Capítulo 5 — Letramento em segurança | Tecnólogo Segurança de OT, IoT e sistemas ciberfísicos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX013.

flowchart TD
  N0["5.1 O que importa na NCS"]
  N1["5.2 Fontes de ameaça"]
  N2["5.3 Lendo um alerta"]
  N3["5.4 ATT&CK for ICS"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX013"]

Desenho lógico

flowchart LR
  N0["5.1 O que importa na NCS"]
  N1["5.2 Fontes de ameaça"]
  N2["5.3 Lendo um alerta"]
  N3["5.4 ATT&CK for ICS"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX013"]

[5.1 O que importa na NCS]
    |
    v
[5.2 Fontes de ameaça]
    |
    v
[5.3 Lendo um alerta]
    |
    v
[5.4 ATT&CK for ICS]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX013]

Objetivos de aprendizagem

Você vai (1) explicar segurança física (safety), disponibilidade, integridade e confidencialidade para um armazém frigorífico; (2) descrever as fontes comuns de ameaça em TO; (3) ler um alerta público e extrair o que importa; e (4) usar corretamente os identificadores do ATT&CK for ICS.

5.1 O que importa na NCS

O pior desfecho na NCS é um vazamento de amônia — um evento de segurança física tratado por sistemas separados de detecção de gás e de ventilação de emergência. Em seguida vem a perda de resfriamento e o estoque condenado. Depois, a integridade dos registros de temperatura, em que os clientes e os fiscais de segurança dos alimentos confiam. A confidencialidade importa para os contratos com clientes e para as imagens das câmeras. Essa ordem orienta onde gastar esforço primeiro. A classificação de Priya segue essa ordem: a segurança da amônia fica com o sistema de detecção de gás e com o engenheiro de refrigeração; o trabalho de segurança dela começa pelos caminhos que poderiam parar o resfriamento ou falsificar os registros de temperatura.

5.2 Fontes de ameaça

A maioria dos incidentes de TO não é ataque de elite. Eles incluem ransomware comum que se espalha das redes de escritório para HMIs Windows, uso indevido do acesso remoto de fornecedores, erros durante a manutenção e dispositivos expostos à internet com senhas padrão. O alerta AA21-042A da CISA, sobre uma estação de tratamento de água, descreve um acesso por software de compartilhamento de área de trabalho combinado com senhas fracas — um padrão que se encaixa em muitos locais pequenos. Priya encontrou os quatro padrões na NCS: uma ferramenta de compartilhamento de área de trabalho na HMI-C, uma senha compartilhada da HMI num bilhete adesivo, um roteador celular esquecido e uma câmera exposta à internet.

5.3 Lendo um alerta

De qualquer alerta, extraia: o produto e as versões afetados, a fraqueza, se já houve exploração observada e as mitigações recomendadas. Depois pergunte se a NCS tem esse produto (a sua tabela de ativos responde) e se a mitigação é viável. Priya aplicou isso ao AA21-042A e encontrou três paralelos na NCS: a ferramenta de compartilhamento de área de trabalho da empresa contratada na HMI-C, um sistema operacional da HMI perto do fim do suporte e uma senha compartilhada da HMI escrita num bilhete adesivo. A sua tabela de ativos respondeu à primeira pergunta; a mitigação, sessões supervisionadas em vez de uma ferramenta sempre ativa, era viável porque a empresa contratada só visita o local algumas vezes por mês.

5.4 ATT&CK for ICS

O MITRE ATT&CK for ICS dá nomes e IDs a comportamentos de adversários já observados. T0886 Remote Services cobre o uso de serviços de acesso remoto para alcançar sistemas de controle; T0883 Internet Accessible Device cobre dispositivos alcançáveis a partir da internet. Use os IDs para rotular os achados de forma consistente, e não para afirmar completude. Priya rotula como T0886 a ferramenta de compartilhamento de área de trabalho sempre ativa da empresa contratada na HMI-C, e como T0883 a câmera da doca alcançável pela internet. Nenhum dos rótulos diz que o local foi atacado; cada um diz que tipo de comportamento observado o achado permitiria. Quando um alerta da CISA citar depois T0886 para uma família de produtos, ela pode buscar esse ID nos seus achados e saber na hora quais itens da NCS são relevantes.

Exemplo resolvido (NCS sintética)

Priya lê o AA21-042A e anota três paralelos na NCS: a empresa de refrigeração usa uma ferramenta de compartilhamento de área de trabalho na HMI-C; a HMI-C roda um sistema operacional perto do fim do suporte; e a senha compartilhada da HMI está num bilhete adesivo. Ela rotula o primeiro achado como T0886 e propõe remover a ferramenta sempre ativa em favor de sessões supervisionadas.

Caso sintético — Northgate Cold Storage. Os paralelos são inventados; o alerta é real.

Erros e limites

Os alertas descrevem uma situação; não copie as suas mitigações sem verificar se servem. Os sistemas de segurança de detecção de gás estão fora da autoridade de um tecnólogo de segurança para modificar.

Exercícios

EX013 — Ordenando as preocupações da NCS. Ponha em ordem de prioridade: vazamento de imagens das câmeras, vazamento de amônia, registros de temperatura falsificados, perda de resfriamento.
Mostrar critérios de avaliação
Rubrica: 3 = vazamento de amônia, resfriamento, registros, imagens, com razões; 2 = só a ordem; 1 = parcialmente certo; 0 = nada.
EX014 — Quatro fatos de um alerta. Liste os quatro itens a extrair de um alerta de ICS.
Mostrar critérios de avaliação
Rubrica: 3 = produto/versões, fraqueza, estado de exploração, mitigações; 2 = três; 1 = dois; 0 = nada.
EX015 — Rotulando um achado. Qual ID do ATT&CK for ICS se encaixa em "a empresa contratada alcança a HMI-C por software de compartilhamento de área de trabalho"?
Mostrar critérios de avaliação
Rubrica: 3 = T0886 Remote Services; 2 = nome certo, sem ID; 1 = T0883; 0 = nada.

Síntese

Letramento em segurança significa ordenar as consequências com honestidade, reconhecer as fontes de ameaça do dia a dia e ler alertas e rótulos do ATT&CK com cuidado.