Introdução à infraestrutura crítica

Quando a falha machuca gente de verdade

Tudo que você aprendeu até aqui sobre arquitetura e operações de segurança continua valendo. O que muda é a consequência.

Imagine acordar amanhã sem energia na cidade, sem água na torneira, sem acesso à conta bancária e sem atendimento de emergência. É isso que um ataque bem-sucedido a infraestrutura crítica produz.

E não é hipótese. Em 2021, o ransomware contra a Colonial Pipeline parou a distribuição de combustível no sudeste dos Estados Unidos, gerando desabastecimento, compra por pânico e declaração de emergência nacional — tudo a partir de um ataque a uma empresa de dutos.

Infraestrutura crítica é o conjunto de sistemas, ativos e redes tão essenciais à segurança nacional, à saúde pública, à estabilidade econômica e à vida cotidiana que sua interrupção ou destruição traria consequências graves para a sociedade.

Isso não é problema só de governo

É o ponto que pega muito analista desprevenido: a maior parte da infraestrutura crítica é de propriedade e operação privada. Ou seja, analista de SOC do setor privado — não só agência de governo — está na linha de frente.

Se você trabalha com energia, utilities, saúde, transporte ou serviços financeiros, este é o seu mundo.

Os 16 setores

A CISA (Cybersecurity and Infrastructure Security Agency) identifica oficialmente 16 setores de infraestrutura crítica. Para a prova você não precisa decorar os 16, mas precisa entender o conceito e por que eles recebem atenção especial. Os mais cobrados:

Energia — geração e distribuição elétrica, dutos de óleo e gás. Está no topo porque um ataque aqui cascateia para todos os outros setores quase imediatamente.

Água e esgoto — em 2021, um atacante acessou a estação de tratamento de água de Oldsmar, na Flórida, e elevou brevemente o nível de hidróxido de sódio a concentrações perigosas, até um operador perceber. Não é roteiro de filme: aconteceu.

Saúde — ransomware em hospital não custa só dinheiro. Cirurgia adiada, prontuário indisponível e dispositivo médico desabilitado colocam paciente em risco físico direto.

Serviços financeiros, transporte e comunicações completam os setores mais referenciados na prova.

ISACs: como o setor compartilha inteligência

Cada setor tem um ISAC (Information Sharing and Analysis Center): organizações onde empresas do mesmo setor compartilham threat intelligence, indicadores de comprometimento e boas práticas defensivas.

Como analista atuando num desses setores, você provavelmente vai consumir os feeds do ISAC direto no SIEM ou na plataforma de threat intelligence.

A inteligência do ISAC é específica do setor — muito mais direcionada ao seu ambiente do que feed comercial genérico. Vale checar se a sua organização é membro e se os feeds estão sendo ingeridos no Microsoft Sentinel ou no Splunk.

Por que proteger isso é diferente

Quase tudo que você estudou até aqui se aplica a ambientes de TI: servidores, endpoints, cargas de nuvem, equipamentos de rede.

Infraestrutura crítica é diferente porque mistura TI com tecnologia operacional (OT). Sistemas de OT controlam processos físicos no mundo real: sensores, atuadores e controladores gerenciando reguladores de tensão, pressão de água, maquinário industrial.

Esses sistemas foram construídos décadas atrás, muitas vezes antes de cibersegurança ser uma consideração de projeto, e boa parte nunca foi pensada para estar conectada à internet. Hoje está. É aí que mora o risco real.

Essa convergência TI/OT é um dos desafios definidores da era atual, e é o fio condutor das próximas cinco lições.

MITRE ATT&CK for ICS

O framework tem uma matriz específica para ambientes de sistemas de controle industrial, em attack.mitre.org/matrices/ics. Ela mapeia táticas e técnicas próprias de OT — inibir funções de resposta, manipular lógica de controle, causar dano físico.

Ao investigar incidente em ambiente conectado a OT, abra essa matriz e mapeie o que você está vendo. Ela diz em que ponto da cadeia o adversário está e o que ele provavelmente fará em seguida.

A virada de mentalidade

Em segurança de TI, priorizamos confidencialidade, integridade e disponibilidade — a tríade CIA.

Em OT e infraestrutura crítica, essa ordem se inverte: AIC. Disponibilidade vem primeiro, porque indisponibilidade significa consequência física.

Essa distinção o exame adora testar.