Poucos ataques a ambientes industriais começam no CLP. A maioria começa num lugar bem menos protegido: a caixa de entrada de alguém do administrativo, do comercial ou de compras. Dali, o atacante percorre a rede corporativa até encontrar a ponte que liga o escritório à rede de controle. Entender esse caminho é o primeiro passo para testar se a separação entre TI e OT existe de verdade ou só no diagrama.

O caminho típico de um ataque de TI até OT

1. O ponto de entrada: e-mail e credenciais

Um e-mail convincente leva o funcionário a abrir um anexo ou digitar a senha numa página falsa. Com a credencial em mãos, o atacante acessa e-mail corporativo, VPN ou serviços em nuvem. As técnicas usadas nessa etapa estão detalhadas no nosso artigo sobre engenharia social e treinamento de equipes.

2. Movimento lateral na rede corporativa

Dentro da rede, o objetivo é ganhar privilégio. O atacante enumera o Active Directory, procura senhas em compartilhamentos e scripts, explora contas de serviço com privilégio excessivo e reaproveita a mesma senha de administrador local em várias máquinas.

3. A ponte entre TI e OT

É aqui que a segmentação é posta à prova. As pontes mais comuns entre os dois mundos são:

• Servidor historiador acessado por usuários do escritório e pela rede de controle ao mesmo tempo.
• Estação de engenharia que também navega na internet e lê e-mail.
• Máquinas com duas placas de rede, uma em cada segmento, que ignoram o firewall.
• Acesso remoto de fornecedores por VPN permanente ou software de acesso remoto instalado sem controle.
• Regras de firewall permissivas, criadas para resolver um problema pontual e nunca removidas.
• Autenticação compartilhada, quando o domínio corporativo também controla o login das IHMs e servidores SCADA.

4. Chegada à rede de controle

Na rede OT, muitos protocolos industriais foram projetados para redes isoladas e não têm autenticação. Modbus/TCP é o exemplo clássico: quem alcança o equipamento na rede consegue enviar comandos de leitura e escrita. Por isso a pergunta central não é se o CLP tem senha, mas quem consegue chegar até ele.

5. O impacto não depende de tocar o CLP

Mesmo que o atacante nunca alcance a rede de controle, um ataque que derruba ERP, MES ou os sistemas de logística pode parar a expedição e a programação da produção. A fábrica depende da TI mais do que parece no organograma.

O que a regulação diz no Brasil

Não existe hoje uma norma brasileira obrigatória de segurança cibernética para a indústria em geral. A exceção é o setor elétrico, que tem regras próprias.

A principal referência é a série IEC 62443, de adoção voluntária, voltada a sistemas de automação e controle industrial. Em 2023, a ABNT publicou a ABNT IEC TS 62443-1-1, que trata de terminologia, conceitos e modelos. Um dos conceitos centrais da série é a divisão do ambiente em zonas com requisitos de segurança comuns e conduítes, os canais de comunicação entre essas zonas. Testar a segmentação é, na prática, verificar se as zonas e os conduítes que existem no papel também existem na rede.

Como a adoção é voluntária, o motivo para testar costuma vir de outro lugar: exigência de clientes, seguradoras, auditorias de grupo econômico ou simplesmente o custo de uma parada de linha.

Como testar a segmentação sem colocar a produção em risco

A regra que vem antes de tudo

Teste em ambiente industrial não executa nada ativo contra CLP ou IHM sem aprovação formal. Varredura agressiva, fuzzing de protocolo ou escrita em registradores podem travar equipamento antigo e parar um processo físico. Toda ação ativa na rede de controle é combinada antes com a engenharia e a operação, com janela, responsável e plano de retorno definidos.

Etapa 1: levantamento

Entrevistas com TI, engenharia e manutenção; diagramas de rede; lista de fornecedores com acesso remoto; inventário de ativos industriais. O objetivo é saber como a rede deveria ser antes de verificar como ela é.

Etapa 2: revisão de regras e configuração

Análise das regras dos firewalls entre TI e OT, das ACLs de switches e da configuração de VPNs. Regras do tipo "qualquer origem, qualquer destino" e exceções antigas aparecem nessa fase. Se a revisão mostrar que o problema está na política, veja o nosso serviço de configuração de firewall.

Etapa 3: teste a partir da rede corporativa

O avaliador parte de uma máquina comum do escritório, como faria um atacante após o phishing, e tenta alcançar a rede OT. Esse teste pertence ao escopo de um pentest de infraestrutura e responde perguntas objetivas:

• Quais endereços e portas da rede de controle respondem a partir do escritório?
• É possível chegar ao historiador, à estação de engenharia ou ao servidor SCADA com credenciais obtidas na TI?
• Há máquinas com duas interfaces que fazem a ponte entre os segmentos?
• O acesso remoto de fornecedores exige autenticação multifator e fica ativo só quando necessário?

Etapa 4: observação passiva na rede OT

Em vez de varrer a rede de controle, o avaliador analisa uma cópia do tráfego obtida por espelhamento de porta. Assim é possível identificar ativos, protocolos em uso e comunicações que atravessam zonas sem enviar um único pacote aos equipamentos.

Etapa 5: testes ativos aprovados

Quando há aprovação, testes ativos são feitos em janela de manutenção, em bancada ou em ambiente de homologação com equipamento equivalente. Tudo é registrado para que a operação saiba exatamente o que foi executado e quando.

Simulando o caminho completo

O pentest verifica controles específicos. Quando a pergunta da diretoria é se um atacante real conseguiria sair de um e-mail e chegar à planta, a abordagem adequada é um exercício de red team, com engenharia social, movimento lateral e objetivo final combinado com a empresa, mantendo a mesma regra de não agir sobre CLP ou IHM sem aprovação.

O que o relatório deve entregar

• Mapa de caminhos: da estação do escritório até cada ponto da rede OT que foi alcançado.
• Comparação entre o desenho e a realidade das zonas e conduítes.
• Correções priorizadas pelo impacto na produção, separando o que pode ser feito já do que depende de parada programada.
• Registro de tudo que foi executado no ambiente industrial.

Quer saber se a sua rede de escritório alcança a planta? Veja como funciona o nosso pentest para indústria.

Perguntas Frequentes

Existe norma brasileira que obriga a indústria a fazer teste de segurança em OT?

Não para a indústria em geral. A exceção é o setor elétrico. A série IEC 62443 é referência voluntária, e a ABNT publicou em 2023 a ABNT IEC TS 62443-1-1, que trata de terminologia e conceitos.

Um pentest pode parar a linha de produção?

Pode, se feito sem cuidado. Por isso nada ativo é executado contra CLP ou IHM sem aprovação, e a análise da rede de controle começa de forma passiva, com testes ativos só em janela, bancada ou homologação.

Qual a diferença entre testar a TI e testar a segmentação TI/OT?

O teste de TI procura falhas nos sistemas corporativos. O teste de segmentação parte da rede corporativa e verifica se e como é possível alcançar a rede de controle, passando por firewalls, historiadores, estações de engenharia e acessos remotos.

O que são zonas e conduítes?

São conceitos da série IEC 62443. Zonas agrupam ativos com requisitos de segurança comuns, e conduítes são os canais de comunicação entre elas. O teste de segmentação verifica se essa divisão existe na rede real.