Capítulo 6 — Infraestrutura crítica e segurança setorial: modelo de sistema

Mapa da aula

Aula 06 publicada. Mapa, exemplo, EX021.

flowchart TD
  N0["6.1 Zonas e conduítes"]
  N1["6.2 O que registrar para cada elemento"]
  N2["6.3 Diferenças setoriais que importam no teclado"]
  N3["6.5 Atividade prática"]
  N4["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX021"]

Desenho lógico

flowchart LR
  N0["6.1 Zonas e conduítes"]
  N1["6.2 O que registrar para cada elemento"]
  N2["6.3 Diferenças setoriais que importam no teclado"]
  N3["6.5 Atividade prática"]
  N4["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX021"]

[6.1 Zonas e conduítes]
    |
    v
[6.2 O que registrar para cada elemento]
    |
    v
[6.3 Diferenças setoriais que importam no teclado]
    |
    v
[6.5 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX021]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

• construir um modelo técnico de sistema de um serviço crítico: ativos, zonas, conduítes, protocolos, fronteiras de confiança e a consequência física que cada zona pode causar;
• usar o vocabulário de zonas e conduítes da ISA/IEC 62443 no nível do técnico;
• descrever como os serviços de água, saúde e eletricidade diferem tecnicamente — protocolos, tempos, sistemas de segurança e quem pode mudar o quê;
• marcar no modelo onde ficarão os controles e as detecções de cada capítulo seguinte.

Os Capítulos 1–5 foram os fundamentos gerais. Daqui em diante, o curso os aplica aos setores críticos. O modelo de sistema é o mapa do técnico: sem ele, uma regra de firewall, uma detecção ou uma etapa de resolução de problemas não tem a que se referir.

6.1 Zonas e conduítes

A série ISA/IEC 62443 agrupa ativos com requisitos de segurança semelhantes em zonas e os caminhos de comunicação entre elas em conduítes (ISA/IEC 62443 overview). As regras práticas que um técnico aplica:

• todo ativo pertence a exatamente uma zona;
• toda comunicação permitida entre zonas é um conduíte declarado, com propósito, protocolo, direção e responsável;
• o que não está declarado não é permitido e, se observado, é uma constatação (o Laboratório 17 e o Capítulo 11 verificam isso);
• a proteção de uma zona deve corresponder à pior consequência física dos ativos dentro dela.

A forma comum de um sistema supervisório — campo, controle, supervisão, DMZ de operações, corporativo — aparece na NIST SP 800-82 Rev. 3 como uma arquitetura de exemplo (SP 800-82 Rev. 3). Use-a como vocabulário, não como modelo pronto: uma instalação real tem exceções históricas, e o trabalho do modelo é mostrá-las.

6.2 O que registrar para cada elemento

Para cada ativo: nome, endereço, função, zona, responsável, versões de software e firmware, protocolos falados, método de gerência e a consequência física da perda ou do uso indevido. Para cada conduíte: zona de origem, zona de destino, protocolo e porta, direção de iniciação, propósito, responsável, ponto de aplicação (qual regra de firewall) e ponto de monitoramento (qual sensor o vê). Para cada fronteira de confiança: o que a atravessa e que verificações acontecem ali.

Para a eng-ws-15, registre que ela consegue programar RTUs e que a sua perda ou uso indevido tem consequência em toda a zona. Para cada conduíte, nomeie a regra de firewall que deveria aplicá-lo e o sensor que deveria vê-lo, para que uma verificação posterior saiba onde procurar. Não deixe nenhum ativo sem zona nem nenhum caminho permitido sem um responsável pelo conduíte.

6.3 Diferenças setoriais que importam no teclado

• Água: estações muito dispersas em enlaces celulares ou de rádio; telemetria Modbus ou DNP3; equipamentos de vida longa; operadores pequenos, com pessoal limitado. As consequências incluem perda de pressão, transbordamento e dosagem química incorreta. O alerta da CISA sobre ataques a CLPs Unitronics expostos à internet em sistemas de água lembra que exposição mais credenciais padrão é suficiente (CISA AA23-335A).
• Eletricidade: subestações com relés de proteção cujos tempos são medidos em milissegundos; telecontrole DNP3 ou IEC 60870-5-104 até um centro de controle; IEC 61850 dentro das subestações modernas; separação estrita entre as funções de proteção e as de supervisão. Um técnico nunca altera os ajustes de proteção; eles pertencem aos engenheiros de proteção.
• Saúde: sistemas de gestão predial (ventilação, pressão em quartos de isolamento, monitoramento de gases medicinais), redes de dispositivos clínicos e sistemas de TI num único edifício, muitas vezes compartilhando infraestrutura; a indisponibilidade afeta diretamente os pacientes, e as mudanças estão sujeitas à engenharia clínica e às instruções dos fabricantes dos dispositivos.

Nos três, os sistemas instrumentados de segurança e as funções de proteção são projetados para agir independentemente do sistema supervisório. O modelo do técnico os mostra como zonas separadas e nunca roteia tráfego de gerência através deles.

6.4 Exemplo resolvido: o modelo do KVROC (sintético)

Tabela da aula; deslize para ver todas as colunas →

Os conduítes declarados incluem: C1 Z2 scada-01 → Z1 tcp/502 varreduras de leitura; C2 Z2 eng-ws-15 → Z1 tcp/502 escritas durante janelas aprovadas; C3 Z5 jump-01 → Z2 tcp/22; C4 Z2 hist-02 → servidor de relatórios da Z6, envio (push) HTTPS do CSV diário. O Laboratório 2 já mostrou um caminho não declarado: mesa da Z6 → Z1 tcp/502. No modelo, ele aparece como uma linha vermelha com uma pergunta: que regra o permite, e desde quando? O Capítulo 10 responde.

6.5 Atividade prática

Estenda o modelo com dois conduítes para a Z3 (do fep-01 até a outstation e o caminho de suporte remoto do fornecedor) e um para a Z4. Para cada um, registre propósito, protocolo, iniciador, responsável, ponto de aplicação e ponto de monitoramento. Marque quais conduítes um único host comprometido da Z5 poderia abusar.

Para o caminho de suporte remoto do fornecedor até a Z3, registre se ele termina no host de salto ou se alcança a outstation diretamente. Para a Z4, marque que o KVROC tem apenas acesso de leitura. Depois liste quais desses conduítes um host de salto comprometido na Z5 conseguiria abrir, e quais controles ainda se aplicariam.

6.6 Erros comuns e limites

• Zonas desenhadas por sub-rede IP, e não por consequência e confiança.
• Conduítes sem responsáveis ou propósitos, que ninguém consegue remover depois.
• Omitir a zona de gerência porque ela é "TI".
• Modelar o sistema de segurança como um controlador comum.
• Um modelo que nunca é comparado com o tráfego observado; o Capítulo 11 faz isso.

• Copiar o modelo de zonas de outro local sem verificar quais dos seus conduítes realmente existem neste.

• Desenhar zonas apenas por sub-rede quando dois hosts da mesma sub-rede têm consequências diferentes.

• Colocar uma função de segurança ou de proteção na mesma zona que controladores supervisórios comuns.

Exercícios — capítulo 6

EX021 — Posicione os ativos. Objetivo: atribuir zonas pela consequência. Insumos: um roteador celular na KW-06; o gateway de suporte remoto do fornecedor para a SS-3; o servidor de relatórios; um notebook usado pelos engenheiros da Kestrel Water nas estações. Passos: atribuir cada um a uma zona (existente ou nova) e justificar. Evidência esperada: quatro posicionamentos. Rubrica: 3 = roteador na fronteira da Z1, com a sua gerência tratada com privilégio de nível Z5; gateway do fornecedor numa zona própria de acesso remoto, não na Z3; servidor de relatórios na Z6; notebook de engenharia como ativo transitório com controles próprios (Capítulo 16); 2 = um fraco; 1 = apenas por sub-rede; 0 = nada.

EX022 — Escreva um conduíte. Objetivo: declarar um caminho por completo. Insumos: o hist-02 precisa enviar um CSV diário ao servidor corporativo de relatórios. Passos: escrever a entrada do conduíte com todos os campos. Evidência esperada: uma entrada completa. Rubrica: 3 = iniciado a partir da Z2 para fora (push, não pull a partir do corporativo), HTTPS para um host e uma porta nomeados, propósito, responsável, regra de aplicação e ponto de monitoramento nomeados, data de revisão; 2 = falta um; 1 = "permitir hist para corporativo"; 0 = nada.

EX023 — Contraste setorial. Objetivo: reconhecer diferenças técnicas. Insumos: uma proposta de aplicar o mesmo cronograma semanal de patch e reinício ao scada-01, ao front end da SS-3 e ao servidor de gestão predial do hospital. Passos: explicar, para cada setor, o que precisa ser verificado primeiro. Evidência esperada: três parágrafos curtos. Rubrica: 3 = água: redundância e interrupção da varredura; rede elétrica: janelas de telecontrole combinadas com a sala de controle da rede, nenhum efeito sobre a proteção; hospital: restrições da engenharia clínica e do fabricante, continuidade dos alarmes de ventilação; 2 = genérico; 1 = aceita um único cronograma; 0 = nada.

EX024 — Modelo versus captura. Objetivo: comparar o declarado e o observado. Insumos: a saída do Laboratório 2 e a lista de conduítes da 6.4. Passos: listar todo fluxo observado que não é explicado por um conduíte declarado. Evidência esperada: lista com justificativas. Rubrica: 3 = as escritas da mesa corporativa (sem conduíte), possivelmente a consulta de identificação do dispositivo, se nenhum conduíte a cobrir, quadros malformados do scada-01 como anomalia a explicar; 2 = apenas as escritas; 1 = nada encontrado; 0 = nada.

Síntese do capítulo

O modelo de sistema une ativos, zonas, conduítes e consequências num único mapa. Ele diz o que deveria acontecer, para que qualquer outra coisa fique visível como constatação. Os setores diferem em protocolos, tempos e em quem pode mudar o quê, e as funções de segurança e de proteção ficam separadas de tudo o que um técnico toca.