Capítulo 17 — Segurança de TO, IoT e sistemas ciberfísicos: ferramentas
Mapa da aula
Aula 17 publicada. Mapa, exemplo, EX049.
flowchart TD
N0["17.1 Passivo primeiro"]
N1["17.2 Montando uma captura"]
N2["17.3 Análise offline"]
N3["17.4 Controlando as ferramentas"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX049"]
Desenho lógico
flowchart LR
N0["17.1 Passivo primeiro"]
N1["17.2 Montando uma captura"]
N2["17.3 Análise offline"]
N3["17.4 Controlando as ferramentas"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX049"]
[17.1 Passivo primeiro]
|
v
[17.2 Montando uma captura]
|
v
[17.3 Análise offline]
|
v
[17.4 Controlando as ferramentas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX049]
Objetivos de aprendizagem
Você vai (1) escolher ferramentas seguras para observação em TO; (2) configurar uma captura passiva numa porta espelhada; (3) usar ferramentas de análise offline sobre arquivos de captura; e (4) controlar o uso de ferramentas por meio de permissões de trabalho e registros de mudança.
17.1 Passivo primeiro
Ferramentas passivas escutam; ferramentas ativas enviam. Em TO, as ferramentas passivas são o padrão, porque sondagens ativas podem desestabilizar dispositivos antigos. O NIST SP 800-82r3 discute o risco da varredura ativa em ambientes de TO e o valor do monitoramento passivo. Uma porta espelhada (SPAN) no switch da zona de controle copia o tráfego para um laptop ou sensor de monitoramento sem alterar o próprio tráfego. A captura de Priya usou a porta 24 do switch da zona de controle SW-C, espelhando as portas 1–8, onde se conectam os CLPs, a HMI-C e o HIST. O espelhamento exigiu só uma mudança de configuração no SW-C, feita pelo responsável pela rede, sem reiniciar nenhum dispositivo das portas 1–8.
17.2 Montando uma captura
Combine a porta do switch com o responsável pela rede; configure o espelhamento numa janela de mudança; conecte um host de captura cuja interface de rede não tenha endereço IP, para que ele não consiga transmitir. Registre os horários de início e de fim, o switch, as portas espelhadas e os contadores de perda de pacotes. O plano de Priya para a NCS: a porta 24 do SW-C espelha as portas 1–8, o host de captura tem o IP desabilitado e a captura dura 72 horas, para incluir um ciclo de degelo, quando os padrões de tráfego mudam. Os contadores de perda são lidos no início e no fim, e a permissão de trabalho nomeia o gerente de instalações como a pessoa que pode interromper o trabalho.
17.3 Análise offline
Analise as capturas numa estação de trabalho isolada: decodificadores de protocolo identificam os códigos de função Modbus, listas de conversas mostram quem fala com quem, e scripts Python simples como os dos Capítulos 11–12 comparam os resultados com o inventário e com a matriz de fluxos. A captura de 72 horas do SW-C feita por Priya alimentou tanto a comparação de inventário do Capítulo 11 quanto a comparação de fluxos do Capítulo 12. Ela também deixou algo escapar: a consulta do historiador ao PLC-R2 não apareceu na janela, e é por isso que HIST → PLC-R2 faltava na matriz de fluxos e a primeira implantação de firewall do Capítulo 27 teve de ser revertida. A análise offline só consegue reportar o que a captura contém.
17.4 Controlando as ferramentas
Cada ferramenta usada no local é listada na permissão de trabalho com a sua versão e o seu modo (só passivo). As ferramentas de engenharia da empresa contratada — software de programação de CLP — não são ferramentas de segurança; o seu uso é da empresa contratada, sob controle de mudanças. A permissão de Priya lista a ferramenta de captura e a sua versão, apenas modo passivo, e a mudança de configuração do switch para a porta espelhada, que o responsável pela rede faz. Ela também lista as condições de parada: qualquer alarme da HMI que os operadores não saibam explicar, ou um aviso de CPU do switch, encerra a captura, e o gerente de instalações é avisado primeiro. Uma captura interrompida é registrada no registro de evidências com a sua duração.
Exemplo resolvido (NCS sintética)
O plano de captura de Priya: a porta 24 do switch SW-C espelha as portas 1–8 (CLPs, HMI-C, HIST); o host de captura tem o IP desabilitado; captura de 72 horas para incluir um ciclo de degelo; contadores de perda conferidos no início e no fim. A permissão de trabalho lista a ferramenta de captura e a versão, e nomeia o gerente de instalações como a pessoa que pode interromper o trabalho.
Caso sintético — Northgate Cold Storage. As portas e as durações são inventadas.
Erros e limites
Uma porta espelhada pode descartar pacotes quando sobrecarregada; confira os contadores antes de confiar em "nada visto". Arquivos de captura podem conter dados sensíveis; armazene-os criptografados e apague-os conforme o cronograma.
Exercícios
- EX049 — Por que sem endereço IP? Explique por que a interface do host de captura não tem endereço IP. Rubrica: 3 = não consegue transmitir/interagir por acidente com dispositivos de TO; 2 = parcial; 1 = velocidade; 0 = nada.
- EX050 — Por que 72 horas? Justifique a duração de 72 horas da captura. Rubrica: 3 = incluir eventos periódicos como degelo e trocas de turno; 2 = parcial; 1 = arbitrário; 0 = nada.
- EX051 — Tratando o arquivo de captura. Escreva duas regras de tratamento para o arquivo de captura. Rubrica: 3 = armazenamento criptografado com acesso limitado; data de exclusão; 2 = uma; 1 = vago; 0 = nada.
Síntese
As ferramentas de TO são passivas por padrão, configuradas sob controle de mudanças e documentadas, para que os seus resultados mereçam confiança e os seus riscos fiquem contidos.
Continue estudando — capítulo 17 de 30
← Capítulo 16 · Índice de capítulos do curso · Capítulo 18 →
Siga para a próxima lição escrita.