Capítulo 11 — Infraestrutura crítica e segurança setorial: ativos e contexto

Capítulo 11 — Infraestrutura crítica e segurança setorial: ativos e contexto

Mapa da aula

Aula 11 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["11.1 O que registrar e por quê"]
  N1["11.2 As fontes e os seus pontos cegos"]
  N2["11.3 Descoberta segura em redes operacionais"]
  N3["11.4 Conciliação"]
  N4["11.5 Ativos sem suporte"]
  N5["11.7 Atividade prática: conciliação de três fontes"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["11.1 O que registrar e por quê"]
  N1["11.2 As fontes e os seus pontos cegos"]
  N2["11.3 Descoberta segura em redes operacionais"]
  N3["11.4 Conciliação"]
  N4["11.5 Ativos sem suporte"]
  N5["11.7 Atividade prática: conciliação de três fontes"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX031"]

[11.1 O que registrar e por quê]
    |
    v
[11.2 As fontes e os seus pontos cegos]
    |
    v
[11.3 Descoberta segura em redes operacionais]
    |
    v
[11.4 Conciliação]
    |
    v
[11.5 Ativos sem suporte]
    |
    v
[11.7 Atividade prática: conciliação de três fontes]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem e conexão

Depois deste capítulo, você deve ser capaz de:

• construir e manter um inventário de ativos para um serviço misto de TI/TO a partir de várias fontes;
• registrar, para cada ativo, o seu responsável, função, criticidade, localização, versão de software ou firmware, situação de suporte e dependências;
• usar métodos de descoberta passivos, que são seguros para redes operacionais;
• conciliar fontes que discordam e tratar a discordância como uma constatação.

O Capítulo 4 mostrou como modelar um inventário. Este capítulo trata de preenchê-lo com veracidade. As Cross-Sector Performance Goals da CISA incluem manter um inventário de ativos, inclusive dos ativos de TO (CISA CPGs); você não consegue proteger, corrigir ou monitorar o que não registrou.

11.1 O que registrar e por quê

11.2 As fontes e os seus pontos cegos

Nenhuma fonte isolada é completa. Os registros de compras e contratos sabem o que foi comprado, mas não para onde foi. Os registros de gestão de configuração ou de engenharia conhecem o projeto, mas podem ficar atrás da realidade. A observação da rede (tabelas de switches, registros de fluxo, um sensor passivo) vê o que conversa, mas não o que está em silêncio. As vistorias em campo veem o que está fisicamente presente, mas são caras e pouco frequentes. Os portais dos fornecedores sabem as versões de firmware do que eles suportam. Combine pelo menos duas fontes e registre qual fonte disse o quê.

A PS-09 mostra por quê: só os registros de fluxo sabiam que a estação tinha ficado em silêncio.

11.3 Descoberta segura em redes operacionais

A varredura ativa — enviar sondas a todos os endereços — é rotina nas redes de escritório e arriscada nas redes de controle: alguns controladores mais antigos e dispositivos embarcados podem se comportar mal ou reiniciar quando sondados de forma inesperada. O guia de TO do NIST aconselha cautela com a varredura ativa em ambientes de TO e favorece métodos passivos ou trabalho ativo cuidadosamente planejado e coordenado (NIST SP 800-82 Rev. 3). Para um implementador, a regra é: na zona das estações, use fontes passivas (registros de fluxo, tabelas de switches, exportações de configuração dos próprios controladores feitas pelos seus engenheiros), a menos que um método ativo tenha sido acordado com a operação, testado num equipamento sobressalente e agendado.

11.4 Conciliação

Quando as fontes discordam, a discordância é informação. Um ativo nos registros de compras, mas nunca visto na rede, pode estar num armário — ou conectado em algum lugar inesperado. Um endereço visto nos fluxos, mas ausente de todos os registros, é um dispositivo desconhecido. Uma versão de firmware que difere entre o registro de engenharia e o portal do fornecedor significa que um deles está errado — e, se for o registro de engenharia, uma correção pode ter sido aplicada, ou não, sem documentação. Acompanhe cada discrepância como um ticket com responsável até que ela seja resolvida.

11.5 Ativos sem suporte

Os serviços críticos costumam operar equipamentos além do suporte do fornecedor, porque a substituição exige capital, interrupções e nova certificação. O inventário precisa tornar isso visível, com um plano de controles compensatórios para cada ativo sem suporte: segmentação mais estreita, allowlists mais rígidas, monitoramento extra, peças sobressalentes e uma data de substituição de responsabilidade de alguém que tenha orçamento.

A RTU Kell R2 da PS-09, sem suporte desde 2025-12-31 e ainda de criticidade 1, é o caso de Fallowmere. O seu plano nomearia a entrada na allowlist do relay e o conduíte como os controles apertados, a Regra C como o monitoramento extra, uma RTU sobressalente mantida pela Água e uma data de substituição de responsabilidade da operação de Água, que detém o orçamento de capital.

11.6 Exemplo resolvido: conciliar a PS-09 (sintético)

Três fontes descrevem a estação de bombeamento PS-09. O registro de compras lista uma RTU Kell R2 comprada em 2017. O registro de engenharia lista o firmware 1.1 e o responsável "Water Ops". Os registros de fluxo mostram 10.20.0.13 conversando com o relay até três semanas atrás, e nada desde então (a estação silenciosa do Capítulo 2). O inventário (Capítulo 4) não tem responsável para a PS09-RTU e registra que o suporte do fornecedor terminou em 2025-12-31. Você registra quatro discrepâncias: responsável ausente no inventário, mas presente no registro de engenharia (corrigir o registro, depois de confirmar com a Water Ops); suporte encerrado (exige um plano de controles compensatórios); estação em silêncio (questão operacional, levada à operação de Água no mesmo dia); e firmware não verificado de forma independente (pedir ao engenheiro de Água que exporte a configuração da RTU na próxima visita ao local — Capítulo 28).

11.7 Atividade prática: conciliação de três fontes

Usando o inventário do Laboratório 4 e os fluxos do Laboratório 2, liste todo ativo ou endereço que aparece numa fonte, mas não na outra, e todo atributo que difere. Para cada um, escreva a próxima ação e o responsável. Não sonde nenhum dispositivo para resolver uma discrepância; pergunte ao responsável.

Espere que a RTU da PS-09 em 10.20.0.13 apareça nas duas fontes, mas discorde: presente no inventário, silenciosa nos fluxos.

Espere também que os fluxos do Laboratório 2 mostrem endereços que faltam no inventário, como a estação de trabalho corporativa 10.40.3.7; registre o seu responsável como uma pergunta para a engenharia de Água, e não como um palpite.

11.8 Erros comuns e limites

• Tratar uma única fonte como o inventário.
• Executar varreduras ativas em redes de controle "só para ter certeza".
• Registrar uma pessoa como responsável, em vez de um papel.
• Registrar o firmware uma vez e nunca mais verificá-lo.
• Listar ativos sem suporte sem controles compensatórios nem um responsável pela substituição.
• Esconder discrepâncias para que o inventário pareça completo.

Um inventário é um modelo da realidade, sempre um pouco desatualizado. A sua qualidade se mede por quão recentemente cada registro foi verificado e pela rapidez com que as discrepâncias são fechadas.

O modem celular da PS-07, encontrado apenas numa visita ao local, é o argumento contra confiar numa só fonte.

Exercícios — capítulo 11

EX031 — Concilie. Objetivo: encontrar discrepâncias entre fontes. Entradas: o inventário do Laboratório 4 e os fluxos do Laboratório 2. Restrições: apenas as zonas de estações, relay e corporativa. Etapas: (1) liste os endereços nos fluxos sem registro no inventário (presuma que o inventário mapeia PS04-PLC para 10.20.0.11, PS07-PLC para 10.20.0.12, PS09-RTU para 10.20.0.13, RLY-01 para 10.30.0.5 e HIST-01 para 10.40.8.20); (2) liste os ativos do inventário nessas zonas nunca vistos nos fluxos; (3) dê uma ação e um responsável para cada um. Evidência esperada: tabela. Rubrica: 3 = 10.40.3.7 (estação de trabalho corporativa, ausente do extrato) identificada como não registrada e como a origem do Modbus não declarado; SW-STN-04 não visto (esperado para um switch — explique); PS09-RTU em silêncio; ações com responsáveis; 2 = parcial; 1 = só a lista; 0 = nada.

EX032 — Controles compensatórios. Objetivo: planejar para um ativo sem suporte. Entradas: PS09-RTU, criticidade 1, suporte do fornecedor encerrado, orçamento de substituição disponível em 14 meses. Restrições: controles que a FSTS e a Água conseguem implementar sem correções do fornecedor. Etapas: liste quatro controles compensatórios, com evidência para cada um, e o responsável pela substituição. Evidência esperada: tabela. Rubrica: 3 = conduíte restrito apenas ao relay e verificado, validação no lado do relay e quarentena por faixa, alertas de silêncio de estação e de valor implausível, unidade sobressalente ou procedimento manual testado, backup da configuração; substituição de responsabilidade de um papel da Água, com data; 2 = três; 1 = "monitorá-la"; 0 = nada.

EX033 — Plano de descoberta. Objetivo: planejar uma descoberta segura. Entradas: a operação de Água quer uma lista completa dos dispositivos das 14 estações em três meses. Restrições: nenhuma varredura ativa sem acordo; no máximo duas visitas a campo por semana. Etapas: (1) liste as fontes passivas a usar primeiro; (2) diga quando um método ativo seria justificado e como você o tornaria seguro; (3) dê um cronograma. Evidência esperada: plano de uma página. Rubrica: 3 = fontes passivas (fluxos, tabelas de switches, exportações de engenharia, registros de compras) primeiro; método ativo apenas com acordo da operação, testado num sobressalente, com taxa limitada, numa janela, com alguém no local; cronograma realista; 2 = plano sólido, mas vago quanto à segurança; 1 = "varrer a sub-rede"; 0 = nada.

Síntese do capítulo

Um inventário registra, para cada ativo, o que ele é, onde está, quem é o responsável, o que ele roda, se tem suporte, de que depende e quando isso foi verificado pela última vez. Construa-o a partir de várias fontes, faça a descoberta com segurança nas redes de controle, trate a discordância entre fontes como constatação e dê a todo ativo sem suporte controles compensatórios e um responsável pela substituição.

Continue estudando — capítulo 11 de 30

← Capítulo 10 · Índice de capítulos do curso · Capítulo 12 →

Siga para a próxima lição escrita.