Dispositivos Expostos: os Caminhos de Entrada para OT

A conectividade se tornou parte essencial das operações industriais. Equipamentos distribuídos, manutenção remota, integração entre ambientes de TI e OT, gateways industriais, roteadores celulares e dispositivos IIoT permitem monitorar e operar ativos que muitas vezes estão localizados a quilômetros de distância.

Mas essa conectividade também cria novos caminhos até a operação.

Em 2026, o risco não está apenas na existência de vulnerabilidades em PLCs, sistemas supervisórios ou outros componentes tradicionalmente associados a ICS. Dispositivos e serviços que conectam, gerenciam ou fornecem acesso aos ambientes industriais também fazem parte da superfície de ataque.

Roteadores, gateways, firewalls, VPNs e outras tecnologias de acesso remoto podem ocupar uma posição particularmente sensível: estão na borda da infraestrutura e, quando expostos ou comprometidos, podem fornecer um caminho para sistemas mais próximos dos processos industriais.

A questão, portanto, não é apenas quais dispositivos estão vulneráveis.

É quais deles podem se transformar em uma porta de entrada para a operação.

A Exposição à Internet Continua Sendo um Risco para OT

A exposição de ativos industriais à internet não é um problema novo, mas continua suficientemente relevante para receber atenção específica das autoridades de cibersegurança.

Em junho de 2025, a CISA publicou sua Internet Exposure Reduction Guidance, alertando que o número e a variedade de ativos acessíveis pela internet continuam crescendo, incluindo IIoT, sistemas SCADA, ICS e tecnologias de acesso remoto.

A orientação destaca problemas como configurações inadequadas, credenciais padrão e softwares desatualizados publicamente acessíveis e recomenda que as organizações identifiquem quais ativos estão expostos, avaliem se essa exposição é realmente necessária e reduzam ou restrinjam o acesso sempre que possível.

Isso representa uma mudança importante em relação à maneira como o tema era tratado anteriormente.

Não basta saber que existem dispositivos ICS expostos globalmente.

Cada organização precisa responder:

“Quais ativos da nossa própria operação estão acessíveis pela internet e por quê?”

Nem Todo Ativo Precisa Estar Diretamente Exposto

Existe outro ponto importante.

Um sistema industrial não precisa estar diretamente conectado à internet para estar ao alcance de um atacante.

Uma infraestrutura corporativa comprometida, um acesso remoto mal protegido, um gateway vulnerável ou um dispositivo de borda podem criar caminhos indiretos até OT.

No cenário de ameaças de 2026, a Dragos destaca justamente infraestruturas de acesso remoto, sistemas de identidade e autenticação e dispositivos de borda expostos à internet, como firewalls e gateways, entre os ativos consistentemente visados por adversários.

Isso muda a maneira de enxergar a superfície de ataque.

Em vez de perguntar somente:

“Nosso ICS está exposto à internet?”

é necessário avaliar:

“Quais caminhos externos podem levar até o nosso ambiente OT?”

Essa visão inclui conexões diretas e indiretas, acessos de fornecedores, VPNs, gateways, serviços remotos e dependências com a infraestrutura corporativa.

Roteadores e Gateways Podem Carregar Riscos Herdados

Roteadores OT/IoT merecem atenção especial porque frequentemente sustentam a comunicação com equipamentos distribuídos e ambientes remotos.

Uma pesquisa realizada pela Forescout Research e pela Finite State analisou firmware de roteadores OT/IoT de cinco fabricantes e encontrou uma questão importante: componentes de software antigos continuavam presentes mesmo nas versões analisadas de firmware.

Entre 25 componentes comuns avaliados, o componente open source médio tinha cinco anos e meio de idade e estava, em média, quatro anos e quatro meses atrás da versão mais recente. Nos componentes mais comuns dos firmwares analisados, foram encontradas, em média, 161 vulnerabilidades conhecidas.

Esses números não devem ser extrapolados para todos os roteadores industriais existentes. Eles representam especificamente a amostra analisada pela pesquisa.

Mas o estudo evidencia um problema maior: o risco de um equipamento não depende apenas daquilo que a organização consegue enxergar na superfície.

Firmware pode incorporar sistemas operacionais, bibliotecas e diferentes componentes de terceiros. Isso cria dependências de software que também precisam ser consideradas durante o ciclo de vida do equipamento.

É uma discussão que aproxima segurança OT de outro tema importante: segurança da cadeia de suprimentos de software e hardware.

Sistemas Legados Tornam a Gestão Mais Complexa

Em ambientes industriais, simplesmente recomendar que todos os equipamentos recebam continuamente a versão mais recente de software não é suficiente.

Equipamentos OT podem permanecer em operação durante muitos anos e estar sujeitos a requisitos de disponibilidade, compatibilidade, certificação do fabricante e janelas restritas de manutenção.

Alguns podem chegar ao fim do suporte enquanto continuam exercendo funções importantes na operação.

Por isso, a presença de software antigo precisa ser analisada dentro do contexto de risco.

Quando uma atualização estiver disponível, ela deve ser avaliada, testada e aplicada de acordo com as condições operacionais. Quando isso não for possível, podem ser necessários controles compensatórios, redução da exposição, segmentação, monitoramento adicional ou até planejamento para substituição do ativo.

A CISA recomenda justamente substituir softwares e dispositivos que não recebem mais suporte de segurança e reduzir a exposição dos sistemas que precisam permanecer acessíveis.

Gestão de vulnerabilidades em OT não é apenas gestão de patches. É gestão de risco ao longo do ciclo de vida do ativo.

Visibilidade Precisa Incluir a Borda da Operação

Outro desafio é que inventários tradicionais podem se concentrar nos equipamentos considerados mais diretamente relacionados ao processo industrial.

Mas proteger OT exige enxergar também aquilo que conecta a operação ao restante do ambiente.

Isso inclui roteadores, gateways, firewalls, interfaces de acesso remoto e outros ativos que podem funcionar como pontos intermediários.

O relatório de cibersegurança OT da Dragos publicado em 2026 mostra que as lacunas de visibilidade continuam significativas. A empresa aponta que adversários estão avançando para dentro de ambientes industriais enquanto muitas organizações ainda apresentam dificuldades para identificar atividades antes que algum comportamento operacional anormal se torne perceptível.

Conhecer esses ativos, suas conexões e sua função ajuda a organização a compreender não apenas o que possui, mas quais caminhos existem até os sistemas que sustentam a operação.

Gestão de Vulnerabilidades Precisa Considerar o Caminho Até a Operação

O texto original utilizava a fórmula:

Risco = Ameaça × Vulnerabilidade × Impacto

Ela pode funcionar como recurso didático, mas é simplificadora demais para orientar a priorização de vulnerabilidades em ambientes OT.

Uma vulnerabilidade crítica em um ativo isolado não representa necessariamente o mesmo risco que uma vulnerabilidade de menor severidade localizada em um gateway exposto à internet com acesso a uma rede industrial crítica.

Contexto importa.

Em 2026, a própria Dragos reforça essa necessidade de priorização. Em sua análise das vulnerabilidades relevantes para ICS em 2025, apenas 2% foram classificadas como prioridade imediata pelo modelo de risco utilizado pela empresa. Além disso, 26% dos advisories analisados não apresentavam patch ou mitigação do fabricante.

Por isso, a priorização precisa considerar conjuntamente fatores como criticidade do ativo, exposição, possibilidade de exploração, função operacional, conectividade, existência de controles compensatórios e consequências de um comprometimento.

O objetivo não é simplesmente corrigir a maior quantidade possível de vulnerabilidades.

É reduzir primeiro os caminhos que representam maior risco para a operação.

Reduzindo os Caminhos de Entrada para OT

Uma estratégia mais madura começa pelo conhecimento da superfície de ataque.

A organização precisa identificar ativos expostos, avaliar quais exposições são realmente necessárias e entender como cada dispositivo se relaciona com os ambientes industriais.

A CISA recomenda uma sequência bastante objetiva: identificar os ativos acessíveis pela internet, avaliar a necessidade dessa exposição, remover ou restringir acessos desnecessários e aplicar controles adicionais aos sistemas que precisam permanecer disponíveis externamente. Entre esses controles estão monitoramento de tráfego, autenticação multifator e utilização de jump hosts para acessos monitorados.

Para OT, essa estratégia também passa por segmentação adequada entre redes corporativas e industriais, gestão de identidades e privilégios e proteção dos mecanismos utilizados para acesso remoto.

Mais do que adicionar camadas indiscriminadamente, a organização precisa entender quais caminhos existem e quais deles realmente deveriam existir.

Da Segurança do Dispositivo à Proteção da Operação

O cenário de 2026 mostra que a superfície de ataque de uma operação industrial não termina no PLC, no HMI ou no sistema supervisório.

Ela pode começar muito antes.

Um roteador instalado em uma unidade remota, um gateway, uma VPN, uma conta utilizada por um fornecedor ou um dispositivo de borda podem representar os primeiros passos de um caminho até sistemas críticos.

É por isso que exposição, conectividade, vulnerabilidades e acesso remoto precisam ser analisados em conjunto.

Para a Cyrex Security, proteger ambientes críticos significa compreender não apenas quais ativos existem dentro da operação, mas também quais caminhos podem ser utilizados para chegar até eles.

A pergunta mais importante deixa de ser:

“Temos dispositivos vulneráveis?”

E passa a ser:

“Quais caminhos um atacante poderia utilizar para chegar até a nossa operação?”