◇ OpenCyber Academy
Técnico · Capítulo 18 · Português

Capítulo 18 — Projeto final: uma vistoria de segurança da linha

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 18 — Projeto final: uma vistoria de segurança da linha

Mapa da aula

Aula 18 publicada. Mapa, exemplo, EX069.

flowchart TD
  N0["18.1 Planejamento"]
  N1["18.2 O que verificar"]
  N2["18.3 Escrever as constatações"]
  N3["18.4 Priorizar"]
  N4["18.5 Acompanhamento"]
  N5["18.6 Apresentar ao supervisor"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX069"]

Desenho lógico

flowchart LR
  N0["18.1 Planejamento"]
  N1["18.2 O que verificar"]
  N2["18.3 Escrever as constatações"]
  N3["18.4 Priorizar"]
  N4["18.5 Acompanhamento"]
  N5["18.6 Apresentar ao supervisor"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX069"]

[18.1 Planejamento]
    |
    v
[18.2 O que verificar]
    |
    v
[18.3 Escrever as constatações]
    |
    v
[18.4 Priorizar]
    |
    v
[18.5 Acompanhamento]
    |
    v
[18.6 Apresentar ao supervisor]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX069]

Objetivos de aprendizagem

Você vai (1) combinar as habilidades do livro numa vistoria planejada; (2) produzir uma lista curta de constatações com prioridades; e (3) apresentá-la ao supervisor e ao engenheiro.

18.1 Planejamento

Combine com o supervisor o escopo, a data e a permissão: quais armários, quais registros, nenhuma conexão a dispositivos, condições de parada. Leve o registro de ativos, o desenho da rede, a tabela de regras e os registros de mídias e de acesso remoto.

Escreva o plano na permissão: a janela de tempo, os armários a serem abertos por um eletricista, os registros a verificar e as condições de parada. Na HPFL, a vistoria teve uma permissão de duas horas. Combine de antemão quem vai receber as constatações e quando. Marque a data com bastante antecedência, para que as operações possam se planejar.

18.2 O que verificar

Físico: armários trancados, nenhum modem ou switch sem explicação, nenhuma senha nos painéis, nenhum pen drive solto. Registros: registro de ativos completo, cópias recentes e hashes correspondentes, alertas registrados, mudanças encerradas. Acesso: contas de fornecedores desabilitadas fora das sessões, uso de administrador limitado.

Use uma lista de verificação, para que nada passe e para que a próxima vistoria possa ser comparada com esta. Na HPFL, a lista de verificação levou Tomás ao modem no armário da enchedora, às assinaturas antigas do antimalware do ENG-LT, ao desenho desatualizado e a um pen drive de receita ausente do livro de mídias.

18.3 Escrever as constatações

Cada constatação: o que você viu, onde, por que importa (consequência), a correção sugerida, o responsável. Guarde as evidências (fotografias, trechos de registros) junto com ela.

Escreva as constatações durante a vistoria ou logo depois, enquanto os detalhes estão frescos. Na HPFL, a constatação do modem celular incluiu a sua localização no armário da enchedora, uma fotografia e a consequência de que alguém poderia alcançar a enchedora de fora. Cada constatação precisa de um responsável que concorde em agir. Mantenha cada constatação em poucas linhas, para que possa ser lida depressa na reunião. Separe o que você viu do que acha que significa.

18.4 Priorizar

Ordene pela consequência e pela facilidade: qualquer coisa que dê um caminho não revisado até os CLPs vem primeiro; as arrumações, por último. Apresente com clareza as três primeiras; listas longas escondem os itens importantes.

Na HPFL, o modem veio primeiro, porque era um caminho não revisado até um CLP. As assinaturas antigas do antimalware do ENG-LT vieram em segundo, porque esse notebook programa os CLPs. O pen drive ausente e o desenho desatualizado vieram em seguida. Escreva uma razão de uma linha para cada posição. Combine a ordem com o supervisor, que pode conhecer razões de produção para mudá-la.

18.5 Acompanhamento

Combine responsáveis e datas na reunião e depois verifique o progresso mensalmente.

Registre os responsáveis e as datas numa lista curta compartilhada com o supervisor. A cada verificação mensal, anote o que foi concluído e o que atrasou, com o motivo. Na HPFL, a próxima vistoria deve começar confirmando que o modem do armário da enchedora foi desconectado ou posto sob controle. As constatações que continuam atrasando são levadas ao supervisor, em vez de serem carregadas adiante em silêncio. Encerre cada item apenas com evidência de que foi feito.

18.6 Apresentar ao supervisor

Use linguagem simples e as consequências com que o supervisor se importa: "este modem pode deixar alguém mudar a enchedora de fora" funciona melhor do que nomes de protocolos. Leve fotografias, limite-se a dez minutos e termine com as decisões de que precisa: responsável, data e qualquer janela de produção. Agradeça aos operadores que ajudaram; a cooperação deles decide se a próxima vistoria será bem-vinda.

Envie depois um resumo escrito curto com as constatações, os responsáveis e as datas. Guarde uma cópia do resumo com as evidências da vistoria, para que a próxima vistoria possa começar verificando o que mudou desde então. Se o supervisor não concordar com uma posição da lista, registre a discordância e o motivo.

Exemplo resolvido (HPFL sintética)

A vistoria de Tomás, sob uma permissão de duas horas, encontra: (1) um modem celular conectado dentro do armário da enchedora e ausente do registro de ativos; (2) assinaturas do antimalware do ENG-LT com 40 dias; (3) o desenho da rede na revisão 3, enquanto a VLAN de IoT existe apenas nos rascunhos da revisão 4; (4) um pen drive de receita ausente do livro de mídias. Ele classifica o modem em primeiro, o notebook em segundo, o pen drive em terceiro e o desenho em quarto, e o supervisor atribui os responsáveis.

Caso sintético — HPFL. As constatações são inventadas.

Erros e limites

Uma vistoria é um retrato instantâneo; os problemas voltam sem repetição regular. Ela não substitui uma avaliação profissional segundo a IEC 62443.

Exercícios

Síntese

Uma vistoria planejada liga inventário, acesso, cópias de segurança, mudanças e evidências em correções classificadas e com dono.

Continue estudando — capítulo 18 de 18

← Capítulo 17 · Índice de capítulos do curso · Resoluções →

Siga para a próxima lição escrita.

Resoluções

Respostas-modelo para EX001–EX072. A Harbor Point Food Packaging Line, Tomás Reyes e todos os números são sintéticos. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.

EX001. O PLC-FILL controla a enchedora; o PLC-WRAP aciona os motores e os aquecedores da embaladora; a HMI-1 mostra o estado e recebe os comandos dos operadores; a VIS-CAM inspeciona as selagens e rejeita as embalagens ruins; o ENG-LT guarda e altera os programas dos CLPs.

EX002. Reiniciar um PC de escritório perde no máximo o trabalho não salvo, enquanto reiniciar o PLC-WRAP para motores e aquecedores no meio do ciclo, pode emperrar o filme ou deixar o produto inseguro, e precisa seguir o procedimento de parada da linha com a concordância das operações.

EX003. Uma temperatura de selagem muito mais alta pode chamuscar o filme, iniciar um incêndio ou queimar um trabalhador que esteja desobstruindo um emperramento, e pode produzir embalagens danificadas ou mal seladas que precisam ser rejeitadas como riscos à segurança dos alimentos.

EX004. T0836 Modify Parameter; sim — um operador que digita um valor errado causa o mesmo efeito físico, e é por isso que as mudanças são registradas e verificadas, seja qual for a causa.

EX005. Recusar e interromper o plano: a cortina de luz é uma função de segurança que nunca deve ser contornada para trabalho de segurança cibernética; relatar a sugestão ao supervisor e encontrar uma abordagem de teste que deixe a segurança intacta, como observar a partir de uma porta espelhada durante uma parada planejada.

EX006. Um notebook conectado pode fazer broadcast, solicitar endereços ou rodar software que envia tráfego ao PLC-WRAP, o que pode deixar a comunicação dele mais lenta ou alterar a lógica; assim, o processo pode ser afetado, e o trabalho precisa ser planejado e autorizado.

EX007. (a) O supervisor do turno; (b) o engenheiro de controle, dono dos programas dos CLPs; (c) o gerente de qualidade.

EX008. Parar se o supervisor ou um operador pedir; parar se algum condutor energizado ou peça móvel ficar exposto além da vista combinada; parar se um alarme sem explicação aparecer na HMI-1 enquanto a porta estiver aberta.

EX009. Não. Com máscara /24, os três primeiros octetos são a rede; 10.20.1 e 10.20.2 diferem, então o tráfego entre eles precisa passar por um roteador ou firewall.

EX010. A impressora ficaria na VLAN da linha com alcance direto aos CLPs e à HMI-1, contornando as regras do FW-1; qualquer comprometimento da impressora, ou usuários do escritório imprimindo nela, criaria um caminho que ninguém revisou.

EX011. "ENG-LT (o seu endereço de escritório) → PLC-FILL e PLC-WRAP apenas na porta de programação, permitir", seguida de "qualquer → 10.20.1.0/24 negar", para que nada mais do escritório alcance a linha.

EX012. Qualquer pessoa com um cabo pode entrar na rede da linha por ele, ele não tem VLANs nem registros, e pode ligar o armário a dispositivos que não estão em nenhum desenho; assim, cria conexões que ninguém revisa.

EX013. Ele define imediatamente o valor de velocidade da embaladora como 180; o motor acelera sem nenhuma confirmação adicional, o que pode causar emperramentos ou tensão insegura no filme.

EX014. O Modbus clássico não verifica identidade, então qualquer coisa que alcance a porta 502 pode ler e possivelmente escrever valores do PLC-FILL; um tablet de fornecedor não gerenciado poderia alterar a enchedora por engano ou se estivesse comprometido.

EX015. (b) A VIS-CAM escrevendo no PLC-WRAP: a câmera só deve enviar sinais de rejeição pelo seu caminho definido, e uma escrita vinda dela está fora do padrão esperado da HMI-1 e do ENG-LT.

EX016. Num simulador de protocolo ou num CLP de laboratório numa bancada isolada, porque qualquer requisição à linha pode alterar saídas reais e parar ou pôr em perigo a produção.

EX017. A versão do firmware (para comparar com os alertas) e a marca e o modelo exatos (os alertas citam produtos específicos); sem eles, não é possível decidir se o PLC-WRAP é afetado.

EX018. complete: 4 of 5 — a HMI-1 passa a OK, mas o PLC-WRAP ainda imprime MISSING fw.

EX019. Um chamado de mudança que instala, move ou substitui um dispositivo não pode ser encerrado até que o registro do ativo seja atualizado e o nome de quem o atualizou seja anotado no chamado.

EX020. Ele lista o endereço, o modelo e o firmware de cada dispositivo, o que diz a um atacante exatamente quais alvos existem e quais fraquezas conhecidas tentar.

EX021. Todas as ações aparecem sob um único nome, então o registro não consegue mostrar qual pessoa alterou um valor de referência; os investigadores precisam reconstruí-lo a partir das escalas dos turnos e da memória, o que é lento e pouco confiável.

EX022. As senhas padrão estão em manuais públicos, e linhas "isoladas" ainda recebem notebooks de empreiteiros, dispositivos USB e conexões remotas; qualquer pessoa com algum alcance consegue entrar sem esforço.

EX023. Fotografar o bilhete como evidência, removê-lo, avisar o supervisor e o engenheiro de controle e escrever um relato curto; o engenheiro troca a senha numa parada planejada e revisa os logins recentes de administrador.

EX024. Não. O monitoramento de rotina precisa apenas de direitos de visualização; usar administrador diariamente torna mais prováveis as mudanças acidentais e os danos de uma sessão roubada, então o administrador fica reservado ao trabalho planejado.

EX025. Deixá-lo desconectado, anotar onde e quando foi encontrado e entregá-lo à segurança ou ao supervisor; pen drives deixados com rótulos tentadores são um truque conhecido para levar alguém a conectá-los.

EX026. Identificador do pen drive, nomes dos arquivos, resultado da varredura, a pessoa que o manuseou e a data e a hora.

EX027. "Limpo" significa que o antivírus não encontrou malware conhecido; malware novo ou não reconhecido ainda pode passar, então o arquivo tem risco menor, não é seguro, e o registro mantém um rastro caso surjam problemas.

EX028. Usar um notebook gerenciado, da própria instalação, com o software do fornecedor instalado, ou ter os arquivos do fornecedor verificados e levados num pen drive da instalação, para que o notebook não gerenciado nunca se conecte à linha.

EX029. Usar autenticação multifator; usar senhas fortes para a área de trabalho remota; fechar as portas de área de trabalho remota não usadas; auditar a atividade de conexões remotas.

EX030. Uma conexão permanentemente habilitada pode ser usada por qualquer pessoa que tenha as credenciais do fornecedor, a qualquer hora, sem ninguém observando; assim, uma senha roubada vira um caminho imediato até a linha.

EX031. Fornecedor e conta usados, início às 14:00 e fim às 14:38, "apenas visualizou o registro de falhas da embaladora, sem alterações", conta desabilitada, operador confirmou funcionamento normal.

EX032. Um modem dá uma rota até a linha que pula o gateway, o MFA e o registro; Tomás deve fotografá-lo e relatá-lo ao supervisor e ao engenheiro de controle, em vez de desconectá-lo ele mesmo.

EX033. 06:15 low-film e 08:10 jam-cleared são alarmes de processo; os logins às 06:02 e das 07:40 às 07:43 e a mudança do valor de referência às 07:45 são relevantes para a segurança.

EX034. failed logins: 5 — o contador aumenta a cada linha de login terminada em "fail".

EX035. Um sucesso logo depois de falhas repetidas sugere que a senha foi adivinhada ou encontrada, e dois minutos depois a mesma conta alterou a velocidade da embaladora; sozinho, um login de administrador poderia ser simplesmente trabalho planejado.

EX036. Às 07:45, no PLC-WRAP, o valor de referência de velocidade mudou de 120 para 180 pela conta de administrador; essa conta entrou às 07:43, depois de três falhas desde as 07:40; nenhuma mudança planejada era conhecida.

EX037. Produto e modelo; versões afetadas; o que um atacante poderia fazer; se é preciso acesso pela rede ou físico; a correção ou a medida de contorno do fornecedor.

EX038. Não. Só as versões anteriores à 2.2 são afetadas, e o PLC-FILL roda a 3.2; registrar "não se aplica — rodando a 3.2" com a data e quem verificou.

EX039. Atualizar o CLP exige uma parada de produção, testes com o programa e verificações de qualidade, que levam semanas para organizar; restringir a porta de programação no FW-1 reduz a exposição hoje.

EX040. "Aplica-se: PLC-WRAP fw 2.0. Mitigação: o FW-1 permite a porta de programação apenas a partir do ENG-LT. Atualizar para 2.3 na parada planejada daqui a três semanas. Responsável: engenheiro de controle. Revisar se a mitigação mudar."

EX041. Os programas do PLC-FILL e do PLC-WRAP, o projeto da HMI-1, os arquivos de receita, as configurações do FW-1 e dos switches e os ajustes da VIS-CAM.

EX042. Ele não a restaura; marca-a como suspeita, relata a divergência ao engenheiro de controle e ajuda a localizar uma cópia mais antiga cujo hash corresponda.

EX043. Ele imprime um prefixo de hash de 12 caracteres diferente para PLC-FILL_2026-09.bak e MISMATCH - do not restore, porque qualquer alteração muda o valor SHA-256.

EX044. Quem conseguir modificar as cópias no mesmo lugar também poderia reescrever os hashes guardados para que correspondam, então a verificação não provaria nada.

EX045. Zona da linha — PLC-WRAP; DMZ — a cópia do historiador ou o gateway de acesso remoto; zona de escritório — os PCs da equipe.

EX046. É permitido: a regra 3 casa o tráfego do escritório para qualquer coisa na linha antes de se chegar à negação final, então a HMI-1 é alcançável a partir de todo PC do escritório.

EX047. Os sistemas da linha enviam dados para um servidor na DMZ; os usuários do escritório conectam-se apenas a esse servidor, então não há regra que permita aos computadores do escritório iniciar conexões para dentro da zona da linha.

EX048. Abrir um chamado de mudança, confirmar com o dono da rede que nada depende da regra 3, agendar uma parada planejada, guardar a configuração antiga como reversão, remover a regra, verificar que os fluxos da linha e da DMZ funcionam e registrar o resultado.

EX049. Um medidor inteligente de energia conectado à nuvem, um tablet da equipe de qualidade e uma impressora de etiquetas Wi-Fi.

EX050. Cada dispositivo tem uma senha única, em vez de um padrão universal? Como relatamos uma vulnerabilidade a vocês? Por quanto tempo serão fornecidas atualizações de segurança? A comunicação é criptografada? O dispositivo pode ser reiniciado e os nossos dados apagados?

EX051. Numa VLAN de IoT dedicada, cujas regras de firewall permitem apenas os endereços de nuvem do fornecedor e bloqueiam toda rota para a zona da linha, os CLPs e a HMI-1.

EX052. Marcar a impressora como "fim de suporte" no registro, com a data, anotar o risco, mantê-la isolada no mínimo de tráfego necessário e abrir uma compra de substituição com uma data-alvo.

EX053. Ou o sensor ou o mostrador está errado, o que pode ser um sensor com defeito ou um valor manipulado; Tomás registra as duas leituras com a hora, e o supervisor leva a enchedora a uma parada segura antes que alguém faça o diagnóstico.

EX054. (a) T0843 Program Download; (b) T0886 Remote Services; (c) T0836 Modify Parameter.

EX055. No início ninguém conhece a causa, e nos dois casos as pessoas e o produto precisam ser mantidos seguros e as evidências preservadas para quem fizer o diagnóstico; tratar uma falha como ataque custa pouco, o contrário pode custar muito.

EX056. Apenas a HMI-1 e o ENG-LT escrevem nos CLPs; os logins de administrador acontecem apenas durante trabalho com chamado; os programas dos CLPs mudam cerca de uma vez por mês, em paradas planejadas.

EX057. O supervisor deixa a linha segura; Tomás fotografa a tela; ele liga para o contato de incidentes; a restauração da HMI-1 acontece depois, decidida pelo líder do incidente e pelo engenheiro.

EX058. "03:10, a HMI-1 mostra uma mensagem de resgate. Linha em controle local, embaladora parada às 03:12. Nenhuma outra tela afetada vista. Nada foi desconectado. Supervisor noturno informado; contato de incidentes acionado às 03:14."

EX059. Pedir que ele espere o supervisor e o engenheiro: puxar o cabo pode derrubar o painel do qual os operadores dependem e perde informação; o isolamento é feito por um método planejado, como desabilitar a porta do switch, com a hora registrada.

EX060. O líder do incidente, com a direção da instalação, decide; a linha do tempo e as fotografias de Tomás dão a eles os fatos de que precisam para cumprir qualquer prazo.

EX061. Confirmar a contenção; reconstruir a HMI-1; trocar as senhas; rodar o ciclo de teste; a qualidade aprova.

EX062. Comparar os programas dos CLPs com as cópias verificadas; conferir os valores da IHM com os instrumentos locais; confirmar que as regras do FW-1 correspondem à tabela aprovada (e rodar um ciclo de teste vazio).

EX063. Uma cópia feita no dia do incidente pode já conter as mudanças ou o malware do atacante, então restaurá-la reinstala o problema; usar a cópia mais recente verificada como feita antes do comprometimento.

EX064. "Fechar a porta de área de trabalho remota da HMI-1 e acrescentar uma verificação mensal de exposição externa — responsável: dono da rede — prazo: duas semanas."

EX065. O que muda, por quê, quais dispositivos, quem faz, quando, risco para o processo, verificação de sucesso, método de reversão.

EX066. A mudança é registrada como mudança emergencial antes do fim do turno, uma nova cópia com o seu hash é guardada, e o registro ou os desenhos são atualizados se algo mudou.

EX067. Parar o teste, reinstalar a 1.0.7 a partir do arquivo salvo, confirmar com embalagens de teste que as rejeições voltaram a funcionar, registrar a tentativa fracassada na mudança 512 e enviar o resultado ao fornecedor.

EX068. Ninguém consegue dizer se ela foi autorizada; pode ser uma mudança de um atacante, e significa que as cópias e a linha de base do normal já não correspondem à linha.

EX069. Escopo: armários da enchedora e da embaladora, área da HMI-1, o registro de ativos, as cópias, os registros de mídias e de acesso remoto; nenhuma conexão a qualquer dispositivo. Parar se aparecer um alarme sem explicação, se o supervisor ou os operadores pedirem, ou se um armário mostrar um perigo energizado além do que a permissão cobre.

EX070. "Modem celular conectado dentro do armário do PLC-FILL (foto 3); dá uma rota não gerenciada até a linha, contornando o FW-1 e o gateway remoto; correção: o engenheiro de controle confirma a finalidade, desconecta-o ou o coloca atrás do gateway; responsável: engenheiro de controle."

EX071. O modem é uma conexão ativa e não revisada que poderia alcançar os CLPs a qualquer momento, enquanto o ENG-LT só toca a linha sob permissão e as suas assinaturas podem ser atualizadas antes do próximo uso.

EX072. Combinar na reunião um responsável e uma data para cada item, registrá-los na planilha de acompanhamento, verificar mensalmente e encerrar cada um apenas com evidência, como uma fotografia ou um registro atualizado.