OpenCyber Academy
Curso rápido · Capítulo 4 · Português
Código do curso: OCA-022Capítulo 04: OCA-022-C004

Capítulo 4 — Hábitos seguros, noções de resposta e próximos passos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 04 publicada. Mapa, exemplo, EX039.

flowchart TD
  N0["4.1 Hábitos do dia a dia"]
  N1["4.2 Responder a um incidente"]
  N2["4.3 Atualizações e dispositivos"]
  N3["4.5 Para onde seguir"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX039"]

Desenho lógico

flowchart LR
  N0["4.1 Hábitos do dia a dia"]
  N1["4.2 Responder a um incidente"]
  N2["4.3 Atualizações e dispositivos"]
  N3["4.5 Para onde seguir"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX039"]

[4.1 Hábitos do dia a dia]
    |
    v
[4.2 Responder a um incidente]
    |
    v
[4.3 Atualizações e dispositivos]
    |
    v
[4.5 Para onde seguir]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX039]

Objetivos de aprendizagem

Você vai (1) praticar os hábitos do dia a dia que protegem uma instalação de TO; (2) esboçar os primeiros passos de uma resposta a incidentes; (3) explicar os limites de segurança física e legais do trabalho de segurança; e (4) planejar o seu próximo curso.

4.1 Hábitos do dia a dia

Use apenas pen drives fornecidos pela usina, verificados antes do uso. Nunca conecte dispositivos desconhecidos aos equipamentos da usina. Bloqueie as telas. Mantenha as senhas fora da vista e fora do chat. Relate depressa crachás e notebooks perdidos. Não instale software nos computadores da usina. Esses hábitos bloqueiam as formas mais comuns pelas quais malware e invasores entram.

Cada hábito fecha uma rota simples. Um pen drive achado pode levar malware direto por todos os firewalls; uma tela desbloqueada na sala de controle permite a qualquer pessoa enviar comandos em seu nome; uma senha compartilhada no chat pode ser lida muito depois de a conversa terminar. Essas pequenas regras importam mais em usinas como a Elmstead, por onde passam muitos visitantes e empreiteiros.

4.2 Responder a um incidente

O NIST SP 800-82r3 enfatiza o planejamento da resposta junto com a operação. Na Elmstead, os passos são: deixar pessoas e equipamentos em segurança usando os procedimentos da usina; ligar para o engenheiro de plantão; registrar o que você vê; preservar as evidências; deixar o engenheiro e o líder do incidente decidirem a contenção, como desconectar o portal do fornecedor ou pôr a bateria num estado ocioso seguro; restaurar a partir de cópias verificadas; aprender e melhorar.

A parte de um estagiário nessa lista são principalmente os quatro primeiros passos. A contenção e a restauração são decisões de pessoas que entendem como o SC-1, os inversores e a bateria vão reagir, e que podem combiná-las com o operador da rede, se necessário. A Elmstead mantém os passos num cartão na sala de controle, para que ninguém precise lembrá-los sob pressão.

4.3 Atualizações e dispositivos

Os fornecedores lançam correções de firmware; o dono as aplica em horários planejados, depois de verificar a compatibilidade. Para dispositivos novos, faça aos fornecedores perguntas tiradas da ETSI EN 303 645 e do NIST IR 8259: senhas únicas, uma política de divulgação de vulnerabilidades, um período de atualizações, comunicação criptografada.

As respostas devem ficar no inventário, ao lado do dispositivo. Uma câmera sem período de atualizações, ou um controlador cujo fornecedor não diz como relatar uma fraqueza, é um risco que o dono deve conhecer antes de comprar, e não depois de instalar. As atualizações de firmware são testadas primeiro numa unidade, sempre que possível, com uma forma de voltar à versão anterior.

4.4 Limites

Nunca teste, faça varreduras ou entre em sistemas que você não está autorizado a usar. Nunca contorne sistemas de segurança física, como a detecção de incêndio ou a proteção das baterias. Nunca compartilhe código de exploração nem instruções de ataque. O aprendizado acontece em simuladores e equipamentos de laboratório.

Estar na usina não muda esses limites. Um estagiário que vê uma página de login exposta, ou que recebe uma senha de um técnico simpático do fornecedor, continua sem autorização para usá-la. O certo é relatar à engenheira o que você encontrou. A autorização vem do dono, por escrito, para uma tarefa definida.

4.5 Para onde seguir

O próximo curso deste currículo cobre infraestrutura crítica e segurança setorial. Os cursos mais longos desta área aprofundam redes, protocolos, monitoramento e projeto. Mantenha um registro dos exercícios concluídos.

Antes de seguir em frente, reveja o caso contínuo da Elmstead e verifique se você consegue explicar cada um dos seus eventos com as suas palavras: a lista de inversores, as zonas, o comando das 14:00 e o exercício da câmera. Anote em quais exercícios você pontuou abaixo de três e volte a esses capítulos. Os cursos mais longos desta área se constroem exatamente sobre essas bases.

Exemplo resolvido (Elmstead sintética)

Durante um exercício simulado, Jonah encontra uma câmera mostrando uma tela de login desconhecida. Ele segue o cartão na parede da sala de controle: avisa o engenheiro de plantão, fotografa a tela, anota a hora, não toca em nada. O engenheiro isola a zona das câmeras no seu firewall; a zona de controle continua funcionando. Na reunião de avaliação, Jonah sugere acrescentar ao cartão o número de suporte do fornecedor das câmeras.

Caso sintético — Elmstead. O exercício simulado é inventado.

Erros e limites

Esses hábitos reduzem o risco, mas não conseguem eliminá-lo. Os procedimentos diferem de uma instalação para outra; siga as regras locais.

Exercícios

Síntese

Bons hábitos, uma resposta praticada, respeito aos limites de segurança física e legais e o estudo contínuo protegem as instalações de TO.

Respostas comentadas

EX039. Usar apenas pen drives da usina, verificados; bloquear as telas ao se afastar; manter as senhas fora da vista e fora do chat; relatar depressa crachás e notebooks perdidos.

EX040. Deixá-lo desconectado, anotar onde e quando foi achado e entregá-lo ao engenheiro ou ao contato de segurança.

EX041. Deixar em segurança; ligar para o engenheiro de plantão; preservar as evidências; restaurar a partir de cópias verificadas; aprender e melhorar.

EX042. Desconectar o portal do fornecedor, para que nenhum comando remoto alcance o SC-1, enquanto a usina continua funcionando com a sua agenda local.

EX043. "Cada unidade tem uma senha única ou obriga a definir uma no primeiro uso?" e "Por quantos anos vocês fornecerão atualizações de segurança?"

EX044. Uma atualização precisa ter a compatibilidade com o SC-1 verificada e ser aplicada quando o equipamento puder parar com segurança; aplicá-la em plena operação poderia interromper os fluxos de energia.

EX045. Num simulador de protocolos ou em equipamento de treinamento num laboratório, nunca nos dispositivos em operação da Elmstead.

EX046. Recusar: a proteção da bateria é um sistema de segurança física que nunca é desabilitado para testes; relatar a sugestão ao engenheiro.

EX047. Acrescentar ao cartão da parede o número de suporte do fornecedor das câmeras, para que o engenheiro de plantão alcance o especialista certo imediatamente, em vez de procurá-lo.

EX048. As câmeras ficam numa zona separada, ligada por um firewall, e o SC-1, os inversores e o sistema de gerenciamento de baterias não dependem delas para operar.

EX049. O código de exploração é de uso dual: poderia ser usado contra usinas de energia reais e pôr pessoas em perigo, enquanto o objetivo do curso é proteger sistemas, o que não exige ferramentas de ataque.

EX050. Curso 023: infraestrutura crítica e segurança setorial.