Realizando Avaliação de Cibersegurança da Rede Elétrica

Quando Usar

• Ao realizar avaliações periódicas de cibersegurança de instalações da rede elétrica, conforme os requisitos da NERC CIP
• Ao avaliar sistemas de automação de subestações usando os protocolos IEC 61850 GOOSE e MMS
• Ao avaliar a segurança de um Sistema de Gerenciamento de Energia (EMS) ou centro de controle SCADA
• Ao avaliar redes de síncrofasores (PMU) e sistemas de monitoramento de área ampla
• Ao se preparar para auditorias de conformidade de entidades regionais ou revisões internas de segurança

Não usar para sistemas não-BES abaixo dos limites de registro da NERC, para avaliação geral de OT sem especificidades da rede elétrica (ver performing-ot-network-security-assessment), ou para avaliação de segurança física de instalações de geração sem escopo cibernético.

Pré-requisitos

• Compreensão da arquitetura da rede elétrica (geração, transmissão, distribuição)
• Familiaridade com os padrões NERC CIP e a categorização de Sistemas Cibernéticos BES
• Conhecimento de protocolos de rede elétrica (IEC 61850, IEC 60870-5-104, DNP3, ICCP/TASE.2)
• Ferramentas de monitoramento passivo para análise de tráfego de rede de subestações
• Acesso à documentação da arquitetura EMS/SCADA e diagramas de rede

Fluxo de Trabalho

Etapa 1: Mapear a Arquitetura Cibernética da Rede Elétrica

Identificar e documentar todos os sistemas cibernéticos que suportam as operações da rede, incluindo EMS, SCADA, automação de subestações e infraestrutura de comunicação.

# Power Grid Cyber Architecture Assessment
facility_type: "Regional Transmission Organization Control Center"

ems_systems:
  primary_ems:
    vendor: "GE Grid Solutions"
    product: "EMS/SCADA (formerly XA/21)"
    functions:
      - "State estimation"
      - "Automatic generation control (AGC)"
      - "Security-constrained economic dispatch"
      - "Contingency analysis"
    protocols:
      - "ICCP/TASE.2 (inter-control center)"
      - "DNP3 (substation RTU polling)"
      - "IEC 60870-5-104 (substation polling)"

  backup_control_center:
    location: "Geographically diverse backup site"
    sync_method: "Real-time database mirroring"
    switchover_time: "< 5 minutes"

substation_automation:
  count: 145
  system_types:
    - vendor: "ABB"
      product: "RTU560"
      protocol: "DNP3 over TCP/IP"
      count: 85
    - vendor: "SEL"
      product: "SEL-3530 RTAC"
      protocol: "IEC 61850 MMS + GOOSE"
      count: 40
    - vendor: "Siemens"
      product: "SICAM A8000"
      protocol: "IEC 60870-5-104"
      count: 20

  communications:
    primary: "MPLS WAN (carrier-provided)"
    backup: "Licensed microwave radio"
    last_mile: "Fiber optic to substation"

synchrophasor_network:
  pmu_count: 75
  pdc: "GE PDC (Phasor Data Concentrator)"
  communication: "IEEE C37.118.2 over dedicated network"
  data_rate: "30-60 samples per second"

Etapa 2: Avaliar a Segurança da Automação de Subestações

Avaliar a automação de subestações baseada em IEC 61850 quanto à segurança de protocolos, controles de acesso e segmentação de rede.

#!/usr/bin/env python3
"""Avaliador de Segurança de Subestação de Rede Elétrica.

Avalia a segurança de sistemas de automação de subestação baseados em IEC 61850,
incluindo mensagens GOOSE, cliente/servidor MMS e arquitetura de rede.
"""

import json
import sys
from dataclasses import dataclass, field, asdict
from datetime import datetime


@dataclass
class SubstationFinding:
    finding_id: str
    severity: str
    category: str
    title: str
    description: str
    affected_systems: list
    nerc_cip_ref: str
    iec_62351_ref: str
    remediation: str


class SubstationAssessment:
    """Avalia a cibersegurança de sistemas de automação de subestações."""

    def __init__(self, substation_name):
        self.name = substation_name
        self.findings = []
        self.counter = 1

    def assess_iec61850_security(self, config):
        """Avalia a segurança do protocolo IEC 61850."""

        # Autenticação de mensagens GOOSE
        if not config.get("goose_authentication"):
            self.findings.append(SubstationFinding(
                finding_id=f"SUB-{self.counter:03d}",
                severity="crítico",
                category="Segurança de Protocolo",
                title="Mensagens GOOSE IEC 61850 Carecem de Autenticação",
                description=(
                    "Mensagens GOOSE usadas para sinalização de proteção entre IEDs "
                    "não são autenticadas. Um atacante no barramento da estação poderia "
                    "injetar comandos falsos de desarme/fechamento em disjuntores."
                ),

…