Capítulo 14 — Reconhecer comportamento anormal
Mapa da aula
Aula 14 publicada. Mapa, exemplo, EX053.
flowchart TD
N0["14.1 Conhecer o normal"]
N1["14.2 Sinais a relatar"]
N2["14.3 Dar nome ao que você viu"]
N3["14.4 Falha ou ataque?"]
N4["14.5 O que não fazer"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX053"]
Desenho lógico
flowchart LR
N0["14.1 Conhecer o normal"]
N1["14.2 Sinais a relatar"]
N2["14.3 Dar nome ao que você viu"]
N3["14.4 Falha ou ataque?"]
N4["14.5 O que não fazer"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX053"]
[14.1 Conhecer o normal]
|
v
[14.2 Sinais a relatar]
|
v
[14.3 Dar nome ao que você viu]
|
v
[14.4 Falha ou ataque?]
|
v
[14.5 O que não fazer]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX053]
Objetivos de aprendizagem
Você vai (1) descrever como é o normal da linha da HPFL; (2) reconhecer sinais que podem indicar um ataque ou uma falha; e (3) usar os nomes do ATT&CK for ICS para descrever o que viu.
14.1 Conhecer o normal
Os operadores conhecem o som, o ritmo e as telas da linha. Os técnicos acrescentam o normal da rede e dos sistemas: quais dispositivos conversam, quais contas entram, com que frequência os programas mudam. Ponha isso por escrito; o "normal" guardado só na cabeça das pessoas desaparece nas trocas de turno.
Na HPFL, Tomás já anotou que as escritas vêm só da HMI-1 e do ENG-LT. Anotações semelhantes podem cobrir os horários típicos de login, a frequência com que os programas dos CLPs mudam e quais dispositivos aparecem na rede. Guarde-as no registro de ativos ou num documento compartilhado, datadas e atualizadas depois de mudanças.
14.2 Sinais a relatar
Um setpoint muda sem que ninguém aperte um botão. As telas da IHM congelam ou mostram valores que discordam dos instrumentos locais. Um download de programa aparece no registro sem um trabalho correspondente. Um dispositivo novo aparece na rede. Ocorrem sessões remotas fora de um chamado. A linha para sem causa mecânica.
Relate qualquer um desses com o horário, o dispositivo e o que você viu, e anexe fotografias ou linhas de registro quando puder. Na HPFL, uma divergência entre a HMI-1 e um termômetro portátil revelou-se um sensor com defeito, mas o relato ainda assim levou a um diagnóstico rápido.
14.3 Dar nome ao que você viu
O MITRE ATT&CK for ICS oferece nomes compartilhados: T0836 Modify Parameter para setpoints alterados, T0886 Remote Services para o uso indevido do acesso remoto, T0843 Program Download para mudanças inesperadas na lógica. Usar esses nomes num relato ajuda a equipe de segurança, mas relate o que observou, não um palpite sobre o atacante.
Os nomes ajudam quando os relatos são comparados entre turnos ou instalações. Escreva primeiro a observação e depois o nome da técnica, se couber: por exemplo, velocidade da embaladora alterada de 120 para 180 pelo admin às 07:45, o que corresponde a Modify Parameter. Deixe a intenção e a atribuição para a equipe de segurança.
14.4 Falha ou ataque?
A maioria dos eventos anormais são falhas ou erros. Isso não importa de início: a resposta é a mesma — manter as pessoas seguras, preservar as evidências, relatar. A causa é decidida depois.
Na HPFL, a divergência de temperatura era um sensor com defeito, e a mudança de velocidade era um ajuste bem-intencionado de um operador. Os dois foram tratados com os mesmos passos: deixar seguro, registrar, relatar. A causa foi encontrada depois, com as evidências que tinham sido guardadas. Tratar todo evento da mesma forma também evita constrangimentos: ninguém é acusado, e nada é descartado cedo demais.
14.5 O que não fazer
Não reinicie dispositivos, não apague registros, não desconecte cabos nem "conserte" valores antes que o supervisor e o engenheiro concordem; você poderia destruir as evidências do que aconteceu ou criar um novo perigo.
O supervisor decide se a linha continua funcionando; o engenheiro decide como examinar os dispositivos. A sua parte é fotografar, anotar o horário e ligar. Se um perigo exigir ação imediata, siga os procedimentos normais de segurança e registre o que fez. Na HPFL, Tomás não reinicializou o sensor. Essa contenção preservou as evidências que depois mostraram a causa.
Exemplo resolvido (HPFL sintética)
A HMI-1 mostra a enchedora em temperatura normal, mas o termômetro portátil do operador marca 12 °C a mais. Tomás fotografa as duas leituras, anota o horário e liga para o supervisor, que para a enchedora com segurança. Depois, o engenheiro encontra um sensor com defeito — uma falha, não um ataque —, mas as evidências tornaram o diagnóstico rápido.
Caso sintético — HPFL. As leituras são inventadas.
Erros e limites
Uma lista de sinais nunca é completa; confie nos operadores experientes que dizem "isto não está certo". O ATT&CK descreve técnicas, não certezas sobre a intenção.
Exercícios
- EX053 — A IHM discorda do instrumento. O que uma diferença entre a IHM e um instrumento local sugere, e qual é a primeira ação? Rubrica: 3 = falha de sensor ou tela manipulada; manter seguro/parar via supervisor, registrar evidências; 2 = uma parte; 1 = confiar na IHM; 0 = nenhum.
- EX054 — Associar técnicas. Associe ao ATT&CK for ICS: (a) download de programa não planejado; (b) sessão de fornecedor fora de chamado; (c) valor de velocidade alterado. Rubrica: 3 = T0843, T0886, T0836; 2 = dois; 1 = um; 0 = nenhum.
- EX055 — A mesma resposta. Por que a resposta inicial é a mesma para uma falha e para um ataque? Rubrica: 3 = segurança e evidências primeiro, causa desconhecida no início; 2 = parcial; 1 = "não é"; 0 = nenhum.
- EX056 — Pôr o normal por escrito. Dê três itens para uma folha de "normal" da HPFL. Rubrica: 3 = três itens específicos (quem conversa com quem, padrão de logins, frequência de mudanças etc.); 2 = dois; 1 = vago; 0 = nenhum.
Síntese
Conhecer o normal permite perceber o anormal; responda pela segurança e pelas evidências antes de decidir a causa.
Continue estudando — capítulo 14 de 18
← Capítulo 13 · Índice de capítulos do curso · Capítulo 15 →
Siga para a próxima lição escrita.