Implementando Segmentação de Rede do Modelo Purdue

Quando Usar

• Ao projetar ou modernizar a arquitetura de rede para um ambiente ICS/SCADA
• Ao implementar os requisitos de zona e conduit da IEC 62443 em uma planta existente (brownfield)
• Ao criar a DMZ de TI/OT (Nível 3.5) para controlar o fluxo de dados entre as redes corporativa e de controle
• Ao corrigir descobertas de auditoria sobre redes OT planas ou conectividade direta de TI para OT
• Ao segmentar uma rede convergida de TI/OT após uma aquisição ou fusão

Não use para micro-segmentação dentro de um único nível Purdue (veja implementando-modelo-zona-conduit-para-ics), para ambientes nativos da nuvem sem redes ICS tradicionais, ou para segmentação de rede em ambientes puramente de TI.

Pré-requisitos

• Inventário completo de ativos de OT com classificação de nível Purdue para cada dispositivo
• Diagrama da arquitetura de rede mostrando a topologia atual, VLANs e posicionamento de firewalls
• Firewalls industriais capazes de inspeção profunda de pacotes para protocolos de OT (Palo Alto, Fortinet, Cisco)
• Compreensão dos fluxos de dados necessários entre os níveis Purdue (replicação de historiador, acesso remoto, distribuição de patches)
• Aprovação de gerenciamento de mudanças da operação da planta para modificações na rede

Fluxo de Trabalho

Etapa 1: Mapear Arquitetura Atual para Níveis Purdue

Classifique todos os ativos de rede e fluxos de dados de acordo com a hierarquia do Modelo Purdue.

#!/usr/bin/env python3
"""Planejador de Segmentação de Rede do Modelo Purdue.

Mapeia ativos de rede OT/TI existentes para os níveis do Modelo Purdue e gera
recomendações de segmentação, incluindo regras de firewall e atribuições de VLAN.
"""

import json
import csv
import sys
from collections import defaultdict
from datetime import datetime
from typing import Dict, List


PURDUE_LEVELS = {
    0: {
        "name": "Processo Físico",
        "description": "Sensores, atuadores, instrumentos de campo",
        "typical_devices": ["Sensores", "Atuadores", "Conversores", "Partidas de motor"],
        "vlan_range": "100-109",
        "allowed_protocols": ["HART", "Profibus", "Foundation Fieldbus", "IO-Link"],
    },
    1: {
        "name": "Controle Básico",
        "description": "PLCs, RTUs, controladores de segurança",
        "typical_devices": ["PLC", "RTU", "Controlador de Segurança", "Controlador DCS"],
        "vlan_range": "110-119",
        "allowed_protocols": ["EtherNet/IP", "Profinet", "Modbus/TCP", "S7comm", "OPC UA"],
    },
    2: {
        "name": "Controle de Supervisão",
        "description": "HMIs, servidores SCADA, estações de engenharia",
        "typical_devices": ["HMI", "Servidor SCADA", "Estação de Engenharia", "Servidor de Lote"],
        "vlan_range": "120-129",
        "allowed_protocols": ["OPC UA", "OPC DA", "Modbus/TCP", "DNP3", "HTTPS"],
    },
    3: {
        "name": "Operações do Site",
        "description": "Historiador, MES, gerenciamento de ativos",
        "typical_devices": ["Historiador", "Servidor MES", "Gerenciamento de Ativos", "Servidor de Alarmes"],
        "vlan_range": "130-139",
        "allowed_protocols": ["OPC UA", "SQL", "HTTPS", "MQTT"],
    },
    3.5: {
        "name": "DMZ TI/OT",
        "description": "Zona desmilitarizada entre TI e OT",
        "typical_devices": ["Servidor Jump", "Espelho do Historiador", "Servidor de Patches", "Servidor de Atualização AV", "Gateway de Acesso Remoto"],
        "vlan_range": "150-159",
        "allowed_protocols": ["HTTPS", "RDP (apenas para servidor jump)", "SSH", "SQL (réplica de leitura)"],
    },
    4: {
        "name": "TI Corporativa",
        "description": "Aplicações corporativas, e-mail, ERP",
        "typical_devices": ["Servidor ERP", "Servidor de E-mail", "Aplicações de Negócios", "Active Directory"],
        "vlan_range": "200-249",
        "allowed_protocols": ["HTTPS", "LDAPS", "SMTP", "SQL"],
    },
    5: {
        "name": "Rede Corporativa / Internet",
        "description": "Conexões externas, serviços de nuvem, redes de parceiros",
        "typical_devices": ["Gateway de Internet", "Concentrador VPN", "Serviços de Nuvem"],
        "vlan_range": "250-254",
        "allowed_protocols": ["HTTPS", "IPsec VPN"],
    },
}


class PurdueSegmentationPlanner:
    """Planeja a segmentação de rede do Modelo Purdue."""

    def __init__(self):
        self.assets = []
        self.data_flows = []
        self.firewall_rules = []

    def load_asset_inventory(self, filepath: str):
        """Carrega o inventário de ativos do CSV."""
        with open(filepath, "r") as f:
            self.assets = list(csv.DictReader(f))
        print(f"[*] Carregados {len(self.assets)} ativos")

    def classify_assets(self):

…