Segurança cibernética industrial: como implementar backups resilientes a ameaças cibernéticas

Uma falha mecânica ou um ataque cibernético custa muito mais a uma operação industrial do que a uma operação de TI de uma empresa comum. O tempo de inatividade imprevisto para fabricantes de grande porte chega atualmente a uma média de US$ 260.000 por hora. No entanto, esse valor varia drasticamente de setor para setor, com a indústria automotiva situando-se no extremo oposto do espectro.

Estima-se que o tempo de inatividade para um fabricante de automóveis, em decorrência de falhas mecânicas ou ameaças cibernéticas, como ransomware, chegue a uma perda colossal de US$ 2,3 milhões a cada hora. De acordo com a IBM X-Force, o setor de manufatura é responsável por 27,7% dos ataques cibernéticos, o que o torna o setor mais visado por ataques cibernéticos há cinco anos consecutivos. E, considerando que o tempo de inatividade acarreta uma perda tão astronômica para um fabricante, os invasores sabem que, em caso de violação, é provável que a vítima pague o resgate rapidamente para voltar a operar

Para proteger uma operação industrial e se recuperar de um ataque cibernético, um fabricante precisa implantar uma solução de software modular, ciber-resiliente e composta por múltiplos componentes que seja compatível tanto com sistemas OT quanto com sistemas de TI, para uma recuperação imediata a um ponto específico no tempo.

Neste artigo, abordamos como os sistemas de TI e OT são protegidos, os desafios comuns que os sistemas industriais enfrentam e como eles podem defender efetivamente seus sistemas contra ameaças cibernéticas e reduzir o tempo de inatividade em caso de falha.

O que são Sistemas de Controle Industrial (ICS)?

Em termos simples, um sistema de controle industrial (ICS) é o hardware e o software subjacentes que operam equipamentos físicos em fábricas e instalações. Ele é composto por quatro partes principais: controladores lógicos programáveis (PLCs), que executam os comandos que operam uma linha de produção; sistemas SCADA para monitorar e controlar processos em uma planta; interfaces homem-máquina (HMIs) que permitem aos operadores visualizar e ajustar esses processos; e sensores que são utilizados para reportar temperatura, pressão, vazão e outras leituras de volta ao sistema. O ICS é um componente específico dentro da OT (tecnologia operacional), cuja proteção difere significativamente daquela de um sistema operado por TI.

Qual é a diferença entre segurança de OT e de TI?

O fabricante opera tanto sistemas de TI quanto de OT. O primeiro é o lado corporativo, com seus sistemas de negócios. O chão de fábrica, com seus controladores e sistemas de produção, é o segundo, e não pode ser protegido da mesma forma que a TI. A resposta padrão em ambientes de TI geralmente consiste em desligar o sistema afetado e conter o problema.

Em comparação, os sistemas de OT não podem ser interrompidos, pois o processo físico executado por um sistema torna-se perigoso se for interrompido sem medidas de precaução imediatas. Em outras palavras, a medida que contém um ataque em um escritório pode causar um acidente catastrófico no chão de fábrica.

O segundo grande problema dos ambientes OT é que grande parte dos equipamentos no chão de fábrica opera com sistemas operacionais antigos que não recebem mais patches de segurança, o que deixa vulnerabilidades conhecidas totalmente expostas.

Nas fábricas, os controladores precisam ser restaurados para uma configuração comprovadamente válida e verificados antes de acionarem os equipamentos físicos. Cada hora de inatividade representa perda de receita e aumenta o risco à segurança; e, como esses custos se acumulam continuamente quanto mais tempo a interrupção se prolonga, a capacidade do fabricante de se recuperar rapidamente é fundamental para conter danos adicionais.

Para proteger um sistema industrial em operação, as indústrias devem implantar uma solução de backup e recuperação ciber-resiliente que lide com a recuperação tanto de TI quanto de OT, alinhada à estrutura de segurança industrial IEC 62443.

O que é a norma IEC 62443 e por que ela é importante para a segurança de sistemas industriais?

No âmbito da segurança cibernética industrial, a norma IEC 62443 é amplamente adotada e define como a tecnologia operacional (OT) e os Sistemas de Automação e Controle Industrial (IACS) devem ser protegidos. Essa estrutura é particularmente comum em setores como energia, manufatura, transporte, abastecimento de água e saúde.

O modelo de zonas e canais para a proteção de sistemas industriais

A filosofia da norma IEC 62443 gira em torno da divisão do sistema operacional em zonas e canais, cada um com seu próprio nível de segurança atribuído, variando de 1 a 4. As zonas são agrupamentos físicos de ativos industriais, como máquinas e sistemas de controle, que, de modo geral, compartilham o mesmo nível de requisitos de segurança. Os canais, por outro lado, são as vias de comunicação estritamente controladas que conectam essas zonas.

Como resultado desse tipo de segmentação, os invasores não conseguem se deslocar lateralmente para zonas críticas em caso de violação. Quanto à questão de saber se “não seria melhor aplicar o mesmo nível de segurança SL4, de nível militar, a todas as zonas para obter proteção máxima”, a resposta é não. Caso todos os componentes fossem protegidos com as mesmas medidas de segurança, isso resultaria em um excesso ou uma falta indesejável de engenharia em zonas de baixa consequência e zonas de segurança de vida, o que acarreta uma infinidade de complicações.

Por exemplo, aplicar controles de Nível de Segurança 4 de nível militar às impressoras do escritório desperdiçaria imensos recursos e paralisaria as tarefas diárias, enquanto aplicar defesas básicas de Nível de Segurança 1 às válvulas das turbinas poderia provocar um desastre físico catastrófico.

Sistema de Níveis de Segurança (SL1-SL4)

A norma IEC 62443 define quatro níveis de segurança, cada um correspondente à capacidade do invasor contra o qual se está defendendo. Em vez de aplicar um único nível em toda a planta, os fabricantes avaliam o risco de cada zona e atribuem a ela um nível de segurança alvo.

– O SL1 protege contra erros humanos e malware não direcionado de baixo impacto (por exemplo, um funcionário conectando um pen drive pessoal infectado).

– SL2 protege contra ataques de baixo custo realizados por hackers oportunistas que utilizam ferramentas públicas para explorar vulnerabilidades básicas

– SL3 é utilizado para proteção contra ameaças cibernéticas sofisticadas por parte de cibercriminosos organizados que possuem conhecimento especializado em sistemas industriais (por exemplo, um grupo profissional de ransomware tentando ativamente sequestrar os PLCs de uma determinada fábrica).

– SL4 protege contra agências militares/de inteligência de Estados-nação com financiamento maciço, que utilizam recursos avançados e ilimitados para causar destruição física

A segurança dos sistemas industriais pode ser garantida por meio de uma solução de backup e recuperação ciber-resiliente, capaz de adaptar sua proteção ao nível de segurança exigido por cada zona. O backup e a recuperação do Bacula Enterprise são realizados por cinco componentes independentes (o Director, o File Daemon, o Storage Daemon, o Catalog e o Console), que podem ser distribuídos e configurados de acordo com a estrutura de zonas de uma fábrica para proporcionar segurança em toda a instalação.

Ataques cibernéticos reais a sistemas de controle industrial

Os três ataques cibernéticos reais a seguir ilustram o que ocorre quando um sistema OT carece de proteções adequadas, como as descritas acima, e as consequências catastróficas que podem se seguir.

O ataque à rede elétrica da Ucrânia (exploração remota)

Em 23 de dezembro de 2015, três empresas regionais de distribuição de energia da Ucrânia foram alvo de cibercriminosos em um ataque que resultou em uma queda generalizada de energia para 225.000 residentes.

Os invasores sequestraram sessões de VPN que não possuíam autenticação de dois fatores, o que lhes proporcionou acesso direto ao sistema SCADA das empresas. Uma vez dentro do sistema, eles manipularam os sistemas de controle da rede elétrica e acionaram manualmente os disjuntores em mais de cinquenta subestações.

Em seguida, os invasores implantaram malware no caminho de recuperação e apagaram arquivos em servidores e estações de trabalho, eliminando os arquivos de backup e de configuração necessários para a restauração do sistema. A própria fonte de alimentação ininterrupta do centro de operações foi desligada, e o caminho de restauração foi destruído.

Como os dados de recuperação não estavam armazenados em um sistema isolado fisicamente nem em um armazenamento imutável, as concessionárias não conseguiram se recuperar por conta própria, e engenheiros tiveram que ser enviados ao local para desligar os disjuntores manualmente.

O ataque à Colonial Pipeline (comprometimento de credenciais)

A Colonial Pipeline transporta combustível por 260 pontos de entrega em treze estados e fornece 45% do combustível utilizado na Costa Leste. É também o maior oleoduto de produtos refinados dos Estados Unidos.

Em 7 de maio de 2021, o sistema de segurança da Colonial foi vítima de um ataque de ransomware realizado pelo DarkSide. Ao obterem acesso à senha vazada, os invasores acessaram uma conta de VPN legada que havia caído em desuso, o que lhes proporcionou uma porta de entrada nos sistemas da Colonial.

Os invasores criptografaram os sistemas de TI e roubaram cerca de 100 GB de dados. Embora nunca tenham chegado aos controles do oleoduto, a Colonial interrompeu as operações do oleoduto no mesmo dia e autorizou o pagamento de um resgate de US$ 4,4 milhões em questão de horas. As entregas de combustível foram interrompidas por seis dias consecutivos e, por sua vez, os postos de gasolina em todo o Sudeste ficaram sem estoque.

A Colonial interrompeu as operações devido à sua incapacidade de comprovar que seus sistemas de controle estavam intactos, já que o ransomware havia atingido a rede do escritório. O que custou seis dias à Colonial foi não saber o que os invasores haviam adulterado e não dispor de uma maneira rápida de reconstruir os sistemas de controle caso estes tivessem sido afetados.

Para sobreviver aos incidentes mencionados acima, uma plataforma de backup ciber-resiliente divide sua arquitetura em cinco componentes independentes para impedir que uma violação no chão de fábrica atinja o cofre de backup, isolando rigorosamente os caminhos de dados e as funções de segurança.

Esse isolamento absoluto mantém seus registros de auditoria intactos para que você possa ver exatamente o que um invasor alterou, enquanto a recuperação bare-metal permite que você reconstrua rapidamente os sistemas de controle comprometidos a partir de um estado conhecido como íntegro.

A violação da SolarWinds (risco da cadeia de suprimentos)

Aproximadamente 18.000 organizações instalaram um malware de backdoor chamado SUNBURST em suas próprias redes ao aplicar uma atualização de software de rotina de um fornecedor em que confiavam. Entre elas estavam os Departamentos de Segurança Interna, de Estado, de Energia e do Tesouro dos EUA.

Os invasores acessaram a SolarWinds em agosto de 2019 e injetaram código malicioso no processo de compilação do Orion (sua plataforma de monitoramento de rede). Os clientes receberam atualizações infectadas com trojans como se fossem softwares legítimos e assinados. Os ataques foram posteriormente atribuídos ao APT29, que é o Serviço de Inteligência Externa da Rússia. A FireEye descobriu posteriormente o backdoor em dezembro de 2020, enquanto investigava uma violação de suas próprias ferramentas de equipe vermelha.

Considerando que o Orion é um software de TI instalado no data center, e não no chão de fábrica, não se esperaria que ele representasse uma ameaça à OT. No entanto, isso ocorre porque a rede do escritório e a rede da fábrica estão conectadas, e um comprometimento de um lado é capaz de se espalhar para o outro sem grande dificuldade.

Desafios da segurança cibernética na indústria de manufatura

Ao contrário de um data center, uma fábrica reúne diversos ambientes ao mesmo tempo e é uma combinação de PLCs com décadas de idade, dispositivos IIoT modernos conectados à nuvem, bancos de dados históricos e sistemas corporativos, cada um com seu próprio ciclo de atualizações e tolerância a tempo de inatividade.

Esse tipo de heterogeneidade é a razão pela qual os sistemas de OT são mais difíceis de proteger em comparação com os de TI, já que nenhuma abordagem “uniforme” de backup funciona tanto para um controlador legado rodando um sistema operacional sem suporte quanto para um historiador ativo que não pode ser desativado temporariamente.

Recuperação ao longo de um ciclo de vida de 30 anos do equipamento

Os equipamentos industriais costumam ser duas décadas mais antigos do que qualquer coisa que se encontraria em uma sala de servidores corporativa e permanecem em serviço muito tempo depois que o hardware de TI já teria sido substituído. Por exemplo, uma turbina, uma prensa ou um PLC podem funcionar por vinte ou trinta anos, enquanto um laptop é substituído a cada três a cinco anos.

Durante décadas, isso não representava um problema de segurança, pois a rede da fábrica estava isolada fisicamente (air-gapped) e desconectada de qualquer rede externa que um invasor pudesse utilizar para acessá-la. No entanto, com a Indústria 4.0 pondo fim a essa situação, as fábricas modernas operam em toda a Arquitetura de Referência Empresarial de Purdue (Níveis L0 a L5), segundo a qual uma única estratégia de backup deve se adaptar a requisitos completamente diferentes de Objetivo de Ponto de Recuperação (RPO) e Objetivo de Tempo de Recuperação (RTO), dependendo da camada.

Ao se conectarem à TI corporativa e à nuvem, os fabricantes correm o risco de expor os controladores da fábrica, com décadas de idade, a ameaças que o projetista não havia previsto.

Uma fábrica precisará restaurar dados muito tempo depois que o software de backup que os gravou já não existir mais. Ao utilizar uma solução de backup e recuperação ciber-resiliente com um formato de volume documentado e auto-legível, os dados permanecem recuperáveis por si só, sem depender de que o sistema de backup original permaneça intacto. Um volume gravado hoje pode ser facilmente lido décadas mais tarde, mesmo que a implantação de backup subjacente já tenha sido desativada há muito tempo.

Fazendo backup de um historiador em operação

Um historiador de dados é um software especializado que captura e armazena continuamente dados de séries temporais provenientes de equipamentos da planta que operam em PLCs e sistemas SCADA.

Para setores regulamentados, como o farmacêutico, bancos de dados como o AVEVA PI e o GE Proficy mantêm os registros de auditoria legais. No caso de um ataque cibernético que apague ou criptografe esses registros, a empresa perde sua prova de conformidade. Consequentemente, um ataque de ransomware ao armazenamento de dados da fábrica pode colocar em risco a capacidade da empresa de comercializar produtos legalmente, mesmo sem afetar diretamente as próprias máquinas.

Dito isso, a limitação de um historiador ativo é que se trata de um banco de dados em constante gravação, e a velocidade de gravação é sua principal restrição de projeto. Como uma cópia em nível de arquivo de um banco de dados ativo resulta em dados corrompidos, é impossível fazer backup de um historiador ativo enquanto ele está em execução. No passado, os operadores paravam o sistema completamente, o que levava a falhas regulatórias e de conformidade.

Um software de backup modular avançado, como o Bacula Systems, pode fazer backup de um historiador ativo usando ferramentas nativas, como o RMAN para Oracle, ou utilizando seu plug-in bpip especializado, que transmite dados em tempo real para o armazenamento.

Cibersegurança, Backup e Recuperação na Indústria com o Bacula Enterprise

Bacula Enterprise é uma solução de backup e recuperação ciber-resiliente, desenvolvida para ambientes críticos em termos de segurança e na qual confiam organizações como a Força Aérea dos EUA, a NASA, a Marinha dos EUA e outros conglomerados.

Trata-se de um software modular com cinco componentes independentes, como o Director, o File Daemon, o Storage Daemon, o catálogo e o console. Ele segue um fluxo de trabalho segmentado para impedir a propagação lateral em caso de violação, o que mantém as infraestruturas essenciais à vida seguras e intactas.

Ao contrário do design único e multifuncional da maioria das ferramentas de backup legadas, cada um desses cinco componentes é executado como um serviço de rede separado. Por sua vez, o comprometimento de um componente não pode paralisar toda a operação.

Com suas tecnologias de desduplicação global de endpoints e compactação, que reduzem os custos de armazenamento, o Bacula Enterprise utiliza um modelo de licenciamento simples e transparente, baseado em assinatura, que exclui completamente a cobrança por capacidade.

Como o Bacula atende aos níveis de segurança da norma IEC 62443

O Bacula está em conformidade com a norma IEC 62443 para segurança cibernética industrial. De acordo com a estrutura da norma IEC 62443, é possível atribuir diferentes Níveis de Segurança (SL) a diferentes zonas em sua fábrica, sendo o S1 utilizado para autenticação básica e o SL4 para proteção de dados de nível militar.

• SL1. As comunicações do Bacula entre os cinco componentes ocorrem por TLS por padrão, com handshakes automáticos de chave pré-compartilhada entre o Director, o File Daemon e o Storage Daemon. Como resultado, o tráfego de backup nunca é enviado em texto simples (mesmo na configuração básica).
• SL2. Cada operador está restrito a ações específicas, para impedir que alguém com permissão para executar um backup possa excluí-lo ou alterar o catálogo. Os dados são criptografados por cliente com AES 128, 192 ou 256 e podem ser criptografados em repouso no destino de armazenamento.
• SL3. A autenticação multifatorial é realizada por meio de um plug-in TOTP compatível com a RFC 6238, que exige um segundo fator proveniente de um autenticador de celular para acesso ao console. O armazenamento isolado (air-gapped) também se aplica aqui. Fitas ejetadas da biblioteca ou gravadas em mídia offline não podem ser acessadas por nenhum dispositivo na rede.
• SL4. O Bacula executa criptografia validada pela norma FIPS 140-3 por meio de seu módulo criptográfico OpenSSL-FIPS, o que permite fluxos de trabalho altamente seguros e auditados. Ele também realiza a autenticação entre daemons com SCRAM-SHA-256 e grava logs de auditoria à prova de adulteração com cadeia de custódia para cada evento de backup. Seu perfil de Defesa e Militar oferece suporte a backup compartimentado em zonas classificadas.

A arquitetura do Bacula mantém os backups intactos

Tanto no ataque à rede da Ucrânia quanto no caso do ransomware Colonial, os danos se espalharam até onde o acesso do invasor alcançou. Esses ataques cibernéticos apagaram os arquivos de restauração em um caso e criptografaram todos os sistemas acessíveis no outro.

O Daemon de Arquivos do Bacula é executado na máquina protegida, que geralmente é o primeiro componente a ser comprometido por um invasor. Ele não possui interface com o repositório de armazenamento de backups. Um invasor que tenha controle total sobre uma estação de trabalho da fábrica não pode usá-la para acessar ou criptografar os backups, pois o caminho simplesmente não existe.

Essa é uma vantagem significativa em relação a outros softwares de backup para fabricantes. Na OT, as máquinas clientes são as primeiras a serem comprometidas e, como essas máquinas não conseguem acessar os backups, os dados de recuperação permanecem intactos.

• Resiliência cibernética — O Bacula aplica a regra 0-3-2-1 por meio de suas tarefas de cópia e migração, com três cópias, dois tipos de mídia, uma cópia fora do local e zero erros. Uma fábrica pode gravar seu backup primário em um disco local, copiá-lo automaticamente para um armazenamento de objetos na nuvem e, posteriormente, enviar uma terceira cópia para uma fita isolada fisicamente, sem nenhuma etapa manual que possa ser esquecida.
• Armazenamento imutável – Volumes com suporte WORM e pontos de recuperação em disco com bloqueio de gravação apenas por acréscimo impedem a modificação após a gravação, embora a imutabilidade controlada por software seja menos absoluta do que a fita em um cofre.
• Detecção de contaminação de dados — BGuardian analisa estatisticamente cada tarefa de backup e detecta desvios. Um backup completo que, de repente, não protege mais nenhum dado, ou uma tarefa cujo tamanho e número de arquivos estejam fora da faixa esperada, é identificado, pois esse padrão é a assinatura de um ransomware criptografando uma fonte antes da execução do backup. O BGuardian também audita a própria configuração do ambiente e gera relatórios de fortalecimento para revelar vulnerabilidades antes que um invasor as encontre.

Recuperação projetada para sistemas industriais

Backups intactos são inúteis se não for possível restaurá-los rapidamente e no local correto. O Bacula foi desenvolvido para ambos os cenários: seja quando uma fábrica precisa de uma reconstrução completa do sistema a partir do zero, seja para uma restauração pontual de dados críticos.

• Recuperação bare-metal — O Bacula pode criar uma reconstrução completa (a partir do sistema operacional) de um controlador ou de uma estação de trabalho de engenharia, tanto no Linux quanto no Windows, caso qualquer um deles esteja criptografado ou destruído. Essa capacidade transforma o que normalmente seria uma paralisação de vários dias em uma reversão que pode levar apenas algumas horas.
• Restauração em uma máquina limpa – O Bacula pode restaurar em qualquer cliente específico. Uma fábrica se recuperando de um ataque de ransomware pode restaurar em um sistema isolado enquanto as máquinas infectadas ainda estão sob investigação. As ordens de restauração também podem ser alteradas, de modo que dados importantes do processo sejam trazidos de volta à produção e os sistemas infectados sejam enviados a um laboratório para análise forense.
• Recuperação em um ponto no tempo (PITR) — O Bacula captura as alterações no sistema e nos dados em tempo real, à medida que ocorrem. Isso permite que os operadores realizem restaurações granulares para qualquer milissegundo específico anterior a um incidente, o que, por sua vez, reduz a perda potencial de dados a segundos, em vez de horas.
• Uma única plataforma para toda a fábrica – O Bacula roda em mais de 34 sistemas operacionais e protege máquinas físicas, VMware, Hyper-V, Proxmox, Nutanix, contêineres, Kubernetes e os bancos de dados em que os historiadores são executados, tudo sob um único Director. A deduplicação global de terminais em alta velocidade reduz o armazenamento e a largura de banda que dados pesados de telemetria e historiadores consumiriam de outra forma.

Escalabilidade e licenciamento

• Licenciamento — Além disso, o Bacula cobra com base no tamanho do ambiente e não no tamanho dos dados. Portanto, as despesas com backup de uma fábrica não aumentarão a cada vez que um novo sensor for adicionado. As fábricas modernas produzem volumes cada vez maiores de dados, mas a operação não precisará pagar valores astronômicos por isso. Esse modelo também se adapta a ambientes com bilhões de arquivos.
• Gerenciamento de telemetria de alto desempenho – Para gerenciar com facilidade fluxos massivos de dados de séries temporais e registros históricos gerados no chão de fábrica de uma instalação moderna, o Bacula emprega Desduplicação Global de Endpoints de alto desempenho e tecnologias avançadas de compactação. Isso minimiza drasticamente os custos da infraestrutura física de armazenamento e reduz a carga geral da rede sem sacrificar as velocidades críticas de backup.
• Computação de Borda e Escalabilidade para Fábricas Inteligentes – À medida que as modernas fábricas inteligentes processam cada vez mais dados na borda, o Bacula se destaca no gerenciamento de backups para ambientes altamente distribuídos e dispositivos de borda descentralizados.

Perguntas frequentes

O que uma estratégia de segurança de OT deve incluir?

Uma segurança de OT eficaz segue as normas de segurança da IEC 62443, com quatro níveis de controle, e divide a segmentação da rede em zonas e canais. Como resultado, uma violação em uma área pode se espalhar para controladores críticos.

Os sistemas de fábrica não são isolados fisicamente (air-gapped) e fechados ao acesso externo?

Raramente, atualmente. O verdadeiro isolamento físico, em que uma rede é fisicamente isolada sem conexão com nenhum sistema externo, tornou-se, hoje em dia, a exceção. As fábricas modernas conectam seus sistemas OT à TI corporativa, a plataformas de análise em nuvem e a ferramentas de acesso remoto, pois isso torna as operações mais eficientes. Mas cada uma dessas conexões também remove uma parte do isolamento que costumava protegê-las.

Qual é a diferença entre segurança de TI e segurança de OT?

A segurança de TI e a segurança de OT diferem em muitos aspectos. A segurança de TI concentra-se principalmente na proteção da confidencialidade dos ativos digitais. Na OT, a integridade do processo de produção e a segurança física têm precedência sobre a confidencialidade. Proteger ambientes de OT costuma ser mais difícil e requer uma solução de backup e recuperação ciber-resiliente capaz de fazer backup consistente do histórico em tempo real, que está sempre em execução.

Com que frequência os sistemas industriais devem ser copiados?

Com a frequência exigida pela tolerância de cada sistema à perda de dados, o que significa cronogramas diferentes para diferentes partes da fábrica. Não há uma resposta única, pois uma fábrica é composta por diversos ambientes com diferentes requisitos de recuperação. Ao contrário dos sistemas corporativos, nos quais o backup diário é o padrão, a frequência de backup para sistemas industriais varia dependendo do nível de perda de dados que cada sistema pode tolerar.

O ransomware também pode afetar equipamentos físicos?

Sim, de duas maneiras. Em primeiro lugar, o ransomware ou malware é capaz de desativar uma linha de produção por meio da criptografia ou destruição dos controles do sistema. Mais comumente, um ataque ao lado de TI aciona automaticamente uma parada preventiva da OT, mesmo quando o malware nunca chega aos controladores. Essa parada de emergência, realizada fora da sequência normal de parada segura do equipamento, pode, por si só, danificar máquinas projetadas para operar continuamente.