◇ OpenCyber Academy
Curso rápido · Capítulo 4 · Português

Capítulo 4 — Infraestrutura crítica e segurança setorial: laboratório guiado e síntese aplicada

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 4 — Infraestrutura crítica e segurança setorial: laboratório guiado e síntese aplicada

Mapa da aula

Aula 04 publicada. Mapa, exemplo, EX050.

flowchart TD
  N0["4.1 Cascatas"]
  N1["Visual 4 — por que o gerador pode não salvar a clíni"]
  N2["4.2 Laboratório 4 — o que mais falha? sintético"]
  N3["4.4 Atividade prática e rubrica de avaliação"]
  N4["Síntese do capítulo"]
  N5["Capítulo 1"]
  N6["Capítulo 2"]
  N7["Capítulo 3"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX050"]

Desenho lógico

flowchart LR
  N0["4.1 Cascatas"]
  N1["Visual 4 — por que o gerador pode não salvar a clíni"]
  N2["4.2 Laboratório 4 — o que mais falha? sintético"]
  N3["4.4 Atividade prática e rubrica de avaliação"]
  N4["Síntese do capítulo"]
  N5["Capítulo 1"]
  N6["Capítulo 2"]
  N7["Capítulo 3"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX050"]

[4.1 Cascatas]
    |
    v
[Visual 4 — por que o gerador pode não salvar a clíni]
    |
    v
[4.2 Laboratório 4 — o que mais falha? sintético]
    |
    v
[4.4 Atividade prática e rubrica de avaliação]
    |
    v
[Síntese do capítulo]
    |
    v
[Capítulo 1]
    |
    v
[Capítulo 2]
    |
    v
[Capítulo 3]
    |
    v
[Exemplo resolvido] --> [Exercício EX050]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você será capaz de:

Este capítulo aplica tudo o que veio antes: a consequência em primeiro lugar (Capítulo 1), a prática segura apenas com dados sintéticos (Capítulo 2) e as dependências (Capítulo 3). Ele conclui a tarefa guiada do curso.

4.1 Cascatas

Quando um serviço falha e outros que dependem dele falham em seguida, a falha se propaga em cascata. As cascatas são a razão pela qual a infraestrutura crítica é tratada como um sistema interligado, e não como uma lista de organizações separadas, e pela qual as listas nacionais agrupam os serviços em funções que dependem umas das outras (CISA, National Critical Functions Set). Os apagões na Ucrânia e o incidente de ransomware no oleoduto, vistos nos capítulos anteriores, tiveram efeitos muito além da primeira organização atingida.

Você pode raciocinar sobre cascatas com um lápis: desenhe cada serviço, trace uma seta para cada coisa de que ele precisa e então "desligue" uma caixa e siga as setas de trás para frente. Algumas linhas de código fazem a mesma contabilidade sem erros, e é isso que o Laboratório 4 faz.

Visual 4 — por que o gerador pode não salvar a clínica (sintético)

flowchart LR
    P[Falta energia da rede] --> N[Telefonia falha]
    P --> W[Bombas de água param]
    N --> C[Clínica não consegue operar]
    W --> C
    G[Gerador funciona] --> L[Clínica tem energia local]
    L -. insuficiente sem telefonia e água .-> C
    C --> PH[Farmácia perde um serviço anterior]

Alternativa textual: no mapa sintético do Laboratório 4, a falta de energia interrompe telefonia e bombas de água. O gerador preserva energia local, mas a clínica não opera sem telefonia e água; a farmácia também perde a clínica. O modelo omite tempo, falhas parciais e alternativas manuais; confirme dependências reais com o responsável.

4.2 Laboratório 4 — o que mais falha? (sintético)

Meta: rastrear a cascata quando um ou dois serviços de Larkfield falham. Insumos: o mapa sintético no código. Escopo autorizado: apenas o seu próprio computador; sem rede, sem dados reais. Passos: leia o mapa; antes de olhar a saída, anote o que você espera que falhe em cada cenário; depois compare com a saída impressa (ou execute python3 lab4.py). Evidência esperada: as suas previsões, a saída e uma frase por diferença.

Como ler o mapa: cada linha é serviço ; aquilo de que precisa. As necessidades são separadas por vírgulas — o serviço precisa de todas. Uma barra vertical a|b significa que basta a ou b (b é um backup de a). Um serviço sem nada depois do ponto e vírgula não depende de nada neste modelo.

# Lab 4 - who is affected if one thing fails? (offline, standard library only; all data synthetic)
# Each line: service ; what it needs to keep working (comma-separated)
MAP = """
grid power      ;
backup diesel   ; fuel delivery
fuel delivery   ; roads
roads           ;
phone network   ; grid power
water pumps     ; grid power, phone network
clinic          ; grid power|backup diesel, water pumps, phone network
card payments   ; phone network, grid power
pharmacy        ; card payments, clinic
"""
needs = {}
for line in MAP.strip().splitlines():
    name, deps = (part.strip() for part in line.split(";"))
    # "a|b" means: either a or b is enough (a backup)
    needs[name] = [set(d.strip().split("|")) for d in deps.split(",") if d.strip()]

def still_working(failed):
    up = {s for s in needs if s not in failed}
    changed = True
    while changed:
        changed = False
        for s in sorted(up):
            for options in needs[s]:
                if not (options & up):
                    up.discard(s)
                    changed = True
                    break
    return up

for failed in (["grid power"], ["phone network"], ["roads"], ["grid power", "roads"]):
    up = still_working(set(failed))
    down = sorted(set(needs) - up - set(failed))
    print(f"FAIL {' + '.join(failed):<20} -> also down: {', '.join(down) if down else '(nothing else)'}")

Saída (Python 3.13.5):

FAIL grid power           -> also down: card payments, clinic, pharmacy, phone network, water pumps
FAIL phone network        -> also down: card payments, clinic, pharmacy, water pumps
FAIL roads                -> also down: backup diesel, fuel delivery
FAIL grid power + roads   -> also down: backup diesel, card payments, clinic, fuel delivery, pharmacy, phone network, water pumps

Lendo o resultado.

  1. A energia da rede falha. A clínica tem um backup a diesel, mas mesmo assim cai. Por quê? A clínica também precisa das bombas de água e da rede telefônica, e neste mapa ambas precisam da energia da rede, sem backup. O gerador mantém as luzes da clínica acesas, mas sem água e sem telefone ela não consegue funcionar. Um backup protege uma dependência, não o serviço inteiro.
  2. A rede telefônica falha. As bombas de água caem — porque neste mapa as bombas precisam da rede telefônica (pense em controle remoto e telemetria). Em seguida caem a clínica e a farmácia. Se as bombas reais param quando as comunicações falham é exatamente o tipo de pergunta a fazer ao dono; muitas estações podem operar localmente. O modelo só é tão verdadeiro quanto as suas linhas.
  3. As estradas falham. Só a entrega de combustível e o backup a diesel caem. Nada mais é afetado — enquanto a rede elétrica está no ar. O backup falhou silenciosamente, e ninguém perceberia até precisar dele.
  4. Rede elétrica e estradas falham juntas. Tudo cai. Crises reais (tempestades, enchentes) muitas vezes quebram várias coisas ao mesmo tempo.

O que o modelo deixa de fora. O tempo (o gerador tem duas horas de combustível; a rede telefônica pode ter baterias), a falha parcial (um sinal fraco, um sistema lento), as pessoas (funcionários que não conseguem chegar ao trabalho) e as alternativas manuais (pagamentos em dinheiro, listas em papel). Um modelo ajuda você a fazer perguntas melhores; ele não diz o que realmente vai acontecer.

Experimentando uma mudança. Duas edições do tipo "e se" mostram como os backups mudam o quadro. Estas saídas foram produzidas editando o mapa exatamente como descrito:

4.3 Exemplo resolvido: o cartão de serviço de Sam (sintético)

O artefato anotado do curso é um cartão de serviço de uma página: um resumo em linguagem simples de um serviço essencial que um iniciante consegue escrever a partir de informações públicas ou sintéticas. O cartão de Sam para a clínica:

Cartão de serviço — Larkfield Community Clinic (sintético) · Autor: Sam Reyes · Data: semana 4 · Compartilhamento: TLP:AMBER+STRICT (apenas dentro da clínica)

Função: prestar atendimento médico sem agendamento e dispensar medicamentos a cerca de 20.000 moradores. Primeiros prejudicados se parar: pacientes que precisam de atendimento no mesmo dia e de receitas de uso contínuo; a farmácia, a jusante.

Ordem de preocupação: (1) segurança física — medicamentos errados ou em falta, vacinas guardadas na temperatura errada; (2) continuidade — sem lista de consultas ou sem telefones; (3) confiança — registros errados; (4) privacidade — dados de pacientes vazados.

Dependências principais: energia da rede (backup: gerador, 2 h de combustível — depende da entrega de combustível); telefones e internet da LinkNet (nenhum backup conhecido); MedBook (nuvem); Larkfield Water; uma enfermeira que conhece o alarme da geladeira.

Duas frases de risco: (a) Como a LinkNet é a nossa única conexão, uma interrupção da LinkNet poderia parar de uma vez as consultas, os agendamentos por telefone e os pagamentos com cartão, fazendo com que pacientes sejam mandados embora por horas. (b) Como a equipe recebe e-mails falsos da MedBook, alguém poderia digitar a senha numa página falsa, fazendo com que um estranho bloqueie a lista de consultas.

Achado do laboratório (mapa sintético): no Laboratório 4, uma falha da rede elétrica para a clínica mesmo com o gerador, porque as bombas de água e os telefones também falham.

Pressuposto / desconhecido: que não existe lista de consultas em papel; se a LinkNet tem backup por bateria; se a MedBook usa um segundo fator.

Perguntas para a dona (H. Novak): Existe uma lista diária impressa? É possível uma segunda linha de internet ou um backup móvel? Outra pessoa pode ser treinada no alarme da geladeira?

O que eu não fiz: contatar a LinkNet ou a MedBook, testar qualquer sistema ou mudar qualquer configuração.

Cada linha pode ser rastreada até algo aprendido no curso, e cada palpite está marcado.

4.4 Atividade prática e rubrica de avaliação

Escreva o seu próprio cartão de serviço para um serviço que você escolher (a partir de informações públicas) ou para a Larkfield Water, usando os detalhes sintéticos deste livro. Use os títulos da seção 4.3. Depois, faça a autoavaliação abaixo sem consultar anotações.

Critério 0 1 2 3
Função e pessoas prejudicadas Ausente Só nomeia a organização Função ou pessoas Função e quem é prejudicado primeiro
Ordem de preocupação Ausente Só dados Alguma ordem Segurança física → continuidade → confiança → privacidade, com exemplos
Dependências Ausente Uma ou duas A montante e a jusante A montante, a jusante, compartilhadas, backups e as dependências deles
Frases de risco Ausente Palavras soltas Uma frase completa Duas frases completas de causa-evento-consequência
Honestidade e segurança Palpites como fatos; sondagem sugerida Alguns palpites não marcados Pressupostos marcados Pressupostos marcados, rótulo de compartilhamento definido, "o que eu não fiz" declarado

Um cartão com 12 pontos ou mais de 15, sem nenhum zero, atende ao padrão do curso.

Autoavaliação do curso (questionário breve). Responda cada pergunta numa linha e depois confira as resoluções em EX050.

  1. Cite dois setores de infraestrutura crítica.
  2. Ponha em ordem: confidencialidade, segurança física, disponibilidade.
  3. Ter um login é o mesmo que ter permissão?
  4. Quais são as cinco partes de um bom relato?
  5. Quem pode receber informações TLP:RED?
  6. O que faz um CLP?
  7. O que é uma dependência compartilhada?
  8. Por que um backup pode não proteger um serviço?

4.5 Erros comuns e limites

Exercícios — capítulo 4

EX039 — Leia o mapa. Objetivo: interpretar a notação. Insumos: a linha clinic ; grid power|backup diesel, water pumps, phone network. Passos: explicar em palavras de que a clínica precisa. Evidência esperada: uma ou duas frases. Rubrica: 3 = precisa de (energia da rede ou backup a diesel) e das bombas de água e da rede telefônica — os três grupos; 2 = pequeno deslize sobre "um ou outro"/"todos"; 1 = trata tudo como alternativas; 0 = nada.

EX040 — Preveja antes de olhar. Objetivo: praticar a previsão. Insumos: o mapa, cenário "a energia da rede falha". Passos: sem a saída, listar o que você espera que falhe e depois comparar. Evidência esperada: previsão, saída, uma frase por diferença. Rubrica: 3 = previsão honesta registrada, diferenças explicadas (sobretudo por que a clínica falha apesar do gerador); 2 = comparação sem explicação; 1 = só copia a saída; 0 = nada.

EX041 — Por que o gerador não bastou. Objetivo: explicar o resultado principal. Insumos: a linha 1 da saída. Passos: explicar em duas frases. Evidência esperada: explicação. Rubrica: 3 = o gerador cobre só a energia; a clínica também precisa das bombas de água e dos telefones, que falham sem a energia da rede; 2 = menciona um; 1 = vago; 0 = nada.

EX042 — Falha silenciosa. Objetivo: reconhecer a perda oculta de um backup. Insumos: a linha 3 da saída. Passos: explicar por que "as estradas falham" é mais preocupante do que parece e sugerir uma forma de o dono perceber. Evidência esperada: duas frases. Rubrica: 3 = nada visível falha, mas a clínica perdeu o seu backup enquanto a rede elétrica está no ar; o dono poderia verificar os níveis de combustível/a situação das entregas ou testar o gerador regularmente; 2 = só a primeira parte; 1 = "nada acontece, então tudo bem"; 0 = nada.

EX043 — Questione o modelo. Objetivo: desafiar pressupostos. Insumos: a linha 2 da saída (as bombas falham quando os telefones falham). Passos: escrever uma pergunta para o dono da água e dizer por que a resposta importa. Evidência esperada: pergunta e razão. Rubrica: 3 = pergunta se as bombas podem operar localmente/manualmente sem comunicações, explicando que, se sim, a cascata até a clínica não aconteceria; 2 = pergunta sem razão; 1 = aceita a saída como fato; 0 = nada.

EX044 — Edição A. Objetivo: raciocinar sobre uma mudança. Insumos: o resultado da Edição A. Passos: explicar por que a clínica ainda falha com uma bateria para os telefones. Evidência esperada: uma ou duas frases. Rubrica: 3 = os telefones agora sobrevivem, mas as bombas de água ainda precisam da energia da rede, sem backup, e a clínica precisa de água; 2 = parcial; 1 = errado; 0 = nada.

EX045 — Edição B. Objetivo: acompanhar uma segunda mudança. Insumos: o resultado da Edição B. Passos: explicar por que a clínica sobrevive e a farmácia não, e propor uma alternativa manual para a farmácia. Evidência esperada: explicação e alternativa. Rubrica: 3 = a energia, a água e os telefones da clínica agora têm todos um caminho que funciona; a farmácia precisa dos pagamentos com cartão, que precisam diretamente da energia da rede; alternativa como dinheiro ou registros em papel lançados depois; 2 = só a explicação; 1 = vago; 0 = nada.

EX046 — O que o modelo deixa de fora. Objetivo: declarar limites. Insumos: seção 4.2. Passos: nomear três coisas que o laboratório não modela e como cada uma poderia mudar o resultado. Evidência esperada: três pares. Rubrica: 3 = três entre tempo, falha parcial, pessoas e alternativas manuais, cada uma com um efeito (por exemplo, o gerador fica sem combustível após duas horas); 2 = três sem efeitos; 1 = uma ou duas; 0 = nada.

EX047 — Desenhe. Objetivo: transformar texto em diagrama. Insumos: o mapa original. Passos: desenhar caixas e setas (em papel ou como esboço em texto) e sombrear o que falha quando a rede telefônica falha. Evidência esperada: diagrama com sombreamento que corresponda à linha 2 da saída. Rubrica: 3 = os nove serviços, setas do dependente para a dependência, "um ou outro" marcado, sombreamento correto; 2 = um erro; 1 = vários; 0 = nada.

EX048 — Escreva um cartão de serviço. Objetivo: produzir o artefato do curso. Insumos: os detalhes sintéticos da Larkfield Water nos Capítulos 1–4 (bombas, tratamento, D. Brandt, energia, LinkNet, o fornecedor das bombas). Passos: escrever um cartão de serviço usando os títulos da seção 4.3. Evidência esperada: cartão de uma página. Rubrica: usar a rubrica da seção 4.4; 3 = 13–15 sem nenhum zero; 2 = 10–12; 1 = 6–9; 0 = abaixo de 6.

EX049 — Revisão por pares. Objetivo: avaliar com uma rubrica. Insumos: o cartão de Sam na seção 4.3. Passos: pontuá-lo com a rubrica da seção 4.4 e nomear uma melhoria. Evidência esperada: cinco notas, total e melhoria. Rubrica: 3 = notas defensáveis (altas na maioria dos critérios) com uma melhoria concreta (por exemplo, acrescentar um dependente a jusante além da farmácia, ou um contato para relatos); 2 = notas sem melhoria; 1 = notas sem justificativa; 0 = nada.

EX050 — Autoavaliação do curso. Objetivo: confirmar o conhecimento central. Insumos: as oito perguntas da seção 4.4. Passos: responder cada uma numa linha, sem anotações. Evidência esperada: oito respostas. Rubrica: 3 = sete ou oito corretas; 2 = cinco ou seis; 1 = três ou quatro; 0 = menos.

Síntese do capítulo

As falhas na infraestrutura crítica se propagam em cascata ao longo das dependências, e os backups protegem apenas a dependência que substituem — e só enquanto as dependências deles próprios se mantêm. Um modelo pequeno e sintético torna as cascatas visíveis e, mais importante, gera boas perguntas; ele nunca substitui o conhecimento do dono. O cartão de serviço reúne o curso numa página honesta: função, ordem de consequências, dependências, frases de risco, pressupostos e o que você não fez.

Continue estudando — capítulo 04 de 04

← Capítulo 03 · Índice de capítulos do curso · Resoluções →

Siga para a próxima lição escrita.

Resoluções e notas de avaliação

Estas são respostas-modelo. Uma resposta diferente que atenda ao padrão de raciocínio, segurança e honestidade sobre os limites exigido pela rubrica recebe a pontuação máxima. Todas as organizações, pessoas e dados de Larkfield são sintéticos.

Capítulo 1

EX001. Essenciais: água potável (doenças e falta de saneamento em poucas horas), pronto-socorro de hospital (atraso com risco de morte), rede de pagamentos com cartão (as pessoas não conseguem comprar comida nem combustível), rede elétrica regional (quase todos os outros serviços dependem dela), rede municipal de ônibus (as pessoas não conseguem chegar ao trabalho, à escola ou ao atendimento). Não essenciais na maioria dos contextos: cinema, loja de roupas, servidor de videogame. O contexto importa — um servidor de jogos não é essencial, mas o mesmo data center pode também hospedar os sistemas de um hospital.

EX002. Água → sistemas de água e de esgoto; pronto-socorro → saúde e saúde pública; pagamentos com cartão → serviços financeiros; rede elétrica → energia; ônibus → sistemas de transporte.

EX003. Clínica: "prestar atendimento médico e dispensar medicamentos aos moradores". Água: "fornecer água potável segura". Ônibus: "transportar as pessoas pela cidade". Cada frase parte daquilo que as pessoas recebem, não de prédios ou software.

EX004. (b) primeiro: uma mudança de dosagem não aprovada pode deixar as pessoas doentes. Depois (d) ou (c): (d) é perigoso porque os operadores agem com base num quadro falso — o reservatório poderia secar enquanto a tela parece normal; (c) interrompe o atendimento por uma manhã, mas é visível e tem alternativas. As duas ordens são aceitáveis com esse raciocínio. (a) por último quanto ao dano físico imediato, mas é grave e pode desencadear deveres legais de notificar rapidamente as pessoas e os reguladores.

EX005. "Num hospital ou numa estação de água, um problema de computador pode ferir pessoas diretamente — uma dose errada, uma cirurgia perdida. Milhares de pessoas também dependem do serviço funcionando a cada hora, então pará-lo já é um dano. É por isso que eles pensam primeiro na segurança das pessoas e em manter o serviço funcionando. A privacidade continua importando; só que normalmente não é o primeiro perigo."

EX006. Cerca de 225.000 clientes ficaram sem energia; a energia foi restabelecida passando para a operação manual. Lição: ataques cibernéticos podem ter efeitos físicos, e uma equipe capaz de operar as coisas à mão faz parte da resiliência.

EX007. "Pacientes tiveram consultas e cirurgias canceladas porque os computadores dos hospitais pararam de funcionar. Muitos trusts do NHS foram afetados, então o dano foi o atendimento não estar disponível, não apenas os computadores."

EX008. (1) Os controladores podiam ser alcançados pela internet; (2) provavelmente ainda usavam senhas padrão. Ambas são falhas de higiene do dia a dia que não exigem habilidade avançada para ser exploradas — nem para ser evitadas, e é por isso que os iniciantes devem reconhecê-las.

EX009. (1) "Como a equipe recebe e-mails falsos convincentes, alguém poderia digitar a senha numa página de login falsa, fazendo com que um estranho bloqueie o sistema de consultas e pacientes sejam mandados embora." (2) "Como o PC da recepção não é atualizado há meses, um malware poderia explorar uma falha conhecida e fazê-lo parar, causando atrasos no registro de chegada dos pacientes." (3) "Como a porta do depósito da farmácia fica escorada aberta, alguém poderia levar ou adulterar medicamentos, causando dano aos pacientes ou falta de medicamentos."

EX010. Phishing: a gerente da clínica (H. Novak) é dona da conscientização e do relato da equipe, com K. Ito para os controles técnicos. Computador antigo: a gerente decide; K. Ito faz as atualizações. Porta aberta: a gerente ou o diretor da clínica é dono da segurança das instalações e dos medicamentos. Não Sam: Sam não tem autoridade sobre orçamentos, regras da equipe ou mudanças de TI; o papel de Sam é perceber e relatar.

EX011. (1) Perigo? Possivelmente — vacinas guardadas na temperatura errada podem perder a eficácia, o que é uma questão de segurança do paciente. (2) Relatar hoje a H. Novak (ou à enfermeira responsável), com o horário em que o alarme foi desligado. (3) Não cabe a Sam mudar: não ajustar a geladeira nem o alarme; a dona decide se as vacinas precisam ser postas em quarentena.

EX012. Sabido: chegaram e-mails da MedBook com aparência falsa; eles pedem senhas por um link. Pressuposto: os logins da MedBook não têm segundo fator; os e-mails são falsos, e não um aviso legítimo mal elaborado; alguém de fato digitou uma senha.

EX013. "Obrigado por me contar — parece algo que vale levar ao seu supervisor ou a quem cuida da segurança na estação, já que são eles que podem verificar e corrigir. Melhor não compartilhar os detalhes comigo nem com ninguém de fora, e de jeito nenhum testar a ferramenta você mesmo."

Capítulo 2

EX014. Sam não deve abrir os arquivos. Ter acesso por acidente não é permissão. Sam avisa H. Novak de que a pasta Payroll está visível para a equipe da recepção, para que a dona (com K. Ito) corrija as permissões.

EX015. "Avisar depois não torna isso autorizado — só o dono pode dar permissão, e testar sem ela pode ser crime. Além disso, é um serviço público; um teste poderia perturbá-lo. Se você quer praticar, use um laboratório de treinamento offline, ou veja se eles publicam uma política de divulgação de vulnerabilidades e siga-a."

EX016. Quem é dono do sistema e aprova; quais sistemas estão no escopo; quais ações são permitidas (e proibidas); a janela de tempo; quem executa; o que fazer e para quem ligar se algo der errado.

EX017. "Os dispositivos de estações de água muitas vezes são antigos e sensíveis, e alguns podem parar ou se comportar mal quando recebem tráfego de rede inesperado. Um dispositivo parado pode afetar as bombas ou a dosagem — um processo físico do qual as pessoas dependem —, e não apenas um arquivo."

EX018. Pode: (a), (c), (f). Não pode: (b) — reiniciar um dispositivo clínico é decisão do dono e pode fazer perder configurações ou alarmes; (d) — um pendrive desconhecido pode conter malware; relate-o em vez disso; (e) — usar o login de outra pessoa quebra a responsabilização e a política.

EX019. "O quê: e-mail que se diz da MedBook, assunto 'sua conta será encerrada hoje', com um link; o endereço do remetente termina num domínio desconhecido [copiar o endereço exato]. Quando: segunda-feira, 09:05, horário local. Onde: PC da recepção, minha conta de e-mail da clínica. O que eu fiz: cliquei no link e fechei a página sem digitar nada; não o encaminhei. Efeito possível (palpite): tentativa de roubar logins da MedBook; meu PC talvez precise ser verificado."

EX020. Acrescentar: "Digitei minha senha da MedBook na página por volta das 09:06." Relatar imediatamente para que a dona possa redefinir a senha, verificar os acessos recentes e procurar outros funcionários que o receberam. Cada minuto de atraso dá a um atacante tempo para usar o login.

EX021. Sam não dá a senha nem liga de volta para o número oferecido. Sam diz a quem ligou que alguém vai retornar, informa H. Novak e, se necessário, liga para a Larkfield Power no número publicado para conferir. Sam relata a ligação com horário e detalhes.

EX022. (a) Qualquer pessoa. (b) Só pessoas de dentro da clínica. (c) Ninguém além dos presentes quando a informação foi dada.

EX023. Sam não salva, não encaminha nem usa as senhas. Sam avisa H. Novak e K. Ito de que senhas foram enviadas por e-mail, para que eles as troquem, e apaga o e-mail se lhe pedirem. Informação sensível sem rótulo é tratada como apenas interna.

EX024. (1) O Laboratório 4 deste livro no meu próprio computador — dados sintéticos, sem rede. (2) Um kit público de exercício de mesa, como o NCSC Exercise in a Box, conduzido como discussão com colegas — nenhum sistema é tocado. Também aceitáveis: um sistema de treinamento deliberadamente vulnerável executado offline na minha própria máquina; melhorar as senhas e a MFA das minhas contas pessoais.

EX025. Publicar poderia apontar atacantes para um serviço crítico para a segurança antes de ele ser corrigido, e a afirmação pode estar errada ou desatualizada. Melhor: se o amigo trabalha lá, avisar o supervisor ou o contato de segurança dele; se não, usar o contato publicado da empresa de serviços ou o canal de divulgação de vulnerabilidades. Não publicar detalhes.

EX026. (1) Não o deixou entrar — só o dono da rede pode autorizar trabalho. (2) Ligou para Novak e Ito pela lista da clínica — verificar por canais conhecidos, nunca pelos fornecidos por quem liga. (3) Recusou os "cinco minutos" — dispositivos e mudanças não aprovados podem perturbar os serviços. (4) Escreveu um relato de cinco partes rotulado TLP:AMBER+STRICT — relatar de forma factual e compartilhar com cuidado.

Capítulo 3

EX027. (a) TO; (b) TI — e a MedBook, a empresa, é um fornecedor; (c) pessoas; (d) dados; (e) fornecedor.

EX028. Sensor — mede algo (sensor de nível do reservatório). Atuador — faz algo físico (motor de bomba, válvula). CLP — pequeno computador robusto que lê sensores e comanda atuadores por regras (liga a bomba 2 quando o reservatório está baixo). IHM — a tela e os controles do operador (mostra níveis e alarmes). SCADA — sistema que reúne as leituras de muitos locais numa sala de controle (todas as estações de bombeamento numa só tela).

EX029. (1) A TO precisa funcionar continuamente → correções e mudanças exigem planejamento e testes, então fraquezas conhecidas podem permanecer por mais tempo. (2) A falha da TO pode causar dano físico → erros de segurança podem ferir pessoas. (3) Os dispositivos de TO duram décadas → muitos não têm proteções modernas, como autenticação forte.

EX030. Vendo 80%, o operador não vê necessidade de ligar as bombas. O reservatório se esvazia, a pressão cai e as residências e a clínica ficam sem água. Uma verificação manual do reservatório (ou uma segunda leitura independente) revelaria o valor falso — a integridade importa tanto quanto a disponibilidade.

EX031. Vazado: informações privadas de saúde dos pacientes expostas; deveres legais de notificação. Alterado: medicamento ou dose errados dispensados. Indisponível: os pacientes não conseguem receber os medicamentos de uso contínuo a tempo.

EX032. (a) a montante, compartilhada; (b) a jusante; (c) a montante; (d) a jusante; (e) a montante, compartilhada.

EX033. LinkNet: nenhum backup é conhecido e a sua perda para ao mesmo tempo a MedBook, os agendamentos por telefone e os pagamentos com cartão. É um possível ponto único de falha — Sam precisa confirmar com K. Ito em vez de afirmá-lo.

EX034. Entregas de combustível depois de duas horas; portanto, um fornecedor de combustível, estradas abertas e motoristas disponíveis; mais uma pessoa que saiba ligar, operar e reabastecer o gerador, e evidência de que ele foi testado.

EX035. Uma lista diária impressa de consultas (ou formulários de agendamento em papel). Condições: impressa toda manhã para estar atualizada, guardada com segurança porque contém dados pessoais, e a equipe conhece o procedimento para usá-la e, depois, relançar os dados.

EX036. "Como o fornecedor das bombas usa uma única senha compartilhada e pode entrar de casa a qualquer hora, qualquer pessoa que descubra essa senha poderia se conectar e mudar as configurações das bombas, causando perda de pressão ou operação insegura para os clientes." Práticas: acesso remoto seguro (só quando necessário, aprovado e monitorado), MFA, trocar senhas padrão/compartilhadas, reduzir a exposição à internet (mitigações primárias de TO da CISA; CPGs).

EX037. O oleoduto entregava combustível do qual muitas empresas e comunidades dependiam, então era uma dependência a montante compartilhada. Quando a empresa foi perturbada, o efeito se espalhou para usuários a jusante que não tinham sido atacados.

EX038. "Oi, H., ao listar aquilo de que a clínica depende, só encontrei um provedor de internet e telefone, a LinkNet. Não sei se existe uma linha de backup ou uma alternativa móvel — estou pressupondo que não, mas posso estar errado. Se não existir, uma interrupção pararia juntos a MedBook, os telefones e os pagamentos com cartão. Valeria a pena verificar com K. Ito? — Sam"

Capítulo 4

EX039. A clínica precisa de três coisas ao mesmo tempo: eletricidade da rede ou do backup a diesel, e bombas de água funcionando, e a rede telefônica.

EX040. Previsão típica: "a clínica continua funcionando por causa do gerador; os telefones e as bombas falham". Saída: a clínica, a farmácia e os pagamentos com cartão também falham. Diferença explicada: o gerador cobre só a energia; a água e os telefones não têm backup no mapa.

EX041. O gerador substitui apenas a energia da rede. A clínica também precisa das bombas de água e da rede telefônica, que precisam ambas da energia da rede, sem backup; então elas falham e levam a clínica junto.

EX042. Nada visível para, mas a clínica perdeu o seu backup: se a rede elétrica falhar mais tarde, não haverá combustível. Um dono poderia perceber verificando o estoque de combustível e a situação das entregas, ou testando o gerador numa programação.

EX043. "As bombas podem continuar funcionando localmente, ou ser operadas à mão, se as comunicações forem perdidas?" Se sim, a linha water pumps ; grid power, phone network está errada para a operação local, e a cascata até a clínica não aconteceria quando os telefones falhassem.

EX044. Com uma bateria, a rede telefônica sobrevive. Mas as bombas de água ainda precisam da energia da rede, sem backup, então falham; a clínica precisa de água, então também falha.

EX045. A clínica agora tem um caminho que funciona para cada necessidade: energia do diesel, água das bombas no diesel, telefones na bateria. A farmácia ainda precisa dos pagamentos com cartão, que precisam diretamente da energia da rede. Alternativa: aceitar dinheiro ou registrar as vendas em papel para lançamento posterior.

EX046. Tempo — o gerador tem só duas horas de combustível, então a clínica falharia mais tarde. Falha parcial — uma rede lenta poderia permitir telefones, mas não pagamentos. Pessoas — funcionários impedidos de se deslocar numa tempestade fechariam a clínica mesmo com energia. (Alternativas manuais também são aceitáveis: listas em papel poderiam manter a clínica parcialmente aberta.)

EX047. Nove caixas; setas de cada serviço para aquilo de que precisa; a seta de energia da clínica dividida em "grid power | backup diesel" (rede elétrica ou diesel de reserva). Com a rede telefônica em falha, sombrear a rede telefônica, as bombas de água, os pagamentos com cartão, a clínica e a farmácia (phone network, water pumps, card payments, clinic, pharmacy); a rede elétrica, as estradas, a entrega de combustível e o diesel de reserva (grid power, roads, fuel delivery, backup diesel) ficam sem sombra.

EX048. Um cartão forte inclui: função (fornecer água potável segura a cerca de 20.000 moradores); primeiros prejudicados (residências, a clínica); ordem de preocupação (dosagem errada → perda do abastecimento → leituras falsas → dados vazados); dependências (energia da rede, fornecedor de produtos químicos, LinkNet para a telemetria, o acesso remoto do fornecedor das bombas, operadores de turno como D. Brandt; a jusante, residências, clínica, farmácia); duas frases de risco (por exemplo, a senha compartilhada do fornecedor; a perda da telemetria); pressupostos (se as bombas funcionam localmente sem a LinkNet); perguntas para o dono; um rótulo de compartilhamento; e "o que eu não fiz: contatar a estação ou testar qualquer coisa". Pontuar com a rubrica da seção 4.4.

EX049. Uma pontuação defensável: função 3, ordem de preocupação 3, dependências 3 (dependências compartilhadas e de backup anotadas), frases de risco 3, honestidade e segurança 3 — 15/15, ou 14 se você julgar que os dependentes a jusante estão escassos. Melhoria: acrescentar dependentes a jusante além da farmácia (por exemplo, casas de repouso cujos residentes usam a clínica), ou o contato para relato de incidentes.

EX050. (1) Quaisquer dois, por exemplo energia e saúde. (2) Segurança física, disponibilidade, confidencialidade. (3) Não. (4) O quê, quando, onde, o que você fez, efeito possível. (5) Só os presentes quando foi compartilhada. (6) Lê sensores e controla atuadores por regras programadas. (7) Uma dependência usada por muitos serviços ao mesmo tempo, como uma única rede telefônica. (8) Ele substitui só uma dependência, e tem as suas próprias dependências (combustível, estradas, pessoas) que podem falhar.

Glossário