Implementando Segurança de Conduit para Acesso Remoto em OT

Quando Usar

• Ao substituir conexões VPN diretas de TI ou fornecedores para redes de controle de OT
• Ao implementar arquitetura de conduit compatível com IEC 62443 para caminhos de acesso remoto
• Ao implantar acesso remoto seguro para manutenção de equipamentos de ICS por fornecedores terceirizados
• Ao construir fluxos de trabalho de acesso baseados em aprovação para acesso a sistemas de OT privilegiados
• Ao corrigir descobertas de auditoria sobre acesso remoto não controlado a sistemas SCADA

Não use para projetar a segmentação geral do Modelo Purdue (consulte implementando-segmentacao-rede-modelo-purdue), para implantar soluções de acesso remoto apenas de TI, ou para configurar acesso ao console local para PLCs.

Pré-requisitos

• DMZ de TI/OT (Nível 3.5) implantada com arquitetura de firewall duplo
• Servidor de salto (jump server) ou plataforma de gerenciamento de acesso privilegiado (PAM) (CyberArk, BeyondTrust)
• Infraestrutura de autenticação multifator (MFA) para usuários de acesso remoto de OT
• Capacidade de gravação de sessão para fins de conformidade e forenses
• Sistema de fluxo de trabalho de aprovação (ServiceNow, sistema de tickets) para solicitações de acesso

Fluxo de Trabalho

Etapa 1: Projetar a Arquitetura de Conduit para Acesso Remoto

# Arquitetura de Segurança de Conduit IEC 62443 para Acesso Remoto em OT
# Todo acesso remoto termina na DMZ - nunca passa diretamente para OT

conduit_architecture:
  remote_access_conduit:
    conduit_id: "RA-001"
    source_zone: "Enterprise IT (Nível 4)"
    destination_zone: "OT DMZ (Nível 3.5)"
    security_level_target: "SL3"

    components:
      external_gateway:
        type: "Concentrador VPN"
        location: "DMZ Corporativa"
        ip: "10.200.1.10"
        protocols: ["IPsec", "SSL-VPN"]
        authentication: "MFA obrigatório (certificado + OTP)"

      dmz_jump_server:
        type: "Estação de Trabalho de Acesso Privilegiado"
        location: "OT DMZ (Nível 3.5)"
        ip: "10.10.150.20"
        os: "Windows Server 2022 (endurecido)"
        controls:
          - "Contas de administrador local desativadas"
          - "Portas USB desativadas"
          - "Transferência de área de transferência desativada por padrão"
          - "Gravação de sessão ativada (todas as teclas e tela)"
          - "Duração máxima da sessão: 4 horas"
          - "Logoff automático após 15 minutos de inatividade"
          - "Lista de permissões de aplicativos aplicada"

      ot_access_gateway:
        type: "Gateway de Acesso Remoto Industrial"
        location: "DMZ de OT / Limite de Nível 3"
        ip: "10.10.150.25"
        controls:
          - "Apenas IPs de destino pré-aprovados alcançáveis"
          - "Filtragem em nível de protocolo (apenas RDP, SSH, VNC)"
          - "Sessões com tempo limitado e expiração automática"
          - "Acesso baseado em aprovação (gerente da planta deve autorizar)"

    data_flow:
      - step: 1
        description: "Usuário autentica via VPN corporativa com MFA"
        source: "Usuário remoto"
        destination: "Concentrador VPN"
        protocol: "IPsec/SSL-VPN"
      - step: 2
        description: "Usuário se conecta ao jump server na DMZ de OT"
        source: "Túnel VPN"
        destination: "Jump server da DMZ"
        protocol: "RDP com NLA"
      - step: 3
        description: "Do jump server, o usuário acessa um sistema de OT específico"
        source: "Jump server da DMZ"
        destination: "Destino de OT aprovado"
        protocol: "RDP/SSH/VNC"
        condition: "Somente após aprovação do gerente e dentro da janela de tempo"

    prohibited_flows:
      - "Túnel VPN direto de externo para dispositivos de OT de Nível 1/2"
      - "Split tunneling permitindo acesso à internet durante a sessão de OT"
      - "Transferência de arquivos do jump server para OT sem varredura"
      - "Conexões VPN persistentes (reconexão automática desativada)"

  vendor_access_conduit:
    conduit_id: "VA-001"
    source_zone: "Rede Externa do Fornecedor"
    destination_zone: "OT DMZ (Nível 3.5)"
    security_level_target: "SL3"

    workflow:
      request:
        - "Fornecedor envia solicitação de acesso via portal (24h de antecedência)"
        - "Solicitação inclui: propósito, sistemas de destino, duração, pessoal"
        - "Gerente de operações da planta revisa e aprova/rejeita"
        - "Credenciais com tempo limitado geradas após aprovação"
      session:
        - "Fornecedor se conecta via gateway VPN dedicado para fornecedores"
        - "Autenticação MFA (fornecedor recebe OTP via SMS/app)"
        - "Sessão aterrissa em um jump server específico para fornecedores (isolado do jump interno)"
        - "Todas as ações são registradas (vídeo + log de teclas)"
        - "Engenheiro de OT monitora a sessão do fornecedor em tempo real"
      termination:

…