Capítulo 20 — Segurança de TO, IoT e sistemas ciberfísicos: solução de problemas

Mapa da aula

Aula 20 publicada. Mapa, exemplo, EX058.

flowchart TD
  N0["20.1 A maioria das falhas não é ataque"]
  N1["20.2 Um método por camadas"]
  N2["20.3 Hábitos que preservam evidências"]
  N3["20.4 Pare e escale"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX058"]

Desenho lógico

flowchart LR
  N0["20.1 A maioria das falhas não é ataque"]
  N1["20.2 Um método por camadas"]
  N2["20.3 Hábitos que preservam evidências"]
  N3["20.4 Pare e escale"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX058"]

[20.1 A maioria das falhas não é ataque]
    |
    v
[20.2 Um método por camadas]
    |
    v
[20.3 Hábitos que preservam evidências]
    |
    v
[20.4 Pare e escale]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX058]

Objetivos de aprendizagem

Você vai (1) separar causas cibernéticas de falhas comuns; (2) resolver falhas de comunicação com método; (3) evitar passos de diagnóstico que destroem evidências; e (4) saber quando parar e escalar.

20.1 A maioria das falhas não é ataque

Quando a HMI-C mostra valores congelados, a causa costuma ser um cabo, uma porta de switch, uma fonte de alimentação queimada ou uma licença expirada. Trate primeiro como falha, mas mantenha em mente a possibilidade de segurança e preserve as evidências enquanto trabalha. Pular para "fomos invadidos" desperdiça tempo; ignorar a possibilidade pode destruir o registro de que uma investigação precisaria. A primeira falha de valores congelados de Priya no PLC-R2 foi um cabo de manobra com erros de CRC crescentes; a segunda, uma semana depois, não foi.

20.2 Um método por camadas

Suba pela pilha: luzes de energia e de enlace; estado da porta do switch e erros; alcançabilidade IP a partir de um host na mesma sub-rede (com permissão); a sessão do protocolo (a HMI-C mostra um código de erro de comunicação?); depois, a configuração da aplicação. Mude uma coisa de cada vez e anote cada passo e cada resultado. A primeira falha do PLC-R2 seguiu essa ordem: luz de enlace acesa, porta do switch mostrando erros de CRC crescentes, cabo de manobra novo, os erros param, os valores atualizam. Ela registrou a falha como física, com os contadores de erro como evidência. Parar na primeira camada que explicou o sintoma a impediu de tocar no CLP.

20.3 Hábitos que preservam evidências

Antes de reiniciar um host que pode estar comprometido, exporte os seus logs e anote os processos em execução. Antes de substituir um dispositivo, fotografe as suas etiquetas e configurações. Um reinício apaga a memória que poderia mostrar um malware; uma substituição remove o estado original do firmware. Quando os valores do PLC-R2 congelaram de novo uma semana depois, sem erros na porta, Priya comparou o programa dele com o backup antes que alguém o reiniciasse, e encontrou uma diferença. Um reinício teria rodado de novo o mesmo programa alterado, então não teria consertado nada, e teria apagado o estado de execução e o buffer de diagnóstico do controlador. O próximo passo habitual depois de um reinício fracassado, carregar o backup, teria sobrescrito o programa alterado, que era a principal evidência de quem o mudou e quando. Ela escalou com a saída da comparação e os contadores da porta anexados.

20.4 Pare e escale

Pare e chame o líder de segurança se encontrar: processos ou contas desconhecidos, mudanças de configuração que ninguém fez, tráfego para destinos desconhecidos ou um dispositivo cujo programa difere do backup. Na NCS, o segundo congelamento do PLC-R2 atendeu à quarta condição: o programa do controlador diferia do backup, então Priya escalou em vez de reiniciar. A mesma regra valeu na terceira visita dela ao local, quando um operador lhe pediu para "resetar rapidinho" uma HMI travada. Ela recusou, verificou os contadores da porta do switch em modo somente leitura e chamou a empresa contratada, que encontrou uma fonte de alimentação com defeito. Se o travamento tivesse uma causa cibernética, o reset teria apagado o que a investigação precisava.

Exemplo resolvido (NCS sintética)

A HMI-C mostra valores congelados do PLC-R2. Priya verifica: luz de enlace acesa; a porta do switch mostra erros de CRC crescentes; um cabo de manobra novo corrige os erros e os valores atualizam. Ela registra a falha como física, com os contadores de erro como evidência. Uma semana depois, os valores do PLC-R2 congelam de novo, sem erros na porta; desta vez a comparação do programa do CLP com o backup mostra uma diferença, e ela escala em vez de reiniciar o controlador.

Caso sintético — Northgate Cold Storage. Os dois eventos são inventados.

Erros e limites

Fazer ping repetidamente em dispositivos frágeis pode, por si só, causar problemas; mantenha as verificações leves. O diagnóstico em controladores ativos cabe à empresa contratada ou ao engenheiro da planta.

Exercícios

• EX058 — As três primeiras verificações. Liste as três primeiras verificações para valores congelados na HMI.
  Mostrar critérios de avaliação

  Rubrica: 3 = energia/enlace, estado/erros da porta, erro de protocolo na HMI (nessa ordem); 2 = duas; 1 = reiniciar primeiro; 0 = nada.
• EX059 — Antes de reiniciar. Que duas coisas você captura antes de reiniciar uma HMI-C possivelmente comprometida?
  Mostrar critérios de avaliação

  Rubrica: 3 = exportação dos logs e processos/conexões em execução; 2 = uma; 1 = vago; 0 = nada.
• EX060 — O gatilho da escalada. Qual observação no segundo evento disparou a escalada, e por quê?
  Mostrar critérios de avaliação

  Rubrica: 3 = o programa difere do backup sem registro de mudança; possível adulteração; 2 = só a observação; 1 = erros; 0 = nada.

Síntese

Resolva problemas com método, suponha falhas primeiro, preserve evidências enquanto trabalha e pare no momento em que algo mudou sem que ninguém o tenha mudado.