Capítulo 12 — Segmentação e regras de firewall

Mapa da aula

Aula 12 publicada. Mapa, exemplo, EX045.

flowchart TD
  N0["12.1 Zonas e conduítes"]
  N1["12.2 A DMZ"]
  N2["12.3 Lendo as regras"]
  N3["12.4 Regras fracas"]
  N4["12.5 Não edite por conta própria"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX045"]

Desenho lógico

flowchart LR
  N0["12.1 Zonas e conduítes"]
  N1["12.2 A DMZ"]
  N2["12.3 Lendo as regras"]
  N3["12.4 Regras fracas"]
  N4["12.5 Não edite por conta própria"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX045"]

[12.1 Zonas e conduítes]
    |
    v
[12.2 A DMZ]
    |
    v
[12.3 Lendo as regras]
    |
    v
[12.4 Regras fracas]
    |
    v
[12.5 Não edite por conta própria]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX045]

Objetivos de aprendizagem

Você vai (1) explicar em palavras simples as zonas e os conduítes da IEC 62443; (2) ler uma tabela de regras de firewall; e (3) identificar regras que enfraquecem a segmentação.

12.1 Zonas e conduítes

A IEC 62443 agrupa ativos com necessidades de segurança semelhantes em zonas e chama de conduítes as conexões controladas entre elas. Na HPFL: a zona da linha (CLPs, IHM, câmera), uma DMZ (cópia do historiador, gateway de acesso remoto, servidor de transferência de arquivos) e a zona de escritório. O tráfego só atravessa por conduítes protegidos por firewall e documentados.

Escreva cada conduíte com o seu propósito, o tráfego que permite e o seu responsável. Na HPFL, os conduítes são a linha enviando dados ao historiador na DMZ, o ENG-LT alcançando os CLPs e o acesso de fornecedores pelo gateway na DMZ. Qualquer outra coisa que atravesse a fronteira de uma zona é uma constatação.

12.2 A DMZ

Os usuários do escritório querem dados de produção; a linha não deve aceitar conexões do escritório. Por isso, a linha envia os dados a um servidor na DMZ, e o escritório os lê ali. Assim, nenhuma conexão precisa ir diretamente do escritório para a linha.

Na HPFL, a linha envia os dados à cópia do historiador na DMZ, e os usuários do escritório os leem ali. O acesso de fornecedores e a transferência de arquivos também chegam na DMZ. Assim, o FW-1 não precisa de nenhuma regra que deixe máquinas do escritório entrarem diretamente na linha, que é exatamente o tipo de regra que o exemplo resolvido abaixo remove.

12.3 Lendo as regras

Cada regra tem origem, destino, porta e ação, lidas de cima para baixo; a primeira correspondência vale. Uma última regra "negar tudo" faz com que tudo o que não estiver listado seja bloqueado.

Ler de cima para baixo importa porque uma regra ampla de permissão colocada acima de uma negação estreita torna a negação inútil. Ao revisar uma tabela, pergunte para cada regra: quem é o dono, por que existe e se uma regra acima dela já decide o mesmo tráfego. A tabela do FW-1 na HPFL tem quatro regras, o que facilita praticar.

12.4 Regras fracas

Procure origens "any", faixas amplas de portas, regras sem comentário ou sem dono e regras temporárias que nunca foram removidas. Cada uma deve ser questionada e justificada ou removida pelo controle de mudanças.

Na HPFL, a regra 3, de qualquer origem do escritório para qualquer destino da linha, marcada como temporária de 2025, mostrava todos esses sinais de alerta ao mesmo tempo. Ela foi removida pelo controle de mudanças e testada na parada seguinte. Registre cada pergunta levantada e a sua resposta, para que uma regra removida não seja depois acrescentada de novo sem revisão.

12.5 Não edite por conta própria

As mudanças no firewall são feitas pelo dono da rede, com um chamado de mudança e um plano de reversão; uma regra errada pode parar a linha.

Se encontrar uma regra fraca, relate-a com o número da regra e a sua razão. O dono da rede decide como mudá-la, prepara uma reversão e testa numa parada planejada. O seu papel é perceber e explicar o risco. Na HPFL, o dono da rede só removeu a regra 3 depois de abrir uma mudança e combinar um teste na parada seguinte. Uma regra alterada por outra pessoa, por mais bem-intencionada, não deixa registro nem reversão e pode parar a linha.

Exemplo resolvido (HPFL sintética)

Tomás revisa a tabela do FW-1 com o dono da rede. A regra 1 permite o ENG-LT até a porta de programação dos CLPs; a regra 2 deixa a linha enviar dados ao historiador na DMZ; a regra 3, "office any → line any allow — temp 2025", não tem dono. A regra 4 nega tudo. Eles abrem uma mudança para apagar a regra 3, testam na parada seguinte, e depois disso a linha funciona normalmente.

Caso sintético — HPFL. A tabela de regras é inventada.

Erros e limites

Uma boa tabela de regras pode ser anulada por um switch ou modem não gerenciado que contorne o firewall; as vistorias e os diagramas complementam a revisão das regras.

Exercícios

• EX045 — Zonas da HPFL. Nomeie as três zonas da HPFL e um ativo em cada uma.
  Mostrar critérios de avaliação

  Rubrica: 3 = linha/DMZ/escritório com ativos corretos; 2 = duas; 1 = uma; 0 = nenhum.
• EX046 — Primeira correspondência. Com a regra 3 acima da regra 4, o que acontece com o tráfego do escritório para a HMI-1?
  Mostrar critérios de avaliação

  Rubrica: 3 = permitido pela regra 3 antes que a negação se aplique; 2 = permitido; 1 = negado; 0 = nenhum.
• EX047 — Por que uma DMZ. Explique como a DMZ permite que a equipe do escritório veja dados de produção sem se conectar à linha.
  Mostrar critérios de avaliação

  Rubrica: 3 = a linha envia ao servidor da DMZ, o escritório lê ali, nenhuma regra escritório→linha; 2 = parcial; 1 = "é mais seguro"; 0 = nenhum.
• EX048 — Remover uma regra. Descreva os passos seguros para remover a regra 3.
  Mostrar critérios de avaliação

  Rubrica: 3 = chamado de mudança, o dono confirma, janela planejada, reversão, teste, registro; 2 = alguns; 1 = apagar agora; 0 = nenhum.

Síntese

As zonas são separadas por conduítes documentados e com dono; regras amplas ou sem dono são removidas pelo controle de mudanças.