Capítulo 7 — Mídias removíveis e notebooks
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX025.
flowchart TD
N0["7.1 Como o malware atravessa o isolamento"]
N1["7.2 Uma rotina para mídias"]
N2["7.3 Notebooks"]
N3["7.4 Transferir arquivos sem USB"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX025"]
Desenho lógico
flowchart LR
N0["7.1 Como o malware atravessa o isolamento"]
N1["7.2 Uma rotina para mídias"]
N2["7.3 Notebooks"]
N3["7.4 Transferir arquivos sem USB"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX025"]
[7.1 Como o malware atravessa o isolamento]
|
v
[7.2 Uma rotina para mídias]
|
v
[7.3 Notebooks]
|
v
[7.4 Transferir arquivos sem USB]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX025]
Objetivos de aprendizagem
Você vai (1) explicar como pen drives e notebooks levam malware para as plantas; (2) aplicar uma rotina de varredura e registro para mídias; e (3) decidir quais notebooks podem se conectar à linha.
7.1 Como o malware atravessa o isolamento
As linhas sem conexão com a internet ainda recebem arquivos: atualizações de firmware, arquivos de receita, ferramentas de fornecedores e fotos. Cada um chega num pen drive ou num notebook que já esteve em outros lugares. A NIST SP 800-82r3 lista as mídias removíveis como um caminho comum para dentro da TO, e incidentes bem conhecidos se espalharam exatamente assim.
Na HPFL, um fornecedor que chega com um arquivo de receita num pen drive pessoal é um evento de rotina. O arquivo pode ser inofensivo, mas o pen drive já esteve em outras plantas e escritórios. Trate todo arquivo que entra na linha como precisando da mesma rotina, por mais confiável que seja a sua origem.
7.2 Uma rotina para mídias
Use apenas pen drives fornecidos pela instalação. Antes que qualquer pen drive chegue a um dispositivo da linha, faça a varredura numa estação de varredura dedicada e atualizada, fora da linha; registre num livro de registro o número do pen drive, os nomes dos arquivos, o resultado da varredura e a pessoa; e mantenha o pen drive sob controle até ser usado. Pen drives desconhecidos encontrados no chão são entregues à segurança, nunca conectados "para ver de quem é".
Na HPFL, a estação de varredura fica fora da linha, e os pen drives da instalação são numerados, como o HP-07. O livro de registro permite a qualquer pessoa rastrear um arquivo até a sua origem se surgir um problema depois. Confira o livro durante as vistorias; um pen drive ausente dele é uma constatação.
7.3 Notebooks
Apenas o ENG-LT e os notebooks de fornecedores aprovados se conectam aos equipamentos da linha. Um notebook aprovado tem as correções aplicadas, roda antimalware, não tem software pessoal e é verificado antes de cada visita. O fornecedor cujo notebook não atenda a esse padrão usa, em vez dele, um notebook da instalação com as ferramentas do fornecedor instaladas.
Mantenha no registro de ativos uma lista dos notebooks aprovados, com o responsável e a data da última verificação de cada um. Na HPFL, o ENG-LT é o único notebook da instalação autorizado a programar os CLPs. Um notebook cuja última verificação seja anterior à visita é verificado de novo antes de se conectar.
7.4 Transferir arquivos sem USB
Algumas instalações movem arquivos por um servidor de transferência controlado na DMZ, em vez de pen drives. Isso mantém um registro de cada arquivo e elimina de vez a necessidade de conectar mídias aos dispositivos da linha.
Na HPFL, a DMZ já tem um servidor de transferência de arquivos. Os arquivos que chegam ali podem ser varridos automaticamente e registrados com remetente e horário, e os dispositivos da linha os buscam por um conduíte documentado. Tirar os pen drives da rotina também elimina o risco de um pen drive se perder no chão de fábrica.
Exemplo resolvido (HPFL sintética)
Um fornecedor chega com um arquivo de receita num pen drive pessoal. Tomás leva o pen drive à estação de varredura, copia o arquivo para o pen drive da instalação HP-07 depois de uma varredura limpa, registra "HP-07, recipe_v12.csv, limpo, Tomás, 09:30" e entrega o HP-07 ao engenheiro de controle. O pen drive pessoal volta para o fornecedor sem ter sido conectado a nada da linha.
Caso sintético — HPFL. O fornecedor, os números dos pen drives e o arquivo são inventados.
Erros e limites
Uma varredura limpa significa apenas que nenhum malware conhecido foi encontrado; um malware novo pode passar. Mantenha a rotina mesmo assim: ela corta a maior parte do risco e deixa um registro se algo der errado.
Exercícios
- EX025 — Encontrado no chão. Um pen drive com a etiqueta "Salários 2026" está ao lado da HMI-1. O que você faz? Rubrica: 3 = não conectar; entregar à segurança/supervisor; registrar onde foi encontrado; 2 = só entregar; 1 = verificar num PC de escritório; 0 = conectar na IHM.
- EX026 — Campos do livro de mídias. Liste quatro campos do livro de registro de mídias. Rubrica: 3 = id do pen drive, arquivos, resultado da varredura, pessoa e horário; 2 = três; 1 = um; 0 = nenhum.
- EX027 — O significado de uma varredura limpa. Um colega diz "a varredura deu limpo, então o arquivo é seguro". Corrija a afirmação. Rubrica: 3 = só não foi encontrado malware conhecido; ameaças novas são possíveis; a rotina ainda reduz o risco; 2 = parcial; 1 = concorda; 0 = nenhum.
- EX028 — Recusa do notebook do fornecedor. O notebook do fornecedor não tem antimalware. Que alternativa permite que o trabalho prossiga? Rubrica: 3 = notebook da instalação com as ferramentas do fornecedor, ou transferir os arquivos pela estação de varredura; 2 = só reagendar; 1 = permitir mesmo assim; 0 = nenhum.
Síntese
Todo arquivo que entra na linha passa por um caminho varrido, registrado e controlado; mídias desconhecidas nunca tocam os dispositivos da linha.
Continue estudando — capítulo 07 de 18
← Capítulo 06 · Índice de capítulos do curso · Capítulo 08 →
Siga para a próxima lição escrita.