Capítulo 24 — Métodos de pesquisa aplicada | Tecnólogo Segurança de OT, IoT e sistemas ciberfísicos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 24 publicada. Mapa, exemplo, EX070.

flowchart TD
  N0["24.1 Perguntas que vêm da prática"]
  N1["24.2 Dados e método"]
  N2["24.3 Medidas e comparações"]
  N3["24.4 Fontes"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX070"]

Desenho lógico

flowchart LR
  N0["24.1 Perguntas que vêm da prática"]
  N1["24.2 Dados e método"]
  N2["24.3 Medidas e comparações"]
  N3["24.4 Fontes"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX070"]

[24.1 Perguntas que vêm da prática]
    |
    v
[24.2 Dados e método]
    |
    v
[24.3 Medidas e comparações]
    |
    v
[24.4 Fontes]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX070]

Objetivos de aprendizagem

Você vai (1) formular uma pequena pergunta de pesquisa aplicada a partir da prática operacional; (2) escolher dados e um método adequados; (3) definir uma medida e uma comparação; e (4) encontrar e usar fontes confiáveis.

24.1 Perguntas que vêm da prática

A pesquisa aplicada no nível de tecnólogo responde a uma pergunta que alguém no local de fato tem. "Comparar os dados dos registradores com as sondas dos CLPs detecta leituras falsificadas mais depressa que o próprio alerta da nuvem?" é uma pergunta desse tipo; ela é específica, mensurável em dados gravados ou sintéticos, e a sua resposta muda o que a NCS faz. O miniestudo de Priya assume essa pergunta: quatro semanas sintéticas de dados da antecâmara com dez falsificações injetadas, comparando a sua verificação de duas sondas com o próprio alerta de temperatura alta da nuvem. A hipótese é que leituras falsificadas que ficam dentro da faixa são invisíveis para um alerta por limiar.

24.2 Dados e método

Use dados históricos fornecidos pelo responsável, ou dados sintéticos com propriedades realistas, e diga quais. Um método pode ser tão simples quanto reproduzir semanas gravadas com falsificações injetadas e medir quanto tempo cada verificação leva para sinalizá-las. O método precisa ser repetível por outra pessoa. O método de Priya foi essa reprodução: quatro semanas sintéticas de leituras da antecâmara, com dez falsificações injetadas em momentos conhecidos, passadas tanto pela comparação de duas sondas quanto pelo alerta de temperatura alta da nuvem. Ela identifica os dados como sintéticos em todas as tabelas e guarda o script de injeção, para que outra pessoa possa regenerar as mesmas semanas.

24.3 Medidas e comparações

Escolha as medidas antes de executar: tempo até a detecção, alertas falsos por semana. Compare com a prática atual (o alerta da nuvem), e não com nada. Reporte contagens: "detectou 9 de 10 falsificações injetadas; 1 alerta falso em 4 semanas". O resultado de Priya segue esse padrão: a comparação de duas sondas, com tolerância de 2 °C, sinalizou as dez falsificações em até 10 minutos; o alerta da nuvem não sinalizou nenhuma, porque os valores falsificados ficaram dentro da faixa. Ela ainda precisa da contagem de alertas falsos da verificação de duas sondas ao longo das quatro semanas, sem a qual a comparação fica incompleta. A limitação que ela declara é que o ruído sintético é mais simples que as aberturas reais de portas, que podem causar divergências entre as sondas.

24.4 Fontes

Use fontes primárias e revisadas por pares. Giraldo et al. (2018, ACM Computing Surveys, doi:10.1145/3203245) revisam a detecção de ataques baseada em física — a ideia de conferir os dados dos sensores contra as expectativas físicas, que é o que faz a comparação de duas sondas independentes. O NIST SP 800-82r3 dá o contexto de programa. Posts de blog de fornecedores são pano de fundo, não evidência. O estudo de Priya cita Giraldo et al. para enquadrar a verificação de duas sondas como um teste simples de consistência baseado em física, e não como prova de que ela funciona na NCS. A evidência dela para isso é o seu próprio resultado de quatro semanas.

Exemplo resolvido (NCS sintética)

O miniestudo de Priya usa quatro semanas sintéticas de dados da antecâmara com dez falsificações injetadas. A comparação de duas sondas (tolerância de 2 °C) sinaliza as dez em até 10 minutos; o alerta de temperatura alta da nuvem não sinaliza nenhuma, porque os valores falsificados ficam dentro da faixa. Ela reporta a limitação: o ruído sintético é mais simples que os padrões reais de abertura de portas.

Caso sintético — Northgate Cold Storage. Os dados e os resultados são inventados.

Erros e limites

Estudos pequenos sustentam decisões locais, não afirmações gerais. Não ajuste a tolerância nos mesmos casos injetados que você reporta.

Exercícios

EX070 — Transformando curiosidade em pergunta. Reescreva "os nossos registradores prestam?" como uma pergunta de pesquisa aplicada.
Mostrar critérios de avaliação
Rubrica: 3 = medida, dados e comparação específicos; 2 = dois; 1 = vago; 0 = nada.
EX071 — Escolhendo uma comparação. Por que comparar a verificação de duas sondas com o alerta da nuvem, e não com "nenhuma verificação"?
Mostrar critérios de avaliação
Rubrica: 3 = mostra a melhora sobre a prática atual; decisão realista; 2 = parcial; 1 = vago; 0 = nada.
EX072 — Usando Giraldo et al. Diga como a revisão se relaciona com o estudo de Priya.
Mostrar critérios de avaliação
Rubrica: 3 = enquadra como verificação física/de consistência; revisão para contexto e métodos, não prova; 2 = parcial; 1 = cita como prova; 0 = nada.

Síntese

A pesquisa aplicada faz uma pergunta real do local, mede contra a prática atual e se apoia em fontes que podem ser verificadas.