Segurança OT / ICS

AÇÃO REQUERIDA (Execute imediatamente após a leitura)

1. NOW: Leia ../field-journal/precedent-pentest.md — Erros em ambientes de controle industrial podem causar danos físicos
2. NOW: Autorização por escrito deve especificar claramente: site, segmento de rede, se varredura ativa/escrita em registradores é permitida
3. NOW: case-init; padrão passive-first; proibido escrever em PLCs antes de ready_for_act
4. NEXT: tool-index; a maioria das ferramentas de controle industrial requer conexão manual com a rede de laboratório isolada
5. ACT: Identificação de ativos e partições → Superfície de ataque → Verificação somente leitura

Cenários de Aplicação

• Avaliação de segurança de controle industrial/SCADA/DCS (autorização)
• Partições do modelo Purdue e canais entre partições
• Exposição de protocolos como Modbus/DNP3/S7/EtherNet/IP
• Estações de engenharia, IHMs, historiadores, hosts de salto
• Fronteira de convergência IT/OT (regras de firewall, gateways unidirecionais)

Regras de Segurança (DEVE)

MUST NOT 在未明确允许时：
- 对 PLC 写线圈/寄存器
- 全网高速率扫描生产 OT
- 中断安全仪表系统（SIS）相关路径
优先：只读识别、流量镜像、离线固件/配置分析

Fluxo de Trabalho

Fase 1 — Partições e Ativos

□ Purdue L0–L5 草图：现场设备 → 控制 → 监督 → 站点 DMZ → 企业
□ 资产清单：PLC/RTU/HMI/工程师站/历史库/Jump host
□ 协议与端口基线（仅授权网段）

Fase 2 — Passivo e Somente Leitura

□ SPAN/镜像 PCAP → protocol-reverse / Wireshark 工控解析器
□ 配置与工程文件离线审计（TIA/RSLogix 导出等）
□ 默认口令与明文协议（Modbus 无认证）记录为 Finding，不写盘改值

Fase 3 — Ativo Restrito (Somente Autorizado)

□ 低速识别，维护窗口
□ 只读功能码优先
□ 每步 Evidence；异常立即停止并通报

Fase 4 — Superfície de Firmware/Patch

□ 控制器固件版本 → CVE 映射（不盲刷固件）
□ 联合 firmware-pentest 做离线镜像分析

Cadeia de Ferramentas

Referências

• references/ot-safe-assessment.md
• ../firmware-pentest/ ../protocol-reverse/ ../network via pentest-tools

Contexto de Roteamento

Upstream: MASTER R28
Downstream: Aprofundamento de firmware firmware-pentest; Protocolo protocol-reverse; Movimentação lateral de TI windows-ad/attack-chain
Nível Similar: Não use varreduras Web comuns com parâmetros padrão para atacar OT

Autoverificação de Conclusão de Tarefa

• Padrão passivo/somente leitura e limites de autorização registrados?
• Evitou operações de escrita em loops de controle (a menos que explicitamente permitido)?
• As descobertas incluem explicações de impacto físico/de processo?
• Checklist / diário?