Segurança OT / ICS
AÇÃO REQUERIDA（Leia e execute imediatamente）
AGORA: Leia../field-journal/precedent-pentest.md— Erros operacionais em ambientes de controle industrial podem causar danos físicosAGORA: A autorização por escrito deve especificar: site, segmento de rede, se varredura ativa/escrita em registradores é permitidaAGORA: case-init; padrão passive-first; proibido escrever em PLCs antes deready_for_actPRÓXIMO: tool-index; a maioria das ferramentas de controle industrial requerem conexão manual com a rede de experimentação isoladaAÇÃO: Identificação de ativos e zoneamento → Superfície de exposição → Validação somente leitura
Cenários de Aplicação
- Avaliação de segurança de sistemas de controle industrial/SCADA/DCS (autorizada)
- Zoneamento do modelo Purdue e canais entre zonas
- Exposição de protocolos como Modbus/DNP3/S7/EtherNet/IP, etc.
- Estações de engenharia, IHMs, históricos, hosts de salto (jump hosts)
- Fronteiras de convergência TI/OT (regras de firewall, gateways unidirecionais)
Regras de Ouro de Segurança (OBRIGATÓRIO)
NÃO DEVE, a menos que explicitamente autorizado:
- Escrever em coils/registradores de PLCs
- Realizar varredura de alta velocidade na rede OT de produção
- Interromper caminhos relacionados ao Sistema Instrumentado de Segurança (SIS)
Prioridade: identificação somente leitura, espelhamento de tráfego, análise offline de firmware/configuração
Fluxo de Trabalho
Fase 1 — Zoneamento e Ativos
□ Esboço Purdue L0–L5: Dispositivos de campo → Controle → Supervisão → DMZ do site → Empresarial
□ Inventário de ativos: PLC/RTU/IHM/Estações de engenharia/Históricos/Hosts de salto
□ Linha de base de protocolos e portas (apenas segmentos autorizados)
Fase 2 — Passivo e Somente Leitura
□ SPAN/espelhamento PCAP → protocol-reverse / Decodificadores de protocolos industriais do Wireshark
□ Auditoria offline de configurações e arquivos de engenharia (exportações TIA/RSLogix, etc.)
□ Senhas padrão e protocolos em texto claro (Modbus sem autenticação) registrados como Finding, sem alterar valores
Fase 3 — Ativo Restrito (Apenas se Autorizado)
□ Identificação em baixa velocidade, dentro de janelas de manutenção
□ Prioridade para códigos de função somente leitura
□ Cada etapa com Evidência; parar e notificar imediatamente em caso de anomalia
Fase 4 — Superfície de Firmware/Correção
□ Versões de firmware dos controladores → Mapeamento de CVEs (sem atualização cega de firmware)
□ Em conjunto com firmware-pentest para análise offline de imagens
Cadeia de Ferramentas
| Ferramenta | Uso | Nota |
|---|---|---|
| Decodificadores de protocolos industriais do Wireshark | Análise passiva | Tráfego espelhado |
| Nmap NSE (restrito) | Identificação | Taxa e janela de tempo |
| Claroty/Nozomi, etc. | Descoberta de ativos | Comercial/in loco |
| Softwares de engenharia de fabricantes de PLC | Auditoria de configuração | Priorizar offline |
| binwalk / Ghidra | Firmware | Offline |
Referências
references/ot-safe-assessment.md../firmware-pentest/../protocol-reverse/../networkvia pentest-tools
Contexto de Roteamento
Montante: MASTER R28
Jusante: Aprofundamento de firmware firmware-pentest; protocolo protocol-reverse; TI transversal windows-ad/attack-chain
Nível: Não usar varreduras Web comuns com parâmetros padrão para atacar OT
Autoavaliação de Conclusão de Tarefa
- A abordagem padrão foi passiva/somente leitura e os limites de autorização foram registrados?
- Foram evitadas operações de escrita nos loops de controle (a menos que explicitamente autorizado)?
- Os Findings incluem descrição do impacto físico/processual?
- Checklist / journal?