Realizando Varreduras de Vulnerabilidade em OT com Segurança

Quando Usar

• Ao conduzir avaliações de vulnerabilidade em ambientes de OT com controladores legados
• Ao implementar monitoramento contínuo de vulnerabilidades sem impactar a disponibilidade do processo
• Ao se preparar para auditorias de conformidade IEC 62443 ou NERC CIP que exigem dados de vulnerabilidade
• Ao avaliar prioridades de correção baseadas em risco para ativos de OT
• Ao validar que controles compensatórios protegem dispositivos ICS sem patches

Não use para varreduras ativas agressivas de PLCs em produção (podem travar controladores legados), para varreduras de vulnerabilidade de TI usando perfis Nessus padrão em redes de OT, ou para testes de penetração de sistemas de OT em tempo real (veja performing-ics-penetration-testing).

Pré-requisitos

• Tenable OT Security (anteriormente Tenable.ot/Indegy) ou plataforma de varredura equivalente segura para OT
• Sensor de monitoramento passivo implantado em SPAN/TAP em segmentos de rede de OT
• Perfis de varredura testados em laboratório e verificados contra cada tipo de dispositivo antes do uso em produção
• Aprovação de gerenciamento de mudanças e janela de manutenção para qualquer varredura ativa
• Verificação de garantia do fornecedor para confirmar que a varredura não anulará os acordos de suporte

Fluxo de Trabalho

Etapa 1: Implantar Detecção Passiva de Vulnerabilidades

O monitoramento passivo identifica vulnerabilidades sem enviar nenhum pacote para os dispositivos de OT.

@@CODE<1>@@

#!/usr/bin/env python3
"""Orquestrador de Varredura de Vulnerabilidade Segura em OT.

Coordena monitoramento passivo, consultas de protocolo nativo e varredura ativa cuidadosamente
controlada para avaliação de vulnerabilidade em OT sem
interromper operações industriais.
"""

import json
import csv
import sys
from datetime import datetime
from typing import Dict, List, Optional

try:
    import requests
except ImportError:
    print("Instale requests: pip install requests")
    sys.exit(1)


class OTVulnerabilityScanner:
    """Orquestrador de varredura segura de vulnerabilidade em OT."""

    SCAN_SAFETY_LEVELS = {
        "passive": {
            "description": "Observa apenas o tráfego de rede, risco zero para os dispositivos",
            "risk_level": "NONE",
            "methods": ["traffic_fingerprinting", "protocol_analysis", "version_detection"],
            "requires_window": False,
        },
        "native_query": {
            "description": "Consulta dispositivos usando protocolos industriais nativos",
            "risk_level": "MINIMAL",
            "methods": ["modbus_device_id", "s7_szl_read", "cip_identity", "bacnet_whois"],
            "requires_window": True,
        },
        "controlled_active": {
            "description": "Verificações de vulnerabilidade padrão com perfis seguros para OT",
            "risk_level": "LOW-MODERATE",
            "methods": ["credentialed_scan", "banner_grab", "service_detection"],
            "requires_window": True,
        },
    }

    def __init__(self, tenable_url: str, api_key: str, verify_ssl: bool = True):
        self.tenable_url = tenable_url.rstrip("/")
        self.session = requests.Session()
        self.session.headers.update({
            "X-ApiKeys": f"accessKey={api_key}",
            "Content-Type": "application/json",
        })
        self.session.verify = verify_ssl
        self.findings = []

    def check_safety_prerequisites(self, scan_level: str, target_subnet: str) -> dict:
        """Verifica pré-requisitos de segurança antes da varredura."""
        checks = {
            "scan_level": scan_level,
            "target": target_subnet,
            "safety_level": self.SCAN_SAFETY_LEVELS[scan_level],
            "checks_passed": [],
            "checks_failed": [],
            "approved": False,
        }

        prerequisites = [
            {
                "name": "Validação em laboratório concluída",
                "description": "Perfil de varredura testado contra cada tipo de dispositivo em ambiente de laboratório",
                "required_for": ["native_query", "controlled_active"],
            },
            {
                "name": "Garantia do fornecedor verificada",
                "description": "A varredura não anulará os acordos de suporte do fornecedor",
                "required_for": ["native_query", "controlled_active"],
            },
            {
                "name": "Gerenciamento de mudanças aprovado",
                "description": "Ticket de mudança aprovado para atividade de varredura",
                "required_for": ["native_query", "controlled_active"],
            },
            {
                "name": "Janela de manutenção confirmada",
                "description": "Equipe de operações confirma janela de varredura aceitável",

@@CODE<2>@@