Sempre più cyber attacchi agli ambienti OT. Ecco i trend di resilienza

Gli attacchi perpetrati ai danni di sistemi OT (Operational Technology) sono in aumento, poiché questi sistemi sono sempre più connessi alla rete IT (Information Technology) e a Internet.

È doveroso evidenziare che l’interconnessione tra sistemi OT e IT offre indubbi vantaggi in termini di efficienza operativa e analisi dei dati, ma espone – al contempo – le infrastrutture critiche a nuovi rischi e a vulnerabilità.

Pertanto, si tratta sempre più di garantire ecosistemi resilienti dal punto di vista della cyber security, oltre a comprendere le modalità con cui gli attacchi informatici possono colpire o influenzare i sistemi OT.

Che cosa sono gli ambienti OT

Prima di analizzare i diversi attacchi informatici mirati ai sistemi di tecnologia operativa (OT), è fondamentale capire cosa si intende per “OT”.

Gli ambienti OT si distinguono per la loro specificità, determinata da diversi elementi come la varietà di applicazioni e contesti d’uso, la differenza tra gli ecosistemi dei fornitori, e le varie strategie di progettazione dei processi fisici.

Per orientarsi in questa complessità, è utile fare riferimento alla Purdue Enterprise Reference Architecture (PERA), nota anche come il modello Purdue. Vediamo di cosa si tratta.

Fonte immagine – Orange Cyberdefense 2023-2024

Che cos’è il Modello Purdue

La Purdue Enterprise Reference Architecture (PERA) è un modello concettuale sviluppato per aiutare le organizzazioni a comprendere e organizzare la struttura e il funzionamento dei loro sistemi di produzione e operazioni industriali.

Il modello PERA è strutturato in diversi livelli, ciascuno dei quali rappresenta una specifica area di funzionalità, dalla gestione aziendale fino al controllo fisico dei processi, all’interno dell’organizzazione industriale. Tali livelli sono pensati per facilitare l’integrazione tra le operazioni di Information Technology (IT) e quelle di Operational Technology (OT), promuovendo un flusso di informazioni sicuro ed efficace attraverso l’intera organizzazione.

In sintesi, i livelli definiti dalla PERA includono:

Livello 5 – Gestione aziendale, dove si svolgono le attività di pianificazione e decisione strategica.

Livello 4 – Gestione delle operazioni, focalizzata sul controllo della produzione e sulla pianificazione.

Livello 3.5 – la Zona Demilitarizzata (DMZ), che funge da separatore tra IT e OT e, quindi, il perimetro dell’OT.

Livello 3 – Controllo di processo, che riguarda la supervisione e l’ottimizzazione dei processi produttivi.

Livello 2 – Controllo delle operazioni, dove si eseguono il controllo e il monitoraggio diretti delle macchine e dei processi.

Livello 1 – Controllo a livello di campo, che comprende sensori e attuatori che interagiscono direttamente con il processo produttivo.

Livello 0 – Processo fisico, ovvero l’ambiente fisico stesso che viene controllato e monitorato.

La PERA è stata ampiamente adottata come riferimento per lo sviluppo di architetture sicure in ambito industriale, specialmente per quanto riguarda la separazione e la protezione dei diversi strati di comunicazione e controllo all’interno delle organizzazioni.

Gli attacchi OT

Un articolo recentemente pubblicato sul magazine online The Hackernews e intitolato “Making Sense of Operational Technology Attacks: The Past, Present, and Future“, svela che la categorizzazione degli attacchi informatici all’OT non dipende tanto dalle risorse colpite, quanto piuttosto dalle risorse bersaglio e dalle metodologie adottate per l’attacco.

Pur potendo sembrare una sottigliezza, questa differenziazione modifica significativamente il contesto delle minacce che i responsabili della sicurezza devono affrontare, complicando l’applicazione dei controlli IT convenzionali.

L’articolo mette in luce cinque principali tipi di attacchi informatici all’OT, che possono essere classificati in due categorie specifiche. Vediamo quali sono.

Categoria 1 – IT TTPs

Si tratta di attacchi caratterizzati dall’uso esclusivo di tattiche, tecniche e procedure IT (IT Tactics, Techniques, and Procedures – IT TTPs) che riescono, comunque, a influenzare in qualche modo la produzione. Ci sono 3 tipi di attacchi informatici OT che appartengono a questa categoria e, precisamente:

• Tipologia1 a – IT mirata-Può accadere che l’ambiente OT non sia direttamente preso di mira da un attaccante. Ovvero, l’intento dell’aggressore non è quello di attaccare specificamente l’OT della vittima. Tuttavia, si possono verificare effetti indiretti a seguito di un attacco informatico non adeguatamente contenuto, come nel caso dell’estorsione che può, ad esempio, interferire con i sistemi di spedizione e costringere a interrompere la produzione. Questi effetti collaterali sull’OT possono spaziare dalla perdita temporanea di telemetria fino alla completa interruzione della produzione, richiedendo un processo di ripristino lungo e complesso. Pertanto, è quanto mai cruciale riconoscere che qualsiasi attacco informatico all’IT può portare a disconnessioni o interruzioni dell’ambiente OT come parte delle misure di risposta e recupero, provocando conseguenze analoghe.
• Tipologia 1b – IT/OT mirata – Un attaccante potrebbe raggiungere l’ambiente OT accidentalmente o semplicemente perché ne ha la possibilità. Proseguendo IT TTP, l’aggressore potrebbe diffondere un ransomware o sottrarre dati ed esercitare estorsioni. Tuttavia, a causa di una zona demilitarizzata (Demilitarized zone – DMZ) debole o assente, l’attacco potrebbe propagarsi fino a raggiungere le risorse OT nei livelli 2 o 3 del modello Purdue. Tra le risorse OT colpite si possono trovare dispositivi quali workstation di ingegneria, interfacce uomo-macchina (HMI) basate su Windows e altre tecnologie di origine IT. Inoltre, anche se l’aggressore riesce ad avere un impatto diretto sulle risorse OT, solitamente tale azione non è frutto di un’intenzione mirata. Le conseguenze di un attacco di questo tipo possono variare dalla perdita della capacità di configurazione fino alla perdita di controllo sull’ambiente OT stesso.
• Tipologia 1c – OT mirata- Un attaccante che possieda competenze limitate o nulle nel campo specifico dell’OT potrebbe scegliere di puntare deliberatamente alle risorse OT di un’organizzazione, utilizzando IT TTP. L’aggressore, in questo caso, anche se l’obiettivo dell’attacco è volutamente rivolto verso le risorse OT, si limita a quelle risorse per le quali possiede una certa familiarità dal punto di vista IT, senza realmente perseguire un obiettivo specifico legato all’OT o adottare una strategia mirata a impattare direttamente sulla produzione. Le conseguenze di tali azioni, in maniera simile a ciò che accade negli attacchi di “tipologia b”, possono variare dalla perdita di capacità di configurazione fino al controllo totale sull’ambiente OT. La produzione è impattata dagli effetti collaterali o dalle misure di risposta e di recupero messe in atto.

La seconda categoria si focalizza su quegli attacchi informatici a sistemi OT che si distinguono per l’impiego di Tecniche, Tattiche e Procedure orientate verso l’OT (OT TTP), con l’obiettivo principale di colpire direttamente e in maniera significativa sulla produzione. Di seguito le due tipologie

Categoria 2 – OT TTP

• Tipologia 2a – OT mirato e fastidiosi – Gli attacchi informatici OT non sofisticati, talvolta descritti come “attacchi fastidiosi”, si verificano quando un aggressore accede all’OT, superando le difese della zona demilitarizzata (DMZ). In questi casi, l’attaccante fa uso di una conoscenza basilare specifica dell’OT e di tecniche, tattiche e procedure (TTP) elementari, mancando però di precisione o complessità.

A differenza degli attacchi che si limitano a interrompere le risorse basate su Windows – come quelli della categoria 1 – questi possono mirare a risorse OT a livelli più critici del modello Purdue, più prossimi al controllo del processo fisico, come i controllori logici programmabili (PLC) e le unità di telemetria remota (RTU). Le tecniche OT specificamente impiegate non sono particolarmente avanzate e spesso si avvalgono di strumenti di sfruttamento già noti.

L’effetto di tali attacchi informatici OT si manifesta generalmente nell’interruzione del ciclo operativo dei PLC, influenzando la produzione. Tuttavia, questi attacchi, data la loro natura evidente, tendono a scatenare una reazione immediata e un conseguente sforzo di ripristino.

• Tipo 2b: mirato OT, sofisticato – Si tratta di un attacco più sofisticato, ma raro. L’attaccante, esercitando capacità OT avanzate, sferra attacchi informatici precisi e complessi sia nella loro esecuzione sia nell’impatto. Tali attacchi, di fatto, implicano un’ampia comprensione del processo, una tattica specifica di OT per raccogliere informazioni per comprendere l’ambiente fisico e il modo in cui l’OT interagisce con esso.

Gli attaccanti creano un attacco su misura per l’ambiente OT in cui si sono inseriti e lo influenzano in modo molto deliberato. I possibili impatti causati da questo tipo di attacco informatico OT sono quasi illimitati, anche se dipendono fortemente dal processo in esame.

Gli effetti di questi attacchi non sono solitamente immediati o facilmente identificabili, come potrebbe essere un’interruzione del processo, a meno che non si verifichino in modo estremamente grave e irrecuperabile.

Si tratta, piuttosto, di impatti che tendono ad essere più “sottili” e insidiosi, come ad esempio un degrado nascosto del processo o l’esfiltrazione di informazioni dettagliate su di esso per poterlo replicare in un altro contesto.

Attualmente, si osserva una prevalenza degli attacchi di categoria 1, il che potrebbe indirettamente proteggerci dalla temuta catastrofe nei sistemi OT. È doveroso ricordare che molti dei protocolli e dei principi di sicurezza informatica applicati all’OT derivano dall’IT e, di conseguenza, risultano più efficaci nel contrastare gli attacchi di questa prima categoria.

Tuttavia, con l’aumento dell’accessibilità a conoscenze e strumentazioni specifiche e il miglioramento delle competenze degli aggressori nell’individuare obiettivi OT, si profila la concreta possibilità di assistere a un incremento degli attacchi di categoria 2.

Pertanto, l’implementazione di misure di sicurezza informatica OT appositamente studiate per rilevare e prevenire tali attacchi rappresenta un passo fondamentale verso la preparazione a questa eventualità.

Per questo, è essenziale distinguere tra le diverse categorie e tipologie di attacchi per comprendere meglio come e quando gli attacchi di categoria 2 stanno aumentando.

Tra gli eventi più significativi degli ultimi 35 anni di attacchi informatici ai sistemi OT, spicca l’ondata di aggressioni condotte da cybercriminali a partire dal 2020, come si evince dalla figura di seguito e caratterizzata da un marcato incremento degli attacchi basati sulla doppia estorsione,

Fonte immagine – Orange Cyberdefense 2023-2024

L’escalation degli attacchi di doppia estorsione ha trasformato non soltanto la natura generale degli aggressori che prendono di mira i sistemi OT, ma ha anche alterato i profili delle vittime, influenzando diversi settori industriali.

Dall’analisi annuale dei settori interessati, emerge una netta tendenza verso una concentrazione degli attacchi nel settore manifatturiero. Questo spostamento appare coerente con la predisposizione della estorsione informatica a mirare preferibilmente al comparto manifatturiero.

Inoltre, la figura sotto riportata illustra la dinamica degli attacchi informatici ai sistemi OT, organizzando temporalmente gli eventi in intervalli quinquennali.

Partendo dall’anno in cui si è verificato l’attacco, il diagramma traccia un percorso che va dall’identificazione dell’aggressore fino alla specifica categoria e tipologia di attacco informatico OT perpetrato.

Il flusso conclude illustrando il livello più profondo raggiunto all’interno del Modello Purdue in termini di targeting, indicando che l’attacco potrebbe aver influenzato completamente l’OT, toccando anche il Livello 5.

Flussi annuali degli attacchi per tipologia e profondità di attacco vs. modello Purdue

Fonte immagine – Orange Cyberdefense 2023-2024

La rappresentazione evidenzia una marcata crescita degli attacchi nel 2020, anno in cui un gran numero di criminali ha mirato ai sistemi IT impiegando TTP IT, incidendo principalmente sui Livelli 4 e 5 del modello Purdue.

Questo trend sottolinea un significativo mutamento nel panorama degli attacchi informatici ai sistemi OT, soprattutto in seguito all’emergere della doppia estorsione nel 2020, rappresentando un cambio di rotta sia nel modus operandi degli aggressori che nei loro obiettivi.

In effetti, l’analisi dettagliata a partire dal 2020, organizzata per categorie e tipologie, sottolinea l’urgente necessità di affrontare direttamente la problematica della doppia estorsione nel breve termine. Ciò implica un potenziamento della resilienza operativa e della sicurezza nei nostri sistemi OT per proteggerli dagli attacchi mirati ai livelli 4 e 5 del modello Purdue. Benché questa sia una sfida complessa, è fondamentale per la salvaguardia dei nostri sistemi.

Gli attacchi informatici che causano disagi fisici sono in aumento. Il rapporto Waterfall security solutions

Il recente “2024 Threat Report – OT Cyberattacks with physical consequences” pubblicato da Waterfall Security Solutions – azienda specializzata in sistemi di controllo industriale (ICS) – fornisce un’analisi degli attacchi informatici reali diretti alle organizzazioni OT.

Dagli esiti emerge che, attualmente, la figura predominante tra gli aggressori del settore OT è rappresentata dagli hacktivisti. Inoltre, il report rivela che le principali cause di interruzione non derivano da manipolazioni dirette dei sistemi OT, bensì da conseguenze indirette di attacchi informatici focalizzati sull’IT, con il ransomware che figura tra i principali vettori di tali azioni nella maggior parte dei casi, come evidenziato nel paragrafo precedente.

Secondo il rapporto, lo scorso anno il numero degli attacchi con conseguenze fisiche è aumentato di quasi il 20%.

Attacchi IT con conseguenze OT

Il rapporto pubblicato da Waterfall rivela che, negli ultimi quindici anni, solo un quarto degli attacchi informatici che hanno avuto ripercussioni sui sistemi OT sono stati effettuati mirando direttamente alla rete OT stessa.

È interessante notare che la maggior parte di questi attacchi ha avuto conseguenze sui sistemi OT, compromettendo le macchine presenti nella rete IT. Ciò è spesso avvenuto perché le aziende, per precauzione, decidevano di interrompere le operazioni OT per evitare di eseguire processi fisici potenzialmente pericolosi che fossero compromessi anche solo marginalmente.

Per esempio, a seguito di un attacco nel marzo 2023, il produttore tedesco Hahn Group GmbH ha deciso di spegnere tutti i suoi impianti per motivi di sicurezza, impiegando settimane per il ripristino completo dei suoi sistemi. Altri produttori hanno adottato misure simili anche in assenza di un rischio diretto, al fine di limitare i danni ad altri sistemi, sedi e clienti.

In alcuni casi, le operazioni OT sono state sospese anche a causa della dipendenza da infrastrutture IT colpite dal ransomware, quali i sistemi di tracciamento dei container per le spedizioni o la segnaletica per le grandi stazioni ferroviarie.

Un altro episodio importante si è verificato lo scorso gennaio 2023, quando le stampanti della Royal Mail nel Regno Unito sono state hackerate per stampare richieste di riscatto LockBit, causando la sospensione temporanea dei servizi di esportazione della posta a livello nazionale, con un costo di 42 milioni di sterline.

Il report di Waterfall evidenzia che queste interdipendenze tra reti IT e operazioni OT non sono sempre considerate dai professionisti del settore; tuttavia, la compromissione della rete IT può influenzare significativamente le operazioni fisiche, anche quando la rete OT è protetta, se le operazioni OT dipendono da processi gestiti sulla rete IT.

L’infrastruttura idrica nel mirino degli hacker

Nel 2023, oltre la metà degli attacchi informatici che hanno avuto ripercussioni sui sistemi OT si sono concentrati sul settore manifatturiero. Tuttavia, un settore che merita un’attenzione particolare per il suo potenziale rischio è quello del trattamento delle acque. Un esempio significativo si è verificato a fine novembre 2023, quando circa 180 famiglie nei villaggi irlandesi di Binghamstown e Drum hanno sperimentato un’interruzione dell’approvvigionamento idrico per due giorni a causa di un attacco informatico che ha colpito la pressione dell’acqua in una stazione di pompaggio locale. Un attacco attribuito ai Cyber Av3ngers iraniani come parte di una campagna più ampia.

È doveroso evidenziare che, anche se episodi del genere sono ancora poco frequenti, i sistemi di trattamento delle acque rappresentano un obiettivo particolarmente sensibile per gli hacker, data la combinazione di una relativa facilità di accesso e un alto potenziale di impatto.

Negli Stati Uniti, la maggior parte degli impianti di trattamento dell’acqua potabile e dei sistemi di trattamento delle acque reflue è di piccole dimensioni, il che li rende particolarmente vulnerabili. Questi impianti spesso operano con budget limitati, la maggior parte dei quali è destinata alla manutenzione fisica piuttosto che alla sicurezza informatica. Inoltre, non dobbiamo dimenticare che la spinta verso l’automatizzazione dei sistemi idrici, per ottenere una riduzione dei costi operativi, porta con sé nuove vulnerabilità.

Di fatto, l’integrazione dell’automazione richiede inevitabilmente l’utilizzo di sistemi informatici che, a loro volta, aprono la porta a potenziali attacchi cyber.

Inoltre, data la limitata disponibilità di fondi per la sicurezza nel settore delle infrastrutture idriche, l’urgenza di implementare soluzioni automatizzate espone ulteriormente questi sistemi a rischi informatici. Pertanto, i sistemi di trattamento dell’acqua diventano obiettivi sempre più attraenti per gli attacchi cyber, costituendo una crescente minaccia per le comunità, in particolare quelle di dimensioni ridotte.

Gli incidenti OT nel 2023

Nel 2023 sono stati rilevati 68 attacchi con conseguenze fisiche che hanno interessato oltre 500 siti fisici. Ciò rappresenta un aumento del 19% rispetto ai 57 attacchi segnalati nell’anno precedente. La figura sotto riportata mostra che, dopo un decennio (2010-2019) con pochissimi attacchi dalle conseguenze fisiche, osserviamo che tali attacchi stanno ora quasi raddoppiando su base annua.

Fonte immagine – Waterfall 2024 Threat Report – Evoluzione degli incidenti dal 2010

Tipologia di attacchi

Nel 2023, il ransomware ha costituito l’80% degli attacchi in cui l’agente responsabile è stato identificato. Nonostante il numero di attacchi da parte di hacktivist sia rimasto stabile rispetto all’anno precedente, la loro incidenza relativa sugli attacchi complessivamente noti è salita dal 10% al 15%. Questo aumento percentuale è dovuto principalmente al crescente numero di attacchi di cui non si conosce l’autore, probabilmente influenzato dai requisiti di segnalazione imposti dalla SEC (Securities and Exchange Commission degli Stati Uniti).

Inoltre, molte aziende tendono a divulgare solo le informazioni minime richieste per legge, che spesso non includono dettagli sul tipo di aggressore o sulle specifiche dell’attacco oltre agli impatti finanziari.

Di fatto, la gestione delle informazioni relative a un attacco informatico presenta notevoli sfide per le aziende, poiché la divulgazione può portare a rischi legali, mentre il mancato rispetto degli obblighi di segnalazione può risultare in conseguenze legali severe e sanzioni. Questa dinamica non è passata inosservata agli attori delle minacce che, nel 2023, hanno sfruttato le regole di divulgazione a loro vantaggio. Di conseguenza, non sorprende che negli ultimi due anni le organizzazioni abbiano scelto di divulgare solo il minimo indispensabile, tralasciando molti dettagli sugli incidenti.

Il report di Waterfall pone particolare attenzione agli attacchi degli hacktivist. Di fatto, mentre alcuni gruppi criminali dietro al ransomware hanno dichiarato di evitare deliberatamente di provocare danni fisici alle infrastrutture critiche, gli hacktivist sembrano avere l’intento opposto. Generalmente, essi cercano di fare una dichiarazione politica, mirando a conseguenze fisiche sulle infrastrutture critiche come modo per evidenziare le loro cause.

Inoltre, quest’anno, si è anche registrato il primo attacco, dopo diversi anni, da parte di uno State-Nation con conseguenze fisiche, i.e. l’attacco dell’Iran a una piccola cooperativa idrica in Irlanda. Ancora, si sono verificati diversi attacchi alla catena di approvvigionamento, un fenomeno non osservato dal caso NotPetya nel 2017.

Fonte immagine – Waterfall 2024 Threat Report – Attori delle minacce

Le strategie di attacco del ransomware stanno diventando sempre più complesse, con alcuni gruppi di ransomware che ricevono sostegno da attori State-Nation, come la Corea del Nord, che utilizza queste operazioni per finanziare il proprio regime.

Tattiche ransomware e attacchi State-Nation

Il report evidenzia che certi gruppi dispongono ora di risorse adeguate a ottenere strumenti di attacco avanzati, paragonabili a quelli utilizzati dagli State-Nation. Di conseguenza, mentre in passato le organizzazioni potevano ritenere di non essere bersagli rilevanti per attacchi State-Nation, attualmente il ransomware avanzato non seleziona le sue vittime in base alla loro importanza strategica, ma colpisce indistintamente chiunque abbia capacità finanziarie.

Inoltre, le metodologie utilizzate dai criminali del ransomware stanno evolvendo: oltre alla tradizionale crittografia dei dati per richiedere un riscatto, si sta diffondendo la pratica dell’esfiltrazione dei dati.

Inizialmente, i criminali identificavano e sottraevano dati preziosi o sensibili, successivamente criptavano i sistemi che li contenevano, chiedendo denaro sia per non diffondere i dati rubati sia per fornire le chiavi per decriptare i sistemi.

Si trattava di attacchi che potevano causare interruzioni delle operazioni fisiche, sia per la criptazione di sistemi critici sia per la precauzione delle organizzazioni di fronte alla minaccia di criptazione di infrastrutture vitali.

Nel 2023, si è notato un incremento degli attacchi ransomware che si concentrano sul furto di dati sensibili, richiedendo un riscatto per evitare la loro pubblicazione, piuttosto che sulla criptazione dei sistemi. Questo cambiamento potrebbe spiegare l’aumento relativamente modesto (19%) degli incidenti OT rispetto all’anno precedente.

Inoltre, anche le strategie degli State-Nation stanno convergendo con quelle del ransomware, utilizzando strumenti sviluppati per il ransomware nei loro attacchi. Si evidenzia che, anche se questi attacchi non sono inclusi nei dati del report, sono stati segnalati da parte di organizzazioni come Microsoft e SentinelLABS come attacchi credibili a infrastrutture critiche. Questa convergenza tra State-Nation e hacktivist nell’uso di strumenti e di tattiche comuni suggerisce, di fatto, che assisteremo ad un aumento della sofisticatezza e dell’imprevedibilità di questa tipologia di attacchi.

Previsioni degli incidenti OT nel 2024

Dal report si evince che, nonostante l’industria IT abbia rilevato un marcato aumento degli attacchi ransomware nel 2023, i dati specifici sugli incidenti OT mostrano solo un lieve incremento di questi attacchi con conseguenze tangibili sui sistemi operativi.

Inoltre, secondo l’analisi dell’assicuratore americano Corvus, circa 7600 organizzazioni sono state bersaglio di attacchi ransomware nel 2023, segnando un aumento del 70% rispetto all’anno precedente.

Di fatto, se il modesto aumento degli incidenti OT può essere attribuito a un cambiamento nelle strategie di attacco ransomware, è plausibile aspettarsi, nel 2024, un ritorno ai ritmi di crescita storici. Inoltre, si prevede che la percentuale di attori del crimine informatico che si concentra esclusivamente sulla compromissione della confidenzialità si stabilizzerà nei prossimi 12-24 mesi, mentre si assisterà ad un continuo aumento degli attacchi.

Inoltre, la costante presenza di attacchi hacktivist – che hanno rappresentato quasi il 10% di tutti gli attacchi negli ultimi tre anni – insieme agli incidenti attribuiti agli State-Nation e al deterioramento del contesto geopolitico globale, rafforza questa previsione. Pertanto, nonostante l’imprevedibilità dell’ambiente delle minacce, ci si aspetta che gli incidenti politicamente motivati e il ransomware di natura criminale aumentino sia in numero sia in proporzione.

Settori industriali impattati

Nell’ultimo anno, oltre metà degli incidenti ha colpito le industrie sia di produzione sia manifatturiero, provocando principalmente fermi macchina, interruzioni lavorative e/o ritardi nelle consegne.

Interessante riflettere sul fatto che, essendo una minoranza delle operazioni manifatturiere classificate come infrastrutture critiche, è plausibile supporre che queste ultime ricevano livelli di protezione inferiore rispetto ai settori dell’acqua, dell’energia, o del petrolio e del gas. Tale circostanza potrebbe giustificare la frequenza maggiore con cui le operazioni manifatturiere risultano bersaglio di attacchi informatici.

Inoltre, Nonostante molte aziende nel settore Alimentare e delle Bevande siano classificate come parte delle infrastrutture critiche, si è registrata una diminuzione degli effetti fisici negativi su queste nel corso dell’ultimo anno, rispetto all’anno precedente.

Tipologia di attacchi diretti all’OT

L’OT è diventata un bersaglio sempre più frequente per gli attacchi informatici. Questi attacchi possono avere conseguenze fisiche dirette sulle operazioni aziendali, causando interruzioni, danni a infrastrutture critiche, e in alcuni casi, mettendo a rischio la sicurezza umana. È possibile categorizzare gli attacchi alla OT – basandosi sui dati del report che sono stati raccolti e analizzati per il periodo 2010-2023 – in tre tipologie principali. Ovvero:

• Gli attacchi diretti sono quelli in cui è stato trovato malware sui sistemi OT o che hanno impattato direttamente i sistemi OT, o dove attacchi controllati a distanza sono penetrati nei sistemi OT per sabotarli o spegnerli,
• Gli attacchi indiretti sono quelli in cui non c’è stato un impatto diretto sui sistemi OT, ma le operazioni aziendali hanno comunque subito conseguenze fisiche a seguito di un cyberattacco, e
• Gli attacchi sconosciuti sono incidenti in cui non c’erano abbastanza dettagli nel registro pubblico per determinare come l’attacco abbia compromesso le operazioni.

Secondo il report si possono delineare otto modalità principali con cui le operazioni fisiche sono state impattate da attacchi informatici, suddividendo tra impatti diretti e indiretti. Ovvero:

Tipi di Attacco Diretto (n. 5):

1. Su OT – Attacchi locali o remoti dove il software di attacco o l’attacco manuale agiscono direttamente.
2. Scarsa segmentazione – Non c’è evidenza che la rete OT sia distinta dalla rete IT – ovvero, una rete “piatta” – così che qualsiasi attacco all’IT è anche un attacco all’OT.
3. Pivot IT – Un attacco che compromette prima gli asset IT e poi usa l’asset compromesso per attuare il cosiddetto “pivoting” ovvero utilizzare l’asset IT per sferrare l’attacco agli asset OT.
4. Catena di fornitura – Un attore minaccioso inserisce segretamente malware o vulnerabilità nel software o nel firmware per asset dispiegati nelle reti OT.
5. Insider malintenzionato: Un insider usa le proprie credenziali e/o la posizione di privilegio per attaccare i sistemi OT.

Tipi di Attacco Indiretto (n. 3):

1. Misure Preventive Eccessive – Situazioni in cui un attacco colpisce i sistemi IT e, per prevenzione, l’azienda decide di disattivare i sistemi OT. Questa decisione può essere motivata dalla volontà di minimizzare i rischi, conservare le prove per le indagini forensi, su raccomandazione di consulenti esterni, o per altre ragioni.
2. Interdipendenza con l’IT – Casi in cui i sistemi OT o le operazioni fisiche sono strettamente legati ai servizi IT, e un attacco informatico che compromette questi servizi IT influisce negativamente sul funzionamento o sulla disponibilità dei sistemi OT.
3. Compromissione di Fornitori Terzi – L’azienda non è direttamente colpita da un attacco informatico, ma uno dei suoi fornitori lo è. Le conseguenze dell’attacco al fornitore, come interruzioni della produzione, perdita di fiducia, o altri impatti, possono costringere l’azienda a ridurre, posticipare o interrompere le proprie attività produttive.

Interessante notare che, dall’analisi del database di Waterfall – che copre il periodo dal 2010 al 2023 – sulla base delle fonti pubblicamente accessibili, è emerso che le sospensioni preventive dei sistemi OT per un “eccesso di cautela” e la dipendenza dei sistemi OT dalle infrastrutture IT costituiscono le cause principali per cui gli attacchi alle reti IT finiscono per impattare negativamente sulle operazioni.

Inoltre, per quanto riguarda gli attacchi specificamente orientati verso l’OT, denominati Attacchi Diretti all’OT, si è notato che questi sono stati invariabilmente attribuiti a hacktivist o a governi nazionali. Ciò mette in evidenza una netta differenziazione nel contesto degli attacchi informatici, mostrando come le offensive intenzionalmente dirette verso le infrastrutture OT tendano ad essere condotte da soggetti con ampie risorse o con obiettivi politici, a differenza degli attacchi più generici mirati alle reti IT che, seppure dannosi, influenzano le operazioni OT in modo indiretto.

Fonte immagine – Waterfall 2024 Threat Report – Impatti diretti ed indiretti

Le implicazioni per i programmi di cyber security

Una lettura superficiale dei dati sopracitati potrebbe portare a credere che, essendo la maggior parte degli attacchi con impatti fisici rivolti alle reti IT, vi sia la necessità di concentrare maggiormente gli investimenti in cybersecurity sul rafforzamento delle reti IT. Tuttavia, questa interpretazione superficiale non considera diversi fattori critici, quali:

• Le reti IT sono intrinsecamente più esposte a interazioni con Internet rispetto alle reti e ai sistemi OT, rendendole più complesse e onerose da difendere. Ciò risulta particolarmente vero quando si considera la protezione necessaria per infrastrutture critiche, sistemi essenziali per la sicurezza e impianti produttivi, dove le conseguenze di una violazione possono raggiungere cifre astronomiche.
• Una strategia efficace per prevenire le interruzioni, dovute a un “eccesso di cautela”, consiste nel potenziare i programmi di sicurezza dedicati all’OT, soprattutto migliorando le difese al punto di interazione tra IT e OT, fino a rendere estremamente difficile per gli attacchi informatici passare dalle reti IT a quelle OT.
• La soluzione ottimale per evitare gli arresti, causati da una “dipendenza dall’IT”, implica un’accurata comprensione delle dipendenze esistenti e l’adozione di misure atte a eliminarle o a implementare strategie di ingegneria di rete e di gestione degli incidenti che possano minimizzare i tempi di inattività dei componenti IT critici per la continuità operativa.

Nelle aziende industriali, è comune riscontrare programmi di cybersecurity IT molto più avanzati rispetto a quelli dedicati all’OT. È in questo scenario che si assiste a un incremento quasi annuale degli attacchi informatici con conseguenze fisiche. Ne consegue che, concentrare gli sforzi di protezione esclusivamente sull’IT, trascurando l’OT, non farà che aumentare il rischio di incidenti nell’ambito operativo.

Sviluppo di strategie di difesa e normative – Le difese si stanno evolvendo parallelamente all’ambiente delle minacce. Ci sono sviluppi nel campo delle protezioni di livello ingegneristico e le normative di cybersecurity per le infrastrutture industriali critiche stanno diventando più diffuse e rigorose.

In particolare, il report fa riferimento a:

• Cyber-Informed Engineering (CIE) – Il Cyber-Informed Engineering (CIE) introdotto dal Laboratorio Nazionale di Idaho rappresenta un’evoluzione cruciale nel campo della cybersecurity, segnando un punto di svolta dall’introduzione del concetto di “Sicurezza OT”. Il CIE si presenta come un approccio bifronte: da un lato si concentra sulla cybersecurity, con l’obiettivo di formare gli ingegneri sulle minacce informatiche e sulle strategie di difesa; dall’altro si dedica all’ingegneria, proponendo strumenti e metodologie avanzate per la gestione del rischio nelle operazioni fisiche, strumenti che vanno oltre quanto offerto da standard esistenti come ISO 27001 e IEC 62443, o altre linee guida e best practices in materia di cybersecurity.

Nel settembre 2023, è stata pubblicata una Guida all’Implementazione del CIE, che si distingue più come un framework piuttosto che una semplice raccolta di soluzioni o un insieme di conoscenze. Il framework si articola in una serie di domande guida, circa 880, che dovrebbero essere esplorate dai team di ingegneria e di sicurezza delle organizzazioni nel corso della progettazione dei loro programmi di sicurezza OT. Di fatto, l’elenco di domande serve a stimolare una riflessione approfondita su vari aspetti critici della sicurezza, promuovendo così la creazione di sistemi più robusti e consapevoli delle minacce informatiche attuali. Altri sviluppi e risultati relativi al CIE sono attualmente in fase di elaborazione.

• Normative – Gli Stati membri dell’Unione Europea hanno già messo in atto o sono in procinto di implementare nuove normative per le infrastrutture critiche, in linea con la direttiva NIS2 dell’Unione. Negli Stati Uniti, le direttive temporanee di sicurezza emesse dall’Amministrazione per la Sicurezza dei Trasporti (TSA) relative alla sicurezza OT negli oleodotti e nei sistemi ferroviari stanno evolvendo verso regolamenti a lungo termine, mentre altre regolamentazioni proposte dall’Agenzia per la Protezione Ambientale sono state revocate a seguito di decisioni giudiziarie.

A fronte della crescita nel numero, nella gravità e nell’estensione geografica degli attacchi cyber diretti alle infrastrutture critiche, è prevedibile che i governi di tutto il mondo rafforzeranno l’attenzione e lo sviluppo di ulteriori normative. Tali misure regolamentari dovranno assicurare robuste difese nel campo della sicurezza OT, integrando efficacemente le strategie di sicurezza più consolidate nel settore della cybersecurity IT.

Conclusione

Nell’ambito della sicurezza informatica dedicata alla tecnologia operativa (OT), assicurare protezione e resilienza ai sistemi di controllo industriale e alle infrastrutture critiche è di cruciale importanza. Operare in questo settore significa essere in grado di navigare in una “giungla digitale”, dove pericoli e minacce si nascondono ad ogni angolo.

Pertanto, risulta sempre più fondamentale condurre una valutazione del rischio per scoprire vulnerabilità e minacce, ponendo le basi per un ambiente OT più sicuro.

Ovvero si tratta di adottare una strategia di sicurezza informatica per OT attiva e stratificata per contrastare con successo le minacce in continuo sviluppo e preservare l’integrità delle infrastrutture essenziali, attraverso un orientamento sempre maggiore verso strategie basate sul rischio e sulla resilienza, per costruire la necessaria resilienza informatica, quale calibrata sintesi dei principi di gestione del rischio, della continuità operativa e della sicurezza informatica.