Fecham o caminho de ataque
- Segmentação em zonas e conduítes
- MFA e identidade individual
- Monitoramento contínuo de OT
- Controle de porta física e mídia removível
- Eliminação de wireless e 4G
- Gateway seguro de protocolo
Case · Saneamento
Risco inaceitável reduzido a zero sem trocar o parque de automação
Risk Assessment OT/ICS em duas estações de tratamento de água e no centro de controle operacional de uma companhia de saneamento. Dados anonimizados.
Vulnerabilidade não é risco
A pergunta central do Risk Assessment não é quais vulnerabilidades existem, e sim o que acontece fisicamente com o processo se uma função de automação for comprometida. É a adaptação de técnicas consagradas de análise de risco de processo, como HAZOP e LOPA, ao domínio cibernético: o Cyber-PHA da ISA/IEC 62443-3-2.
O scan de vulnerabilidades continua existindo, mas entra como evidência para a probabilidade, não como resultado final. A prioridade passa a ser definida pelo impacto físico, numa linguagem que a diretoria entende.
Escopo
O que foi avaliado
2 estações de tratamento de água, mais o centro de controle operacional
26 funções de automação, do PLC ao broker MQTT
96 cenários de risco avaliados
208 ativos inventariados, 40 deles de OT
Evidências
Três fontes alimentam a probabilidade de cada função
- Inventário de ativos: 208 ativos identificados, 40 de OT, incluindo 29 PLCs e 3 IHMs, por nível Purdue, firmware e rack/slot. Coleta passiva, sem tocar no processo.
- Vulnerabilidades: 20 ativos com CVEs não corrigidas, 10 em fim de vida, 4 com múltiplas interfaces de rede e USB conectado em 3.
- NIST SP 800-82 · CSET: 102 lacunas ranqueadas por SAL: 41% das questões atendidas e 24% não atendidas.
Probabilidade Vulnerabilidades NIST · CSET Inventário
Metodologia
Cinco etapas, dois workshops
- 01
Escopo e stakeholders
Sistema em consideração, zonas, conduítes, especialistas e responsáveis pelo aceite.
- 02
Ator de ameaça de referência
Perfil de TA1 a TA5, aprovado em consenso, sem subestimar nem inflar o risco.
- 03
Funções e consequências
Funções de automação por nível Purdue e consequências levantadas por perguntas-guia.
- 04
Severidade e probabilidade
Severidade sem defesas em quatro dimensões e probabilidade por rubrica objetiva.
- 05
Risco, controles e residual
Registro de riscos, controles vinculados à ISA/IEC 62443-3-3 e recálculo do risco residual.
Como o risco é medido
Severidade × probabilidade, de 1 a 25
| Faixa de risco | Classificação | O que fazer |
|---|---|---|
| 17 a 25 | Inaceitável | Ação imediata; não pode ser aceito |
| 9 a 16 | Tolerável condicional | Controles documentados com prazo |
| 1 a 8 | Aceitável | Monitorar, sem ação obrigatória |
Probabilidade por categoria de equipamento: atratividade 15%, capacidade 25%, exposição 35% e defesa 25%. A severidade é avaliada como se nenhum controle existisse, e a criticidade de cada função vem do seu pior cenário.
Resultado
Antes e depois dos controles
O ator de referência escolhido foi o TA3: crime organizado com conhecimento de sistemas industriais, o mais provável para o setor. A planta A tinha 8 cenários inaceitáveis, com risco 20 de 25.
20 maior risco da planta A antes dos controles; depois, 10
16 maior risco da planta B antes dos controles; depois, 4
0 cenários inaceitáveis depois dos controles
15 controles priorizados por valor de proteção
Na planta A, 14 cenários aguardavam dados e ficaram fora do comparativo.
Controles
15 controles por valor de proteção
Cada controle foi vinculado aos requisitos de sistema da ISA/IEC 62443-3-3 e ao nível de segurança-alvo (SL-T), separando o que é configuração do que é aquisição. A sequência importa: segmentação primeiro.
Reduzem a chance diretamente
- Jump server em DMZ industrial
- Credencial temporária de terceiros
- TLS e autenticação no broker MQTT
- ACL por tópico no MQTT
- Gestão de vulnerabilidades
- Controle formal de mudanças
- Menor privilégio no supervisório
- Operação manual assistida
Encurtam a parada
- Backup verificado e plano de recuperação
Arquitetura-alvo
Da topologia atual à arquitetura-alvo
Dados de processo saem da TI
Servidores SCADA, SCADA Mobile e broker MQTT deixam o data center corporativo e vão para a rede industrial.
DMZ que termina e reabre
A DMZ industrial passa a quebrar cada conexão, com relay MQTT, proxy do SCADA Mobile e patch/antivírus.
Acesso remoto em dois saltos
Acesso central na DMZ e local na rede industrial; terceiros deixam de chegar direto à rede OT.
Detecção com IDS e SPAN
IDS industrial com espelhamento de tráfego no switch de controle, para ver o que hoje não se vê.
Entregáveis
O que a companhia recebeu
Diagnóstico
Plano
Arquitetura
Quer medir o risco cibernético do seu processo?
O Risk Assessment começa por uma reunião de escopo com a coordenação de automação.
- Diagnóstico gratuito
- Resposta rápida
- Atendimento personalizado
Atualizado em