Capítulo 18 — Infraestrutura crítica e segurança setorial: controles

Capítulo 18 — Infraestrutura crítica e segurança setorial: controles

Mapa da aula

Aula 18 publicada. Mapa, exemplo, EX052.

flowchart TD
  N0["18.1 Do cenário ao conjunto de controles"]
  N1["18.2 Os catálogos como listas de verificação de comp"]
  N2["18.3 Qualidades da implementação"]
  N3["18.4 Um controle que é um processo: o ciclo de vida"]
  N4["18.5 Evidências de que um controle funciona"]
  N5["18.7 Atividade prática: runbook de rotação de chave"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX052"]

Desenho lógico

flowchart LR
  N0["18.1 Do cenário ao conjunto de controles"]
  N1["18.2 Os catálogos como listas de verificação de comp"]
  N2["18.3 Qualidades da implementação"]
  N3["18.4 Um controle que é um processo: o ciclo de vida"]
  N4["18.5 Evidências de que um controle funciona"]
  N5["18.7 Atividade prática: runbook de rotação de chave"]
  N6["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX052"]

[18.1 Do cenário ao conjunto de controles]
    |
    v
[18.2 Os catálogos como listas de verificação de comp]
    |
    v
[18.3 Qualidades da implementação]
    |
    v
[18.4 Um controle que é um processo: o ciclo de vida]
    |
    v
[18.5 Evidências de que um controle funciona]
    |
    v
[18.7 Atividade prática: runbook de rotação de chave]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX052]

Objetivos de aprendizagem e conexão

Depois deste capítulo, você deve ser capaz de:

• selecionar controles para um cenário mapeando a causa e o caminho para as funções de prevenir, detectar e recuperar;
• implementar um controle de modo que ele seja de alguém, documentado, testável e monitorado;
• usar um catálogo de controles como o NIST SP 800-53 para conferir a completude sem copiá-lo por inteiro;
• gerenciar um ciclo de vida de chaves como exemplo de um controle que é um processo, e não uma configuração.

O Capítulo 5 apresentou os cartões de controle; o Capítulo 13 produziu cenários. Este capítulo os liga: de quais controles o LANTERN precisa, como implementar cada um para que continue eficaz e como mostrar que ele é eficaz.

18.1 Do cenário ao conjunto de controles

Para cada cenário principal, percorra o seu caminho passo a passo e pergunte em cada passo: o que poderia impedir este passo, o que o detectaria e o que recuperaria dele? Para o R2 (uma credencial de fornecedor roubada usada para mudar o setpoint de dosagem da PS-07, Capítulo 13), os passos são: credencial roubada → usada para fazer login → alcança o sistema de controle → muda o setpoint → a qualidade da água muda. Os controles se ligam a cada passo: MFA resistente a phishing e habilitação limitada no tempo (impedir o uso); registro das sessões e alerta para logins do fornecedor fora de uma janela aprovada (detectar); limites de setpoint projetados no CLP (impedir o dano); alerta de telemetria do LANTERN para cloro fora da sua faixa (detectar o efeito); procedimento de dosagem manual e amostragem da qualidade da água (recuperar). A defesa em profundidade (Capítulo 8) é o resultado de fazer esse percurso com honestidade.

18.2 Os catálogos como listas de verificação de completude

Os catálogos de controles — o NIST SP 800-53 Rev. 5 é o mais abrangente (NIST SP 800-53) — descrevem os controles por família: controle de acesso, auditoria e responsabilização, gestão de configuração, planejamento de contingência, resposta a incidentes, proteção de sistemas e comunicações, e outras. Use um catálogo depois do percurso do cenário para perguntar "esquecemos alguma família?", e não como uma lista a implementar por inteiro. Na TO, confira os controles do catálogo contra as restrições operacionais descritas no NIST SP 800-82, que fornece orientação específica para TO e um overlay para o SP 800-53 (NIST SP 800-82 Rev. 3).

18.3 Qualidades da implementação

Um controle que existe no primeiro dia e está ineficaz no nonagésimo é comum. Implemente cada controle com cinco qualidades:

1. De alguém — um papel que o mantém e responde por ele.
2. Documentado — um cartão de controle (Capítulo 5) dizendo o que ele faz, onde e como falha.
3. Configurado como código onde possível — para que o seu estado desejado esteja sob controle de versões e a deriva seja detectável (Capítulo 22).
4. Testável — uma forma segura de mostrar que funciona, executada num calendário (Capítulo 23).
5. Monitorado — um sinal quando ele deixa de funcionar: um heartbeat, uma contagem, uma verificação de saúde.

18.4 Um controle que é um processo: o ciclo de vida das chaves

As chaves HMAC do LANTERN (Capítulo 15) mostram por que alguns controles são processos. Cada chave de estação precisa ser gerada com uma fonte aleatória criptograficamente segura; distribuída ao gateway da estação e ao relay por uma rota protegida; guardada onde apenas o serviço pretendido consegue lê-la; rotacionada num calendário e quando saem pessoas com acesso a ela; revogada quando uma estação é desativada ou uma chave pode ter sido exposta; e registrada — qual versão da chave está ativa onde, sem registrar a própria chave. Uma chave que nunca foi rotacionada é uma chave cuja exposição você não detectaria. A rotação precisa ser ensaiada: se as estações e o relay discordarem sobre a chave ativa, toda mensagem falha na verificação do MAC e a estação fica em silêncio.

18.5 Evidências de que um controle funciona

As evidências diferem conforme o tipo de controle. Para um controle de configuração (SSH vinculado à interface de gerenciamento), a evidência é o resultado da verificação de deriva e uma tentativa de conexão a partir de um endereço permitido e de um não permitido num teste. Para um controle detectivo, a evidência é um evento de teste que produziu um alerta num tempo medido. Para um controle de processo (revisão de acessos, rotação de chaves), a evidência é o registro datado da última execução e das suas constatações. Para um controle de recuperação, a evidência é uma restauração cronometrada. "Configurado" não é evidência de que funciona.

18.6 Exemplo resolvido: cartões de controle para o R2 (sintético)

18.7 Atividade prática: runbook de rotação de chave

Escreva um runbook de rotação para a chave de uma estação: preparação (nova chave gerada e guardada, relay configurado para aceitar a antiga e a nova durante uma sobreposição curta), troca no gateway da estação, verificação (mensagens aceitas com a nova versão da chave; falhas de MAC contadas), remoção da chave antiga e rollback. Declare a duração da sobreposição e o porquê.

Para a PS-07, cuja chave do gateway ficava num cartão removível num gabinete destrancado, a rotação deixou de ser manutenção de rotina: é a resposta a uma constatação física. Uma sobreposição de algumas horas, longa o bastante para confirmar mensagens aceitas sob a nova versão da chave, mantém a estação reportando durante a troca.

18.8 Erros comuns e limites

• Selecionar controles de um catálogo sem percorrer um cenário, produzindo muitos controles e lacunas entre eles.
• Controles sem responsável, ou de responsabilidade de uma pessoa em vez de um papel.
• Tratar "configurado" como "eficaz".
• Rotação de chaves nunca ensaiada, e por isso evitada.
• Remover um controle compensatório quando a correção é agendada, e não quando é verificada.

Os cartões do R2 evitam esses erros: cada controle tem um papel responsável e uma evidência, e o teste do alerta de cloro gerou um alerta em 2 minutos.

A rotação de chaves da PS-07 foi evitada durante anos pelo quarto motivo.

Exercícios — capítulo 18

EX052 — Percorra um cenário. Objetivo: construir um conjunto de controles a partir de um caminho. Entradas: o R3 do Capítulo 13 (o disco do relay enche; telemetria descartada). Restrições: pelo menos um controle por passo e por função. Etapas: (1) escreva o caminho em passos; (2) ligue a ele controles de prevenir, detectar e recuperar; (3) nomeie a evidência de cada um. Evidência esperada: tabela. Rubrica: 3 = passos como crescimento → limiar → falha de gravação → mensagens descartadas, com controles como aplicação da retenção, previsão de capacidade e alarme com prazo de reposição (Capítulo 1), alarme de disco e alerta de contagem de rejeições/descartes, buffer nas estações e envio do acúmulo; evidências especificadas; 2 = falta uma função; 1 = um único controle; 0 = nada.

EX053 — Conferência pelo catálogo. Objetivo: usar um catálogo para conferir a completude. Entradas: os cartões de controle do R2 no Capítulo 18 ("Exemplo resolvido: cartões de controle para o R2") e a lista de famílias de controles do SP 800-53 Rev. 5. Restrições: cite as famílias pelo identificador. Etapas: (1) mapeie cada cartão para uma família; (2) nomeie uma família relevante para o R2 que não tem cartão; (3) proponha um cartão para ela. Evidência esperada: tabela com citação. Rubrica: 3 = mapeamentos sensatos (por exemplo, AC, AU, CM/SI, IR ou CP) e uma família ausente crível, como segurança de pessoal para a equipe do fornecedor, gestão de riscos da cadeia de suprimentos (SR) para a própria segurança do fornecedor, ou resposta a incidentes (IR) para um incidente de dosagem, com um cartão concreto; 2 = mapeamento certo, família ausente fraca; 1 = sem citação; 0 = nada.

EX054 — Duração da sobreposição. Objetivo: raciocinar sobre a rotação de chaves. Entradas: as estações armazenam em buffer até 24 horas; as mensagens do acúmulo são seladas com a chave ativa no momento em que foram criadas. Restrições: o relay deve aceitar o menor número possível de chaves pelo menor tempo possível. Etapas: (1) diga por quanto tempo o relay precisa continuar aceitando a chave antiga depois da troca; (2) explique como o relay sabe qual chave tentar. Evidência esperada: parágrafo. Rubrica: 3 = chave antiga aceita por pelo menos o período de buffer de 24 h (mais uma margem), porque as mensagens do acúmulo carregam MACs da chave antiga; as mensagens carregam um identificador de versão da chave dentro do corpo autenticado ou junto dele, para que o relay selecione a chave em vez de tentar todas; chave antiga removida depois, e a remoção verificada; 2 = sobreposição certa, seleção vaga; 1 = sem sobreposição; 0 = nada.

Síntese do capítulo

Selecione os controles percorrendo o caminho de cada cenário e ligando controles de prevenir, detectar e recuperar aos seus passos; use os catálogos para conferir a completude. Implemente todo controle com responsável, documentado, configurado como código onde possível, testável e monitorado. Alguns controles são processos — o ciclo de vida das chaves é o exemplo mais claro — e precisam ser ensaiados. "Configurado" nunca é o mesmo que "funciona".

Continue estudando — capítulo 18 de 30

← Capítulo 17 · Índice de capítulos do curso · Capítulo 19 →

Siga para a próxima lição escrita.