OpenCyber Academy
Profissionalizante · Capítulo 9 · Português
Código do curso: OCA-045Capítulo 09: OCA-045-C009

Capítulo 9 — Monitorar tendências e registros

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 09 publicada. Mapa, exemplo, EX041.

flowchart TD
  N0["9.1 Tendências como evidência"]
  N1["9.2 Janelas de mudança"]
  N2["9.3 Ler a saída"]
  N3["9.4 Combinar fontes"]
  N4["9.5 Alertas"]
  N5["9.6 Guardar as evidências"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX041"]

Desenho lógico

flowchart LR
  N0["9.1 Tendências como evidência"]
  N1["9.2 Janelas de mudança"]
  N2["9.3 Ler a saída"]
  N3["9.4 Combinar fontes"]
  N4["9.5 Alertas"]
  N5["9.6 Guardar as evidências"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX041"]

[9.1 Tendências como evidência]
    |
    v
[9.2 Janelas de mudança]
    |
    v
[9.3 Ler a saída]
    |
    v
[9.4 Combinar fontes]
    |
    v
[9.5 Alertas]
    |
    v
[9.6 Guardar as evidências]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX041]

Objetivos de aprendizagem

Você vai (1) usar os registros de tendências do BMS como evidência de segurança; (2) sinalizar mudanças fora das janelas aprovadas com um script curto; e (3) combinar evidências de tendências, de logins e da rede.

9.1 Tendências como evidência

Um BMS registra valores ao longo do tempo — temperaturas, valores de referência, posições de válvulas —, principalmente para os engenheiros. Os mesmos registros mostram quando um valor de referência mudou e, com contas nominais, quem o mudou. Muitas vezes, são a melhor evidência de adulteração num sistema predial.

Para Aisha, o registro de tendências costuma ser o primeiro lugar para olhar quando algo parece errado, porque mostra diretamente o efeito físico. Descubra com que frequência cada ponto é amostrado e por quanto tempo os registros são guardados antes de confiar neles. Onde as contas são compartilhadas, a tendência mostra o que mudou, mas não quem mudou.

9.2 Janelas de mudança

A manutenção combina janelas para as mudanças planejadas de valores de referência, por exemplo, nas manhãs dos dias úteis. Uma mudança fora de uma janela não é necessariamente maliciosa, mas precisa de uma explicação.

"""Lab 9: flag operating-theatre temperature setpoint changes outside a synthetic change window."""
trend = [("01:00", 20.0), ("02:00", 20.0), ("03:00", 26.0), ("04:00", 26.0), ("09:00", 21.0)]
window = ("08:00", "10:00")
prev = None
for t, sp in trend:
    if prev is not None and sp != prev:
        inside = window[0] <= t <= window[1]
        print(f"{t} setpoint {prev}->{sp} {'in window' if inside else 'OUTSIDE WINDOW - review'}")
    prev = sp

Execute com python3 lab_trend.py. Saída verificada:

03:00 setpoint 20.0->26.0 OUTSIDE WINDOW - review
09:00 setpoint 26.0->21.0 in window

As janelas devem ser combinadas com a manutenção e escritas, com quaisquer exceções, como reparos emergenciais. Fora da janela, a pergunta é simplesmente o que aconteceu e quem fez. O Laboratório 9 confere a tendência de um valor de referência de centro cirúrgico com uma janela matinal e sinaliza qualquer mudança fora dela. Revise as janelas com a manutenção anualmente.

9.3 Ler a saída

Às 03:00, o valor de referência do centro cirúrgico subiu de 20 °C para 26 °C, fora da janela das 08:00 às 10:00; ele voltou para 21 °C às 09:00, dentro da janela. A mudança das 03:00 é a que deve ser revisada.

O retorno para 21 °C às 09:00 está dentro da janela, mas ainda vale anotá-lo, porque sugere que alguém percebeu a mudança anterior e a corrigiu. As duas mudanças entram na revisão, com as perguntas sobre quem fez cada uma e por quê. O laboratório mostra apenas o valor de referência; a tendência da temperatura real do centro cirúrgico mostraria se a mudança teve efeito.

9.4 Combinar fontes

Verifique no registro de auditoria do BMS quem estava conectado às 03:00; no registro do gateway, as sessões remotas; no registro do firewall, as conexões com a zona do BMS. A concordância entre as fontes fortalece a conclusão, seja ela qual for.

Registre o que cada fonte mostrou, inclusive as que não mostraram nada. No Millbrook, o registro do gateway não tinha sessões às 03:00, o que tornava improvável uma mudança remota, e o registro de auditoria do BMS nomeava o engenheiro da noite. O registro do firewall também teria sido verificado se as duas primeiras fontes tivessem discordado.

9.5 Alertas

Onde o BMS permitir, gere um alarme para mudanças de valores de referência fora das janelas em unidades críticas, enviado ao engenheiro de plantão da manutenção.

Combine com a manutenção quais unidades contam como críticas, como as unidades de tratamento de ar dos centros cirúrgicos, e o que o engenheiro de plantão deve fazer ao receber o alarme. Um alarme que ninguém atende logo passa a ser ignorado. Teste-o uma vez depois de configurá-lo, durante uma mudança planejada, e registre o resultado. Revise a lista de alarmes a cada trimestre com os engenheiros de plantão, retirando as unidades que já não precisam dele.

9.6 Guardar as evidências

Quando uma mudança precisar de revisão, exporte no mesmo dia os registros de tendências e de auditoria relevantes, anote a hora da exportação e guarde-os com as notas da revisão; a retenção do BMS muitas vezes é curta.

Guarde as exportações onde apenas as pessoas que revisam a mudança possam lê-las, com uma nota sobre a origem de cada uma. No Millbrook, os registros de tendências eram guardados por apenas 14 dias, o que mais tarde virou uma constatação no relatório de risco de Aisha. Até que a retenção seja ampliada, a exportação no mesmo dia é a única prática segura.

Exemplo resolvido (Millbrook sintético)

Aisha verifica os registros: nenhuma sessão no gateway às 03:00, mas o registro de auditoria do BMS mostra que o engenheiro da noite elevou o valor de referência durante uma falha do chiller, para reduzir a carga, e esqueceu de registrar. A explicação é documentada, e o procedimento de plantão ganha um passo: registrar no livro do turno qualquer mudança fora da janela.

Caso sintético — Millbrook. A tendência e a explicação são inventadas.

Erros e limites

Os registros de tendências podem ter amostragem esparsa e perder mudanças curtas; os relógios precisam estar sincronizados. A retenção pode ser de apenas algumas semanas — exporte o que precisar.

Exercícios

Síntese

Os registros de tendências mostram o que mudou e quando; combinados com os registros de acesso, explicam a mudança.

Respostas comentadas

EX041. O script só sinaliza uma mudança cujo horário cai fora das 08:00–10:00, e 09:00 está dentro dessa janela.

EX042. 03:00 setpoint 20.0->26.0 in window e 09:00 setpoint 26.0->21.0 OUTSIDE WINDOW - review.

EX043. O registro de auditoria do BMS, o registro do gateway de acesso remoto e o registro do firewall da zona do BMS.

EX044. O centro cirúrgico estaria fora da sua faixa de temperatura quando a lista da manhã começasse, então a cirurgia poderia ser adiada até as condições se recuperarem, e o conforto da equipe e as condições de esterilidade ficariam comprometidos.

EX045. Exigir que toda mudança fora da janela seja escrita no livro do turno com o motivo e configurar um alarme do BMS para o engenheiro de plantão quando um valor de referência crítico mudar fora da janela.