Diferenças entre a segurança de OT e IT

Aplicar diretamente práticas de segurança de IT a OT costuma causar mais prejuízos do que benefícios. Os dois domínios otimizam objetivos diferentes, utilizam tecnologias diferentes e falham de maneiras diferentes. Um profissional que migra para OT precisa abandonar vários reflexos.

Esta lição compara as prioridades, restrições e ameaças que fazem da segurança de OT uma disciplina própria.

A IT prioriza a tríade CIA: Confidencialidade, Integridade e Disponibilidade. Na prática, OT a inverte.

• Disponibilidade em primeiro lugar — o processo precisa continuar funcionando; o tempo de inatividade pode ser perigoso ou extremamente caro
• Integridade em segundo lugar — leituras e comandos precisam ser confiáveis
• Confidencialidade por último — valores de sensores raramente são secretos

Acima de tudo está uma preocupação que a IT não compartilha: segurança operacional. Proteger a vida humana e o meio ambiente está acima de tudo.

Em OT, um controle de segurança que possa fazer um processo se comportar de modo inesperado pode ser pior do que a ameaça. Uma ação automatizada que acione uma turbina ou feche uma válvula no momento errado pode ferir pessoas.

• As mudanças de segurança nunca devem comprometer a função de segurança operacional
• Engenheiros, e não apenas profissionais de segurança, devem aprovar formalmente as mudanças
• O SIS deve permanecer independente e confiável

É por isso que táticas agressivas de IT, como o isolamento automático, precisam de adaptação cuidadosa em OT.

Na IT, aplicar correções prontamente é quase um dogma. Em OT, isso é limitado.

• A aplicação de correções pode exigir uma parada da planta, programada com meses de antecedência
• A certificação do fornecedor pode proibir correções não aprovadas
• Uma correção inadequada pode interromper a produção ou invalidar uma justificativa de segurança

Como a aplicação de correções é lenta, OT depende ainda mais de controles compensatórios: segmentação, monitoramento e controle de acesso para proteger sistemas que não podem ser atualizados rapidamente.

Os equipamentos de OT operam por décadas. É comum encontrar controladores e sistemas operacionais muito além do fim do suporte do fornecedor ainda em produção, porque substituí-los significa reconstruir a linha física.

• Versões de OS sem suporte e sem correções disponíveis
• Equipamentos que não conseguem executar agentes modernos de segurança
• Protocolos projetados em uma época em que se presumia a existência de uma rede isolada

É necessário proteger o que existe, não o que se gostaria que existisse.

Muitos protocolos industriais foram criados para redes confiáveis e fisicamente isoladas e, por isso, não têm autenticação nem criptografia por padrão. Em uma rede desse tipo, qualquer dispositivo que consiga alcançar um controlador pode comandá-lo.

• Os comandos são aceitos sem comprovar a identidade do remetente
• O tráfego frequentemente está em texto não criptografado e é facilmente falsificado
• Nas versões legadas, isso é uma suposição de projeto, não um erro corrigível

A proteção vem do controle de quem pode alcançar a rede, assunto abordado mais adiante.

Na IT, a varredura de vulnerabilidades é rotineira. Em OT, uma varredura agressiva pode derrubar dispositivos frágeis. Alguns CLPs entram em falha ou param quando recebem tráfego inesperado, o que pode ser perigoso em um processo em funcionamento.

• Prefira o monitoramento passivo da rede à varredura ativa
• Teste qualquer ferramenta ativa em um laboratório ou em uma janela de manutenção primeiro
• Coordene com a operação antes de tocar nas redes de produção

O lema é: em OT, a avaliação não pode se transformar no incidente.

As malhas de controle funcionam com temporização rigorosa. Adicionar latência ou variação do atraso pode desestabilizar um processo.

• Os dispositivos de segurança em linha não podem introduzir um atraso prejudicial
• Agentes pesados podem privar as tarefas de tempo real de CPU
• Mudanças na rede podem interromper comunicações com temporização rígida

A segurança deve se enquadrar no determinismo exigido pelo processo, o que frequentemente exclui soluções triviais em IT.

A diferença fundamental: incidentes de OT têm efeitos físicos no mundo real. Um servidor de IT comprometido vaza dados; um sistema OT comprometido pode transbordar um tanque, danificar uma turbina, contaminar a água ou colocar trabalhadores em perigo.

Isso aumenta os riscos e muda a avaliação de risco. O pior resultado possível não é apenas financeiro ou de reputação; pode ser a perda de vidas. A modelagem de ameaças em OT precisa considerar o impacto físico e na segurança operacional, não apenas os dados.

A OT atrai um perfil distinto de ameaças.

• Estados-nação que buscam a interrupção estratégica de infraestruturas críticas
• Invasores cujo objetivo é a interrupção física, não o roubo de dados
• Até mesmo um ransomware não direcionado de IT pode se espalhar para OT e interromper as operações

Como as consequências são graves e os invasores podem contar com muitos recursos, a defesa de OT enfatiza a resiliência e a detecção juntamente com a prevenção.

O objetivo não é abandonar a segurança de IT, mas adaptá-la.

• Priorize o monitoramento passivo e a segmentação em vez da varredura intrusiva e da aplicação rápida de correções
• Coloque a segurança operacional e a disponibilidade acima da confidencialidade
• Envolva engenheiros de processo em cada decisão de segurança
• Use controles compensatórios para sistemas que não podem receber correções

Esses princípios orientam as lições sobre protocolos e arquitetura apresentadas a seguir.

Aplique as prioridades invertidas a uma decisão real.

Você aprendeu por que a segurança de OT é uma disciplina própria.

• As prioridades se invertem: segurança operacional e disponibilidade em primeiro lugar, confidencialidade por último
• A aplicação de correções é limitada; é necessário contar com controles compensatórios
• Equipamentos legados e protocolos inseguros por projeto fazem parte da realidade
• A varredura ativa e os agentes intrusivos podem prejudicar dispositivos frágeis de tempo real
• Os incidentes têm consequências físicas; envolva engenheiros de processo em cada decisão

A seguir: os protocolos específicos e suas fragilidades.