Palestra realizada no terceiro dia da CLASS 2022.

1. A importância de um laboratório de
segurança cibernética industrial para
infraestruturas críticas
Presented by
Rodrigo Jardim Riella - Lactec
Claudio Hermeling - Ti Safe

2. Sumário
Contextualização
● Características dos sistema de TO em termos de segurança
● Exemplos de laboratórios para infraestruturas críticas de Israel (IEC) e Portugal (EDP)
● Requisitos da RO
Requisitos para um laboratório de segurança para o setor elétrico
● Laboratório da Ti Safe
● Laboratório de segurança (ECL)
● Serviços e desafios

3. Sistema de TO
Características únicas
● Protocolos específicos (IEC 6185, DNP3, Modbus, Profibus, etc…)
● Requisitos de alta disponibilidade. Em infraestruturas críticas, a
disponibilidade deve ser altíssima
● Equipamentos e sistemas dedicados, ao contrário dos sistemas generalistas
típicos de TI
● Alta criticidade para o negócio e para a sociedade
● Gestão de sistemas legados

4. CyberGym (Israel)
● Emulação de sistemas reais de geração, transmissão e
distribuição
● Baseado nos conceitos de hardware in the loop e digital
Twins
● Aplicação de ensaios em equipamentos e sistemas
● Arena de treinamento, para red team, blue team e white
team
● Aplicação de testes locais e remotos em sistemas simulados
de TO
● Levantamento de cenários e direcionamento para
melhorias

5. CyberGym (Israel)
Estruturas e Serviços

6. Cyber Range EDP
Ambientes de Geração e Subestações
Planta térmica e Centro local
Simulações
Centro de Controle

7. Cyber Range EDP
● Treinamento
○ Básico para todos os funcionários.
○ Intermediário para equipes operacionais.
○ Avançado para equipes técnicas (Teoria e prática).
○ Cenários de ataques e incidentes para diretores.

8. Item​ Sub-item
4.1 ARQUITETURA TECNOLÓGICA
PARA O AMBIENTE
4.1.1. As redes devem ser segregadas em zonas de segurança, de acordo com a sua função.
4.1.2. O ARCiber não deve ser diretamente acessível através da internet mesmo que protegido por um ou mais firewalls, bem
como seus ativos.
4.1.3. O acesso ao ARCiber a partir de redes externas à organização somente deve ser permitido para o desempenho de
atividades autorizadas. Este acesso deve ser realizado por meio de VPN, através de um serviço que ofereça controles de
segurança.
4.1.4. Soluções Antimalware devem ser implementadas no ARCiber e mantidas atualizadas.
4.2 GOVERNANÇA DE SEGURANÇA DA
INFORMAÇÃO
4.2.1 Deve ser nomeado pelo menos um gestor e um suplente, responsáveis pela segurança cibernética do ARCiber e atuar
como ponto de contato externo.
4.2.2 Deve ser estabelecida política que defina papéis e responsabilidades em relação à segurança cibernética do ARCiber.
4.3 INVENTÁRIO DE ATIVOS
4.3.1.Todos os ativos, softwares e hardwares, conectados ao ARCiber devem ser inventariados minimamente a cada 24 meses.
4.3.2. O inventário dos ativos deve ser armazenado de forma segura, com políticas de armazenamento bem definidas, com
acesso restrito às pessoas que necessitem das informações para o exercício de suas funções.
4.3.3. Padrões de configuração segura (hardening) devem ser criados conforme política de segurança do agente para os
sistemas operacionais, firmwares, banco de dados e demais versões de softwares existentes no ARCiber:
4.4 GESTÃO DE VULNERABILIDADES
4.4.1. A política de segurança da organização deverá contemplar a gestão de pacotes de correção de segurança (patches) para
todas as tecnologias conectadas ao ARCiber.
4.4.2. Novos ativos somente deverão ser conectados ao ARCiber após a aplicação de todos os pacotes de correção de
segurança disponíveis.
Requisitos da RO-CB.BR.01
18 meses para adequação
27 meses para adequação

9. Item​ Sub-item
4.5 GESTÃO DE ACESSOS
4.5.1 Deve existir uma política de gestão de acessos e identidades, que contemple minimamente os requisitos descritos a seguir.
4.5.1.1 Credenciais de acesso devem ser individuais e aprovadas pela alçada competente. Para os casos em que não seja possível implementar
credenciais individuais, deve-se:
4.5.1.2 Política de senhas que contemple: tamanho mínimo, complexidade, necessidade de ser diferente da senha padrão do fabricante, ações a
serem tomadas caso um número máximo de tentativas de acesso malsucedidas seja atingido, e critérios para a gestão de mudanças (prazo,
ocorrência de incidentes, etc).
4.5.1.3 Na construção dos perfis de acesso deve-se seguir o princípio de minimização (somente deve-se conceder o acesso mínimo necessário).
4.5.1.4 Prazo máximo para cancelamento/remoção de credenciais de usuários desligados e de credenciais sem uso após um determinado tempo.
4.5.1.5 Credenciais de acesso privilegiadas devem estar sujeitas a controles específicos, incluindo:
4.5.1.6 As características especiais das credenciais de acesso padrão embarcadas (locais) nos sistemas operacionais e softwares devem ser
consideradas na política de gestão de acessos e identidades:
4.6 MONITORAMENTO E
RESPOSTA A INCIDENTES
4.6.1 Os ativos do ARCiber devem estar configurados para gerar logs de segurança apropriados para suportar investigações e a reconstrução de
possíveis incidentes de segurança. Esses logs devem ser armazenados por prazo definido nas políticas de segurança cibernética da organização.
4.6.2 Os dispositivos de segurança como Firewalls, IDS/IPS, Antimalware e subsistemas de autenticação devem estar configurados para gerar
alertas caso identifiquem atividades suspeitas:
4.6.3 Devem ser estabelecidos mecanismos para identificação e resposta a incidentes cibernéticos tempestivamente.
4.6.4 Deve ser implementado um plano de resposta a incidentes cibernéticos, contemplando minimamente os seguintes requisitos:
4.6.5 Testes de ativação dos planos de resposta a incidentes cibernéticos devem ser realizados periodicamente, em ciclos definidos na política de
segurança cibernética da organização, cobrindo minimamente as listas de ativação (call tree) e revisão dos procedimentos descritos. Os
exercícios deverão gerar documentos de lições aprendidas e as respectivas ações corretivas e de melhorias.
4.6.6 Incidentes cibernéticos que afetem ativos do ARCiber devem ser informados ao ONS.
Requisitos da RO-CB.BR.01
18 meses para adequação
27 meses para adequação

10. Item​ Atuação do laboratório​
4.1.4. Soluções Antimalware devem ser implementadas no ARCiber e mantidas
atualizadas.
O laboratório deve atuar como base para os testes de novas soluções de
antimalware em plataformas simuladas correspondentes às existentes nas redes de
produção das empresas membro. Atuar em conjunto com fabricantes de tecnologias
para a prévia homologação das soluções antimalware com as aplicações existentes nos
sistemas de controle e monitoramento utilizados nas plantas de energia, o que é um
requisito mandatório de acordo com as principais normas de segurança do mercado.
4.3.3. Padrões de configuração segura (hardening) devem ser criados conforme
política de segurança do agente para os sistemas operacionais, firmwares, banco de
dados e demais versões de softwares existentes no ARCiber.
O laboratório deve utilizar plataformas simuladas para que as empresas possam testar
os padrões de hardening antes de aplicá-los em máquinas nas redes de produção,
evitando incompatibilidades que possam comprometer a disponibilidade dos sistemas
de controle e monitoramento de energia.
4.4.1. Devem ser implementadas rotinas de atualização de pacotes de correção
de segurança (patches) para todas as tecnologias conectadas ao ARCiber,
contemplando no mínimo o cronograma de implementação das correções e o
mapeamento dos ativos inventariados para as atualizações disponibilizadas pelos
fabricantes.
4.4.2. Novos ativos somente deverão ser conectados ao ARCiber após a aplicação
de todos os pacotes de correção de segurança disponíveis.
O laboratório deve disponibilizar plataformas simuladas para que as empresas
possam testar os patches antes de aplicá-los em máquinas nas redes de
produção, evitando incompatibilidades que possam comprometer a disponibilidade dos
sistemas de controle e monitoramento de energia.
4.6.5 Testes de ativação dos planos de resposta a incidentes cibernéticos devem
ser realizados periodicamente, em ciclos definidos na política de segurança
cibernética da organização, cobrindo minimamente as listas de ativação (call tree) e
revisão dos procedimentos descritos. Os exercícios deverão gerar documentos de
lições aprendidas e as respectivas ações corretivas e de melhorias.
O laboratório deve disponibilizar plataformas simuladas para que as empresas possam
simular seus planos de resposta a incidentes de forma segura antes de aplicá-los
aos ambientes produtivos, evitando incompatibilidades que possam comprometer a
disponibilidade dos sistemas de controle e monitoramento de energia. ​
Requisitos da RO-CB.BR.01

11. Laboratório de Segurança TI SAFE
Estabelecer simuladores de tecnologias industriais
• A ideia principal da ICS-SOC é a de disponibilizar simuladores
para testar tecnologias industriais e entender como
estabelecer as melhores práticas de segurança cibernética
• Nesses simuladores, por exemplo, podem ser homologadas
tecnologias de segurança em dispositivos e sistemas reais
Realizar testes de ataques e defesas
• Sistemas específicos podem ser testados de forma segura no
laboratório do ICS-SOC
• Podem ser realizadas análises de vulnerabilidades e testes de
invasão
Adoção de
controles
Observação
do ambiente
Formulação
de hipóteses
Investigação
Descobertas
Ações

12. Laboratório de Segurança TI SAFE
Conduzir estudos de forense digital industrial
• A partir de material extraído em análises de campo, podem ser
desenvolvidos estudos forenses de ocorrências específicas
• Esses relatórios contêm evidências para uso do cliente em
atividades de conformidade e controles internos, por exemplo
Investigar comportamento anômalo
• Ferramentas modernas oferecem recursos de inteligência
artificial e computação cognitiva.
• A ideia central do uso dessas tecnologias está em entender o
funcionamento normal do ambiente operacional e, em caso de
comportamentos anômalos, que sejam gerados alertas.
• O ICS-SOC faz uso dessas ferramentas para aperfeiçoar os
controles de segurança.
Adoção de
controles
Observação
do ambiente
Formulação
de hipóteses
Investigação
Descobertas
Ações

13. Laboratório de Segurança TI SAFE
Threat intelligence e Threat hunting
• O ICS-SOC mantém uma rotina de correlação entre
eventos internos ao perímetro de segurança com dados
de relatórios de atividades na Internet. Isso permite
detectar ações suspeitas e bloquear preventivamente as
ameaças cibernéticas.
• No mesmo contexto, são realizadas atividades de “caça às
ameaças”, em que especialistas da TI Safe coletam
evidências e investigam potenciais ameaças, de modo a
ajustar os controles de segurança para neutralizar a ação
de agentes maliciosos.
Adoção de
controles
Observação
do ambiente
Formulação
de hipóteses
Investigação
Descobertas
Ações

14. Energy Cybersecurity Lab (ECL)
Parceria do LACTEC e da TI Safe
a fim de criar um novo modelo
de colaboração para entrelaçar
as diversas empresas dos
setores de energia elétrica
brasileiras.
Principal centro de pesquisa,
desenvolvimento e treinamento
em tecnologias de segurança
cibernética para redes de
automação em energia elétrica
no Brasil.
Aplicação direta de pesquisas
científicas às demandas do
mercado de energia elétrica,
incluindo atendimento aos
requerimentos da ANEEL e ONS.

15. Serviços

16. Energy Cybersecurity Lab (ECL)
Criação de novos produtos, serviços e
padrões técnicos altamente inovadores,
provenientes das constantes atividades de
P&D e transferência de tecnologia realizadas
em colaboração com várias instituições e
empresas de segurança cibernética,
nacionais e internacionais.
Atuação como um cluster de empresas e
centros de pesquisa altamente inovadores, o
ECL oferece uma gama única de know-how
diversificado e altamente especializado,
para um modelo ganha-ganha de
transferência de tecnologia.

17. Situação Atual
Pressões diretas sobre o setor elétrico

18. Energy Cybersecurity Lab (ECL)
Fornecimento de respostas mais adequadas contra as pressões

19. MISSÃO
Compartilhar conhecimento e experiência, criando uma
cultura homogênea de segurança cibernética industrial para
as empresas do setor de energia.
Atender a demanda do mercado por inovação, juntamente
com a necessidade de transferir e aplicar os resultados de
suas atividades de P&D.
Transferir de forma contínua e eficiente a cultura de
segurança cibernética industrial a fim de promover
efetivamente a conformidade das empresas do setor de
energia com as normas de segurança, em um mercado em
rápida evolução.
Fomentar iniciativas de compartilhamento de informações
sobre incidentes, como o ICS-CERT da TI Safe.
ATUAR COMO UMA PLATAFORMA
SIMULADA PARA QUE EMPRESAS DE
ENERGIA ELÉTRICA POSSAM CUMPRIR COM
OS REQUISITOS DAS NOVAS NORMAS DE
SEGURANÇA CIBERNÉTICA QUE ATUAM NO
SISTEMA ELÉTRICO NACIONAL, COMO A RO-
CB.BR.01 INTITULADA “CONTROLES
MÍNIMOS DE SEGURANÇA CIBERNÉTICA
PARA O AMBIENTE REGULADO
CIBERNÉTICO”, RECÉM IMPLEMENTADA
PELO ONS (OPERADOR NACIONAL DO
SISTEMA).

20. Item​ Atuação do ECL​
4.1.4. Soluções Antimalware devem ser implementadas no ARCiber e mantidas
atualizadas.
Base testes de novas soluções de antimalware em plataformas simuladas.
Atuação em conjunto com fabricantes de tecnologias para a prévia homologação das
soluções antimalware..
4.3.3. Padrões de configuração segura (hardening) devem ser criados conforme
política de segurança do agente para os sistemas operacionais, firmwares, banco de
dados e demais versões de softwares existentes no ARCiber.
Plataformas simuladas para que as empresas possam testar os padrões de hardening
antes de aplicá-los em máquinas nas redes de produção.
4.4.1. Devem ser implementadas rotinas de atualização de pacotes de correção de
segurança (patches) para todas as tecnologias conectadas ao ARCiber,
contemplando no mínimo o cronograma de implementação das correções e o
mapeamento dos ativos inventariados para as atualizações disponibilizadas pelos
fabricantes.
4.4.2. Novos ativos somente deverão ser conectados ao ARCiber após a aplicação de
todos os pacotes de correção de segurança disponíveis.
Plataformas simuladas para que as empresas possam testar os patches antes de
aplicá-los em máquinas nas redes de produção.
4.6.5 Testes de ativação dos planos de resposta a incidentes cibernéticos devem
ser realizados periodicamente, em ciclos definidos na política de segurança cibernética
da organização, cobrindo minimamente as listas de ativação (call tree) e revisão dos
procedimentos descritos. Os exercícios deverão gerar documentos de lições
aprendidas e as respectivas ações corretivas e de melhorias.
Plataformas simuladas para que as empresas possam simular seus planos de
resposta a incidentes de forma segura antes de aplicá-los aos ambientes
produtivos. ​
Requisitos da RO-CB.BR.01

21. Estrutura
Conexão com bases globais de
inteligência de ameaças
Testes de respostas a incidentes nos
diversos ambientes
Homologações de soluções e equipamentos
Modelagens
Treinamentos
Estrutura preparada
para realização de:
Necessidade de equipe altamente
qualificada para execução de atividades
recorrentes e testes específicos

22. ATIVIDADES
22
SOB DEMANDA ATIVIDADES RECORRENTES
Modelagem de ameaças e seus
impactos nos sistemas de EE
Homologação de soluções e
equipamentos
Testes de protocolos e dos
meios de comunicação
Análises de vulnerabilidades
e testes de intrusão
Treinamentos
ICS-CERT
Boletins de segurança
Testes de patch
Painel de Compliance
ONS Ready
Workshops

23. Escopo
Benchmarking das principais tecnologias
existentes referentes a cybersegurança;
Elaboração de arquitetura do simulador e
especificação para aquisição de equipamentos;
Desenvolvimento e implantação do simulador;
Realização de testes, coleta de resultados e
proposição de melhoria

24. Serviços

25. Serviços
PENTESTS
As equipes possuem grande experiência na
execução de tentativas de invasão,
principalmente nos sistemas de Tecnologia
Operacional, verificando as vulnerabilidades
destes sistemas. Nisto, incluem-se desde
equipamentos de subestações até
dispositivos de rede de distribuição com
telecomando. Assim como testes em
ambientes de TO apartados. Assim, é possível
verificar as vulnerabilidades dos sistemas de
TO e traçar estratégias de mitigação de
ataques.

26. Serviços
MODELAGEM DE SISTEMAS ELÉTRICOS
Experiência no desenvolvimento de técnicas
de análise de sistemas elétricos através de
simulações para avaliação do comportamento
da rede quando da ocorrência de
anormalidades.
Através destes modelos, é possível simular o
impacto que ataques cibernéticos possam
causar à rede, ajudando no desenvolvimento
de estratégias de defesa e contenção.

27. Serviços
TESTES DE PROTOCOLOS
Expertise e laboratórios para
desenvolvimento e testes de praticamente
todos os protocolos industriais utilizados no
setor elétrico brasileiro, desde a automação
de subestações até a comunicação de
medidores de energia e Smart Grids. Assim, é
possível aplicar testes e avaliar a
conformidade e performance de segurança
destes protocolos tanto para equipamentos
quanto para os sistemas das concessionárias.

28. Serviços
TREINAMENTO DE EQUIPES
As equipes desenvolveram e vêm
aperfeiçoando métodos para monitoramento
contínuo da vulnerabilidade de sistemas
tanto de TI quanto de TO. Assim, este
conhecimento valioso pode e deve ser
compartilhado com as equipes dos clientes.

29. Serviços
Desenvolver e treinar continuamente as
equipes de resposta a incidentes .
Assim, as empresas terão suas próprias
equipes qualificadas, aumentando sua
preparação para lidar com um ataque
cibernético e a resiliência da empresa a
ataques.
CRIAÇÃO E TREINAMENTO DE TIMES
PARA RESPOSTA A INCIDENTES

30. Serviços
DISPONIBILIZAÇÃO DE AMBIENTE SEGURO
Ambientes para backup remoto em sistemas
isolados, possibilitando uma alta agilidade no
restabelecimento de sistemas quando
comprometidos por ataques.
Tais ambientes possuem estrutura de
armazenamento isolado do sistema de
backup, de forma que ataques de
ransomware não conseguem acessá-los,
mantendo assim uma estrutura inviolável e
pronta para o restabelecimento em caso de
danos a sistemas de produção.

31. Desafios
1. Falta de mão de obra dedicada. Segurança cibernética em T.O.
Não é o core business das empresas.
2. Dependência direta dos fabricantes para a homologação de soluções, alterações a nível de chão
de fábrica, segmentações de redes industriais, análises de vulnerabilidades em subestações,
comissionamento de novas soluções integradas de segurança.
3. Dependência direta de revendas especializadas em segurança de OT com certificações e
reconhecida pelo mercado
Como resolver ??

32. PROPOSTA DE SOLUÇÃO
Energy Cybersecurity Lab
(ECL)

33. Obrigado
Rodrigo Jardim Riella - Lactec
Claudio Hermeling - Ti Safe