Intrusão física: quatro padrões que encontramos

A segurança de um sistema ligado não acaba na rede. Uma parte do nosso trabalho é a intrusão física autorizada: tentar chegar a um ativo definido dentro das instalações, para mostrar onde o controlo de acesso lógico é contornado por uma porta que ninguém trancou.

Exemplos ilustrativos, não casos de clientes. Cada cenário é construído de raiz a partir de padrões que se repetem no setor. Não descrevemos âmbitos, achados nem instalações de clientes reais, e não publicamos métodos de intrusão. O que interessa aqui é a fraqueza e a correção, não o caminho.

Telecomunicações· Portugal

O armário técnico partilhado

A fraqueza recorrente: Equipamento de rede crítico numa sala técnica partilhada com o condomínio, cuja chave circula entre porteiros, eletricistas e fornecedores sem registo de quem entra nem separação entre o bastidor do operador e o resto da sala.
Porque é que importa: O controlo de acesso lógico pode estar impecável e ainda assim as portas de gestão do equipamento ficam ao alcance de qualquer pessoa que consiga entrar numa sala que ninguém trata como sensível.
A correção: Separar fisicamente o bastidor crítico dentro da sala partilhada, com fecho e registo próprios; tratar o acesso físico ao equipamento de gestão como se trata o acesso remoto, com dono e trilho de auditoria.

Agroindústria· Brasil

A estufa que fala com a nuvem

A fraqueza recorrente: Uma unidade de produção com centenas de sensores e controladores ligados, cuja segurança foi pensada para o software e a nuvem, mas cujos armários de campo ficam em ambientes abertos, ao lado de zonas de carga por onde passam camiões e pessoal externo todos os dias.
Porque é que importa: A superfície de ataque mais fácil fica no campo: a porta de manutenção de um controlador num armário sem fecho, à mão de quem passa.
A correção: Levar o modelo de ameaças até ao armário de campo: fecho e deteção de abertura, portas de manutenção desativadas por omissão, e identidade por dispositivo para que um controlador comprometido no campo não valha acesso ao resto.

Indústria· Alemanha

O crachá que abre tudo

A fraqueza recorrente: Uma fábrica com controlo de acessos por crachá moderno à entrada, mas em que o mesmo crachá, uma vez lá dentro, abre indistintamente o escritório, a linha de produção e a sala de servidores, sem zonas nem reavaliação de quem devia estar onde.
Porque é que importa: Todo o controlo está no perímetro: passado o portão, a instalação é um espaço único. Quem entra por uma razão legítima alcança sistemas que nada têm a ver com essa razão.
A correção: Zonar o interior por sensibilidade, além do perímetro, com o princípio do menor privilégio aplicado ao acesso físico; a sala que aloja os sistemas industriais é uma zona à parte, com a sua própria regra de quem entra.

Produto IoT· Reino Unido

O aparelho que se leva para casa

A fraqueza recorrente: Um produto ligado instalado em espaços públicos ou de acesso fácil, desenhado assumindo que ninguém o abre. O segredo de fabrico é partilhado entre unidades, e o acesso físico à placa dá acesso ao firmware e às credenciais.
Porque é que importa: Um atacante que consiga estar sozinho com uma unidade durante alguns minutos extrai o que precisa para se fazer passar por qualquer outra unidade da frota. É precisamente o cenário que o CRA obriga a fechar: segredo próprio por unidade, arranque verificado, resistência à manipulação.
A correção: Tratar a posse física do aparelho como parte do modelo de ameaças desde o desenho: identidade e segredo únicos por unidade, dados sensíveis cifrados em repouso, e portas de depuração fechadas no produto de série.

O padrão é sempre o mesmo: investe-se na segurança que se vê no ecrã e esquece-se a que se alcança com uma chave. Fazemos este trabalho com autorização escrita, âmbito e regras de intervenção definidos, e cobertura de seguro confirmada antes de cada intervenção. O enquadramento completo está em serviços.

Tem uma instalação ou um produto onde o acesso físico é uma preocupação? Escreva-nos: oi@folhas.io