379 sintomas catalogados
Cada sintoma com causa provável e correção, ligado à lição da trilha Indústria que explica o porquê. Descreva o sintoma para filtrar.
| Sintoma | Causa provável | Correção | Lição |
|---|---|---|---|
| Dashboard não carrega no navegador | node-red-dashboard não instalado ou Node-RED não reiniciado | Execute npm install node-red-dashboard e reinicie o Node-RED | Alertas e dashboards: monitoramento em tempo real com Node-R |
| Alertas não aparecem mesmo com valor acima do limite | Função de comparação incorreta ou fluxo não conectado | Revise a lógica do node function e verifique conexões entre nodes | Alertas e dashboards: monitoramento em tempo real com Node-R |
| Notificações MQTT não chegam ao destino | Broker MQTT não configurado ou offline | Verifique o endereço do broker e a conectividade da rede | Alertas e dashboards: monitoramento em tempo real com Node-R |
| Não encontra portas abertas no nmap | Firewall local ou escaneamento incompleto | Verifique regras de firewall e repita o scan com privilégios elevados | Ameaças reais: vetores de ataque em SCADA aberto |
| mbpoll não consegue conectar ao PLC | PLC não está ouvindo na porta padrão ou IP incorreto | Confirme IP e porta do OpenPLC | Ameaças reais: vetores de ataque em SCADA aberto |
| Acesso negado na interface web | Senha alterada ou ACL aplicada | Solicite credenciais corretas ou revise configuração de usuários | Ameaças reais: vetores de ataque em SCADA aberto |
| modbus.log não é gerado | Script Modbus do Zeek não está habilitado | Habilite o script Modbus em /opt/zeek/share/zeek/site/local.zeek e reinicie o Zeek | Análise de incidente: ataque Modbus detectado pelo Zeek |
| Comandos suspeitos não aparecem nos logs | Filtro aplicado incorretamente ou tráfego não capturado | Verifique se o Zeek está ouvindo na interface correta e revise os filtros | Análise de incidente: ataque Modbus detectado pelo Zeek |
| Bloqueio de IP não funciona | Regras do firewall não aplicadas corretamente | Confirme se o iptables está ativo e se a regra foi inserida na cadeia correta | Análise de incidente: ataque Modbus detectado pelo Zeek |
| Arquivo .pcap vazio ou incompleto | Interface de rede errada ou falta de permissões | Verifique interface com 'ip addr' e execute tcpdump como root | Análise forense de incidentes em OT: resposta e recuperação |
| Hash não confere | Arquivo alterado após coleta | Recolher evidência novamente e armazenar em mídia somente leitura | Análise forense de incidentes em OT: resposta e recuperação |
| Dispositivo não responde após restauração | Backup corrompido ou configuração incompleta | Testar backup em ambiente isolado antes de aplicar na produção | Análise forense de incidentes em OT: resposta e recuperação |
| Endpoint REST retorna erro 404 | URL incorreta ou fluxo Node-RED não implantado | Verifique o caminho configurado e implante o fluxo corretamente | APIs abertas e interoperabilidade: REST, MQTT e OPC UA PubSu |
| Mensagens MQTT não chegam ao subscriber | Broker MQTT inacessível ou tópico incorreto | Confirme endereço do broker e nome do tópico | APIs abertas e interoperabilidade: REST, MQTT e OPC UA PubSu |
| OPC UA PubSub não publica dados | Erro na configuração do arquivo YAML | Revise o arquivo conforme a documentação oficial do open62541 | APIs abertas e interoperabilidade: REST, MQTT e OPC UA PubSu |
| Perda de logs durante failover | Configuração incorreta do IP virtual ou sincronização de storage ausente | Revise a configuração do Keepalived e a montagem NFS | Arquitetura de alta disponibilidade para IDS industrial |
| Eventos duplicados no SIEM | Sensores ativos analisando o mesmo tráfego simultaneamente sem deduplicação | Implemente deduplicação no SIEM ou ajuste filtros nos sensores | Arquitetura de alta disponibilidade para IDS industrial |
| Alto uso de CPU em um sensor | Balanceamento de carga ineficiente ou tráfego desbalanceado | Ajuste as regras de distribuição no PF_RING ou Open vSwitch | Arquitetura de alta disponibilidade para IDS industrial |
| Clientes não conseguem conectar após failover | IP virtual não migrou corretamente | Revise configuração do keepalived e permissões de rede | Arquiteturas distribuídas e redundância avançada |
| Dados divergentes entre servidores após failover | Sincronização de arquivos ou banco de dados falhou | Verifique logs do rsync e status da replicação | Arquiteturas distribuídas e redundância avançada |
| HAProxy não remove servidor inativo | Check de saúde mal configurado | Ajuste as opções 'check' no backend do HAProxy | Arquiteturas distribuídas e redundância avançada |
| IDS não inicia após update | Regras corrompidas ou sintaxe inválida | Restaure backup das regras anteriores e valide sintaxe antes de reiniciar | Atualização automatizada de regras Snort e Suricata |
| Logs de update vazios | Permissões incorretas no cron ou no diretório de log | Ajuste permissões e teste execução manual do script | Atualização automatizada de regras Snort e Suricata |
| Regras não são atualizadas | URL da fonte de regras está errada ou bloqueada por firewall | Verifique conectividade e URL no arquivo de configuração | Atualização automatizada de regras Snort e Suricata |
| Variáveis remotas não atualizam | Problema de rede ou endpoint OPC UA incorreto | Verifique conectividade e configuração dos endpoints | Automação distribuída: lógica em múltiplos OpenPLC |
| Deadlock entre PLCs | Dependências circulares na lógica | Reprojete a lógica para evitar espera mútua | Automação distribuída: lógica em múltiplos OpenPLC |
| Latência alta na sincronização | Polling excessivo ou rede sobrecarregada | Ajuste o intervalo de polling ou otimize a rede | Automação distribuída: lógica em múltiplos OpenPLC |
| Comando enviado mas atuador não responde | Endereço IP, porta ou registrador incorretos | Revise a configuração do nó Modbus/OPC UA e consulte a documentação do dispositivo | Automatizando processos industriais com Node-RED |
| Atuador aciona repetidamente sem necessidade | Ausência de lógica condicional ou uso incorreto do nó 'rbe' | Inclua nó 'rbe' ou ajuste as condições no nó 'switch' | Automatizando processos industriais com Node-RED |
| Fluxo trava ou apresenta lentidão | Excesso de mensagens ou loops sem controle | Use nós 'rbe' e 'delay' para filtrar eventos e limitar acionamentos | Automatizando processos industriais com Node-RED |
| Mosquitto fecha conexões inesperadamente | Falta de RAM ou limite de conexões atingido | Aumente a RAM ou ajuste o parâmetro max_connections | Avaliando uso de CPU, RAM e rede: monitoramento preventivo |
| Mensagens atrasam ou não chegam | CPU saturada ou rede congestionada | Reduza a carga, otimize tópicos ou expanda recursos | Avaliando uso de CPU, RAM e rede: monitoramento preventivo |
| Logs mostram 'Out of memory' | RAM insuficiente para o volume de mensagens | Adicione mais memória física ou otimize retenção | Avaliando uso de CPU, RAM e rede: monitoramento preventivo |
| Latência alta nas mensagens | Banda de rede próxima do limite | Verifique switches, aumente banda ou segmente tópicos | Avaliando uso de CPU, RAM e rede: monitoramento preventivo |
| Dashboards do Grafana ficam indisponíveis após falha do banco | Failover do banco não foi concluído ou variável de conexão não foi atualizada. | Verifique scripts de promoção e configure fallback no Grafana. | Balanceamento de carga e redundância em SCADA aberto |
| Clientes OPC UA desconectam frequentemente | Timeouts ou balanceador de carga mal configurado. | Ajuste timeouts e revise configuração do HAProxy. | Balanceamento de carga e redundância em SCADA aberto |
| Lag de replicação muito alto no banco | Rede lenta ou configuração inadequada do PostgreSQL. | Otimize parâmetros de replicação e monitore banda. | Balanceamento de carga e redundância em SCADA aberto |
| Node OPC UA não conecta | Endpoint incorreto ou firewall bloqueando porta 4840 | Verifique o endereço e libere a porta no firewall | Bridge TI/OT: agregando dados industriais a sistemas corpora |
| Dados não aparecem no banco SQL | Erro de autenticação ou query malformada | Reveja usuário, senha e sintaxe da query | Bridge TI/OT: agregando dados industriais a sistemas corpora |
| Node-RED trava ou reinicia | Consumo excessivo de memória por fluxos mal otimizados | Otimize o fluxo e monitore uso de recursos | Bridge TI/OT: agregando dados industriais a sistemas corpora |
| Mensagens não chegam ao broker remoto | Erro de autenticação, firewall bloqueando porta, ou configuração errada de tópicos | Verifique usuário/senha, libere porta 1883 e revise os tópicos na bridge | Broker, clientes e bridges: desenhando fluxos robustos |
| Loop de mensagens entre bridges | Configuração de tópicos bidirecionais sem filtro | Ajuste as direções dos tópicos e use ACLs para evitar loops | Broker, clientes e bridges: desenhando fluxos robustos |
| Broker reinicia inesperadamente | Erro de sintaxe no mosquitto.conf ou parâmetro depreciado | Cheque logs e valide a configuração usando 'mosquitto -c /etc/mosquitto/mosquitto.conf -v' | Broker, clientes e bridges: desenhando fluxos robustos |
| Perda de pacotes críticos | Buffer insuficiente ou QoS mal configurado | Aumente o buffer ou revise as regras de prioridade | Buffer, jitter e priorização de tráfego em redes industriais |
| Latência alta em comandos | Fila de prioridade compartilhada com tráfego não crítico | Separe fluxos críticos em filas exclusivas | Buffer, jitter e priorização de tráfego em redes industriais |
| Jitter elevado | Congestionamento ou múltiplos saltos sem priorização | Reduza hops ou ajuste políticas de QoS | Buffer, jitter e priorização de tráfego em redes industriais |
| Dispositivos Modbus não respondem ou respondem lentamente. | Barramento sobrecarregado ou muitos dispositivos. | Reduza o número de dispositivos por segmento ou aumente a velocidade (se possível). | Capacidade de rede: largura de banda, número de dispositivos |
| Mensagens OPC UA são descartadas ou atrasadas. | Servidor subdimensionado ou excesso de variáveis monitoradas. | Aumente recursos de hardware ou reduza a frequência de atualização. | Capacidade de rede: largura de banda, número de dispositivos |
| Falhas de sincronismo em PROFINET. | Prioridade de tráfego não configurada ou excesso de dispositivos. | Implemente priorização (802.1Q/p) e reduza o número de nós por segmento. | Capacidade de rede: largura de banda, número de dispositivos |
| Comandos legítimos estão sendo bloqueados | Regras de firewall excessivamente restritivas | Revise e ajuste as regras para liberar apenas o necessário | Cibersegurança avançada em OT: zero trust e automação de res |
| Automação não reage a eventos suspeitos | Fluxo Node-RED ou script mal configurado | Verifique lógica e permissões dos scripts | Cibersegurança avançada em OT: zero trust e automação de res |
| Latência alta após segmentação | Inspeção profunda em tempo real em equipamentos limitados | Otimize regras ou mova inspeção para pontos menos críticos | Cibersegurança avançada em OT: zero trust e automação de res |
| Nova regra não gera alertas | Sintaxe incorreta ou condição muito restritiva | Revise a lógica e teste com PCAP conhecido | Ciclo de vida de regras e scripts: atualização, teste e desc |
| Alertas em excesso após atualização | Regra genérica demais | Refine as condições e teste novamente | Ciclo de vida de regras e scripts: atualização, teste e desc |
| Erro ao carregar script Zeek | Sintaxe inválida ou dependência ausente | Consulte a documentação e valide com 'zeek -N' | Ciclo de vida de regras e scripts: atualização, teste e desc |
| Regra removida ainda gera alertas | Arquivo de regras não foi recarregado | Reinicie o serviço IDS | Ciclo de vida de regras e scripts: atualização, teste e desc |
| Mensagens não chegam ao subscriber | Subscriber offline ou QoS inadequado | Verifique se o subscriber está conectado e use QoS 1 ou 2 | Conexão perdida, QoS quebrado e outros clássicos: diagnóstic |
| Mensagens duplicadas | Reconexão antes do PUBACK em QoS 1 | Ajuste o cliente para aguardar PUBACK antes de reconectar | Conexão perdida, QoS quebrado e outros clássicos: diagnóstic |
| Desconexão frequente | Keepalive muito curto ou perda de pacotes | Aumente o keepalive e verifique a rede | Conexão perdida, QoS quebrado e outros clássicos: diagnóstic |
| Mensagens perdidas em QoS 0 | Falha de conexão durante envio | Use QoS 1 para dados críticos | Conexão perdida, QoS quebrado e outros clássicos: diagnóstic |
| Subscriber não recebe mensagens antigas | Não uso de mensagens retidas ou QoS baixo | Configure mensagens retidas e QoS adequado | Conexão perdida, QoS quebrado e outros clássicos: diagnóstic |
| Cliente OPC UA não conecta | Porta 4840 bloqueada ou serviço não iniciado | Libere a porta e verifique se o OpenPLC Runtime está rodando com --opcua | Configurando OPC UA no OpenPLC: expondo variáveis para o SCA |
| Variáveis não aparecem no cliente | Variáveis não declaradas corretamente no ladder | Revise o código ladder e reinicie o runtime | Configurando OPC UA no OpenPLC: expondo variáveis para o SCA |
| Valores não atualizam | Problema no ciclo de scan do PLC | Ajuste o tempo de scan do OpenPLC | Configurando OPC UA no OpenPLC: expondo variáveis para o SCA |
| Erro de autenticação | Cliente OPC UA requer credenciais | Configure autenticação conforme documentação do OpenPLC | Configurando OPC UA no OpenPLC: expondo variáveis para o SCA |
| Cliente não conecta ao servidor OPC UA | Firewall bloqueando porta 4840 ou servidor não iniciado | Verifique firewall e status do processo server_basic | Configurando um servidor Modbus e um OPC UA open source |
| mbpoll retorna timeout | Porta 502 fechada ou mbusd não está rodando | Confirme serviço ativo e porta aberta | Configurando um servidor Modbus e um OPC UA open source |
| Dados lidos inconsistentes | Mapeamento de registradores incorreto | Revise configuração do servidor e endereçamento | Configurando um servidor Modbus e um OPC UA open source |
| Usuário acessa funções indevidas | Permissões de grupo mal configuradas | Revise grupos e permissões com 'id' e 'groups' | Controles técnicos IEC 62443: autenticação, segmentação e mo |
| Tráfego entre segmentos não é bloqueado | Regras de firewall ausentes ou erradas | Revise regras do iptables e VLANs | Controles técnicos IEC 62443: autenticação, segmentação e mo |
| Alertas de incidentes não são gerados | Fluxo do Node-RED mal configurado | Teste manualmente o fluxo e revise condições | Controles técnicos IEC 62443: autenticação, segmentação e mo |
| Dados não atualizam no dashboard | Problema na fonte de dados (OpenPLC ou broker MQTT/OPC UA) | Verifique se o OpenPLC está publicando dados e se o datasource está conectado | Dashboards de operação: visão em tempo real para o chão de f |
| Dashboard lento ou travando | Intervalo de atualização muito baixo ou excesso de widgets | Aumente o intervalo de refresh e reduza o número de painéis simultâneos | Dashboards de operação: visão em tempo real para o chão de f |
| Usuário não consegue acessar o dashboard | Permissões mal configuradas no Grafana | Revise as permissões em Settings > Permissions | Dashboards de operação: visão em tempo real para o chão de f |
| Painel Grafana não mostra dados | Plugin MQTT não instalado ou broker não acessível | Verifique instalação do plugin e conectividade com broker MQTT | Dashboards Grafana: conectando ao Node-RED e visualizando si |
| Valores atrasados ou não atualizam | Intervalo de refresh alto ou Node-RED não está publicando | Reduza o refresh no painel e confira fluxo no Node-RED | Dashboards Grafana: conectando ao Node-RED e visualizando si |
| Alarmes visuais não acendem | Thresholds mal configurados | Revise a configuração de thresholds no painel | Dashboards Grafana: conectando ao Node-RED e visualizando si |
| O playbook falha ao instalar dependências | Nome do pacote incompatível com a distribuição Linux | Ajuste o nome dos pacotes conforme a distribuição (ex: yum vs apt). | Deploy automatizado do Snort com Ansible |
| Snort não inicia após o deploy | Arquivo de configuração inconsistente ou regras corrompidas | Restaure o backup do snort.conf e valide as regras. | Deploy automatizado do Snort com Ansible |
| Erro de permissão ao rodar o playbook | Usuário sem sudo/root nos sensores | Garanta que o usuário Ansible tenha privilégios adequados. | Deploy automatizado do Snort com Ansible |
| Latência crescente entre mestre e escravo Modbus | Mestre sobrecarregado ou muitos escravos no mesmo segmento | Divida a rede, adicione outro mestre ou otimize polling | Desafios de escalabilidade em Modbus, OPC UA e PROFINET |
| Sessões OPC UA caindo frequentemente | Limite de sessões simultâneas atingido ou recursos insuficientes | Aumente maxSessions ou distribua a carga entre servidores | Desafios de escalabilidade em Modbus, OPC UA e PROFINET |
| Perda de sincronização em PROFINET | Switches inadequados ou excesso de dispositivos no mesmo domínio | Use switches industriais e segmente a rede | Desafios de escalabilidade em Modbus, OPC UA e PROFINET |
| Dashboard sem dados ou valores nulos | Falha na coleta ou no mapeamento dos sinais | Revise endereços e tipos de dados em cada camada; cheque logs do Node-RED e do OpenPLC | Desenhando a arquitetura: do sensor ao dashboard SCADA |
| Valores inconsistentes entre campo e dashboard | Escala ou conversão incorreta no mapeamento | Verifique se a faixa e o tipo dos sinais estão corretos em todas as configurações | Desenhando a arquitetura: do sensor ao dashboard SCADA |
| Atraso ou lentidão na atualização dos dados | Intervalo de coleta inadequado ou gargalo na rede | Ajuste a taxa de leitura no Node-RED e monitore o tráfego de rede | Desenhando a arquitetura: do sensor ao dashboard SCADA |
| Logs não aparecem no SIEM | Filebeat ou agente de coleta parado, erro de configuração de caminho ou permissão. | Reinicie o agente, cheque logs de erro e permissões nos diretórios. | Desenhando fluxos de dados: do sensor ao SOC |
| Alertas chegam duplicados | Coleta simultânea do mesmo arquivo por múltiplos agentes. | Garanta que apenas um agente monitore cada fonte de log. | Desenhando fluxos de dados: do sensor ao SOC |
| Canal de logs instável ou lento | Rede saturada ou falta de buffer local. | Implemente buffer, monitore uso de disco e avalie rede dedicada para logs. | Desenhando fluxos de dados: do sensor ao SOC |
| Regras não disparam mesmo com tráfego de teste | Assinaturas não estão ativas ou protocolo não reconhecido | Revise a configuração, ative preprocessadores e teste com tráfego real | Detecção de ataques ICS avançados: o que há de novo em Snort |
| Muitos falsos positivos em protocolos industriais | Regras genéricas demais para o ambiente | Ajuste as regras para os comandos e ativos específicos presentes | Detecção de ataques ICS avançados: o que há de novo em Snort |
| Alto uso de CPU/memória após atualizar regras | Excesso de regras ou hardware insuficiente | Otimize regras, desative assinaturas irrelevantes e avalie upgrade de hardware | Detecção de ataques ICS avançados: o que há de novo em Snort |
| Timeout de leitura Modbus | Endereço IP incorreto ou slave offline | Verifique IP e status do slave; corrija se necessário | Diagnóstico de falhas em Modbus, OPC UA e PROFINET |
| Desconexão frequente OPC UA | Política de segurança incompatível | Ajuste as políticas de segurança no cliente e servidor | Diagnóstico de falhas em Modbus, OPC UA e PROFINET |
| Alarme de dispositivo PROFINET | Problema físico no cabo ou ID errado | Inspecione cabos e IDs de configuração | Diagnóstico de falhas em Modbus, OPC UA e PROFINET |
| OpenPLC não inicia | Porta já em uso ou permissão insuficiente | Libere a porta ou rode como root | Diagnóstico rápido: identificando falhas em OpenPLC e integr |
| Sem dados no Grafana | Datasource mal configurado ou falha de rede | Revise configuração e teste conectividade | Diagnóstico rápido: identificando falhas em OpenPLC e integr |
| Timeout em integração OPC UA | Firewall bloqueando porta | Libere a porta no firewall | Diagnóstico rápido: identificando falhas em OpenPLC e integr |
| Erro de sintaxe ao subir programa | Arquivo corrompido ou mal formatado | Valide e corrija o arquivo antes de subir | Diagnóstico rápido: identificando falhas em OpenPLC e integr |
| Perda de pacotes em capture_loss.log | CPU insuficiente ou disco lento | Adicione mais vCPUs ou troque para SSD | Dimensionando sensores Zeek para tráfego industrial |
| Logs incompletos de protocolos industriais | Portas não configuradas no Zeek | Adicione portas e protocolos no local.zeek | Dimensionando sensores Zeek para tráfego industrial |
| Uso de RAM muito alto | Buffers excessivos ou scripts pesados | Reduza logs detalhados ou otimize scripts | Dimensionando sensores Zeek para tráfego industrial |
| Sensor trava durante replay | I/O de disco saturado | Aumente IOPS ou distribua logs em mais discos | Dimensionando sensores Zeek para tráfego industrial |
| Container consome 100% da CPU | Limite de CPU não definido ou mal configurado | Recrie o container com a flag --cpus corretamente | Docker e virtualização: dimensionando para testes e produção |
| Containers não se comunicam | Rede Docker não atribuída ou nome incorreto | Verifique se todos estão na mesma rede com 'docker network inspect' | Docker e virtualização: dimensionando para testes e produção |
| Erro de falta de memória | Limite de RAM muito baixo para o serviço | Aumente o valor da flag --memory e reinicie o container | Docker e virtualização: dimensionando para testes e produção |
| Alterações sumiram após um erro | Faltou commit ou push das mudanças | Confirme com 'git status' e 'git log'. Faça commit e push regularmente. | Documentação e versionamento: nunca confie só na sua memória |
| Confusão sobre qual versão está em produção | Branches ou tags não padronizadas | Implemente convenção de nomes e use tags para releases. | Documentação e versionamento: nunca confie só na sua memória |
| Documentação desatualizada | Falta de disciplina na atualização | Inclua atualização documental como parte obrigatória do fluxo de trabalho. | Documentação e versionamento: nunca confie só na sua memória |
| Configuração perdida após alteração | Falta de versionamento ou commit não realizado | Recupere a última versão no Git e padronize o processo de commit. | Documentação, versionamento e mudanças em ambientes industri |
| Divergência entre documentação e ambiente real | Documentação desatualizada | Implemente revisão periódica e checklist após mudanças. | Documentação, versionamento e mudanças em ambientes industri |
| Mudanças não autorizadas detectadas | Falta de processo formal de aprovação | Exija registro e aprovação antes de qualquer alteração. | Documentação, versionamento e mudanças em ambientes industri |
| Container não inicia | Porta já em uso ou volume inexistente | Verifique portas com 'netstat -tuln' e crie volumes se necessário | Escalando com Docker: múltiplos ambientes, múltiplos projeto |
| Ambientes de teste e produção se comunicam indevidamente | Containers estão na mesma rede Docker | Separe redes no Compose e reatribua cada serviço | Escalando com Docker: múltiplos ambientes, múltiplos projeto |
| Consumo excessivo de CPU/memória | Limites não definidos ou projeto SCADA mal otimizado | Defina limites no Compose ou revise o código OpenPLC | Escalando com Docker: múltiplos ambientes, múltiplos projeto |
| Node-RED não conecta ao dispositivo Modbus | IP ou porta incorretos, firewall bloqueando | Verifique IP, porta e regras de firewall. | Escolha de protocolos e ferramentas abertas: critérios técni |
| open62541 não compila | Dependências ausentes ou versão do CMake incompatível | Consulte a documentação e instale dependências recomendadas. | Escolha de protocolos e ferramentas abertas: critérios técni |
| Wireshark não captura tráfego | Permissões insuficientes ou interface errada | Execute como root ou selecione a interface correta. | Escolha de protocolos e ferramentas abertas: critérios técni |
| PLC não responde ao ping | Endereço IP incorreto ou conflito de rede | Ajuste o IP e verifique cabeamento | Escolhendo hardware: PLCs compatíveis, gateways e redes |
| Dados inconsistentes no SCADA | Gateway de protocolo mal configurado | Revise configurações do Node-RED ou equivalente | Escolhendo hardware: PLCs compatíveis, gateways e redes |
| Latência alta na atualização de dados | Rede sobrecarregada ou uso de Wi-Fi inadequado | Prefira cabeamento industrial e segmente a rede | Escolhendo hardware: PLCs compatíveis, gateways e redes |
| Ação automática não ocorre após evento crítico | Fluxo do Node-RED mal configurado ou nó switch com lógica errada | Revise a configuração do nó switch e os caminhos do fluxo. | Eventos industriais em tempo real: automação via MQTT e Node |
| Eventos não são registrados no banco | Erro de conexão ou permissão no banco de dados | Verifique credenciais, caminho do arquivo e permissões do banco. | Eventos industriais em tempo real: automação via MQTT e Node |
| Mensagens MQTT não chegam ao Node-RED | Broker Mosquitto offline ou configuração de broker errada no Node-RED | Confirme se o Mosquitto está rodando e revise o endereço do broker no Node-RED. | Eventos industriais em tempo real: automação via MQTT e Node |
| Logs Zeek não aparecem no SIEM | Filebeat não está lendo os arquivos JSON ou Zeek não está gerando JSON | Verifique se o plugin JSON está ativado e se os caminhos no Filebeat estão corretos | Exportando logs Zeek para SIEM open source |
| Campos dos logs aparecem como texto único | SIEM não está interpretando JSON corretamente | Ajuste o pipeline de ingestão para parsear JSON | Exportando logs Zeek para SIEM open source |
| Alto uso de CPU no Zeek após ativar JSON | Conversão para JSON consome mais recursos | Avalie recursos do host e considere separar funções | Exportando logs Zeek para SIEM open source |
| Logs de um sensor não aparecem no Kibana | Configuração incorreta de syslog ou firewall bloqueando porta 514 | Revise suricata.yaml/snort.conf e regras de firewall | Gerenciamento centralizado de múltiplos sensores Snort e Sur |
| Atualizações de regras falham em alguns sensores | Permissões de arquivo ou SSH inválidas | Verifique permissões e conectividade SSH dos sensores | Gerenciamento centralizado de múltiplos sensores Snort e Sur |
| Alertas duplicados no painel | Sensores enviando logs múltiplos por configuração duplicada | Cheque duplicidade de outputs em suricata.yaml/snort.conf | Gerenciamento centralizado de múltiplos sensores Snort e Sur |
| Sensores param após atualização | Regras incompatíveis ou sintaxe inválida | Teste regras em ambiente de staging antes de aplicar em produção | Gerenciamento centralizado de múltiplos sensores Snort e Sur |
| Cliente não consegue se conectar ao servidor | Certificado do cliente não está na lista de confiáveis do servidor | Adicione o certificado do cliente à pasta de certificados confiáveis do servidor | Gerenciamento de dispositivos e permissões em OPC UA |
| Usuário recebe acesso negado ao tentar escrever em variável | Permissão de escrita não atribuída ao perfil do usuário | Revise o atributo UserAccessLevel do nó e os callbacks de autorização | Gerenciamento de dispositivos e permissões em OPC UA |
| Erro de certificado expirado | Certificado X.509 do servidor ou cliente está vencido | Renove o certificado e atualize no servidor/cliente | Gerenciamento de dispositivos e permissões em OPC UA |
| Broker lento ou travando | Excesso de sessões persistentes ou mensagens retidas acumuladas | Ajuste o tempo de expiração e limpe mensagens retidas antigas | Gerenciando milhares de clientes e tópicos: estratégias prát |
| Clientes não recebem mensagens após reconexão | Sessão não persistente ou expirada | Configure sessões persistentes para clientes críticos | Gerenciando milhares de clientes e tópicos: estratégias prát |
| Dificuldade em aplicar ACLs por setor | Tópicos sem convenção clara | Reestruture tópicos conforme área/setor | Gerenciando milhares de clientes e tópicos: estratégias prát |
| Logs antigos não estão sendo removidos | Script de purge não está agendado ou tem permissões insuficientes | Revise o agendamento no cron e as permissões dos scripts | Gestão de logs e retenção: o que guardar e por quanto tempo |
| Logs críticos sumiram antes do prazo | Configuração de purge ou rotação excessivamente agressiva | Ajuste os parâmetros de tempo e revise as categorias de logs | Gestão de logs e retenção: o que guardar e por quanto tempo |
| Falha ao comprimir logs após rotação | Script de pós-rotação mal configurado ou falta de espaço em disco | Teste manualmente o script e monitore o espaço livre | Gestão de logs e retenção: o que guardar e por quanto tempo |
| Zeek não inicia após hardening | Permissões incorretas nos diretórios ou usuário sem acesso | Revise permissões com chown/chmod e logs do systemd | Hardening do Zeek e do host Linux |
| Não há logs de tráfego | Interface de captura sem modo promíscuo ou sem tráfego | Confirme modo promíscuo e conectividade física | Hardening do Zeek e do host Linux |
| Falha ao capturar pacotes sem root | setcap não aplicado corretamente ao binário | Reaplique setcap e reinicie o serviço Zeek | Hardening do Zeek e do host Linux |
| Acesso SSH bloqueado para todos | Configuração restritiva demais no sshd_config | Ajuste AllowUsers e reinicie SSH | Hardening do Zeek e do host Linux |
| Não consigo acessar a interface web após configurar o firewall. | Regra de firewall bloqueando seu IP. | Adicione seu IP à lista de permitidos no firewall. | Hardening: protegendo OpenPLC, Node-RED e Grafana |
| Usuário não consegue autenticar no Node-RED. | Hash da senha mal gerado ou erro no settings.js. | Recrie o hash com bcrypt e revise o arquivo de configuração. | Hardening: protegendo OpenPLC, Node-RED e Grafana |
| Logs não estão sendo gerados. | Permissões de arquivo ou diretório incorretas. | Ajuste permissões com chown/chmod para o usuário do serviço. | Hardening: protegendo OpenPLC, Node-RED e Grafana |
| Clientes não conseguem conectar após certo número | Limite de file descriptors atingido | Ajuste os limites do sistema e reinicie o broker | Horizontal ou vertical: escalando brokers Mosquitto sem dor |
| Mensagens não chegam entre brokers | Bridge mal configurada ou firewall bloqueando porta | Revise configuração da bridge e regras de firewall | Horizontal ou vertical: escalando brokers Mosquitto sem dor |
| Balanceador não distribui conexões igualmente | Configuração inadequada do balanceador ou DNS cache | Ajuste o balanceador e reduza TTL do DNS | Horizontal ou vertical: escalando brokers Mosquitto sem dor |
| Broker reinicia sob carga alta | Falta de recursos (RAM/CPU) ou bug | Aumente recursos ou atualize o Mosquitto | Horizontal ou vertical: escalando brokers Mosquitto sem dor |
| O serviço Mosquitto não inicia | Porta 1883 já em uso ou erro de configuração | Verifique logs com 'sudo journalctl -u mosquitto' e ajuste a configuração ou libere a porta | Instalando Mosquitto: do pacote ao serviço em produção |
| Mensagens não aparecem no teste local | Firewall bloqueando porta ou serviço não iniciado | Confirme se o serviço está ativo e libere a porta 1883 no firewall | Instalando Mosquitto: do pacote ao serviço em produção |
| Erro de permissão ao iniciar Mosquitto | Tentativa de rodar manualmente como usuário não autorizado | Use o serviço systemd, que já executa com usuário apropriado | Instalando Mosquitto: do pacote ao serviço em produção |
| Node-RED não conecta ao OpenPLC via Modbus | Endereço IP ou porta incorretos, ou OpenPLC não está rodando. | Verifique se o OpenPLC está ativo e confirme IP e porta no nó Modbus. | Instalando OpenPLC, Node-RED e Grafana: o stack mínimo viáve |
| Grafana não exibe dados | Fonte de dados mal configurada ou Node-RED não está escrevendo no banco. | Revise configuração da fonte de dados e logs do Node-RED. | Instalando OpenPLC, Node-RED e Grafana: o stack mínimo viáve |
| OpenPLC não inicializa após instalação | Dependências ausentes ou conflito de portas. | Reinstale dependências e verifique se a porta 8080 está livre. | Instalando OpenPLC, Node-RED e Grafana: o stack mínimo viáve |
| Zeek não inicia | Interface de rede incorreta ou falta de permissão de captura | Verifique o nome da interface em node.cfg e permissões do usuário zeek | Instalando Zeek do zero em sistemas Linux industriais |
| Logs não são gravados | Permissões erradas no diretório de logs | Ajuste permissões com chown zeek:zeek /opt/zeek/logs | Instalando Zeek do zero em sistemas Linux industriais |
| Erro de dependência na compilação | Biblioteca ausente ou versão incompatível | Revise a lista de dependências e instale as versões corretas | Instalando Zeek do zero em sistemas Linux industriais |
| Alto uso de CPU após iniciar | Interface de captura com tráfego excessivo ou filtro ausente | Considere aplicar filtros BPF na configuração | Instalando Zeek do zero em sistemas Linux industriais |
| Dados não aparecem no ERP | Falha na autenticação da API ou endpoint incorreto | Revise as credenciais e o endpoint configurados no Node-RED | Integração com ERP: SCADA aberto alimentando sistemas corpor |
| Entradas duplicadas no estoque | Payload sem ID único ou retry sem controle | Inclua um campo de identificação único no JSON e configure o ERP para rejeitar duplicatas | Integração com ERP: SCADA aberto alimentando sistemas corpor |
| Node-RED não recebe dados do MQTT | Broker MQTT fora do ar ou tópico incorreto | Verifique se o broker está rodando e revise o tópico configurado | Integração com ERP: SCADA aberto alimentando sistemas corpor |
| Temperatura não aparece no dashboard | Falha na configuração do endereço Modbus ou conexão com o sensor | Verifique IP, porta e endereço do registrador no node Modbus | Integração de sensores, atuadores e sistemas SCADA abertos |
| Comando para válvula não funciona | NodeId OPC UA incorreto ou endpoint inacessível | Confirme NodeId e endpoint na documentação do servidor OPC UA | Integração de sensores, atuadores e sistemas SCADA abertos |
| Dashboard não carrega | Node-red-dashboard não instalado ou fluxo não implantado | Instale node-red-dashboard e reinicie Node-RED | Integração de sensores, atuadores e sistemas SCADA abertos |
| Perda frequente de pacotes | Cabo com falha ou interferência eletromagnética | Substitua por cabo blindado e afaste de fontes de ruído | Integração física: cabeamento, switches industriais e redund |
| Tempo de convergência RSTP alto | Switches sem suporte a RSTP ou configuração incorreta | Verifique se todos os switches suportam e estão com RSTP habilitado | Integração física: cabeamento, switches industriais e redund |
| CRC errors em portas do switch | Conector mal crimpado ou cabo danificado | Refaça o conector e teste novamente | Integração física: cabeamento, switches industriais e redund |
| Mensagens chegam fora de ordem ou com timestamps inconsistentes | Relógios dos dispositivos OT não sincronizados | Configure NTP em todos os equipamentos OT | Integração OT/IT: superando barreiras práticas |
| Dados críticos não chegam na TI | QoS inadequado ou limitação de tópicos no broker | Ajuste QoS para 1 e revise limites em mosquitto.conf | Integração OT/IT: superando barreiras práticas |
| Desconexões frequentes dos clientes MQTT | Limite de conexões atingido ou problemas de rede | Aumente max_connections e revise a infraestrutura de rede | Integração OT/IT: superando barreiras práticas |
| Dados de um PLC não aparecem no dashboard | Erro de conexão Modbus TCP ou IP incorreto | Verifique IP, porta e status do serviço OpenPLC | Integrando múltiplos OpenPLC: supervisão distribuída |
| Dados atrasados ou inconsistentes | Intervalo de leitura alto ou perda de pacotes na rede | Reduza o intervalo e teste a conectividade de rede | Integrando múltiplos OpenPLC: supervisão distribuída |
| Dashboard mostra 'offline' para um PLC | Timeout de leitura excedido ou PLC desligado | Cheque energia, rede e reinicie o serviço OpenPLC | Integrando múltiplos OpenPLC: supervisão distribuída |
| Dispositivo não aparece no inventário | Pode estar desligado ou em segmento isolado | Verifique conectividade física e configuração de rede | Levantamento de requisitos OT: do chão de fábrica ao data ce |
| Fluxo crítico não aparece na captura | Pode estar usando protocolo ou porta diferente | Ajuste filtros do Wireshark e consulte documentação do dispositivo | Levantamento de requisitos OT: do chão de fábrica ao data ce |
| Tráfego inesperado identificado | Possível dispositivo não autorizado ou configuração errada | Investigue origem e bloqueie se necessário | Levantamento de requisitos OT: do chão de fábrica ao data ce |
| Variável importante não aparece no painel | Faltou mapear o ponto no levantamento de requisitos | Revise a documentação e atualize o SCADA | Levantamento de requisitos: do chão de fábrica ao painel SCA |
| Comando perigoso disponível para todos | Falta de restrição de permissões | Implemente autenticação e perfis de usuário | Levantamento de requisitos: do chão de fábrica ao painel SCA |
| Dados inconsistentes entre campo e SCADA | Erro no endereço ou tipo de variável | Verifique mapeamento e configuração do PLC | Levantamento de requisitos: do chão de fábrica ao painel SCA |
| Logs não aparecem no painel do Grafana | Falha na integração entre coletor de logs e banco de dados | Verifique configuração do agente coletor e do data source no Grafana | Logs, métricas e alertas: monitorando OpenPLC em produção |
| Alertas não disparam no Node-RED | Erro na lógica do fluxo ou permissão de leitura do arquivo de log | Revise o fluxo e ajuste permissões do arquivo de log | Logs, métricas e alertas: monitorando OpenPLC em produção |
| Métricas de CPU sempre zero | Processo OpenPLC não identificado corretamente pelo comando ps | Confirme o nome do processo e ajuste o comando | Logs, métricas e alertas: monitorando OpenPLC em produção |
| Logs não aparecem no arquivo definido | Permissão de escrita insuficiente ou caminho incorreto | Ajuste permissões e revise o caminho em log_dest | Logs, métricas e status: monitorando o Mosquitto em tempo re |
| Comando 'mosquitto_ctrl dynsec listClients' retorna erro | Plugin dynsec não habilitado ou mal configurado | Habilite e configure o dynsec conforme documentação | Logs, métricas e status: monitorando o Mosquitto em tempo re |
| Logs muito volumosos com log_type debug | Nível de log excessivo para produção | Desative log_type debug exceto para troubleshooting | Logs, métricas e status: monitorando o Mosquitto em tempo re |
| Scripts de análise retornam zero | Formato do log ou caminho incorreto | Verifique se o padrão de busca corresponde ao log gerado | Logs, métricas e status: monitorando o Mosquitto em tempo re |
| Ativos não aparecem no inventário | Captura de tráfego insuficiente ou dispositivo isolado | Ajuste o port mirror e aumente o tempo de captura | Mapeando ativos industriais para monitoramento efetivo |
| Dispositivo cai após varredura | Scan ativo agressivo em equipamento sensível | Use apenas métodos passivos ou consulte fabricante | Mapeando ativos industriais para monitoramento efetivo |
| Endereços IP duplicados | Configuração manual ou erro de DHCP | Corrija a configuração de rede e atualize o inventário | Mapeando ativos industriais para monitoramento efetivo |
| Mensagem chega mas campo esperado está ausente | Payload mal formado ou contrato desatualizado | Revise documentação e ajuste publicação | Mapeando requisitos industriais em tópicos e payloads |
| Consumidor não consegue parsear payload | Formato incompatível (ex: JSON esperado, binário enviado) | Padronize formato e atualize consumidores | Mapeando requisitos industriais em tópicos e payloads |
| Tópicos não são encontrados pelo consumidor | Erro de hierarquia ou nomes divergentes | Padronize nomes e revise convenções | Mapeando requisitos industriais em tópicos e payloads |
| Leitura Modbus retorna timeout | Endereço IP ou porta incorretos, firewall bloqueando | Verifique IP, porta 502 e regras de firewall | Modbus, OPC UA e PROFINET: diferenças fundamentais e casos d |
| OPC UA rejeita conexão | Certificado do cliente inválido ou endpoint não configurado | Adicione o certificado do cliente à lista confiável e revise o arquivo de configuração | Modbus, OPC UA e PROFINET: diferenças fundamentais e casos d |
| PROFINET apresenta jitter alto | Interface de rede compartilhada ou sem priorização | Separe o tráfego PROFINET em VLAN dedicada e ative QoS | Modbus, OPC UA e PROFINET: diferenças fundamentais e casos d |
| Mosquitto não inicia após alteração no mosquitto.conf | Erro de sintaxe ou parâmetro desconhecido. | Revise o arquivo, remova linhas não documentadas e consulte logs. | mosquitto.conf: destrinchando as opções críticas para produç |
| Dispositivos não conseguem se conectar | Listener não configurado para o IP correto ou autenticação falhou. | Confirme IP e porta do listener e revise ACLs e senhas. | mosquitto.conf: destrinchando as opções críticas para produç |
| Logs crescem rapidamente e ocupam todo o disco | Log detalhado (debug) habilitado e falta de rotação. | Reduza o nível de log e configure logrotate. | mosquitto.conf: destrinchando as opções críticas para produç |
| Clientes desconectam imediatamente ao tentar conectar | Cliente não suporta MQTT 5.0 ou protocolo não especificado corretamente | Use a flag -V 5 nos clientes; atualize bibliotecas antigas | MQTT 5.0: o que muda para a indústria |
| Properties não aparecem nas mensagens recebidas | Cliente de assinatura não suporta MQTT 5.0 | Atualize o cliente ou use mosquitto_sub com -V 5 | MQTT 5.0: o que muda para a indústria |
| Reason codes não são exibidos nos logs | Log do Mosquitto não está em modo detalhado | Ajuste o nível de log para debug no mosquitto.conf | MQTT 5.0: o que muda para a indústria |
| Mensagens não chegam ao broker remoto | Firewall bloqueando porta 1883 ou erro de endereço | Verifique regras de firewall e IP/porta na configuração | MQTT bridge: conectando múltiplos brokers e redes industriai |
| Mensagens duplicadas | Loops de bridge ou configuração 'both' em ambos os lados | Revise direções dos tópicos e evite 'both' em bridges recíprocas | MQTT bridge: conectando múltiplos brokers e redes industriai |
| Erro de autenticação | Usuário/senha incorretos ou não configurados no broker remoto | Ajuste credenciais e permissões no broker de destino | MQTT bridge: conectando múltiplos brokers e redes industriai |
| Mosquitto não inicia após alteração | Erro de sintaxe no mosquitto.conf | Revise o arquivo e consulte logs para identificar a linha problemática | MQTT bridge: conectando múltiplos brokers e redes industriai |
| Mensagens não chegam ao broker | Gateway ou CLP desconectado, firewall bloqueando porta 1883 | Verifique conectividade de rede e regras de firewall | MQTT em chão de fábrica: aprendizados de projetos industriai |
| Mensagens duplicadas no consumidor | QoS 1 ou 2 com retransmissão por falha de ACK | Ajuste QoS conforme tolerância a duplicidade; implemente deduplicação na aplicação | MQTT em chão de fábrica: aprendizados de projetos industriai |
| Mosquitto travando após dias de operação | Acúmulo de mensagens retidas e filas não consumidas | Limite mensagens retidas e monitore filas; limpe tópicos não utilizados | MQTT em chão de fábrica: aprendizados de projetos industriai |
| Mensagens MQTT chegam com atraso ou não chegam | Latência alta na rede ou perda de pacotes | Teste a rede com ping e ajuste keepalive/QoS | MQTT em redes industriais: latência, disponibilidade e isola |
| Clientes desconectam frequentemente | Keepalive baixo ou instabilidade de link | Aumente o keepalive e verifique qualidade do link | MQTT em redes industriais: latência, disponibilidade e isola |
| Usuários acessam tópicos indevidos | ACL mal configurada | Revise o arquivo de ACL e reinicie o Mosquitto | MQTT em redes industriais: latência, disponibilidade e isola |
| Mensagem não reconhecida pelo consumidor | Mudança não documentada no payload ou versão incompatível | Atualize o consumidor ou mantenha compatibilidade retroativa | Naming, versionamento e contratos: padrões que evitam caos |
| Tópicos duplicados ou conflitantes | Falta de padrão de naming ou versionamento | Reorganize os tópicos conforme padrão e migre produtores/consumidores | Naming, versionamento e contratos: padrões que evitam caos |
| Dificuldade em identificar origem de dados | Nomes de tópicos genéricos ou abreviados | Renomeie tópicos para refletir hierarquia e função | Naming, versionamento e contratos: padrões que evitam caos |
| Fluxo não conecta ao OpenPLC | Endpoint OPC UA incorreto ou firewall bloqueando porta 4840 | Confirme o IP e porta do OpenPLC, ajuste firewall se necessário | Node-RED como integrador: fluxos entre OpenPLC e sistemas ex |
| Variável não aparece no Node-RED | Namespace ou nome da variável incorretos | Consulte a documentação do OpenPLC para os nomes corretos | Node-RED como integrador: fluxos entre OpenPLC e sistemas ex |
| Erro ao gravar no banco de dados | Credenciais ou string de conexão erradas | Revise usuário, senha e permissões do banco | Node-RED como integrador: fluxos entre OpenPLC e sistemas ex |
| Node Modbus Read mostra erro de conexão | IP ou porta do dispositivo Modbus incorretos ou firewall bloqueando | Verifique IP, porta e regras de firewall | Node-RED na prática: conectando Modbus, OPC UA e MQTT |
| Node OPC UA Server não aparece para clientes | Endpoint ou porta incorretos, conflito de portas | Ajuste o endpoint e verifique se a porta 4840 está livre | Node-RED na prática: conectando Modbus, OPC UA e MQTT |
| Mensagens MQTT não chegam ao broker | Broker MQTT não está rodando ou tópico incorreto | Inicie o broker e verifique o nome do tópico | Node-RED na prática: conectando Modbus, OPC UA e MQTT |
| Notificações não chegam | Configuração incorreta de SMTP ou endpoint | Revise as credenciais e URLs dos nós de email ou http request | Node-RED: automação de eventos e integração com sistemas ext |
| Comando não executa no sistema externo | Falha de autenticação ou endpoint inacessível | Teste o endpoint manualmente e ajuste headers/autenticação | Node-RED: automação de eventos e integração com sistemas ext |
| Logs não aparecem | Permissões insuficientes no arquivo ou banco | Garanta que o usuário do Node-RED tem permissão de escrita | Node-RED: automação de eventos e integração com sistemas ext |
| Nó MQTT não conecta | Endereço ou porta do broker incorretos | Verifique o IP, porta e credenciais do broker Mosquitto | Node-RED: orquestrando fluxos entre sensores, CLPs e TI |
| Payload chega vazio no destino | Função de transformação com erro | Revise o código JavaScript do nó de função | Node-RED: orquestrando fluxos entre sensores, CLPs e TI |
| Fluxo não dispara ações | Condições do nó switch não atendidas | Ajuste as condições ou valores esperados | Node-RED: orquestrando fluxos entre sensores, CLPs e TI |
| Node-RED não inicia | Node.js ausente ou versão incompatível | Reinstale Node.js LTS conforme documentação | Node-RED: orquestrando fluxos entre sensores, CLPs e TI |
| Pacotes OPC UA chegam fora do tempo esperado | Configuração incorreta do TSN ou congestionamento na rede | Revise agendamento 802.1Qbv e priorização de tráfego | OPC UA TSN, IIoT e o futuro das redes industriais abertas |
| Dispositivo IIoT não conecta ao servidor OPC UA | Incompatibilidade de versão ou firewall bloqueando porta 4840 | Atualize firmware e revise regras de firewall | OPC UA TSN, IIoT e o futuro das redes industriais abertas |
| Dados críticos vazando para redes externas | Segmentação de VLANs ausente ou mal configurada | Implemente VLANs e firewalls industriais | OPC UA TSN, IIoT e o futuro das redes industriais abertas |
| OpenPLC não inicia após instalação | Dependências ausentes ou permissões insuficientes | Revise logs, instale dependências e execute como root se necessário | Open source no futuro da automação: comunidade, padrões e in |
| Dados não aparecem no Grafana | Configuração incorreta de fonte de dados ou protocolo | Revise configurações de datasource e teste conexão | Open source no futuro da automação: comunidade, padrões e in |
| Erro de conexão Modbus | Porta ou endereço incorretos | Verifique IP, porta e permissões de firewall | Open source no futuro da automação: comunidade, padrões e in |
| Node-RED não consegue ler dados do OpenPLC | Firewall bloqueando porta 502 ou IP incorreto | Verifique regras de firewall e IP do OpenPLC | OpenPLC e IIoT: integração com nuvem e edge computing |
| Dados não chegam ao broker MQTT da nuvem | Configuração de TLS ou autenticação incorreta | Revise certificados e credenciais do broker | OpenPLC e IIoT: integração com nuvem e edge computing |
| Latência alta entre evento no PLC e dado na nuvem | Intervalo de leitura ou publicação muito longo | Reduza o polling interval no Node-RED | OpenPLC e IIoT: integração com nuvem e edge computing |
| Dados não aparecem no Grafana | Middleware não está gravando dados no InfluxDB ou fonte de dados mal configurada | Verifique logs do middleware e teste a consulta no InfluxDB diretamente | OpenPLC, OPC UA e Grafana: o ecossistema livre para supervis |
| Erro de conexão OPC UA | Endpoint ou porta incorretos, firewall bloqueando | Confirme o endpoint OPC UA e libere a porta 4840 no firewall | OpenPLC, OPC UA e Grafana: o ecossistema livre para supervis |
| Variáveis do OpenPLC não atualizam | Problema na lógica do PLC ou falha de leitura dos sensores | Revise o programa do OpenPLC e teste os sensores fisicamente | OpenPLC, OPC UA e Grafana: o ecossistema livre para supervis |
| Dashboard não exibe dados recentes | Problema de ingestão de logs ou delay no Logstash | Cheque se o Zeek está gerando logs e se o Logstash está rodando sem erros. | Painéis práticos: visualizando tráfego industrial no Zeek |
| Campos de protocolo industrial não aparecem | Script do Zeek para o protocolo não está habilitado | Revisar scripts ativos em /opt/zeek/share/zeek/policy/protocols/ | Painéis práticos: visualizando tráfego industrial no Zeek |
| Alertas não disparam | Condições de alerta mal configuradas ou queries erradas | Revise as regras de alerta e os campos utilizados nas queries. | Painéis práticos: visualizando tráfego industrial no Zeek |
| Mensagens antigas continuam aparecendo após atualização de payload | Retenção ativada em tópicos antigos | Limpe as mensagens retidas com payload vazio e flag -r | Planejando resiliência e manutenção em redes MQTT |
| Clientes não detectam desconexão de outros | Last Will não configurado ou QoS inadequado | Revise configuração do last will e ajuste QoS | Planejando resiliência e manutenção em redes MQTT |
| Restore do backup falha | Permissões ou caminhos incorretos | Garanta que os arquivos restaurados tenham permissões corretas e estejam nos diretórios certos | Planejando resiliência e manutenção em redes MQTT |
| IDS não detecta comandos industriais | Regras ou scripts para protocolos industriais não estão habilitados | Ative e teste regras específicas para o protocolo em uso | Por que IDS industriais são diferentes: desafios OT e a IEC |
| Muitos falsos positivos | Regras genéricas demais ou falta de ajuste ao ambiente OT | Refine as regras para o perfil real de tráfego industrial | Por que IDS industriais são diferentes: desafios OT e a IEC |
| Latência ou queda de desempenho na rede | IDS operando em modo inline ou hardware insuficiente | Utilize IDS em modo passivo e dimensione corretamente os recursos | Por que IDS industriais são diferentes: desafios OT e a IEC |
| Clientes não recebem mensagens | Broker Mosquitto não está rodando ou firewall bloqueando porta 1883 | Verifique se o serviço está ativo e a porta liberada | Por que MQTT revolucionou a troca de dados industrial |
| Mensagens duplicadas | Publicação redundante ou configuração errada de QoS | Ajuste a lógica de publicação e revise o QoS | Por que MQTT revolucionou a troca de dados industrial |
| Alta latência na entrega | Rede saturada ou broker sobrecarregado | Otimize a rede e monitore o uso de CPU/memória do broker | Por que MQTT revolucionou a troca de dados industrial |
| Latência alta e variável | Congestionamento por tráfego administrativo | Isolar tráfego industrial em VLAN própria e aplicar QoS | Por que redes industriais não são como redes de escritório: |
| Perda de pacotes Modbus | Switches não priorizam tráfego industrial | Configurar QoS e priorização de portas | Por que redes industriais não são como redes de escritório: |
| Comando crítico chega atrasado | Rede sem determinismo | Rever topologia, priorização e protocolos usados | Por que redes industriais não são como redes de escritório: |
| Não consegue integrar novo protocolo no SCADA proprietário | Limitação comercial ou técnica do fornecedor | Migre para SCADA aberto ou negocie com o fornecedor (com custos e prazos imprevisíveis) | Por que SCADA aberto? Limites dos sistemas proprietários |
| Atualização de driver demora meses | Dependência do ciclo de desenvolvimento do fornecedor | No SCADA aberto, corrija e recompile o driver imediatamente | Por que SCADA aberto? Limites dos sistemas proprietários |
| Custo inesperado para adicionar tags | Modelo de licenciamento proprietário | No SCADA aberto, não há limitação por tag | Por que SCADA aberto? Limites dos sistemas proprietários |
| Q0.0 não liga ao pressionar I0.0 | Contato de realimentação ausente ou erro de endereço | Revise o diagrama ladder e os endereços das variáveis | Primeiro projeto OpenPLC: lógica ladder e simulação |
| Erro de upload no painel web | Arquivo com sintaxe inválida ou incompatibilidade de pinos | Valide a sintaxe no Editor e confira o mapeamento de I/O | Primeiro projeto OpenPLC: lógica ladder e simulação |
| Simulação não responde às mudanças de entrada | PLC não está em execução ou painel de simulação desatualizado | Garanta que o PLC está rodando e recarregue a página | Primeiro projeto OpenPLC: lógica ladder e simulação |
| Mensagem não chega ao assinante | Tópico digitado errado ou broker inacessível | Verifique o nome do tópico e se o Mosquitto está rodando no host correto | Primeiros clientes: publicando e assinando mensagens com Ecl |
| Erro: 'Connection refused' | Broker não está rodando ou porta errada | Confirme se o Mosquitto está ativo e a porta (padrão 1883) está correta | Primeiros clientes: publicando e assinando mensagens com Ecl |
| Erro de autenticação | Broker exige usuário/senha e não foram informados | Adicione os parâmetros de autenticação no comando CLI | Primeiros clientes: publicando e assinando mensagens com Ecl |
| QoS negociado diferente do solicitado | Broker limita o QoS permitido | Consulte a configuração do Mosquitto e ajuste o comando | Primeiros clientes: publicando e assinando mensagens com Ecl |
| Logs não chegam à central | Erro de autenticação TLS ou firewall bloqueando porta 6514 | Revise certificados, permissões e regras de firewall | Protegendo canais de comunicação do IDS |
| Conexão WireGuard não sobe | Chaves incorretas ou endpoint inacessível | Verifique chaves, endereço e conectividade | Protegendo canais de comunicação do IDS |
| AIDE reporta alteração inesperada | Arquivo de log modificado ou ataque detectado | Investigue imediatamente a alteração e valide integridade do sistema | Protegendo canais de comunicação do IDS |
| Mensagens de 'certificate verify failed' no syslog | CA ou certificados inválidos | Recrie certificados e valide a cadeia de confiança | Protegendo canais de comunicação do IDS |
| Dados não aparecem no tópico MQTT | Node 'modbus-read' mal configurado ou broker MQTT offline | Verifique IP, porta e status do broker MQTT; revise configuração do node MODBUS | Protocolos industriais: MODBUS, OPC UA e MQTT na prática |
| OPC UA não expõe variáveis | Node OPC UA Server sem variáveis conectadas ou endpoint bloqueado | Arraste variáveis para o node OPC UA e libere porta no firewall | Protocolos industriais: MODBUS, OPC UA e MQTT na prática |
| Latência alta ou perda de pacotes | Rede congestionada ou polling MODBUS muito agressivo | Ajuste intervalo de polling e monitore uso de banda | Protocolos industriais: MODBUS, OPC UA e MQTT na prática |
| Mensagem não chega ao assinante | Tópico incorreto ou QoS incompatível | Verifique a assinatura e o QoS negociado | QoS, tópicos e payload: os três pilares do MQTT |
| Mensagem duplicada recebida | Uso de QoS 1 sem controle de duplicidade na aplicação | Implemente deduplicação no consumidor | QoS, tópicos e payload: os três pilares do MQTT |
| Payload ilegível ou corrompido | Formato binário não interpretado corretamente | Confirme o formato esperado e teste com 'xxd' ou 'file' | QoS, tópicos e payload: os três pilares do MQTT |
| Mensagens MQTT não chegam ao broker | Pacotes perdidos na rede ou firewall bloqueando | Verifique retransmissões e bloqueios no Wireshark, ajuste firewall | Quando o problema é a rede: debug avançado com tcpdump e Wir |
| Desconexão frequente de clientes | Timeout por perda de keepalive ou MTU incompatível | Ajuste keepalive, teste MTU com ping | Quando o problema é a rede: debug avançado com tcpdump e Wir |
| Mensagens truncadas ou corrompidas | Fragmentação IP mal suportada | Reduza o tamanho do payload MQTT | Quando o problema é a rede: debug avançado com tcpdump e Wir |
| Clientes não conseguem conectar acima de certo número | Limite de file descriptors do sistema atingido | Aumente o nofile em limits.conf e reinicie o Mosquitto | Quantos clientes, tópicos e mensagens cabem no seu broker? |
| Mosquitto fecha inesperadamente durante teste de carga | Falta de memória RAM | Aumente a RAM disponível ou reduza o número de clientes | Quantos clientes, tópicos e mensagens cabem no seu broker? |
| Mensagens com atraso ou perda | CPU saturada ou disco lento (com persistência) | Otimize hardware ou reduza QoS/persistência | Quantos clientes, tópicos e mensagens cabem no seu broker? |
| Dados chegam com atraso ou perdem atualizações | Frequência de polling muito alta ou tráfego acima da capacidade da rede | Reduza a taxa de atualização ou agrupe variáveis em menos pacotes | Quantos pontos, quantos dados? Dimensionando variáveis e ban |
| Alarmes não aparecem no SCADA | Variáveis críticas não priorizadas ou scan rate inadequado | Ajuste a prioridade e a frequência de polling dos alarmes | Quantos pontos, quantos dados? Dimensionando variáveis e ban |
| CPU do servidor SCADA atinge 100% | Excesso de variáveis ou ciclo de scan muito curto | Otimize o agrupamento de variáveis e aumente o scan_time | Quantos pontos, quantos dados? Dimensionando variáveis e ban |
| O PLC reserva não assume após falha do primário | Script de monitoramento ausente ou configuração incorreta | Revise o script de failover e teste manualmente a troca | Recuperação e contingência: mantendo a operação em caso de f |
| Backup não restaura corretamente | Arquivos corrompidos ou backup incompleto | Valide o backup em ambiente de teste e revise o script de backup | Recuperação e contingência: mantendo a operação em caso de f |
| Failover automático ocorre sem necessidade | Timeouts ou parâmetros de heartbeat muito agressivos | Ajuste os parâmetros de monitoramento para evitar falsos positivos | Recuperação e contingência: mantendo a operação em caso de f |
| Cliente OPC UA não conecta ao servidor | Porta 4840 bloqueada ou endpoint não configurado | Abra a porta no firewall e revise a configuração do servidor | Redes industriais em ambientes críticos: exemplos e aprendiz |
| Dados Modbus não chegam ao ERP | Gateway ou fluxo Node-RED mal configurado | Revise os parâmetros de leitura Modbus e integração OPC UA | Redes industriais em ambientes críticos: exemplos e aprendiz |
| Alto uso de CPU no servidor OPC UA | Excesso de requisições simultâneas ou ataques DoS | Implemente limites de conexão e monitore logs | Redes industriais em ambientes críticos: exemplos e aprendiz |
| Evento não dispara ação | Script Zeek não está carregado ou evento mal definido | Confirme inclusão do script no local correto e revise a sintaxe do evento | Resposta automatizada a incidentes OT com scripts Zeek |
| Bloqueio não é efetivo | Comando system() falha por permissão ou path errado | Ajuste permissões do Zeek e paths absolutos dos scripts | Resposta automatizada a incidentes OT com scripts Zeek |
| Alerta dispara em excesso | Condição do evento muito genérica | Refine filtros e use listas de exceção | Resposta automatizada a incidentes OT com scripts Zeek |
| Mensagem retain não é entregue após reinício do broker. | Persistência desativada ou diretório de persistência inacessível. | Ative persistência e verifique permissões do diretório. | Retenção, last will e persistência: dados que sobrevivem a f |
| LWT não é publicado na queda do cliente. | Cliente desconectou corretamente ou não configurou LWT. | Simule falha matando o processo do cliente e revise o código. | Retenção, last will e persistência: dados que sobrevivem a f |
| Mensagens QoS 1/2 são perdidas após reinício. | Sessão não persistente ou persistência desativada. | Habilite sessão persistente no cliente e persistência no Mosquitto. | Retenção, last will e persistência: dados que sobrevivem a f |
| Script não recebe mensagens | Broker MQTT offline ou firewall bloqueando porta 1883 | Verifique status do broker e regras de firewall | Scripts e APIs: automatizando tarefas recorrentes com Paho e |
| Erro de conexão no Python | Parâmetros incorretos de host ou porta | Confirme endereço e porta do broker | Scripts e APIs: automatizando tarefas recorrentes com Paho e |
| Cron não executa script | Permissões ou caminho do script incorretos | Ajuste permissões e use caminhos absolutos | Scripts e APIs: automatizando tarefas recorrentes com Paho e |
| Dispositivos OT não conseguem conectar ao Mosquitto | Firewall bloqueando tráfego ou VLAN mal configurada | Revise regras de firewall e configurações de VLAN | Segurança industrial: isolamento, redes e melhores práticas |
| Muitos acessos negados no log | Dispositivos tentando conectar de segmentos não autorizados | Ajuste regras de firewall ou revise configuração dos dispositivos | Segurança industrial: isolamento, redes e melhores práticas |
| Mosquitto não inicia após atualização | Configuração incompatível com nova versão | Consulte a documentação do Mosquitto para mudanças de versão | Segurança industrial: isolamento, redes e melhores práticas |
| Alertas duplicados no SIEM | Deduplicação ausente ou mal configurada | Revise filtros de fingerprint e agregação no pipeline de ingestão | Snort + Suricata: unificando alertas e respostas |
| Alertas do Snort não aparecem no SIEM | Falha na configuração syslog ou firewall bloqueando porta 514 | Verifique configuração do output syslog e libere a porta no firewall | Snort + Suricata: unificando alertas e respostas |
| Playbook SOAR não aciona resposta | Campos de evento não mapeados corretamente | Ajuste o parser para garantir que todos os campos necessários estejam presentes | Snort + Suricata: unificando alertas e respostas |
| Suricata não gera eve.json | EVE JSON desabilitado na configuração | Habilite o eve-log em suricata.yaml e reinicie o serviço | Snort + Suricata: unificando alertas e respostas |
| Alertas não aparecem mesmo com tráfego suspeito | Regras mal configuradas ou sensor fora do caminho do tráfego | Revise as regras e a topologia dos sensores | Snort e Suricata na detecção de ransomware industrial |
| Muitos falsos positivos | Regras genéricas demais para o ambiente OT | Ajuste as assinaturas para padrões específicos do seu ambiente | Snort e Suricata na detecção de ransomware industrial |
| Logs não chegam ao SIEM | Problemas de integração ou permissões | Verifique configurações de output e conectividade | Snort e Suricata na detecção de ransomware industrial |
| Alertas em excesso para tráfego legítimo | Regras genéricas ou limiares mal configurados | Ajuste ou desative regras, configure limiares adequados | Snort e Suricata: debug prático de falsos positivos |
| Falsos positivos persistem após ajuste | PCAP de teste não representa o tráfego real | Colete novos PCAPs do ambiente real | Snort e Suricata: debug prático de falsos positivos |
| Logs não mostram detalhes suficientes | Modo verbose/debug não ativado | Ative flags de debug conforme a documentação | Snort e Suricata: debug prático de falsos positivos |
| Pacotes sendo descartados pelo IDS | Buffers insuficientes ou threads de captura abaixo do necessário | Aumente ring-size/buffer-size (Suricata) ou buffer_size_mb (Snort) e threads | Snort e Suricata: requisitos de hardware e tuning para OT |
| Alto uso de CPU com latência de análise | Regras excessivas ou threads acima da capacidade do hardware | Reduza regras não essenciais e ajuste número de threads | Snort e Suricata: requisitos de hardware e tuning para OT |
| Sensor para de capturar após burst de tráfego | Buffers do SO ou do IDS saturados | Aumente buffers do Linux e do IDS | Snort e Suricata: requisitos de hardware e tuning para OT |
| Nenhum alerta é gerado | Offset ou conteúdo incorreto na regra | Revise a posição do comando no payload e ajuste offset/depth | Snort: regras customizadas para ameaças OT |
| Alertas demais (falsos positivos) | Regra muito genérica | Inclua mais condições, como IP, porta ou conteúdo adicional | Snort: regras customizadas para ameaças OT |
| Erro ao iniciar o Snort | Sintaxe inválida na regra customizada | Use snort -T para identificar e corrigir o erro | Snort: regras customizadas para ameaças OT |
| Alertas para tráfego legítimo | Comando monitorado faz parte do fluxo normal | Reavalie se a ação é realmente suspeita ou ajuste a regra para contexto | Snort: regras customizadas para ameaças OT |
| Dados de sensores não aparecem no Grafana | Problema de comunicação entre OpenPLC e banco de dados/MQTT | Verifique logs do OpenPLC e conectividade de rede; teste publicação manual de dados. | Supervisão de utilidades: OpenPLC e Grafana em sistemas de e |
| Alarmes não disparam ao simular falha | Erro na lógica ladder ou mapeamento de entradas | Revise o programa ladder e valide os endereços dos sensores. | Supervisão de utilidades: OpenPLC e Grafana em sistemas de e |
| Dashboards lentos ou travando | Excesso de dados ou hardware insuficiente | Ajuste a frequência de coleta e otimize os painéis do Grafana. | Supervisão de utilidades: OpenPLC e Grafana em sistemas de e |
| Dispositivo não consegue publicar em um tópico | Permissão insuficiente na ACL do Mosquitto | Revise o arquivo de ACL e adicione a permissão correta para o usuário | Tendências e padrões emergentes: Sparkplug, Digital Twin e a |
| Conexão MQTT rejeitada após ativar TLS | Certificados inválidos ou caminho incorreto nos arquivos de configuração | Verifique os caminhos dos certificados e se eles correspondem ao broker e clientes | Tendências e padrões emergentes: Sparkplug, Digital Twin e a |
| Dados sensíveis aparecem em análise de tráfego | TLS não está habilitado ou clientes estão usando porta não segura | Habilite TLS e force o uso da porta 8883 para todos os clientes | Tendências e padrões emergentes: Sparkplug, Digital Twin e a |
| Servidor OPC UA não responde após stress | Sobrecarga de CPU ou esgotamento de conexões | Reduza o número de clientes simultâneos e monitore recursos do servidor | Testes de stress e simulação de falhas: preparando-se para o |
| Logs não registram falhas simuladas | Nível de log insuficiente ou configuração incorreta | Ajuste o nível de log e revise a configuração do sistema | Testes de stress e simulação de falhas: preparando-se para o |
| Alarmes não disparam na perda de pacotes | Monitoramento mal configurado ou thresholds inadequados | Reconfigure os thresholds de alarme para eventos críticos | Testes de stress e simulação de falhas: preparando-se para o |
| Wireshark não captura tráfego esperado | Filtro de captura incorreto ou interface errada | Revise filtros e selecione a interface correta no Wireshark | Testes de stress e simulação de falhas: preparando-se para o |
| Alarme não dispara na simulação | Lógica ladder incompleta ou erro de configuração nas entradas simuladas | Revise a lógica e os valores das entradas no Simulation Mode | Testes e validação: simulação antes da produção |
| Valor não aparece no Grafana | Falha na integração Node-RED ou banco de dados | Verifique logs do Node-RED e configuração do datasource no Grafana | Testes e validação: simulação antes da produção |
| Testes automatizados não repetem resultado | Ambiente de teste poluído ou não isolado | Use containers Docker para garantir isolamento e repetibilidade | Testes e validação: simulação antes da produção |
| Mensagens não chegam ao destino final | Erro de ACL ou configuração de tópico | Revise ACLs e nomes de tópicos; teste publicação e assinatura manualmente | Testes, validação e rollout: entregando MQTT sem sustos |
| Broker Mosquitto reinicia durante testes de carga | Limite de recursos do sistema atingido | Aumente recursos ou distribua carga entre múltiplos brokers | Testes, validação e rollout: entregando MQTT sem sustos |
| Latência alta após rollout | Configuração de QoS ou retenção inadequada | Ajuste QoS e flags de retenção conforme a documentação | Testes, validação e rollout: entregando MQTT sem sustos |
| Wireshark não captura pacotes Modbus | Interface de rede errada ou tráfego criptografado | Selecione a interface correta e garanta que o tráfego não esteja encapsulado ou protegido por VPN | Threat modeling em OT: ameaças reais e mitos |
| Node-RED não envia comandos Modbus | Nó Modbus não instalado ou configuração incorreta | Instale o pacote node-red-contrib-modbus e revise endereços IP/porta | Threat modeling em OT: ameaças reais e mitos |
| Dispositivos não respondem a comandos simulados | Firewall bloqueando tráfego ou dispositivo em modo protegido | Revise regras de firewall e permissões de acesso no dispositivo | Threat modeling em OT: ameaças reais e mitos |
| Cliente não conecta via TLS | Arquivo cafile aponta para o certificado errado ou chave/certificado incompatíveis. | Verifique se cafile é o certificado da CA e certfile é o do broker. Cheque permissões dos arquivos. | TLS, autenticação e ACL: blindando seu Mosquitto |
| Usuário recebe 'Connection Refused: Not authorized' | Usuário não está no arquivo de senhas ou senha incorreta. | Confirme usuário e senha no arquivo passwd. Gere novamente se necessário. | TLS, autenticação e ACL: blindando seu Mosquitto |
| Usuário não consegue publicar em tópico permitido | ACL mal configurada ou sintaxe errada. | Revise o arquivo de ACL. Lembre-se de que os tópicos diferenciam maiúsculas/minúsculas. | TLS, autenticação e ACL: blindando seu Mosquitto |
| IDS não recebe tráfego | Configuração errada de SPAN ou TAP desconectado | Revise a configuração do switch ou verifique conexões físicas do TAP | Topologias de monitoramento OT: onde e como captar o tráfego |
| Perda de pacotes no monitoramento | Switch sobrecarregado ou SPAN configurado em excesso | Reduza o número de portas monitoradas ou use TAP | Topologias de monitoramento OT: onde e como captar o tráfego |
| Latência aumentada na rede OT | Monitoramento interferindo no switch | Priorize TAPs ou espelhamento dedicado | Topologias de monitoramento OT: onde e como captar o tráfego |
| Rede não recupera após falha de cabo em anel | Protocolos de recuperação não ativados ou configurados incorretamente | Verifique configuração de MRP/STP nos switches | Topologias industriais: estrela, anel, linha e redundância |
| Perda de comunicação em topologia estrela após falha de switch | Switch central sem redundância | Implante switch redundante ou reconfigure para anel | Topologias industriais: estrela, anel, linha e redundância |
| Latência alta após failover | Switches industriais de baixa performance ou protocolos lentos | Ajuste timers dos protocolos ou troque switches | Topologias industriais: estrela, anel, linha e redundância |
| Equipe não reporta incidentes menores | Cultura de punição ou falta de clareza sobre o que reportar | Reforce comunicação aberta e defina exemplos concretos de incidentes a serem reportados | Treinamento e cultura de segurança em OT |
| Treinamentos são ignorados | Conteúdo pouco relevante ou falta de tempo | Adapte treinamentos para casos reais do ambiente OT local | Treinamento e cultura de segurança em OT |
| Simulações não geram aprendizado | Falta de análise pós-incidente | Implemente reuniões obrigatórias de lições aprendidas após cada simulação | Treinamento e cultura de segurança em OT |
| Alertas demais de um mesmo tipo | Regra genérica demais ou tráfego legítimo não reconhecido | Refine a regra ou crie exceção para tráfego autorizado | Triagem de alertas Snort em ambientes industriais |
| Pacotes não aparecem no Wireshark | Interface errada ou filtro tcpdump incorreto | Confirme interface e IPs usados no comando tcpdump | Triagem de alertas Snort em ambientes industriais |
| Alertas críticos não aparecem | Regras desativadas ou prioridade baixa | Revise e ative regras relevantes, ajuste prioridade no classification.config | Triagem de alertas Snort em ambientes industriais |
| Não aparecem pacotes MQTT na captura | Interface errada ou tráfego criptografado (TLS) | Verifique se está capturando na interface correta e se o tráfego não está em TLS (nesse caso, só metadados são visíveis) | Wireshark na prática: analisando o tráfego MQTT industrial |
| Filtro 'matches' não funciona | Versão do Wireshark não suporta o operador | Atualize o Wireshark ou use filtros alternativos com 'or' | Wireshark na prática: analisando o tráfego MQTT industrial |
| Wireshark não inicia captura automaticamente | Flag '-k' não reconhecida ou conflito de parâmetros | Inicie a captura manualmente pela interface gráfica ou revise os parâmetros conforme https://www.wireshark.org/docs/man-pages/wireshark.html | Wireshark na prática: analisando o tráfego MQTT industrial |
| Não aparece tráfego Modbus | Filtro de captura ou interface errada. | Verifique se está capturando na interface correta e se o filtro está correto. | Wireshark para redes industriais: filtragem, análise e armad |
| Pacotes OPC UA não são reconhecidos | Porta não padrão ou tráfego criptografado. | Confirme a porta usada e se o tráfego está em claro. | Wireshark para redes industriais: filtragem, análise e armad |
| PROFINET não aparece com filtro 'pn_io' | Tráfego em outro protocolo ou porta. | Consulte a documentação para ajustar o filtro. | Wireshark para redes industriais: filtragem, análise e armad |
| Alertas em excesso | Modelo mal calibrado ou features irrelevantes | Ajuste os thresholds do modelo e revise as features extraídas | Zeek e machine learning: possibilidades e limitações atuais |
| Sem alertas de ML | Erro no pipeline de integração (Kafka, socket ou arquivo) | Verifique logs do serviço de inferência e conectividade entre Zeek e o pipeline | Zeek e machine learning: possibilidades e limitações atuais |
| Latência alta nos alertas | Processamento de ML lento ou fila de logs acumulada | Otimize o modelo e aumente recursos do pipeline | Zeek e machine learning: possibilidades e limitações atuais |
| Worker aparece como 'down' no status | Problema de SSH ou falha no serviço Zeek no worker | Teste SSH manualmente e reinicie o serviço Zeek no worker. | Zeek em cluster: distribuindo análise em redes industriais a |
| Logs não chegam ao manager | Permissões de diretório ou falha na sincronização | Verifique permissões e conectividade SSH. | Zeek em cluster: distribuindo análise em redes industriais a |
| Alto uso de CPU em um worker | Carga desbalanceada ou tuning inadequado | Ajuste distribuição de tráfego ou buffers conforme a documentação. | Zeek em cluster: distribuindo análise em redes industriais a |
| Stats.log mostra dropped crescente | Buffers ou CPU insuficientes | Aumentar buffers, otimizar scripts ou alocar mais CPU | Zeek não vê tudo? Diagnóstico de perda de pacotes e logs |
| rx_dropped alto no ethtool | Ring buffer pequeno ou NIC inadequada | Aumentar ring buffer ou trocar placa de rede | Zeek não vê tudo? Diagnóstico de perda de pacotes e logs |
| Eventos ausentes em logs do Zeek após replay | Perda de pacotes durante captura | Rever configuração de buffers e repetir teste | Zeek não vê tudo? Diagnóstico de perda de pacotes e logs |
| IDS não gera alertas para tráfego industrial | Protocolo não suportado nativamente ou falta de regra/script. | Implemente scripts Zeek ou regras Snort/Suricata específicas para o protocolo. | Zeek, Snort e Suricata: o que cada um entrega em OT |
| Muitos falsos positivos | Regras ou scripts genéricos demais. | Refine as condições das regras/scripts e ajuste para o contexto OT. | Zeek, Snort e Suricata: o que cada um entrega em OT |
| Perda de pacotes em tráfego intenso | Hardware subdimensionado ou configuração padrão inadequada. | Ajuste buffers, use hardware dedicado e otimize configurações conforme documentação. | Zeek, Snort e Suricata: o que cada um entrega em OT |
| Logs não são gerados após análise de pcap | Script não carregado ou pcap não contém tráfego do protocolo | Confirme o @load correto no local.zeek e teste com outro pcap | Zeek: scripts para protocolos industriais (Modbus, DNP3, IEC |
| Comandos aparecem incompletos nos logs | Script desatualizado ou incompatível com a versão do Zeek | Atualize o script ou adapte conforme a documentação | Zeek: scripts para protocolos industriais (Modbus, DNP3, IEC |
| Erro de sintaxe ao iniciar Zeek | Script copiado incorretamente ou incompatível | Baixe novamente o script e revise a documentação | Zeek: scripts para protocolos industriais (Modbus, DNP3, IEC |
| Dispositivos de zonas diferentes se comunicam sem restrição | Falta de ACL ou firewall entre as zonas | Implemente e teste ACLs ou firewalls nos pontos de conduíte | Zonas e conduítes segundo a IEC 62443: segmentação para OT |
| Comunicação legítima bloqueada | ACL ou firewall excessivamente restritivo | Revise regras para liberar apenas os protocolos necessários | Zonas e conduítes segundo a IEC 62443: segmentação para OT |
| Dificuldade em mapear fluxos | Falta de visibilidade ou ferramentas de captura | Utilize Wireshark ou espelhamento de porta para identificar tráfego real | Zonas e conduítes segundo a IEC 62443: segmentação para OT |
