Guillem Alsina Gonzàlez
Um professor universitário que tive nos meus estudos de informática dizia que o único computador realmente seguro é aquele que está «desligado, desconectado da rede elétrica, guardado num cofre protegido com uma combinação que ninguém sabe, que foi trancado num bunker subterrâneo do qual ninguém sabe nada e cuja chave da porta foi destruída». Mas isso, embora seja altamente seguro, é impossível e, além disso, não permite a sua utilização.
Admitamos, a conectividade é necessária e, além disso, prática, mas acarreta o problema de aumentar a superfície de exposição dos sistemas informáticos e, com isso, a continuidade operacional das empresas e organizações.
Para ajudar a melhorar a segurança da tecnologia operacional (OT), historicamente orientada para a segurança física, a disponibilidade e a continuidade do serviço, e que se encontra, precisamente, cada vez mais interligada, várias entidades internacionais uniram-se para publicar um guia sobre como reforçar a sua cibersegurança nesta área.
Entre essas entidades encontram-se a CISA e o FBI dos Estados Unidos, o Gabinete Federal para a Segurança da Informação da Alemanha, o Centro Nacional de Cibersegurança do Reino Unido e outras entidades governamentais do Canadá, Nova Zelândia e Austrália.
O documento refere que as necessidades de eficiência e integração que permitem a análise em tempo real, a manutenção preditiva e a monitorização e administração remotas, e que requerem conectividade que proporciona agilidade, também ampliam a superfície de ataque e aumentam o impacto potencial de um incidente, o que em OT pode traduzir-se em danos físicos, impacto ambiental ou interrupções de serviços essenciais.
Para reforçar a cibersegurança dos sistemas, o presente guia propõe «estados finais desejáveis», em vez de mínimos obrigatórios para projetar e gerir a conectividade segura em OT, tanto em sistemas novos como existentes, com especial ênfase nos operadores de serviços essenciais.
O texto sublinha que a conectividade OT exposta ou insegura é alvo tanto de atores oportunistas como de adversários altamente capacitados, incluindo grupos patrocinados pelo Estado, e que também foram observadas campanhas oportunistas de hacktivistas. A conclusão operacional é que fortalecer a cibersegurança em infraestruturas críticas (e, em particular, a conectividade OT) aumenta o limiar que um atacante deve superar para causar efeitos físicos ou interrupções no serviço.
A primeira peça, antes de implementar a tecnologia, é a governança e, para isso, o documento estabelece que toda a conectividade deve partir de um caso de negócios formal, centralizado e revisável, que deixe rastreável por que existe uma conexão, quais benefícios ela traz, quais riscos são aceitos, quais impactos uma violação teria e quais dependências externas ela introduz, além de designar um responsável sênior pelo risco. O guia insiste que as decisões de conectividade devem ser “auditáveis” e comparáveis com limites de risco definidos previamente, não o resultado de atalhos operacionais.
Este ponto está relacionado com um problema recorrente em OT: a presença de produtos obsoletos, ativos e software que já não recebem atualizações de segurança ou carecem de mitigação moderna. O guia adverte que tais componentes aumentam a probabilidade de exploração e complicam a deteção e a resposta, além de forçar o investimento em controlos compensatórios e conhecimento especializado. Por isso, recomenda tratá-los como «não confiáveis» e não os utilizar para implementar controlos de segurança, recorrendo, entretanto, à segmentação e aos controlos de rede como medidas temporárias e planejando a sua substituição.
Com o quadro de risco estabelecido, o documento aborda a exposição. Na sua definição, a exposição depende da localização de um ativo na arquitetura e da sua acessibilidade a partir de redes externas ou adjacentes, considerando a defesa em profundidade. Aqui, a gestão das interfaces de administração ganha relevância, para o que o guia recomenda, sempre que possível, limitar a administração a estações de trabalho de acesso privilegiado (PAW), ou seja, equipamentos dedicados e mais fiáveis para tarefas de gestão e, em cenários sensíveis, até restringir a administração ao acesso físico local.
O objetivo operacional é reduzir ao mínimo a exposição dos pontos de administração e limitar o «tempo de exposição» com modelos de acesso just-in-time, ativando as ligações apenas quando necessário.
À medida que as organizações evoluem, também evoluem os seus modelos de conectividade, muitas vezes com múltiplos intervenientes (sistemas de negócio, plataformas de faturação, fornecedores de manutenção). O guia alerta que o crescimento “ad hoc” multiplica as rotas de acesso e os pontos cegos. Por isso, propõe centralizar e padronizar as conexões para consolidar pontos de entrada e aplicar controles uniformes, com modelos repetíveis e categorizados de acordo com o tipo de interação (pessoa a pessoa, pessoa a máquina ou máquina a máquina) para ajustar as medidas a cada fluxo.
A arquitetura deve favorecer soluções reutilizáveis em vez de implementações específicas realizadas por terceiros, citando como exemplo a centralização do acesso remoto em uma solução segura hospedada na DMZ, em vez de multiplicar extremos de VPN dentro da rede OT.
O guia também aborda o plano dos protocolos, indicando que, além de garantir redes e dispositivos, é necessário considerar a segurança dos protocolos utilizados e sua adequação à tríade de confidencialidade, integridade e disponibilidade, priorizando aspetos distintos de acordo com o tipo de ligação.
Propõe validar protocolos e dados com formatos simples e esquemas que permitam verificar se o tráfego é o esperado e inspecioná-los em limites de confiança (por exemplo, entre OT e TI ou diante de sistemas de controlo) e, em protocolos industriais, recomenda optar por variantes seguras e mais recentes (por exemplo, evoluções seguras de DNP3, CIP, Modbus ou OPC), exigir proteções criptográficas de autenticidade e integridade e contemplar a “agilidade criptográfica”, ou seja, a capacidade de migrar algoritmos à medida que os requisitos evoluem.
No perímetro OT, o texto sublinha que a prevalência de ativos obsoletos e controlos fracos torna a fronteira um elemento crítico, apoiando-se na segmentação e segregação para reduzir a exposição. Recomenda investir em ativos de fronteira modernos, modulares e substituíveis, como, por exemplo, firewalls com inspeção de camada de aplicação, e mantê-los fora da obsolescência, atualizados por padrão e substituídos antes do fim do seu ciclo de vida.
Outras medidas mencionadas no guia são a eliminação de serviços e portas desnecessários, a autenticação multifator resistente a phishing em serviços externos, a alteração de credenciais por padrão, a aplicação do privilégio mínimo (incluindo a rastreabilidade por usuário e sua integração em processos de altas, alterações e baixas), o acesso contextual quando possível e a exigência de requisitos a terceiros ao projetar conectividade para a OT.
Para limitar o impacto em caso de comprometimento, o documento concentra a atenção em dois riscos: a “contaminação” (introdução não autorizada de código, dados ou configurações inseguras) e o movimento lateral, ou seja, a expansão do invasor dentro da rede após o acesso inicial, e recomenda arquiteturas zonificadas e segmentadas, aprofundando a microsegmentação como uma abordagem mais granular que restringe as comunicações até o nível de dispositivos ou serviços, alinhada com o privilégio mínimo.
Como um todo, este documento posiciona a conectividade OT como uma disciplina que combina design, operação e compras, desde o caso de negócios e a gestão da obsolescência até os padrões de acesso remoto, a padronização, a seleção de protocolos e o endurecimento do perímetro, fechando o ciclo com deteção e planos de isolamento.
