Realizando Avaliação de Segurança de Rede OT

Quando Usar

• Ao conduzir uma linha de base de segurança inicial de um ambiente OT/ICS para um novo cliente
• Ao avaliar a postura de segurança de uma instalação após uma iniciativa de convergência TI/OT
• Ao se preparar para auditorias de conformidade IEC 62443 ou NERC CIP
• Ao avaliar riscos após uma fusão ou aquisição envolvendo instalações industriais
• Ao investigar se uma rede OT foi comprometida ou possui caminhos não monitorados para a TI corporativa

Não usar para avaliações de rede apenas de TI sem componentes OT, para varredura de vulnerabilidades na camada de aplicação de aplicações web de TI (veja performing-web-app-penetration-test), ou para exploração ativa de sistemas OT em tempo real sem autorização explícita e controles de segurança implementados.

Pré-requisitos

• Autorização por escrito do proprietário do ativo e da gerência de operações para todas as atividades de avaliação
• Compreensão do Modelo de Referência Purdue e da arquitetura de zona/conduto IEC 62443
• Ferramentas de monitoramento passivo de rede (Nozomi Guardian, Dragos Platform ou Wireshark com dissectors de protocolo industrial)
• Acesso a diagramas de rede, conjuntos de regras de firewall e inventários de ativos (ou a capacidade de realizar descoberta passiva)
• Briefing de segurança sobre os processos físicos controlados pelos sistemas OT sob avaliação

Fluxo de Trabalho

Etapa 1: Estabelecer o Escopo da Avaliação e os Limites de Segurança

Defina o escopo com base nos níveis do Modelo de Referência Purdue e identifique sistemas críticos de segurança que não devem ser escaneados ativamente. As avaliações de OT diferem fundamentalmente das avaliações de TI porque a varredura ativa pode travar PLCs, interromper sistemas instrumentados de segurança (SIS) e causar danos físicos.

# OT Assessment Scope Definition
assessment:
  facility: "Chemical Processing Plant - Site Alpha"
  purdue_levels_in_scope:
    - level_0: "Physical process sensors and actuators (passive observation only)"
    - level_1: "PLCs, RTUs, safety controllers (passive only, no active scanning)"
    - level_2: "HMI stations, engineering workstations, historian (limited active with approval)"
    - level_3: "Site operations - OPC servers, application servers (active scanning permitted)"
    - level_3_5: "DMZ - data diodes, jump servers (active scanning permitted)"
    - level_4: "Enterprise IT connecting to OT (active scanning permitted)"

  safety_exclusions:
    - "Safety Instrumented Systems (SIS) - Triconex controllers"
    - "Emergency Shutdown (ESD) systems"
    - "Fire and Gas detection systems"
    - "Any Level 0/1 device during active production"

  authorized_activities:
    passive:
      - "Network traffic capture and analysis via SPAN ports"
      - "Industrial protocol deep packet inspection"
      - "Wireless spectrum analysis"
      - "Physical walkthrough and visual inspection"
    active_with_approval:
      - "Targeted Nmap scans of Level 2-4 systems during maintenance windows"
      - "Authentication testing on HMI and engineering workstations"
      - "Firewall rule verification between zones"
    prohibited:
      - "Active scanning of PLCs, RTUs, or SIS controllers"
      - "Fuzzing industrial protocols on live systems"
      - "Modifying PLC logic or firmware"

Etapa 2: Realizar Descoberta Passiva de Rede e Inventário de Ativos

Implante monitoramento passivo para mapear todos os dispositivos, fluxos de comunicação e protocolos na rede OT sem enviar nenhum tráfego que possa interromper as operações.

#!/usr/bin/env python3
"""Construtor de Descoberta Passiva de Rede OT e Inventário de Ativos.

Usa capturas pcap de portas SPAN para identificar ativos OT, protocolos
e padrões de comunicação sem varredura ativa.
"""

import json
import sys
from collections import defaultdict
from datetime import datetime

try:
    from scapy.all import rdpcap, IP, TCP, UDP
    from scapy.contrib.modbus import ModbusADURequest, ModbusADUResponse
except ImportError:
    print("Instale scapy: pip install scapy")
    sys.exit(1)

# Mapeamentos de portas de protocolo industrial
OT_PROTOCOL_PORTS = {
    502: "Modbus/TCP",
    102: "S7comm (Siemens)",
    44818: "EtherNet/IP (CIP)",
    2222: "EtherNet/IP (implícito)",
    4840: "OPC UA",
    20000: "DNP3",
    47808: "BACnet",
    1911: "Niagara Fox",
    789: "Crimson v3 (Red Lion)",
    2404: "IEC 60870-5-104",
    18245: "GE SRTP",
    5094: "HART-IP",
}

PURDUE_LEVEL_RANGES = {
    "Nível 0-1 (Dispositivos de Campo)": ["10.10.0.0/16", "192.168.10.0/24"],
    "Nível 2 (Sistemas de Controle)": ["10.20.0.0/16", "192.168.20.0/24"],

…