Segurança OT · 6 min de leitura
A conversa sobre segurança de OT costuma começar pelo firewall. Os dados de 2025 mostram que ela deveria começar antes, em duas perguntas básicas: o que existe na rede e como ela está segmentada. A maioria das plantas não sabe responder nenhuma das duas com precisão.
O que o relatório da Dragos mostra
O Dragos 2026 OT/ICS Year in Review traz um retrato direto da situação. Menos de 10% das redes industriais têm monitoramento ou visibilidade. Em 2025, 30% dos chamados de resposta a incidente começaram por um relato de operador sobre comportamento anormal, e não por um alerta de sistema.
O volume de ataques acompanha essa fragilidade. Foram 119 grupos de ransomware atingindo mais de 3.300 organizações industriais, e a manufatura respondeu por dois terços das vítimas. Em outro recorte, a manufatura aparece com 26% de todos os ataques globais, pelo quarto ano seguido.
O tempo também pesa. A permanência média do atacante antes da detecção foi de 42 dias. Com visibilidade completa, a contenção média cai para 5 dias. Segundo a Dragos, o custo médio de downtime por ataque em manufatura é de US$ 1,9 milhão por dia.
Lidos em conjunto, esses números contam uma história coerente. A maioria das plantas não vê o que acontece na própria rede, o atacante tem semanas para agir sem ser notado e, quando a planta consegue enxergar, a contenção fica muito mais rápida. A diferença entre 42 dias e 5 dias é, essencialmente, visibilidade.
Os atacantes passaram a estudar o processo
Em 2025, o comportamento dos grupos mudou de natureza. Eles passaram a mapear control loops, exfiltrar configurações de CLP e se posicionar para interromper a produção. Não se trata mais de sequestrar servidores administrativos que por acaso estão ligados à fábrica.
Isso muda o que está em jogo na segmentação. Quando o atacante quer entender o processo, cada caminho entre a rede corporativa e o chão de fábrica é uma rota de reconhecimento. Cada backup de configuração acessível é um mapa entregue de graça.
O mesmo vale para a documentação da rede. Um diagrama atualizado e um inventário completo são ferramentas de defesa, mas se estiverem guardados sem controle numa pasta acessível pela rede corporativa, servem também ao atacante. Proteger a informação sobre o processo passou a ser parte de proteger o processo.
Segmentação: o ponto em que a maioria reprova
Das mais de 100 avaliações OT profundas feitas pela Dragos em 2025, 81% reprovaram em segmentação entre a rede corporativa e o chão de fábrica. Em 46%, o monitoramento era inadequado. E 73% dos incidentes começaram por VPN ou jumphost comprometido, justamente os pontos que deveriam controlar a passagem entre os dois mundos.
O caso da LELWD, uma utility de Massachusetts, ilustra o resultado. O grupo VOLTZITE ficou 300 dias dentro da rede OT. Não houve zero-day: bastaram segmentação ruim e ausência de monitoramento.
Segmentação ruim tem também um custo que não aparece nos relatórios de segurança. Uma rede mal segmentada não isola problema de nenhum tipo. Um broadcast storm, um loop ou um equipamento defeituoso se propagam da mesma forma que um atacante, e a falta de visibilidade impede capturar o dado que separa "caiu" de "por que caiu".
Três anti-padrões que vemos em metade das plantas
Nas plantas que avaliamos, três anti-padrões aparecem em cerca de metade dos casos. Nenhum deles exige tecnologia sofisticada para ser corrigido. Todos exigem que alguém decida que a rede de OT tem dono e regra própria.
O primeiro é estrutural: quando IT e OT compartilham domínio ou VLAN, uma credencial comprometida no escritório vale no chão de fábrica. O segundo transforma a estação mais privilegiada da planta, a que programa CLPs, na porta de entrada mais fácil. O terceiro entrega ao atacante o mapa do processo e tira da planta a capacidade de saber qual configuração é a correta.
- IT e OT no mesmo domínio Active Directory, ou na mesma VLAN gerida pela TI corporativa.
- Engineering workstation com acesso direto à internet, sem MFA, muitas vezes com Windows e atualização desligada.
- Backup de configuração de CLP, drives e switches em pasta compartilhada, sem controle de versão.
Por onde começar: inventário, topologia e zonas
A IEC 62443 organiza a segurança de sistemas de automação em zonas e condutos: grupos de ativos com o mesmo nível de exigência, e caminhos controlados entre eles. Esse modelo pressupõe que a planta saiba quais ativos existem, onde estão e como se comunicam. Sem isso, qualquer desenho de zona é hipotético.
Por isso a sequência prática começa pela rede, e não pelo produto de segurança. Primeiro, inventário real dos dispositivos conectados, obtido por descoberta no campo e não pelo diagrama. Depois, a topologia como ela existe, incluindo os caminhos entre a rede corporativa e a de automação. Só então faz sentido definir zonas, condutos e regras de firewall.
Os três anti-padrões acima entram como correções de primeira hora. Separar domínio e VLAN, isolar a engineering workstation e colocar os backups de configuração sob controle de versão são medidas de baixo custo com efeito imediato sobre a superfície exposta.
Visibilidade, nesse contexto, tem um sentido prático. Significa saber quais dispositivos estão falando com quais, em que horários e com que tipo de tráfego, de forma que uma conexão nova ou uma escrita fora de hora possa ser percebida. Não depende de uma ferramenta específica, depende de a planta ter uma referência do que é o comportamento normal da própria rede.
O que muda para a gestão
Para a gestão, os números da Dragos mostram onde está o risco. Não está na falta de um firewall mais caro, mas na falta de saber o que existe na rede e como ela está dividida. Uma planta que não enxerga a própria rede depende do operador perceber algo estranho, como aconteceu em 30% dos casos de resposta.
Há um ganho que costuma passar despercebido nesse investimento. O trabalho de inventariar, mapear e segmentar a rede serve tanto à segurança quanto à confiabilidade: a mesma segmentação que dificulta o movimento de um atacante contém um broadcast storm, e o mesmo mapa que define zonas acelera o diagnóstico de uma parada.
Segurança de OT começa em saber o que tem na rede e como ela está segmentada. O firewall é a ferramenta que aplica essa decisão. Sem a decisão, ele só filtra o que alguém lembrou de configurar.
Artigo desenvolvido a partir das publicações de Darwin Anastacio Junior no LinkedIn.