Capítulo 8 — Segmentação das redes prediais | Profissionalizante Segurança de OT, IoT e sistemas ciberfísicos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX036.

flowchart TD
  N0["8.1 Zonas"]
  N1["8.2 Condutos e regras"]
  N2["8.3 Corrigir a estação em dupla conexão"]
  N3["8.4 Migrar com segurança"]
  N4["8.5 Documentação"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX036"]

Desenho lógico

flowchart LR
  N0["8.1 Zonas"]
  N1["8.2 Condutos e regras"]
  N2["8.3 Corrigir a estação em dupla conexão"]
  N3["8.4 Migrar com segurança"]
  N4["8.5 Documentação"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX036"]

[8.1 Zonas]
    |
    v
[8.2 Condutos e regras]
    |
    v
[8.3 Corrigir a estação em dupla conexão]
    |
    v
[8.4 Migrar com segurança]
    |
    v
[8.5 Documentação]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX036]

Objetivos de aprendizagem

Você vai (1) definir zonas e condutos para os sistemas prediais do Millbrook usando os termos da IEC 62443; (2) escrever um conjunto mínimo de regras; e (3) planejar a migração sem interromper as áreas clínicas.

8.1 Zonas

A IEC 62443-3-2 descreve o agrupamento de ativos em zonas com requisitos de segurança semelhantes, ligadas por condutos. No Millbrook, um começo sensato é: uma zona do BMS (controladores e servidor do BMS), uma zona relevante para a segurança física (alarme de gases medicinais e elevador, cada um separadamente), uma zona de controle de acesso, uma DMZ para o gateway e as exportações de dados, e a zona corporativa.

Escreva cada zona com os seus membros, o seu responsável e a consequência caso seja comprometida. Os alarmes de gases medicinais e os elevadores ficam em zonas separadas porque as suas falhas importam para a segurança do paciente e os seus empreiteiros são diferentes. Um diagrama de zonas aceito tanto pela manutenção quanto pela equipe de redes é o ponto de partida para qualquer tabela de regras.

8.2 Condutos e regras

Escreva cada conduto como um pequeno conjunto de regras: a BMS-WS (transferida para a zona do BMS) para os controladores via BACnet/IP; o gateway para a BMS-WS nas sessões dos empreiteiros; o servidor do BMS para um servidor de dados na DMZ, para os relatórios de energia. Todo o resto é negado. Os PCs corporativos nunca se conectam diretamente aos controladores.

Escreva cada regra com origem, destino, protocolo e porta, um motivo e um responsável, para que possa ser revisada depois. Confira as regras com o inventário de rotas, para que nada aprovado seja bloqueado e nada não aprovado permaneça. Uma regra sem responsável deve ser tratada como candidata à remoção.

8.3 Corrigir a estação em dupla conexão

Remover a placa de rede corporativa da BMS-WS fecha a ponte do Capítulo 3. A equipe de manutenção que precisa ver o BMS a partir dos escritórios usa um painel somente leitura no servidor da DMZ, ou um host de salto alcançado pelo gateway.

Antes de remover a placa, combine com a manutenção quais tarefas de escritório a usavam e teste a rota substituta com as pessoas que vão usá-la. Faça a mudança num horário agendado e confirme depois que a BMS-WS ainda alcança os seus controladores. Registre a mudança no item da lista de riscos que Aisha criou quando encontrou a ponte.

8.4 Migrar com segurança

Mude um conduto de cada vez, em horários combinados com a manutenção e os gerentes dos centros cirúrgicos; observe se há pontos perdidos no BMS depois de cada passo; mantenha a configuração anterior pronta para ser restaurada.

Combine antes quais pontos do BMS serão verificados depois de cada passo e quem vai verificá-los. No Millbrook, depois do segundo passo, dois controladores pararam de reportar porque um conduto para um servidor de horário tinha sido esquecido; isso foi descoberto porque os pontos foram verificados imediatamente. Anote essas surpresas na tabela de regras, para que a próxima mudança as evite.

8.5 Documentação

Publique o diagrama de zonas e a tabela de regras com números de revisão e responsáveis, para que os empreiteiros possam solicitar mudanças com base neles.

Mantenha o diagrama e a tabela num lugar que a manutenção, a equipe de redes e os empreiteiros possam ler, e faça referência a eles em toda solicitação de mudança. Quando uma mudança for feita, atualize o número da revisão e anote quem a aprovou. A documentação desatualizada leva os empreiteiros a pedir regras que já existem ou que contradizem o projeto. Guarde as revisões substituídas, para que as decisões passadas possam ser rastreadas.

Exemplo resolvido (Millbrook sintético)

Ao longo de três manhãs de sábado planejadas, a equipe de redes cria as zonas, transfere a BMS-WS inteiramente para a zona do BMS e implanta as regras. Depois do passo 2, dois controladores param de reportar; a causa é um conduto esquecido para um servidor de horário, que é acrescentado sob a mesma mudança. Os relatórios de energia passam a vir do servidor da DMZ.

Caso sintético — Millbrook. Os passos e as constatações são inventados.

Erros e limites

A segmentação não detém um atacante que já tem credenciais do gateway; ela limita aonde ele pode ir. Os projetos de zonas precisam ser revisados quando sistemas são acrescentados.

Exercícios

EX036 — Lista de zonas. Proponha cinco zonas para o Millbrook.
Mostrar critérios de avaliação
Rubrica: 3 = BMS, relevante para a segurança física (gases/elevador), controle de acesso, DMZ, corporativa; 2 = quatro; 1 = duas; 0 = nenhum.
EX037 — Escrever um conduto. Escreva a regra que permite ao servidor do BMS enviar dados de energia ao servidor da DMZ.
Mostrar critérios de avaliação
Rubrica: 3 = origem servidor do BMS, destino servidor de dados da DMZ, porta específica, permitir; mais negação padrão; 2 = sem negação; 1 = qualquer; 0 = nenhum.
EX038 — Visualização nos escritórios. Como a equipe de manutenção vê o BMS a partir dos escritórios depois que a BMS-WS perde a placa corporativa?
Mostrar critérios de avaliação
Rubrica: 3 = painel somente leitura na DMZ ou host de salto via gateway; 2 = parcial; 1 = recolocar a placa; 0 = nenhum.
EX039 — Pontos perdidos. Dois controladores param de reportar depois de uma mudança de regra. Qual é a resposta segura?
Mostrar critérios de avaliação
Rubrica: 3 = verificar o impacto clínico, restaurar a configuração anterior se necessário, achar o conduto ausente, corrigir sob mudança; 2 = parcial; 1 = ignorar; 0 = nenhum.
EX040 — Limite da segmentação. Contra o que a segmentação não protege?
Mostrar critérios de avaliação
Rubrica: 3 = mau uso de credenciais legítimas do gateway/pessoa interna dentro dos condutos permitidos; 2 = vago; 1 = tudo protegido; 0 = nenhum.

Síntese

Zonas com condutos estreitos impedem que comprometimentos no escritório alcancem os controladores; migre um conduto de cada vez.