Capítulo 6 — Sistemas operacionais e virtualização | Tecnólogo Segurança de OT, IoT e sistemas ciberfísicos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 06 publicada. Mapa, exemplo, EX016.

flowchart TD
  N0["6.1 A HMI como host Windows"]
  N1["6.2 Historiadores virtualizados"]
  N2["6.3 Snapshots não são backups"]
  N3["6.4 Menor privilégio nos hosts"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX016"]

Desenho lógico

flowchart LR
  N0["6.1 A HMI como host Windows"]
  N1["6.2 Historiadores virtualizados"]
  N2["6.3 Snapshots não são backups"]
  N3["6.4 Menor privilégio nos hosts"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX016"]

[6.1 A HMI como host Windows]
    |
    v
[6.2 Historiadores virtualizados]
    |
    v
[6.3 Snapshots não são backups]
    |
    v
[6.4 Menor privilégio nos hosts]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX016]

Objetivos de aprendizagem

Você vai (1) identificar riscos no nível do sistema operacional em HMIs e historiadores; (2) explicar o que a virtualização muda para servidores de TO; (3) planejar snapshots e backups que de fato restauram; e (4) respeitar as restrições de suporte do fornecedor ao endurecer sistemas.

6.1 A HMI como host Windows

A HMI-C roda uma edição de Windows de manutenção de longo prazo com o software de HMI do fornecedor de refrigeração. Os seus riscos são comuns: serviços sem patch, contas locais compartilhadas, pendrives USB e ferramentas de área de trabalho remota. As suas restrições não são: o fornecedor certifica versões específicas do sistema operacional, e uma atualização não testada pode parar o runtime da HMI. Por isso, o endurecimento passa por uma unidade de teste ou por uma lista aprovada pelo fornecedor. Na NCS, isso significa que a lista de patches aprovados pelo fornecedor para a HMI-C é conferida antes de cada janela de manutenção, e qualquer coisa que não esteja nela é testada primeiro na unidade de teste da empresa contratada.

6.2 Historiadores virtualizados

A NCS roda o HIST como máquina virtual num pequeno host na sala de comunicações. A virtualização ajuda a recuperação — uma VM pode ser restaurada de um snapshot em minutos —, mas concentra o risco: o comprometimento ou a falha do hipervisor afeta todas as VMs nele. As interfaces de gerenciamento do hipervisor pertencem a uma rede de gerenciamento isolada, nunca à VLAN do escritório. A revisão de Priya no HIST encontrou o console do hipervisor alcançável a partir da VLAN do escritório; o plano dela o moveu para a VLAN de gerenciamento, onde só o host de gerenciamento de TO consegue alcançá-lo.

6.3 Snapshots não são backups

Um snapshot fica no mesmo armazenamento da VM; se o armazenamento falhar ou um ransomware o criptografar, os dois se vão. Um backup é uma cópia separada, de preferência offline ou imutável, com uma restauração testada. Registre a data do teste de restauração — um backup não testado é uma esperança. O HIST tinha um único snapshot, de oito meses atrás, e nenhum backup separado. O plano de Priya acrescenta um backup noturno da VM para um NAS na VLAN de gerenciamento de TO, com uma cópia semanal offline, e um teste de restauração numa rede isolada no mês que vem.

6.4 Menor privilégio nos hosts

Os operadores usam uma conta nominal, sem privilégios de administrador; o runtime do fornecedor usa uma conta de serviço que não pode fazer login interativo; os direitos de administrador são concedidos por tarefa e registrados. Na NCS, isso substituiu o login compartilhado "shift" na HMI-C: os operadores agora entram com contas nominais que não podem instalar software, e o runtime do fornecedor de refrigeração roda sob uma conta de serviço sem logon interativo. Quando Priya precisou de direitos de administrador para aplicar a política de lista de permissões, ela os pediu para aquele chamado de mudança, e a elevação foi registrada com o número do chamado. O runtime da HMI do fornecedor continuou funcionando porque é a sua conta de serviço, e não um operador, que é dona dos processos que conversam com o PLC-R1 e o PLC-R2.

Exemplo resolvido (NCS sintética)

Priya revisa o HIST: um snapshot de oito meses atrás, nenhum backup separado, console do hipervisor alcançável a partir da VLAN do escritório. O plano dela: backup noturno da VM do HIST para um NAS separado na VLAN de gerenciamento de TO, com uma cópia semanal offline; mover o console do hipervisor para a VLAN de gerenciamento; executar e registrar um teste de restauração numa rede isolada no mês que vem.

Caso sintético — Northgate Cold Storage. Os achados são inventados.

Erros e limites

Restaurar uma VM na rede ativa pode criar um host duplicado que entra em conflito com o original; teste as restaurações isoladamente. Algumas HMIs de fornecedores não têm suporte em máquinas virtuais.

Exercícios

EX016 — Snapshot ou backup? Explique por que o snapshot de oito meses do HIST não conta como backup.
Mostrar critérios de avaliação
Rubrica: 3 = mesmo armazenamento, não independente, desatualizado, nunca restaurado; 2 = duas razões; 1 = uma; 0 = nada.
EX017 — Movendo o console do hipervisor. Diga qual é o risco de o console ser alcançável a partir da VLAN do escritório.
Mostrar critérios de avaliação
Rubrica: 3 = malware ou usuário do escritório poderia controlar ou destruir todas as VMs; 2 = parcial; 1 = vago; 0 = nada.
EX018 — Um teste de restauração seguro. Descreva como testar a restauração do HIST sem perturbar a operação.
Mostrar critérios de avaliação
Rubrica: 3 = restaurar numa rede isolada, verificar dados e serviços, registrar a data; 2 = dois; 1 = restaurar por cima da VM ativa; 0 = nada.

Síntese

A segurança de sistemas operacionais e de virtualização em TO é, em grande parte, o básico com disciplina — menor privilégio, gerenciamento isolado e backups comprovados por restauração —, dentro das restrições do fornecedor.