Realizando Avaliação de Segurança de HMI SCADA

Quando Usar

• Ao avaliar a postura de segurança de sistemas HMI em ambientes SCADA/DCS
• Ao avaliar interfaces HMI baseadas na web quanto a vulnerabilidades web comuns
• Ao auditar autenticação, autorização e gerenciamento de sessão de HMI
• Ao testar a segurança da comunicação entre HMIs e PLCs/RTUs
• Ao se preparar para avaliações de conformidade IEC 62443 ou NERC CIP

Não use para testar HMIs em produção ativa sem uma janela de manutenção e plano de reversão, para análise de protocolo em nível de PLC (veja performing-s7comm-protocol-security-analysis) ou para testes gerais de aplicações web em sistemas não-OT.

Pré-requisitos

• Inventário do sistema HMI com detalhes de fornecedor, versão e configuração de rede
• Ambiente de laboratório ou de teste espelhando a configuração de HMI de produção (preferencial para testes ativos)
• Autorização das operações da planta para testes durante janelas de manutenção
• Documentação dos requisitos de segurança NIST SP 800-82 e IEC 62443
• Capacidade de captura de rede no segmento de comunicação HMI-para-PLC

Fluxo de Trabalho

Passo 1: Avaliar a Superfície de Ataque do HMI

#!/usr/bin/env python3
"""Ferramenta de Avaliação de Segurança de HMI SCADA.

Avalia a segurança de HMI nas categorias de autenticação, comunicação,
configuração e interface web, alinhada com os requisitos
IEC 62443 e NIST SP 800-82.
"""

import json
import sys
from datetime import datetime
from typing import Dict, List

try:
    import requests
except ImportError:
    print("Instale requests: pip install requests")
    sys.exit(1)


class HMISecurityAssessment:
    """Realiza avaliação de segurança de sistemas HMI SCADA."""

    def __init__(self, hmi_info: dict):
        self.hmi_info = hmi_info
        self.findings = []
        self.checks_run = 0
        self.checks_passed = 0

    def check_authentication(self):
        """Avalia mecanismos de autenticação de HMI."""
        checks = [
            {
                "id": "AUTH-01",
                "name": "Aplicação de complexidade de senha",
                "iec62443_ref": "ISA-62443-3-3 SR 1.7",
                "description": "HMI deve aplicar requisitos mínimos de complexidade de senha",
                "test": "Verificar comprimento mínimo >= 8, regras de complexidade, histórico >= 5",
            },
            {
                "id": "AUTH-02",
                "name": "Política de bloqueio de conta",
                "iec62443_ref": "ISA-62443-3-3 SR 1.11",
                "description": "HMI deve bloquear contas após tentativas de login falhas",
                "test": "Verificar bloqueio após 5 tentativas falhas, duração do bloqueio >= 15 min",
            },
            {
                "id": "AUTH-03",
                "name": "Credenciais padrão alteradas",
                "iec62443_ref": "ISA-62443-3-3 SR 1.5",
                "description": "Todas as credenciais padrão do fornecedor devem ser alteradas",
                "test": "Tentar login com padrões conhecidos do fornecedor (admin/admin, operator/operator)",
            },
            {
                "id": "AUTH-04",
                "name": "Controle de acesso baseado em função",
                "iec62443_ref": "ISA-62443-3-3 SR 2.1",
                "description": "HMI deve separar funções de operador, engenheiro e administrador",
                "test": "Verificar se a função de operador não pode acessar funções de engenharia",
            },
            {
                "id": "AUTH-05",
                "name": "Aplicação de timeout de sessão",
                "iec62443_ref": "ISA-62443-3-3 SR 1.12",
                "description": "Sessões HMI devem expirar após inatividade",
                "test": "Verificar timeout de sessão <= 15 minutos para operador, <= 5 para administrador",
            },
            {
                "id": "AUTH-06",
                "name": "Autenticação multifator para acesso remoto",
                "iec62443_ref": "ISA-62443-3-3 SR 1.13",
                "description": "Acesso remoto HMI requer MFA",
                "test": "Verificar se MFA é aplicado para todas as conexões HMI não locais",
            },
        ]

        print(f"\n--- AVALIAÇÃO DE AUTENTICAÇÃO ---")
        for check in checks:
            self.checks_run += 1
            print(f"  [{check['id']}] {check['name']}")
            print(f"    Ref: {check['iec62443_ref']}")
            print(f"    Test: {check['test']}")

    def check_communication_security(self):
        """Avalia a segurança da comunicação HMI-para-PLC."""
        checks = [
            {
                "id": "COMM-01",

…