Capítulo 8 — Fundamentos de arquitetura de segurança
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX022.
flowchart TD
N0["8.1 Zonas para a NCS"]
N1["8.2 Conduítes"]
N2["8.3 Por que uma DMZ"]
N3["8.4 Defesa em profundidade"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX022"]
Desenho lógico
flowchart LR
N0["8.1 Zonas para a NCS"]
N1["8.2 Conduítes"]
N2["8.3 Por que uma DMZ"]
N3["8.4 Defesa em profundidade"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX022"]
[8.1 Zonas para a NCS]
|
v
[8.2 Conduítes]
|
v
[8.3 Por que uma DMZ]
|
v
[8.4 Defesa em profundidade]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX022]
Objetivos de aprendizagem
Você vai (1) dividir uma instalação pequena em zonas; (2) definir conduítes entre as zonas, com o tráfego permitido; (3) posicionar uma DMZ para serviços compartilhados; e (4) explicar a defesa em profundidade com camadas concretas.
8.1 Zonas para a NCS
A IEC 62443-3-2 introduz zonas (grupos de ativos com requisitos de segurança em comum) e conduítes (os caminhos de comunicação entre elas). A NCS precisa de pelo menos quatro zonas: escritório, controle da refrigeração (PLC-R1, PLC-R2, HMI-C), registro de temperatura e câmeras (registradores, GW-LOG, CAM-DOCK), e uma pequena DMZ com a réplica do historiador e o jump host de acesso remoto. O diagrama de zonas de Priya mostrou a regra 9 cruzando diretamente escritório → controle; como nenhum conduíte listado a permitia, o próprio documento de arquitetura deu a razão para removê-la. O diagrama também tornou concreto o propósito da DMZ: é onde os usuários do escritório leem dados sem entrar na zona de controle.
8.2 Conduítes
Cada conduíte lista o que pode atravessá-lo. Escritório → DMZ: HTTPS para os relatórios da réplica do historiador. DMZ → controle: nada iniciado a partir da DMZ, exceto a sessão do jump host para a HMI-C quando habilitada. Controle → DMZ: replicação do historiador. Zona de registro → internet: GW-LOG para a nuvem do fornecedor, só na 443. Todo o resto é negado. A tabela de conduítes de Priya tem cinco colunas: zona de origem, zona de destino, protocolo, iniciador e propósito. A coluna de iniciador é a que mais importa: a replicação do controle para a DMZ é iniciada pelo lado do controle, de modo que a DMZ nunca precisa de uma regra que a deixe abrir sessões para dentro.
8.3 Por que uma DMZ
Sem uma DMZ, os usuários do escritório que precisam de relatórios de temperatura se conectam direto na zona de controle. Com ela, eles alcançam uma cópia, e a zona de controle não aceita nenhuma sessão vinda do escritório. Essa única mudança remove o caminho que a maior parte do ransomware comum usa para alcançar as HMIs. Na NCS, os relatórios que os usuários querem são certificados de temperatura e horas de funcionamento dos compressores. A macro de energia do OFFICE-7 lia as horas de funcionamento diretamente do PLC-R2 pela regra 9; a correção de Priya fez com que ela lesse os mesmos valores da réplica do historiador na DMZ, e só então escritório → controle foi bloqueado.
8.4 Defesa em profundidade
As camadas na NCS: firewalls entre zonas; contas nominais; lista de permissões na HMI-C; monitoramento passivo da zona de controle; backups offline; e, fora do controle da equipe de segurança, detecção independente de amônia e ventilação de emergência. Cada camada supõe que a anterior pode falhar. A avaliação de Priya no Capítulo 23 mostra essa suposição em ação: cinco de seis controles passaram, mas a regra da zona de câmeras permitia que a CAM-DOCK alcançasse o HIST numa porta web. As outras camadas, contas nominais, lista de permissões na HMI-C e monitoramento passivo, continuavam no lugar enquanto a regra era restringida.
Exemplo resolvido (NCS sintética)
Priya desenha o diagrama de zonas e lista os conduítes numa tabela com zona de origem, zona de destino, protocolo, iniciador e propósito. Comparando-a com o firewall atual, ela encontra a regra de comissionamento do Capítulo 2 cruzando diretamente escritório → controle. O documento de arquitetura dá a razão para removê-la: ela não é um conduíte listado.
Caso sintético — Northgate Cold Storage. As zonas são um projeto didático.
Erros e limites
Zonas no papel não significam nada até serem impostas em switches e firewalls. As câmeras muitas vezes são esquecidas; são dispositivos de rede com as suas próprias vulnerabilidades e também pertencem a uma zona.
Exercícios
- EX022 — Posicionando a CAM-DOCK. Em qual zona da NCS as câmeras da doca devem entrar, e por que não na zona de controle? Rubrica: 3 = zona de registro/câmeras (ou uma zona própria); sem relação com o controle e frequentemente vulneráveis; 2 = só a zona; 1 = zona de controle; 0 = nada.
- EX023 — Uma linha da tabela de conduítes. Escreva a linha da replicação do historiador. Rubrica: 3 = controle → DMZ, protocolo/porta, iniciador do lado do controle, propósito; 2 = três campos; 1 = vago; 0 = nada.
- EX024 — Camadas que supõem falha. Cite duas camadas da NCS e diga qual falha cada uma cobre. Rubrica: 3 = duas camadas com a falha específica coberta; 2 = só as camadas; 1 = uma; 0 = nada.
Síntese
Zonas, conduítes e uma DMZ transformam "segmente a rede" num projeto verificável, e a defesa em profundidade torna sobrevivível a falha de cada camada.
Continue estudando — capítulo 08 de 30
← Capítulo 07 · Índice de capítulos do curso · Capítulo 09 →
Siga para a próxima lição escrita.