Capítulo 10 — Correções e alertas de segurança
Mapa da aula
Aula 10 publicada. Mapa, exemplo, EX037.
flowchart TD
N0["10.1 De onde vêm os alertas"]
N1["10.2 Lendo um alerta"]
N2["10.3 Por que não corrigir imediatamente"]
N3["10.4 Registrando a decisão"]
N4["10.5 Atualizações de IHMs e notebooks"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX037"]
Desenho lógico
flowchart LR
N0["10.1 De onde vêm os alertas"]
N1["10.2 Lendo um alerta"]
N2["10.3 Por que não corrigir imediatamente"]
N3["10.4 Registrando a decisão"]
N4["10.5 Atualizações de IHMs e notebooks"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX037"]
[10.1 De onde vêm os alertas]
|
v
[10.2 Lendo um alerta]
|
v
[10.3 Por que não corrigir imediatamente]
|
v
[10.4 Registrando a decisão]
|
v
[10.5 Atualizações de IHMs e notebooks]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX037]
Objetivos de aprendizagem
Você vai (1) ler um alerta de ICS e encontrar os fatos que importam; (2) cruzar um alerta com o registro de ativos; e (3) explicar por que as plantas muitas vezes mitigam antes de corrigir.
10.1 De onde vêm os alertas
Os fornecedores e a CISA publicam alertas para produtos industriais; o índice da CISA os lista com os nomes dos produtos, as versões afetadas, o impacto e as mitigações. Um alerta é o ponto de partida, não a decisão.
Na HPFL, o engenheiro de controle e Tomás acompanham os alertas dos fabricantes do PLC-FILL, do PLC-WRAP, da HMI-1 e da VIS-CAM. Cruzar cada um com o registro de ativos lhes diz rapidamente se alguma ação é necessária, e são os campos de firmware do registro que tornam isso possível. Anote no registro de onde veio cada alerta e quando foi lido, e se foi revisado desde então.
10.2 Lendo um alerta
Encontre cinco fatos: produto e modelo, versões afetadas, o que um atacante poderia fazer, se é preciso acesso pela rede ou físico e a correção ou contorno do fornecedor. Depois consulte o registro de ativos: temos esse modelo, nessa versão, alcançável dessa forma?
Na HPFL, o alerta que afetava o PLC-WRAP exigia acesso pela rede à sua porta de programação, e o FW-1 já só permitia isso a partir do ENG-LT. Responder às cinco perguntas deixou isso claro em minutos. Registre as respostas no registro do alerta, mesmo quando o resultado for que nenhuma ação é necessária.
10.3 Por que não corrigir imediatamente
Uma atualização de firmware num CLP o para, pode mudar o comportamento e precisa ser testada com o programa. As fábricas de alimentos também precisam de verificações de qualidade depois de mudanças. Por isso, a ordem habitual é: confirmar a exposição, aplicar rapidamente uma mitigação (por exemplo, bloquear o serviço vulnerável no firewall) e depois agendar a correção para uma parada planejada, com um plano de reversão.
Na HPFL, a mitigação para o PLC-WRAP já estava em vigor no FW-1, e a correção foi agendada para uma parada planejada três semanas depois. O plano de reversão deve nomear o programa salvo e a versão de firmware à qual voltar se a atualização causar problemas.
10.4 Registrando a decisão
Cada alerta recebe um registro: aplica-se ou não, por quê, mitigação, data planejada da correção, responsável. Uma decisão de não corrigir, com as razões e uma data de revisão, continua sendo uma decisão.
Mantenha os registros num só lugar, ligados ao registro de ativos, para que um leitor posterior veja quais alertas foram considerados e por quê. Revise mensalmente os itens em aberto. Um registro sem data de revisão tende a ser esquecido. Na HPFL, o registro do alerta do PLC-WRAP nomeou a regra já existente do FW-1 como mitigação e deu a data da parada planejada para a correção. Quando a correção for aplicada, o registro é encerrado com a nova versão de firmware.
10.5 Atualizações de IHMs e notebooks
As IHMs baseadas em Windows e o ENG-LT também precisam de atualizações do sistema operacional, mas apenas das aprovadas pelo fornecedor da IHM, instaladas durante paradas planejadas.
Pergunte ao fornecedor da IHM quais atualizações estão aprovadas e registre cada atualização no registro de ativos e no chamado de mudança. Depois de atualizar, teste se as telas mostram os valores corretos e se a HMI-1 ainda se comunica com os dois CLPs. As atualizações do ENG-LT seguem a mesma abordagem planejada. Guarde a imagem anterior ou um ponto de restauração, para que a atualização possa ser desfeita se as telas ou a comunicação falharem. Nunca deixe uma IHM se atualizar sozinha pela internet; isso exigiria uma conexão que a linha não deve ter.
Exemplo resolvido (HPFL sintética)
Um alerta sintético afirma que o firmware 2.0 do modelo de CLP da embaladora permite mudanças de programa sem autenticação pela rede. O registro de ativos (depois do Capítulo 5) diz que o PLC-WRAP roda o 2.0. O engenheiro de controle confirma que o FW-1 já bloqueia a porta de programação para tudo, exceto o ENG-LT, registra isso como mitigação e agenda o firmware 2.3 para a próxima parada planejada, em três semanas.
Caso sintético — HPFL. O alerta e as versões são inventados; os alertas reais estão em cisa.gov.
Erros e limites
Os alertas podem ser revisados; confira de novo antes de agir. As versões podem aparecer escritas de forma diferente nas etiquetas e no software.
Exercícios
- EX037 — Cinco fatos. Liste os cinco fatos a extrair de um alerta. Rubrica: 3 = produto/modelo, versões, impacto, acesso necessário, correção/contorno; 2 = quatro; 1 = dois; 0 = nenhum.
- EX038 — Aplica-se? Um alerta afeta as versões anteriores à 2.2 do modelo do PLC-FILL; o PLC-FILL roda a 3.2. Aplica-se? Rubrica: 3 = não, a 3.2 é posterior; registrar como não aplicável, com a razão; 2 = não; 1 = sim; 0 = nenhum.
- EX039 — Mitigar primeiro. Por que o engenheiro mitiga no FW-1 antes de corrigir o PLC-WRAP? Rubrica: 3 = a correção exige parada/testes/qualidade; o firewall reduz a exposição agora; 2 = um; 1 = "preguiça"; 0 = nenhum.
- EX040 — Registro de uma correção adiada. Escreva o registro do alerta para o PLC-WRAP. Rubrica: 3 = aplica-se, razão, mitigação, data planejada, responsável, revisão; 2 = a maioria; 1 = "corrigir depois"; 0 = nenhum.
Síntese
Os alertas são cruzados com o registro de ativos, mitigados rapidamente e corrigidos numa parada planejada e testada.
Continue estudando — capítulo 10 de 18
← Capítulo 09 · Índice de capítulos do curso · Capítulo 11 →
Siga para a próxima lição escrita.