Realizando Avaliação de Vulnerabilidades em OT com Claroty

Quando Usar

• Ao realizar avaliações de vulnerabilidade em OT agendadas, conforme os requisitos da IEC 62443 ou NERC CIP
• Ao implantar o Claroty xDome pela primeira vez e realizar a descoberta inicial de ativos e avaliação de risco
• Ao correlacionar os avisos recém-publicados do ICS-CERT com seu inventário de ativos de OT
• Ao priorizar a remediação de vulnerabilidades em OT com janelas de manutenção limitadas
• Ao gerar evidências de conformidade para os requisitos de avaliação de vulnerabilidade da CIP-010-4

Não use para varredura ativa de vulnerabilidades em PLCs e sistemas de segurança (veja performing-ot-network-security-assessment para abordagens passivas), para gerenciamento de vulnerabilidades apenas de TI (veja standard vulnerability scanners) ou para testes de penetração (veja performing-ics-penetration-testing).

Pré-requisitos

• Claroty xDome ou CTD (Continuous Threat Detection) implantado com sensores na rede de OT
• Acesso SPAN/TAP de rede para descoberta passiva de ativos
• Assinatura de avisos do CISA ICS-CERT para rastreamento de vulnerabilidades
• Inventário de ativos com versões de firmware para todos os dispositivos de OT
• Processo de gerenciamento de mudanças para implantação de patches durante janelas de manutenção

Fluxo de Trabalho

Etapa 1: Configurar Descoberta de Ativos e Correlação de Vulnerabilidades

Configure o Claroty para realizar descoberta passiva e ativa-segura para construir um inventário completo de ativos com versões de firmware para correlação de vulnerabilidades.

#!/usr/bin/env python3
"""Gerenciador de Avaliação de Vulnerabilidades em OT.

Correlaciona o inventário de ativos de OT com avisos do ICS-CERT e dados de CVE
para identificar, priorizar e rastrear vulnerabilidades em OT. Projetado para
integrar com a API do Claroty xDome ou operação autônoma.
"""

import json
import sys
from collections import defaultdict
from dataclasses import dataclass, field, asdict
from datetime import datetime

import requests


@dataclass
class OTAsset:
    asset_id: str
    name: str
    vendor: str
    model: str
    firmware_version: str
    asset_type: str  # PLC, HMI, RTU, historian, switch, etc.
    purdue_level: str
    ip_address: str
    protocol: str
    criticality: str  # critical, high, medium, low
    zone: str


@dataclass
class OTVulnerability:
    vuln_id: str
    cve_id: str
    title: str
    severity: str  # critical, high, medium, low
    cvss_score: float
    affected_vendor: str
    affected_product: str
    affected_versions: str
    description: str
    ics_cert_advisory: str = ""
    remediation: str = ""
    patch_available: bool = False
    compensating_controls: str = ""


@dataclass
class RiskAssessment:
    asset: OTAsset
    vulnerability: OTVulnerability
    risk_score: float = 0.0
    risk_rating: str = ""
    exploitability: str = ""
    operational_impact: str = ""
    compensating_controls: list = field(default_factory=list)
    remediation_priority: int = 0


class OTVulnerabilityAssessment:
    """Motor de avaliação e priorização de vulnerabilidades em OT."""

    def __init__(self):
        self.assets = []
        self.vulnerabilities = []
        self.risk_assessments = []

    def load_assets(self, assets_data):
        """Carrega o inventário de ativos da exportação do Claroty ou inventário manual."""
        for a in assets_data:
            self.assets.append(OTAsset(**a))
        print(f"[*] Carregados {len(self.assets)} ativos de OT")

    def fetch_ics_advisories(self):
        """Busca os avisos mais recentes do ICS-CERT do CISA."""
        print("[*] Buscando avisos do ICS-CERT do CISA...")
        try:
            # Catálogo de Vulnerabilidades Exploradas Conhecidas do CISA
            url = "https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json"
            resp = requests.get(url, timeout=30)
            resp.raise_for_status()
            data = resp.json()

            ics_vulns = []
            for vuln in data.get("vulnerabilities", []):
                # Filtra por fornecedores relevantes para ICS
                ics_vendors = [
                    "siemens", "schneider", "rockwell", "honeywell",
                    "abb", "ge", "emerson", "yokogawa", "omron",
                    "mitsubishi", "phoenix", "moxa", "advantech",
                ]
                vendor = vuln.get("vendorProject", "").lower()
                if any(v in vendor for v in ics_vendors):
                    ics_vulns.append(vuln)

            print(f"  Encontradas {len(ics_vulns)} vulnerabilidades conhecidas exploradas relevantes para ICS")
            return ics_vulns

        except Exception as e:

…