimento de um empreiteiro fica limitado ao seu sistema; 2 = parcial; 1 = sem motivo; 0 = nenhum.
• EX034 — Momento da remoção. Por que a ferramenta de área de trabalho remota só é removida depois que a conta do gateway funciona?
  Mostrar critérios de avaliação

  Rubrica: 3 = evitar perder suporte durante uma emergência; testar a substituta antes; 2 = parcial; 1 = sem motivo; 0 = nenhum.
• EX035 — Conexão de segurança. A conexão de monitoramento do alarme de incêndio usa um modem celular. Ele deve ser desconectado?
  Mostrar critérios de avaliação

  Rubrica: 3 = não; monitoramento de segurança; restringir, documentar e revisar com o responsável; 2 = só "não"; 1 = sim; 0 = nenhum.

Síntese

Toda ajuda remota passa por um único gateway, com contas nominais, de fator múltiplo e vinculadas a chamados; as rotas legadas são aposentadas com cuidado.