Capítulo 16 — Recuperação e retorno à produção

Mapa da aula

Aula 16 publicada. Mapa, exemplo, EX061.

flowchart TD
  N0["16.1 Ordem da recuperação"]
  N1["16.2 Verificação antes de religar"]
  N2["16.3 Vigiar depois"]
  N3["16.4 Lições aprendidas"]
  N4["16.5 Guarda de registros"]
  N5["16.6 Comunicar o retorno"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX061"]

Desenho lógico

flowchart LR
  N0["16.1 Ordem da recuperação"]
  N1["16.2 Verificação antes de religar"]
  N2["16.3 Vigiar depois"]
  N3["16.4 Lições aprendidas"]
  N4["16.5 Guarda de registros"]
  N5["16.6 Comunicar o retorno"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX061"]

[16.1 Ordem da recuperação]
    |
    v
[16.2 Verificação antes de religar]
    |
    v
[16.3 Vigiar depois]
    |
    v
[16.4 Lições aprendidas]
    |
    v
[16.5 Guarda de registros]
    |
    v
[16.6 Comunicar o retorno]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX061]

Objetivos de aprendizagem

Você vai (1) descrever os passos para restaurar uma linha depois de um incidente; (2) verificar os sistemas restaurados antes de religar; e (3) explicar por que as lições aprendidas precisam mudar alguma coisa.

16.1 Ordem da recuperação

A recuperação é planejada pelo líder do incidente, pelo engenheiro de controle e pelas operações. Normalmente: confirmar que a causa está contida, reconstruir os computadores afetados a partir de imagens íntegras conhecidas, restaurar os programas dos CLPs a partir de cópias verificadas (Capítulo 11), trocar as senhas que possam ter sido expostas e, depois, testar.

Na HPFL, a HMI-1 foi reconstruída a partir da imagem do fornecedor, os dois programas dos CLPs foram comparados com cópias correspondentes e a senha de administrador foi trocada. Seguir a ordem evita religar com um problema ainda presente. Cada passo é registrado com o horário e a pessoa que o executou.

16.2 Verificação antes de religar

Compare os programas restaurados dos CLPs com as cópias verificadas, confira se as telas da IHM mostram valores corretos em relação aos instrumentos locais, confirme que as regras do firewall correspondem à tabela aprovada e rode a linha vazia num ciclo de teste. A qualidade aprova antes que o produto passe.

Na HPFL, o ciclo de teste rodou vazio por 30 minutos, e a qualidade aprovou às 11:20, antes de a produção ser retomada. Registre cada verificação e o seu resultado no arquivo do incidente. Se alguma verificação falhar, a linha não religa até que a causa seja entendida. O arquivo mostra então quem aprovou o religamento e com base em quais evidências.

16.3 Vigiar depois

Os atacantes às vezes voltam. Durante dias depois de religar, vigie mais de perto os logins, as sessões remotas e os dispositivos novos, e relate imediatamente qualquer coisa incomum.

Combine com o supervisor quanto tempo dura o período de vigilância e quem revisa os registros a cada dia. Na HPFL, a reunião de lições aprendidas encontrou uma porta de área de trabalho remota alcançável pela internet, aberta por um empreiteiro, o que torna especialmente importante vigiar de perto as sessões remotas. Relate qualquer coisa incomum ao líder do incidente, não só ao seu turno. Anote no arquivo do incidente a data de fim do período de vigilância, para que ele não caduque em silêncio.

16.4 Lições aprendidas

Uma reunião curta, em até duas semanas, responde: o que aconteceu, o que funcionou, o que não funcionou, o que muda. Cada mudança tem um responsável e uma data. Uma sessão de lições aprendidas que não muda nada fracassou.

Na HPFL, a reunião de lições aprendidas atribuiu ao dono da rede o fechamento da porta de área de trabalho remota da HMI-1 e uma verificação mensal. Cada ação é acompanhada até ser concluída e mostrar-se eficaz, e as notas da reunião são guardadas com o arquivo do incidente. Convide os operadores que estavam no turno; eles muitas vezes sabem o que funcionou.

16.5 Guarda de registros

Mantenha juntos a linha do tempo, as fotografias, as decisões e os resultados dos testes. Eles sustentam o seguro, os reguladores e a próxima melhoria.

Guarde os registros juntos numa pasta ou num chamado, com acesso limitado a quem precisa deles. Inclua o primeiro relato, as suas correções, as fotografias e os resultados do ciclo de teste. A próxima vistoria pode então verificar se as lições foram aplicadas. Guarde os registros pelo tempo que a política da instalação exigir e anote quem pode lê-los. Quando uma seguradora ou um regulador fizer uma pergunta meses depois, a resposta deve vir desses registros, e não da memória, que se apaga depressa.

16.6 Comunicar o retorno

Diga a todos os turnos o que mudou: senhas novas, telas que parecem diferentes e quais sinais incomuns relatar durante o período de vigilância.

Na HPFL, isso significou dizer a todos os turnos que a senha de administrador tinha mudado e que sessões remotas inesperadas ou dispositivos novos deviam ser relatados. Uma nota escrita curta deixada na HMI-1, sem senhas, ajuda quem perdeu o briefing. Faça o briefing dos dois turnos seguintes pessoalmente, se possível, e peça que confirmem que entenderam. As perguntas levantadas nesses briefings muitas vezes mostram onde o procedimento precisa ficar mais claro, então registre-as também.

Exemplo resolvido (HPFL sintética)

Depois do incidente de resgate, a HMI-1 é reconstruída a partir da imagem do fornecedor; os dois programas dos CLPs são comparados com cópias correspondentes e encontrados inalterados. A senha de administrador é trocada. Um ciclo de teste roda vazio por 30 minutos, a qualidade aprova às 11:20 e a produção é retomada. A reunião de lições aprendidas descobre que a HMI-1 tinha uma porta de área de trabalho remota alcançável pela internet, aberta por um empreiteiro; a ação — fechá-la e acrescentar uma verificação mensal — é atribuída ao dono da rede.

Caso sintético — HPFL. A recuperação é inventada.

Erros e limites

Restaurar a partir de uma cópia feita depois do comprometimento recarrega o problema; datas e hashes verificados importam. A pressão para religar depressa é real; o ciclo de teste é inegociável.

Exercícios

• EX061 — Ordem da recuperação. Ponha em ordem: ciclo de teste; reconstruir a IHM; aprovação da qualidade; trocar as senhas; confirmar a contenção.
  Mostrar critérios de avaliação

  Rubrica: 3 = contenção, reconstrução, senhas, teste, aprovação; 2 = quase; 1 = aleatório; 0 = nenhum.
• EX062 — Verificações. Nomeie três verificações antes de religar a linha.
  Mostrar critérios de avaliação

  Rubrica: 3 = programas vs cópia verificada, IHM vs instrumentos, regras do firewall, ciclo de teste vazio; 2 = duas; 1 = uma; 0 = nenhum.
• EX063 — Cópia ruim. Por que restaurar uma cópia do dia do incidente poderia ser um erro?
  Mostrar critérios de avaliação

  Rubrica: 3 = pode conter a mudança do atacante; usar a cópia verificada de antes do incidente; 2 = parcial; 1 = sem problema; 0 = nenhum.
• EX064 — Transformar uma lição em ação. Escreva a ação da reunião de lições aprendidas da HPFL no formato responsável/data.
  Mostrar critérios de avaliação

  Rubrica: 3 = fechar a porta de RDP + verificação mensal, dono da rede, data; 2 = sem responsável/data; 1 = "ter cuidado"; 0 = nenhum.

Síntese

Recupere em ordem, verifique antes de religar, vigie depois e transforme as lições em ações com dono.