Seguranca de TI em Ambiente Industrial: TI e OT na Mesma Rede

Quando a TI encontra o chão de fábrica: por que a convergência TI/OT virou um problema de segurança

Durante décadas, as redes industriais viveram isoladas. CLPs (Controladores Lógicos Programáveis), sistemas SCADA e IHMs operavam em redes próprias, sem contato com a internet ou com a rede corporativa. Essa separação física — o chamado "air gap" — era, na prática, a principal defesa do ambiente de OT (Operational Technology). Se ninguém conseguia chegar até o equipamento, ninguém conseguia atacá-lo.

Esse cenário mudou radicalmente. A busca por eficiência levou as indústrias a conectar o chão de fábrica aos sistemas de gestão: o ERP precisa saber quanto a linha produziu, o setor de manutenção quer telemetria das máquinas em tempo real, e fornecedores fazem suporte remoto direto no CLP. O resultado é que, em boa parte das fábricas brasileiras, TI e OT hoje compartilham a mesma rede — muitas vezes sem nenhuma segmentação, com o servidor SCADA no mesmo segmento que as estações administrativas, impressoras e o Wi-Fi dos visitantes.

O problema é que os equipamentos de OT não foram projetados para esse mundo. Um CLP que roda há 15 anos sem reinicialização não tem antivírus, não recebe patch mensal e frequentemente se comunica por protocolos sem qualquer autenticação, como Modbus TCP ou versões antigas de OPC. Quando esse equipamento passa a ser alcançável a partir da rede corporativa, qualquer estação de trabalho comprometida por um phishing vira uma porta de entrada direta para a linha de produção.

O que está exposto: CLPs, SCADA e o peso do legado

O inventário típico de uma planta industrial de médio porte revela um cenário preocupante. É comum encontrar servidores SCADA rodando em Windows Server 2008 ou até 2003, IHMs com Windows XP embarcado, CLPs com firmware que nunca foi atualizado desde a instalação e switches não gerenciáveis conectando tudo isso. Nenhum desses sistemas pode ser simplesmente atualizado: o software supervisório muitas vezes só é homologado pelo fabricante naquela versão específica do sistema operacional, e uma parada de linha para atualização custa caro demais para ser aprovada.

Essa realidade cria uma superfície de ataque muito diferente da encontrada na TI tradicional. Os riscos mais frequentes incluem:

• Protocolos industriais sem autenticação: Modbus, DNP3 e Profinet, em suas formas clássicas, aceitam comandos de qualquer dispositivo na rede. Quem alcança o CLP pode ler e escrever em suas variáveis.
• Sistemas operacionais fora de suporte: Windows XP, 7 e Server 2008 seguem operando em IHMs e servidores de supervisão, com vulnerabilidades conhecidas e sem correção disponível.
• Acessos remotos improvisados: TeamViewer, AnyDesk ou port forwarding no roteador, criados por integradores para dar suporte, que permanecem ativos por anos sem controle.
• Credenciais padrão: senhas de fábrica em CLPs, inversores, câmeras e switches industriais, documentadas publicamente nos manuais dos fabricantes.
• Falta de inventário: a TI raramente sabe quantos dispositivos existem no chão de fábrica, quem os instalou e o que estão fazendo na rede.

Diferente da TI, onde um incidente compromete dados, na OT um incidente compromete o mundo físico. Um ransomware que criptografa o servidor SCADA para a produção. Um comando malicioso enviado a um CLP pode danificar equipamentos, gerar desperdício de matéria-prima e, no limite, colocar pessoas em risco. O cálculo de impacto é de outra ordem.

Segmentação: o modelo Purdue na prática

A resposta técnica para esse cenário não é tentar transformar o CLP em um dispositivo seguro — isso não é possível na maioria dos casos. A estratégia correta é assumir que o equipamento é vulnerável e controlar rigorosamente quem consegue conversar com ele. É aí que entra a segmentação de rede, cuja referência clássica no mundo industrial é o modelo Purdue.

O modelo organiza a planta em níveis: no nível 0 e 1 ficam sensores, atuadores e CLPs; no nível 2, a supervisão (SCADA e IHMs); no nível 3, sistemas de operação da planta como historiadores e MES; e nos níveis 4 e 5, a rede corporativa e a internet. O princípio central é que a comunicação entre níveis deve passar por pontos de controle — firewalls com regras explícitas — e que a rede corporativa jamais deve falar diretamente com um CLP.

Na prática, uma implementação realista para a indústria de médio porte envolve três movimentos. Primeiro, separar fisicamente ou por VLANs a rede de OT da rede de TI, com um firewall entre elas que negue todo o tráfego por padrão e libere apenas o estritamente necessário — normalmente a comunicação do historiador ou do MES com o ERP. Segundo, criar uma zona intermediária (uma DMZ industrial) para tudo que precisa ser acessado pelos dois lados: servidores de coleta de dados, repositórios de patches, jump servers para acesso remoto. Terceiro, segmentar dentro da própria OT, isolando células de produção entre si, para que o comprometimento de uma linha não se espalhe para as demais.

Segmentar não é comprar um firewall e criar duas VLANs. É mapear quais comunicações são legítimas no processo produtivo, bloquear todo o resto e garantir que exceções passem por um ponto controlado e auditado.

Acesso remoto e fornecedores: o elo mais fraco

Grande parte dos incidentes em ambientes industriais não começa por um ataque sofisticado ao CLP, mas por um acesso remoto mal controlado. Integradores de automação, fabricantes de máquinas e equipes de manutenção precisam, legitimamente, acessar equipamentos à distância. O problema está no como: ferramentas de acesso remoto instaladas diretamente nas IHMs, VPNs permanentes para redes de terceiros e regras de NAT expostas à internet criam caminhos que ninguém monitora.

O tratamento adequado passa por centralizar todo acesso remoto ao ambiente OT em um único ponto: um jump server na DMZ industrial, com autenticação multifator, credenciais individuais (nunca contas compartilhadas do tipo "manutencao"), gravação de sessão e liberação por janela de tempo. O fornecedor que precisa acessar o CLP na terça-feira recebe acesso na terça-feira, àquele equipamento específico, e o acesso expira sozinho. Parece burocrático, mas é a diferença entre saber exatamente quem tocou no sistema supervisório e descobrir, depois de um incidente, que havia sete TeamViewers instalados na planta.

O mesmo raciocínio vale para pendrives e notebooks de terceiros, vetores clássicos de contaminação em redes industriais. Estações de engenharia usadas para programar CLPs devem ser dedicadas, controladas pela empresa e nunca utilizadas para navegar na internet ou ler e-mail.

Visibilidade e monitoramento: não se protege o que não se enxerga

Segmentação sem monitoramento é uma foto, não um filme. Redes industriais são ambientes de tráfego extremamente previsível — os mesmos dispositivos conversam com os mesmos destinos, nos mesmos protocolos, todos os dias. Essa previsibilidade é uma vantagem enorme para a defesa: qualquer desvio é sinal relevante.

Um programa mínimo de visibilidade para OT inclui:

1. Inventário contínuo: descoberta passiva dos dispositivos na rede industrial, sem varreduras ativas agressivas, que podem derrubar CLPs sensíveis.
2. Monitoramento do tráfego entre zonas: logs do firewall industrial analisados de verdade, com alertas para tentativas de comunicação bloqueadas entre TI e OT.
3. Detecção de anomalias de protocolo: um comando de escrita em um CLP vindo de um endereço que nunca escreveu nele antes merece investigação imediata.
4. Backup testado dos ativos críticos: projetos de CLP, telas de supervisório, configurações de inversores e bancos do historiador — com cópia offline e teste periódico de restauração.
5. Plano de resposta específico para OT: quem decide parar a linha, quem aciona o fabricante, como operar em modo degradado se o supervisório for comprometido.

Vale destacar o item de backup: em incidentes de ransomware industrial, a diferença entre dias e semanas de parada costuma ser a existência de cópias íntegras dos projetos de automação. Muitas fábricas descobrem tarde demais que o único backup do programa do CLP estava no notebook do integrador que fez a instalação há dez anos.

Por onde começar: um caminho pragmático com apoio especializado

Proteger um ambiente industrial não exige parar a fábrica nem trocar o parque de automação. Exige método. O caminho pragmático começa com um diagnóstico: inventariar o que existe na rede de OT, mapear as comunicações reais entre chão de fábrica e rede corporativa e identificar os acessos remotos ativos. Com esse mapa em mãos, as primeiras ações de maior impacto costumam ser a criação da barreira TI/OT com firewall dedicado, a centralização dos acessos remotos e o backup dos ativos de automação — medidas que reduzem drasticamente o risco sem interferir na operação.

A partir daí, evolui-se em ondas: DMZ industrial, segmentação interna por célula, monitoramento contínuo e um plano de resposta a incidentes que trate a produção como prioridade. Cada etapa deve ser planejada junto às equipes de automação e manutenção — segurança de OT que ignora quem opera a planta simplesmente não se sustenta.

É nesse ponto que contar com um parceiro experiente faz diferença. A Duk Informática & Cloud atua há mais de 18 anos em infraestrutura e segurança de TI, atendendo mais de 550 empresas, entre elas indústrias que enfrentam exatamente esse desafio de integrar o chão de fábrica à rede corporativa sem abrir mão da segurança. Como Microsoft Gold Partner, a Duk combina experiência em redes, firewalls, segmentação e monitoramento com a prática de quem administra ambientes críticos todos os dias — do diagnóstico inicial da rede industrial ao desenho da segmentação, passando por backup gerenciado dos ativos críticos e suporte contínuo com SLA. Se a sua indústria ainda opera com TI e OT na mesma rede, o momento de tratar isso é antes do incidente, não depois.