Implementando o Playbook de Resposta a Incidentes OT

Quando Usar

• Ao construir procedimentos de resposta a incidentes específicos para OT pela primeira vez
• Quando os playbooks de resposta a incidentes de TI existentes não abordam os requisitos específicos de ICS/SCADA
• Ao se preparar para cenários de ransomware em OT, como EKANS ou LockerGoga
• Ao alinhar procedimentos de resposta a incidentes com os requisitos de relatório de incidentes da IEC 62443 e NERC CIP
• Ao conduzir revisões pós-incidente para melhorar as capacidades de resposta a incidentes em OT

Não use para resposta a incidentes apenas de TI sem componentes de OT (use os playbooks padrão NIST 800-61), para monitoramento de segurança de OT do dia a dia (veja implementando-dragos-platform-for-ot-monitoring) ou para design de exercícios de simulação (veja performing-ics-tabletop-exercise).

Pré-requisitos

• Inventário de ativos de OT com classificações de criticidade e identificação de sistemas de segurança
• Funções definidas: Líder de Resposta a Incidentes de OT, Analista de SOC de TI, Gerente de Operações da Planta, Engenheiro de Segurança de Processo
• Plano de comunicação incluindo canais fora de banda (incidentes de OT podem comprometer as comunicações de TI)
• Backups confiáveis de programas de PLC, configurações de HMI e dados de historiador
• Informações de contato para fornecedores de ICS, suporte Dragos/Claroty e CISA ICS-CERT

Fluxo de Trabalho

Etapa 1: Definir Classificação de Incidentes OT Específicos e Procedimentos de Resposta

#!/usr/bin/env python3
"""Motor do Playbook de Resposta a Incidentes OT.

Implementa procedimentos estruturados de resposta a incidentes OT seguindo
o ciclo de vida SANS PICERL com considerações específicas de ICS para segurança,
disponibilidade e coordenação entre equipes.
"""

import json
import sys
from datetime import datetime
from enum import Enum
from typing import Dict, List, Optional


class OTIncidentSeverity(Enum):
    SEV1_SAFETY = "SEV1-SAFETY"  # Comprometimento do sistema de segurança
    SEV2_PROCESS = "SEV2-PROCESS"  # Manipulação ativa do processo
    SEV3_ACCESS = "SEV3-ACCESS"  # Acesso não autorizado em OT
    SEV4_RECON = "SEV4-RECON"  # Reconhecimento na rede OT
    SEV5_IT_SPILLOVER = "SEV5-IT-SPILLOVER"  # Incidente de TI com exposição em OT


class OTIncidentCategory(Enum):
    RANSOMWARE = "ransomware"
    MALWARE_ICS = "malware_ics_specific"
    UNAUTHORIZED_ACCESS = "unauthorized_ot_access"
    PROCESS_MANIPULATION = "process_manipulation"
    SIS_COMPROMISE = "safety_system_compromise"
    DATA_EXFILTRATION = "ot_data_exfiltration"
    SUPPLY_CHAIN = "supply_chain_compromise"
    INSIDER_THREAT = "insider_threat"


# Definições de fases PICERL para OT
PICERL_PHASES = {
    "preparation": {
        "description": "Atividades de prontidão antes que um incidente ocorra",
        "ot_specific": [
            "Manter backups offline de todos os programas de PLC e configurações de HMI",
            "Documentar procedimentos de desligamento seguro para cada área de processo",
            "Estabelecer comunicação fora de banda (telefone via satélite, rádio analógico)",
            "Pré-instalar ferramentas forenses que funcionam em redes OT isoladas",
            "Manter PLCs e estações de engenharia sobressalentes",
            "Realizar exercícios de simulação de OT trimestrais",
        ],
    },
    "identification": {
        "description": "Detectar e confirmar o incidente de segurança OT",
        "ot_specific": [
            "Correlacionar alertas de IDS de OT com anomalias de processo de dados do historiador",
            "Verificar se desvios de processo são causados por ciberataques ou operacionais",
            "Verificar o status e a integridade dos Sistemas Instrumentados de Segurança (SIS)",
            "Revisar logs de estações de engenharia para acesso não autorizado",
            "Examinar mudanças de modo de PLC (transições RUN/STOP/PROGRAM)",
            "Avaliar se o incidente é apenas de TI ou se cruzou para OT",
        ],
    },
    "containment": {
        "description": "Limitar a propagação e o impacto do incidente",
        "ot_specific": [
            "NUNCA desligar sistemas de OT sem aprovação das operações da planta",
            "Isolar segmentos afetados no firewall industrial (não desligando)",
            "Colocar PLCs em modo LOCAL/MANUAL se manipulação remota for suspeita",
            "Desconectar dutos de TI-OT na DMZ, mantendo a comunicação intra-OT",
            "Preservar evidências forenses antes de quaisquer ações de remediação",
            "Manter a operação do sistema de segurança durante a contenção",
        ],
    },
    "eradication": {
        "description": "Remover a ameaça dos sistemas de OT",
        "ot_specific": [
            "Comparar programas de PLC em execução com backups confiáveis",
            "Reconstruir estações de engenharia comprometidas a partir de imagens de referência",

…