A sigla ICS-SOC significa Industrial Control Systems – Security Operations Center (Centro de Operações de Segurança de Sistemas de Controle Industrial).
Os SOCs são locais que garantem a segurança, o monitoramento, bem como melhorias nos processos de segurança cibernética das organizações. Vamos conhecer o dia a dia do ICS-SOC da TI Safe?
Atividades realizadas nos ICS-SOCs
Um ICS-SOC é formado por pessoas, tecnologias e serviços (processos), que, juntos, tornam possível:
- Proteger de forma proativa, implementando tecnologias e qualificando pessoas para atuação. Na TI Safe, essa proteção é feita com o apoio da solução ASCI – um conjunto de ferramentas que estabelece camadas de segurança cibernética para a proteção de infraestruturas críticas.
- Investigar e detectar de forma antecipada eventos para otimizar a tomada de decisão, identificando IOCs – Indicadores de Comprometimento e POCs – Indicadores de Comportamento.
- Remediar com ações corretivas, parando ameaças e impedindo que causem danos.
- Aperfeiçoar, aprendendo com os incidentes de forma a aprimorar e atualizar políticas e processos.
A TI Safe possui 3 unidades de ICS-SOC, sendo duas no Rio de Janeiro (Botafogo e Jacarepaguá) e uma em Curitiba, PR.
Estrutura dos ICS-SOCs
Todas as áreas técnicas e táticas dos ICS-SOCs da TI Safe têm como base o ICS.SecurityFramework (Estrutura de Segurança de Sistemas de Controle Industrial). Esse Framework, idealizado pela TI Safe e praticado pelos times dos ICS-SOCs, é reconhecido pela TÜV-Süd, uma empresa certificadora internacional alemã.
Um dos diferenciais dos ICS-SOCs da TI Safe para os SOCs tradicionais, tendo como base o escopo proposto pelo ICS.SecurityFramework, é sua estrutura horizontalizada. Isso permite maior sinergia entre as áreas para as tratativas dos incidentes e vulnerabilidades cibernéticas demandadas pelo universo industrial das tecnologias de operações.
As áreas técnicas de um ICS-SOC da TI Safe são as seguintes:
- Riscos e Qualidade, responsável por atividades como cuidar do painel de riscos e documentação de clientes;
- Arquitetura de Segurança, que faz a gestão das mudanças necessárias;
- Implantação, monitoramento e resposta, que monitora e executa as ações conforme os playbooks da TI Safe.
Há, ainda, a área de Conhecimento, que é responsável pela manutenção das bases de conhecimento, incluindo o portal Incident Hub, e o Laboratório, que dá suporte para o ICS-SOC fazendo homologações e toda parte de P&D (pesquisa e desenvolvimento).
Curiosidade: Os nomes ICS-SOC e ICS.SecurityFramework foram criados e registrados pela TI Safe.
Ferramentas utilizadas pelo Centro de Operações de Segurança da TI Safe
Entre as ferramentas mais utilizadas pela TI Safe para monitoramento e resposta a incidentes cibernéticos estão:
- IDS: Ferramenta de segurança baseada em tráfego de rede (assinatura ou comportamentos). Permite análise não apenas nas bordas, mas também de forma interna.
- EDR: Diferente do IDS, EDR é uma solução baseada em host (monitora atividades internas). É de extrema importância para o bloqueio de ameaças nos equipamentos, que são realizados somente mediante autorização e respaldo de políticas da TI Safe e dos clientes.
- Firewall: Realiza análise de tráfego nas bordas para permitir ou bloquear. São de grande importância para estabelecer ambientes zero trust.
- SIEM: Correlaciona informações de diferentes soluções de segurança, fornecendo dados e análises para a mitigação de ameaças, facilitando e agilizando o processo de triagem dos dados das ferramentas. Ainda, fornece insights enriquecidos com IA. Essa ferramenta é fundamental na rotina dos analistas, uma vez que reduz o tempo de resposta.
Vale destacar que há outras ferramentas utilizadas pela TI Safe para monitoramento e resposta e que auxiliam nas análises necessárias aos analistas dos ICS-SOCs.
Como funciona o sistema de chamados
Durante a 5ª CLASS – Conferência Latino Americana de Segurança em SCADA, realizada em maio de 2024, no Museu do Amanhã, no Rio de Janeiro (RJ), Marcelo Pessoa, coordenador de Segurança Cibernética, e Caio Couto, analista de Segurança Cibernética, ambos da TI Safe, apresentaram aos participantes detalhes sobre o dia a dia do ICS-SOC e do trabalho de abertura e atendimento de chamados.
Os colaboradores destacaram que, por meio do sistema que permite a interface com os clientes, é possível compartilhar textos, tabelas e imagens. “A sinergia e a troca com os clientes é fundamental para o bom funcionamento do ICS-SOC”, ressaltou Caio Couto.
Os chamados podem ser proativos – da equipe de monitoramento do ICS-SOC para o cliente – ou sob demanda – quando vêm dos clientes para o time do Centro de Operações de Segurança da TI Safe.
Os chamados proativos têm como base as vulnerabilidades e ameaças detectadas pelo time do ICS-SOC a partir das ferramentas de proteção. Informações como overview da situação, risco potencial, CVE(s) relacionado(s), resolução recomendada, evidências e detalhes da detecção fazem parte da estrutura do formulário de cada chamado que é enviado ao cliente.
Há também os chamados sob demanda dos clientes para o ICS-SOC. Outra ação que acontece nesse fluxo são as autorizações, quando é necessário validação do cliente para bloqueio de equipamentos ou outras medidas em caso de identificação de ameaças, por exemplo. “O ICS-SOC não faz nada sozinho. É um trabalho a quatro mãos, para mitigar as chances de erro ou tomada de decisão que possa impactar as operações dos clientes”, mencionou Marcelo Pessoa.
“Fazendo um comparativo do número de chamados ao longo dos anos, desde 2018, o ICS-SOC tem evoluído ano após ano em seu potencial de análise, crescendo em quantidade de chamados proativos para o cliente. Em 2024, pela primeira vez, temos um percentual maior de chamados para o cliente do que aqueles vindos sob demanda”, enfatizou Marcelo, destacando que a inteligência artificial tem sido muito importante para que as equipes se antecipem aos eventos e auxiliem no aperfeiçoamento contínuo da postura de segurança dos clientes.
Desde o início da operação dos ICS-SOCs, a TI Safe não registrou nenhum incidente com parada não programada. Um dos objetivos dos Centros de Operações de Segurança é, cada vez mais, aumentar a proatividade das equipes de atendimento, estando um passo à frente das vulnerabilidades e ameaças, contribuindo para a segurança plena dos sistemas operacionais dos clientes.
