Capítulo 2 — Ativos, redes e exposição
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX014.
flowchart TD
N0["2.1 Inventário primeiro"]
N1["2.2 Ler o laboratório"]
N2["2.3 Separar a rede"]
N3["2.4 Exposição e acesso remoto"]
N4["2.5 Portais na nuvem"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX014"]
Desenho lógico
flowchart LR
N0["2.1 Inventário primeiro"]
N1["2.2 Ler o laboratório"]
N2["2.3 Separar a rede"]
N3["2.4 Exposição e acesso remoto"]
N4["2.5 Portais na nuvem"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX014"]
[2.1 Inventário primeiro]
|
v
[2.2 Ler o laboratório]
|
v
[2.3 Separar a rede]
|
v
[2.4 Exposição e acesso remoto]
|
v
[2.5 Portais na nuvem]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX014]
Objetivos de aprendizagem
Você vai (1) explicar por que o inventário vem primeiro; (2) revisar uma lista de dispositivos em busca de fraquezas comuns; (3) descrever como a rede de uma usina deve ser separada; e (4) reconhecer os riscos de exposição à internet e de acesso remoto.
2.1 Inventário primeiro
Não é possível proteger o que você não sabe que existe. O NIST SP 800-82r3 coloca o inventário de ativos na base. Para cada dispositivo, registre nome, função, localização, responsável, versão de firmware, endereço de rede e se ele se conecta a uma nuvem.
"""Lab 2: review a synthetic Elmstead inverter list for default passwords, old firmware and cloud links."""
inv = [("INV-01", "5.1", False, True), ("INV-02", "5.1", True, True),
("INV-03", "4.7", False, True), ("INV-04", "5.1", False, False)]
LATEST = "5.1"
for name, fw, default_pw, cloud in inv:
issues = []
if default_pw: issues.append("default-password")
if fw != LATEST: issues.append(f"old-fw {fw}")
print(f"{name} cloud={'yes' if cloud else 'no '} {', '.join(issues) or 'ok'}")
print("needs action:", sum(1 for _, fw, d, _ in inv if d or fw != LATEST))
Execute com python3 lab_inverters.py. Saída verificada:
INV-01 cloud=yes ok
INV-02 cloud=yes default-password
INV-03 cloud=yes old-fw 4.7
INV-04 cloud=no ok
needs action: 2
Um inventário útil também registra a quem ligar sobre cada dispositivo e quando ele foi verificado pela última vez. Os registros ficam desatualizados à medida que os fornecedores trocam peças e os engenheiros acrescentam equipamentos, então a Elmstead revisa a lista depois de cada visita de manutenção. O Laboratório 2 trabalha com uma versão curta dessa lista para os quatro inversores e mostra como poucas colunas revelam depressa o que precisa de atenção.
2.2 Ler o laboratório
O INV-02 ainda usa a sua senha padrão: qualquer pessoa que tenha lido o manual poderia entrar. O INV-03 roda o firmware 4.7, enquanto a 5.1 é a atual, então pode estar sem correções de segurança. O INV-04 não tem conexão com a nuvem nem problemas. Dois dos quatro inversores precisam de ação. A correção é feita pelo dono e pelo fornecedor em horários planejados, não por estagiários fazendo experiências.
O laboratório só verifica o que a lista diz. Se a lista estiver errada, por exemplo porque um fornecedor trocou uma senha durante uma visita e ninguém atualizou o registro, o resultado também estará errado. Trate a saída como uma lista de perguntas para a engenheira da usina e confirme cada item nos registros ou com o fornecedor antes que alguém aja.
2.3 Separar a rede
A IEC 62443 descreve zonas — grupos de dispositivos com necessidades semelhantes — ligadas por condutos, conexões controladas. Na Elmstead, a zona de controle reúne o SC-1, os inversores e o sistema de gerenciamento de baterias; as câmeras ficam na sua própria zona; a rede de escritório é separada também; uma DMZ abriga o servidor que compartilha dados para fora. Os firewalls entre as zonas permitem apenas as conexões necessárias.
O objetivo das zonas é que um problema numa delas não se espalhe livremente para outra. Se uma câmera fosse comprometida, o firewall entre a zona das câmeras e a zona de controle deveria impedi-la de alcançar o SC-1 ou os inversores. Cada conexão permitida entre zonas deve ter um motivo, um responsável e um registro, para que regras antigas possam ser encontradas e removidas.
2.4 Exposição e acesso remoto
Dispositivos alcançáveis diretamente pela internet são uma fraqueza comum; o MITRE ATT&CK for ICS chama isso de T0883 Internet Accessible Device. O acesso remoto dos fornecedores deve passar por um único gateway com autenticação multifator, habilitado apenas quando necessário — recomendações repetidas no alerta AA21-042A da CISA, depois do comprometimento de uma estação de tratamento de água em 2021.
Para a Elmstead, isso significa verificar que nenhum inversor, controlador ou câmera responde diretamente pela internet e que o caminho de suporte do fornecedor termina num gateway de propriedade da usina. As contas desse gateway devem pertencer a pessoas nomeadas, ser ligadas para um trabalho específico e desligadas depois. Os registros de sessão permitem à engenheira ver quem se conectou e o que fez.
2.5 Portais na nuvem
As nuvens dos fornecedores são convenientes para o monitoramento, mas um portal que também pode enviar comandos é, na prática, acesso remoto. Pergunte se ele pode controlar equipamentos, quem tem contas e se a autenticação multifator está ativada.
Na Elmstead, a engenheira descobriu que o portal de monitoramento do fornecedor podia enviar comandos de carga, e não apenas mostrar dados. Isso o torna parte do quadro de acesso remoto, com as mesmas perguntas sobre contas nominais e segundos fatores. As respostas devem ficar no inventário, ao lado de cada dispositivo que o portal consegue alcançar, para não serem esquecidas quando funcionários ou contratos mudarem.
Exemplo resolvido (Elmstead sintética)
Jonah mostra a saída do laboratório à engenheira da usina. Ela agenda o fornecedor dos inversores para a semana seguinte, para trocar a senha do INV-02 e atualizar o INV-03, e anota que o portal de monitoramento pode enviar comandos de carga — uma constatação para o Capítulo 3.
Caso sintético — Elmstead. Os dispositivos, as versões e as configurações são inventados.
Erros e limites
Uma lista feita a partir de registros pode deixar dispositivos de fora; as vistorias em campo e os registros da rede a completam. Nunca faça varreduras numa usina em operação para montar um inventário, a menos que o dono tenha autorizado e planejado.
Exercícios
- EX014 — Por que inventário. Explique numa frase por que o inventário vem antes dos outros controles. Rubrica: 3 = todo controle depende de conhecer os dispositivos; dispositivos desconhecidos ficam desprotegidos; 2 = parcial; 1 = vago; 0 = nenhum.
- EX015 — Campos do inventário. Nomeie cinco campos para o registro de um dispositivo da Elmstead. Rubrica: 3 = cinco campos relevantes; 2 = quatro; 1 = dois; 0 = nenhum.
- EX016 — Risco da senha padrão. Por que a senha padrão do INV-02 é perigosa? Rubrica: 3 = publicada em manuais; qualquer pessoa com alcance entra; 2 = parcial; 1 = "fraca"; 0 = nenhum.
- EX017 — Firmware antigo. O que "old-fw 4.7" sugere sobre o INV-03? Rubrica: 3 = pode não ter as correções de segurança da 5.1; verificar os alertas; planejar a atualização; 2 = parcial; 1 = mais lento; 0 = nenhum.
- EX018 — Alterar o laboratório. Se o firmware do INV-04 fosse "4.9", o que o laboratório imprimiria para ele e no total? Rubrica: 3 = "INV-04 cloud=no old-fw 4.9" e "needs action: 3"; 2 = um; 1 = ok; 0 = nenhum.
- EX019 — Quem corrige. Quem troca a senha do INV-02, e quando? Rubrica: 3 = o dono/o fornecedor, num horário planejado; 2 = só o dono; 1 = Jonah, agora; 0 = nenhum.
- EX020 — Zonas. Nomeie as quatro zonas propostas para a Elmstead. Rubrica: 3 = controle, câmeras, escritório, DMZ; 2 = três; 1 = uma; 0 = nenhum.
- EX021 — Significado de conduto. O que é um conduto nos termos da IEC 62443? Rubrica: 3 = caminho de comunicação controlado entre zonas; 2 = "conexão"; 1 = eletroduto; 0 = nenhum.
- EX022 — Lugar das câmeras. Por que as câmeras não devem compartilhar a zona de controle? Rubrica: 3 = câmeras muitas vezes fracas/ligadas à internet; o comprometimento alcançaria os controladores; 2 = parcial; 1 = largura de banda; 0 = nenhum.
- EX023 — Dispositivo voltado à internet. Que técnica do ATT&CK for ICS descreve um controlador alcançável pela internet? Rubrica: 3 = T0883 Internet Accessible Device; 2 = só o nome; 1 = errada; 0 = nenhum.
- EX024 — Padrão de acesso de fornecedores. Descreva em duas frases um padrão seguro de acesso remoto de fornecedores. Rubrica: 3 = um gateway, MFA, contas nominais, habilitadas conforme a necessidade, registradas; 2 = três elementos; 1 = um; 0 = nenhum.
- EX025 — Perguntas sobre o portal. Que três perguntas Jonah deve fazer sobre o portal de monitoramento do fornecedor? Rubrica: 3 = ele pode controlar, quem tem contas, o MFA está ativado; 2 = duas; 1 = uma; 0 = nenhum.
- EX026 — Sem varredura. Por que Jonah não faz ele mesmo uma varredura na rede da Elmstead para completar a lista? Rubrica: 3 = não autorizado; varreduras podem perturbar dispositivos; usar registros/vistorias; 2 = uma; 1 = pode varrer; 0 = nenhum.
Síntese
Conheça cada dispositivo, corrija senhas padrão e firmware antigo por meio de trabalho planejado, separe as zonas e mantenha o acesso remoto estreito.
Continue estudando — capítulo 02 de 04
← Capítulo 01 · Índice de capítulos do curso · Capítulo 03 →
Siga para a próxima lição escrita.