Implementando Gerenciamento de Patches para Sistemas OT

Quando Usar

• Ao estabelecer um programa formal de gerenciamento de patches de OT pela primeira vez
• Ao responder a avisos críticos do ICS-CERT que afetam sistemas OT implantados
• Ao se preparar para auditorias de conformidade de gerenciamento de patches NERC CIP-007-6 ou IEC 62443
• Ao planejar a implantação de patches durante janelas de manutenção limitadas em operações contínuas
• Ao avaliar controles compensatórios para sistemas que não podem ser corrigidos

Não use para gerenciamento de patches apenas de TI sem considerações de OT, para patches de emergência durante incidentes cibernéticos ativos (veja realizando-resposta-a-incidentes-ot), ou para atualizações de firmware que alteram a funcionalidade do PLC (requer gerenciamento de mudanças separado).

Pré-requisitos

• Inventário de ativos de OT com versões de firmware/SO para todos os sistemas que podem ser corrigidos
• Assinaturas de notificação de patches de fornecedores (Siemens ProductCERT, Rockwell, Schneider, etc.)
• Ambiente de teste/staging espelhando sistemas OT de produção para validação de patches
• Cronograma de janelas de manutenção alinhado com paradas de processo e manutenções
• Processo de aprovação do conselho de gerenciamento de mudanças, incluindo representantes de operações e segurança

Fluxo de Trabalho

Etapa 1: Estabelecer o Programa de Gerenciamento de Patches de OT

Defina o ciclo de vida do gerenciamento de patches adaptado para ambientes de OT onde a disponibilidade e a segurança têm prioridade sobre a remediação imediata de vulnerabilidades.

#!/usr/bin/env python3
"""Gerenciador de Programa de Gerenciamento de Patches de OT.

Rastreia patches para sistemas de OT, gerencia priorização baseada em risco,
coordena testes e implantação, e documenta controles compensatórios
para sistemas que não podem ser corrigidos.
"""

import json
import sys
from collections import defaultdict
from dataclasses import dataclass, field, asdict
from datetime import datetime, timedelta
from enum import Enum


class PatchStatus(str, Enum):
    IDENTIFIED = "identificado"
    EVALUATING = "avaliando"
    TESTING = "testando"
    APPROVED = "aprovado"
    SCHEDULED = "agendado"
    DEPLOYED = "implantado"
    DEFERRED = "adiado"
    NOT_APPLICABLE = "nao_aplicavel"


@dataclass
class OTPatch:
    patch_id: str
    vendor: str
    product: str
    affected_versions: str
    cve_ids: list
    cvss_score: float
    ics_cert_advisory: str
    description: str
    status: str = PatchStatus.IDENTIFIED
    identified_date: str = ""
    evaluation_deadline: str = ""  # 35 dias por CIP-007
    test_date: str = ""
    deployment_date: str = ""
    affected_assets: list = field(default_factory=list)
    test_results: str = ""
    compensating_controls: str = ""
    risk_rating: str = ""
    maintenance_window: str = ""
    rollback_procedure: str = ""


class OTPatchManager:
    """Gerencia o ciclo de vida de patches de OT."""

    def __init__(self):
        self.patches = []
        self.assets = {}
        self.vendor_feeds = {}

    def add_patch(self, patch: OTPatch):
        """Registra um novo patch para rastreamento."""
        # Define o prazo de avaliação (35 dias corridos por NERC CIP-007)
        if not patch.evaluation_deadline:
            identified = datetime.fromisoformat(patch.identified_date)
            patch.evaluation_deadline = (identified + timedelta(days=35)).isoformat()

        self.patches.append(patch)

    def prioritize_patches(self):
        """Priorização baseada em risco para patches de OT."""
        for patch in self.patches:
            if patch.status in (PatchStatus.DEPLOYED, PatchStatus.NOT_APPLICABLE):
                continue

            # Pontuação de risco específica de OT
            score = patch.cvss_score

            # Aumenta a prioridade para vulnerabilidades exploradas ativamente
            if "CISA KEV" in patch.ics_cert_advisory:
                score += 2.0

            # Aumenta a prioridade para sistemas OT expostos à rede
            for asset_id in patch.affected_assets:
                asset = self.assets.get(asset_id, {})
                if asset.get("network_exposed"):
                    score += 1.0
                if asset.get("purdue_level") in ("Level 0-1", "Level 2"):
                    score += 1.5

            score = min(score, 10.0)

            if score >= 9.0:
                patch.risk_rating = "crítico"
            elif score >= 7.0:
                patch.risk_rating = "alto"
            elif score >= 4.0:
                patch.risk_rating = "médio"
            else:
                patch.risk_rating = "baixo"

    def get_patches_needing_evaluation(self):
        """Obtém patches que se aproximam do prazo de avaliação."""
        now = datetime.now()

…