Capítulo 9 — Ler registros e alarmes
Mapa da aula
Aula 09 publicada. Mapa, exemplo, EX033.
flowchart TD
N0["9.1 Dois tipos de mensagens"]
N1["9.2 Padrões que importam"]
N2["9.3 Lendo a saída"]
N3["9.4 Escale, não investigue sozinho"]
N4["9.5 O horário importa"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX033"]
Desenho lógico
flowchart LR
N0["9.1 Dois tipos de mensagens"]
N1["9.2 Padrões que importam"]
N2["9.3 Lendo a saída"]
N3["9.4 Escale, não investigue sozinho"]
N4["9.5 O horário importa"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX033"]
[9.1 Dois tipos de mensagens]
|
v
[9.2 Padrões que importam]
|
v
[9.3 Lendo a saída]
|
v
[9.4 Escale, não investigue sozinho]
|
v
[9.5 O horário importa]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX033]
Objetivos de aprendizagem
Você vai (1) distinguir alarmes de processo de eventos relevantes para a segurança; (2) filtrar um registro com um pequeno script; e (3) decidir quando um padrão precisa ser escalado.
9.1 Dois tipos de mensagens
As IHMs e os CLPs relatam alarmes de processo, como falta de filme ou um enrosco. Também registram logins, mudanças de configuração e downloads de programas. Os alarmes de processo são tratados pelos operadores; o segundo tipo diz quem fez o quê no sistema, e é ali que as pistas de segurança costumam aparecer.
Os logins, as mudanças de setpoint e os downloads de programas são os registros a exportar e guardar. Separar os dois mantém a revisão de segurança curta o bastante para acontecer todos os dias. Os operadores ainda avisam o supervisor sobre um padrão estranho de alarmes de processo, porque ele pode ser o primeiro sinal visível de um problema de segurança.
9.2 Padrões que importam
Vários logins com falha seguidos de um sucesso podem significar que alguém adivinhou uma senha. Um setpoint alterado fora de um trabalho planejado, um download de programa que ninguém esperava ou um login de administrador num horário estranho merecem um olhar. Um evento isolado muitas vezes é inocente; o que importa é a sequência.
"""Lab 9: filter a synthetic HMI event log for security-relevant entries."""
log = """06:02 HMI-1 login operator1 ok
06:15 PLC-FILL alarm low-film
07:40 HMI-1 login admin fail
07:41 HMI-1 login admin fail
07:41 HMI-1 login admin fail
07:43 HMI-1 login admin ok
07:45 PLC-WRAP setpoint speed 120->180 by admin
08:10 PLC-FILL alarm jam-cleared"""
fails = 0
for line in log.splitlines():
t, dev, kind, *rest = line.split()
if kind == "login" and rest[-1] == "fail":
fails += 1
if kind == "setpoint" or (kind == "login" and rest[0] == "admin" and rest[-1] == "ok"):
print("REVIEW", line)
print("failed logins:", fails)
Execute com python3 lab_logs.py. Saída verificada:
REVIEW 07:43 HMI-1 login admin ok
REVIEW 07:45 PLC-WRAP setpoint speed 120->180 by admin
failed logins: 3
Na HPFL, o laboratório mostra exatamente esse tipo de sequência: três logins de administrador com falha, um sucesso e, dois minutos depois, uma mudança de velocidade. Cada evento isolado poderia ser ignorado. Juntos, levantam uma pergunta que precisa de resposta do supervisor.
9.3 Lendo a saída
O script conta três logins de administrador com falha e depois mostra um login de administrador bem-sucedido às 07:43 e uma mudança da velocidade da embaladora de 120 para 180 dois minutos depois. Juntos, formam uma história que vale verificar: havia uma mudança planejada às 07:45, e quem estava conectado?
O script não explica o que aconteceu; apenas separa as linhas sobre as quais vale perguntar. O próximo passo é verificar se havia uma mudança planejada e quem estava no turno. Na HPFL, a resposta se revelou inocente, mas ainda assim valia verificar a sequência.
9.4 Escale, não investigue sozinho
O trabalho de Tomás é perceber e relatar com evidências: as linhas do registro, o horário, o que a linha fez. O engenheiro de controle e o líder de segurança decidem o que acontece em seguida.
Relate com as linhas do registro anexadas, o horário em que você as percebeu e o que a linha estava fazendo naquele momento. Não entre nos dispositivos para olhar mais nem troque senhas você mesmo. Se o engenheiro de controle pedir mais evidências, ele dirá o que coletar e como. Guarde uma cópia do que você relatou e de quando enviou.
9.5 O horário importa
Os registros só são comparáveis se os relógios dos dispositivos concordam. Anote no seu relato qualquer diferença de relógio que você conheça.
Se a HMI-1 e o PLC-WRAP discordarem em vários minutos, uma mudança de setpoint pode parecer acontecer antes do login que a causou. Pergunte ao engenheiro de controle como os relógios são ajustados na linha e registre qualquer defasagem conhecida no registro de ativos. Ao exportar registros, anote a hora do seu relógio e a hora mostrada em cada dispositivo, para que a diferença possa ser corrigida depois. Um relógio que deriva minutos pode fazer uma sequência inocente parecer suspeita, ou esconder uma suspeita.
Exemplo resolvido (HPFL sintética)
Tomás pergunta ao supervisor; nenhuma mudança estava planejada. O operador da noite diz que esqueceu a senha de administrador, tentou três vezes, depois se lembrou dela e aumentou a velocidade para desafogar um acúmulo. A mudança é revertida e registrada, e o uso da conta de administrador para mudanças de velocidade é retirado dos operadores.
Caso sintético — HPFL. O registro e a explicação são inventados.
Erros e limites
Os registros de dispositivos pequenos são curtos e podem se sobrescrever em poucos dias, então exporte-os regularmente. Uma explicação inocente também deve ser registrada.
Exercícios
- EX033 — Classificar as entradas. Quais linhas do registro do laboratório são alarmes de processo e quais são relevantes para a segurança? Rubrica: 3 = low-film e jam-cleared são de processo; logins e setpoint, de segurança; 2 = a maioria; 1 = uma; 0 = nenhum.
- EX034 — Cinco falhas. Se mais duas linhas de falha de login de administrador forem acrescentadas antes das 07:43, o que a última linha imprime? Rubrica: 3 = "failed logins: 5"; 2 = 5; 1 = 3; 0 = nenhum.
- EX035 — Por que a sequência importa. Explique por que o login das 07:43 importa mais depois das falhas do que isolado. Rubrica: 3 = sucesso depois de falhas sugere adivinhação; ligado à mudança de setpoint; 2 = um ponto; 1 = "é admin"; 0 = nenhum.
- EX036 — Conteúdo do relato. Escreva os quatro fatos que Tomás inclui ao relatar a mudança das 07:45. Rubrica: 3 = horário, dispositivo, valores da mudança, conta/sequência de logins (mais o efeito na linha); 2 = três; 1 = um; 0 = nenhum.
Síntese
As pistas de segurança estão nos registros de login e de mudanças; são as sequências, e não as linhas isoladas, que justificam escalar.
Continue estudando — capítulo 09 de 18
← Capítulo 08 · Índice de capítulos do curso · Capítulo 10 →
Siga para a próxima lição escrita.