L’inevitabile apertura al mondo IT e alle nuove tecnologie cloud, mobile, IoT e Cyber Physical Systems, da parte delle infrastrutture industriali e operazionali, ha aumentato l’esposizione al rischio cyber. In passato il perimetro di attacco era ristretto “on site” e ad ambienti isolati, oggi invece nel mondo OT (Operational Technology) abbiamo una superficie esposta connessa, piatta, altamente vulnerabile e difficile da monitorare.
Un attacco hacker indirizzato a un sistema industriale o a un’infrastruttura critica può causare importanti danni economici, malfunzionamenti, interruzioni del servizio o della linea di produzione, e/o compromissione della proprietà intellettuale.
Su larga scala, si può anche rischiare la salute delle persone e la sicurezza dell’ambiente.
Indice degli argomenti
Il rischio cyber nelle infrastrutture operazionali
I principali trend, tecnologici e di mercato, che alimentano il rischio cyber per le infrastrutture operazionali sono:
- la convergenza tra IT e OT: le reti OT non sono più separate, le minacce si spostano tra la dimensione digitale IT e quella OT, dove gli asset sono estremamente critici e raramente possono essere aggiornati né ospitare un agente;
- le minacce IoT e OT crescono continuamente, perché crescono e si diversificano i device connessi, di conseguenza aumentano le vulnerabilità, assieme a nuovi e sofisticati vettori di attacco, mentre le aziende dimostrano una limitata capacità di contrastare le minacce in tempo utile, sia rilevando gli APT (Advanced Persistent Threats), ma soprattutto rimediando tardi alle vulnerabilità già note;
- il rischio cyber si trasferisce verso un rischio prestazionale, di continuità operativa e di sicurezza fisica: la priorità resta quella di garantire la disponibilità e integrità del processo produttivo, limitando i problemi operativi, dagli errori di sistema ai tempi di inattività di dispositivi critici, ai problemi di configurazione con i dispositivi di campo, a quelli legati a protocolli e dati non sicuri inviati in formati non conformi.
I fenomeni che amplificano il rischio cyber
Diversi fenomeni amplificano il rischio cyber per le infrastrutture industriali e l’OT. Dicevamo già della crescita in numero e diversità degli apparati connessi, che producono una gran quantità di dati, e l’impennata delle CVEs (Common Vulnerabilities and Exposures), ma nel contempo con l’impossibilità di applicare sistemi di difesa a bordo macchina (agent, sensors, app), a causa di limiti computazionali, architetturali, di software operativo di questi apparati.
Peraltro, i dispositivi e le reti OT non sono stati costruiti pensando alla sicurezza informatica, lo dimostra di fatto il numero crescente di vulnerabilità, la mancanza di sistemi di autenticazione, il limitato ricorso alla crittografia per proteggere dati di comunicazione, e la difficoltà ad applicare e mantenere la segmentazione e la segregazione della rete OT, che risulta generalmente piatta.
Poi la diffusione del cloud, della mobilità e del remote working, in particolare in tempi di pandemia, tutto ciò moltiplica e rende ubiqui i punti di accesso, di interconnessione e di controllo.
Di fatto, e come già accaduto per il mondo IT, anche per l’OT assistiamo ad una progressiva disgregazione del perimetro d’attacco, che va oltre gli apparati di impianto, rompendo i limiti della segregazione, e non da ultimo aumentando la complessità di gestione di un campo allargato.
Inoltre, la sicurezza di tali oggetti è spesso affidata al reparto IT, che ha scarsa se non nulla visibilità sulle attività di introduzione, dismissione, modifica di tali dispositivi da parte del dipartimento OT, e che si concentra sulle problematiche produttive.
E al di là della gestione della sicurezza, uno dei fenomeni che più spesso riscontriamo a monte, è la difficoltà di avere visibilità ed inventario degli asset digitali di impianto e delle comunicazioni IoT/OT.
La già menzionata convergenza IT/OT facilita l’interoperabilità e l’accesso alle infrastrutture operazionali, ma allo stesso tempo rende queste ultime ancor più vulnerabili di fronte ad intrusioni malevole, dato che sui protocolli del mondo IT viaggia una grande quantità di malware.
Strategie per la cyber resilienza degli impianti industriali
Per proteggere la continuità e l’integrità del processo produttivo, e raggiungere un adeguato livello di cyber resilienza delle infrastrutture critiche, occorre presidiare ed agire su più domini, tecnologici e di processo, in una logica – simile alla sicurezza nel mondo IT – di difesa multilivello e per “zone” di intervento.
Queste zone rappresentano altrettante funzionalità core delle moderne architetture di OT cybersecurity, e possono così essere sintetizzate:
- Visibilità e monitoraggio della rete OT, con discovery automatica e ricorrente degli asset di impianto, inclusa la profilazione, la classificazione, ed un inventario continuamente aggiornato dei dispositivi e delle connessioni nei vari livelli e segmenti di rete, sempre più spesso associata all’elenco delle vulnerabilità riscontrate ed evidenziate in base al rischio di venire effettivamente sfruttate. Questa funzione risulta utile sia ai fini della sicurezza, sia per le prestazioni e l’operatività della rete stessa attraverso il mantenimento di una igiene complessiva del sistema.
- Protezione della rete OT, innanzitutto attraverso un disegno architetturale orientato alla segmentazione e segregazione della rete, e la conseguente opportuna dislocazione di firewall, oltre a IPDS specifici per i protocolli industriali, per una maggiore protezione ed un blocco efficace del traffico malevolo o malformato su base signature e pattern di attacco noti. Questo consente l’isolamento ed il controllo del traffico e degli accessi tra differenti segmenti di rete, ovvero la segmentazione della rete DMZ dalla rete IT, e quest’ultima dalla rete OT, con il fine di prevenire e comunque rilevare movimenti laterali indesiderati fra i vari segmenti network. Su un’architettura di rete opportunamente segregata, segmentata, e protetta con funzionalità di base di NGFW/IPDS, è poi possibile innestare ulteriori capacità per l’analisi avanzata del traffico di rete, con sistemi di AI/ML (Artificial Intelligence/Machine Learning), ed applicare algoritmi comportamentali per l’anomaly detection dei flussi, soprattutto per intercettare movimenti laterali ed APT.
- Protezione di server ed endpoint, attraverso tecniche di hardening dei sistemi, device control, application control e whitelisting, protezione da malware, virtual patching se necessario e su sistemi non direttamente aggiornabili. Fino all’adozione di tecnologie agent based di endpoint protection ed EDR specifiche per il mondo industriale, da applicare tipicamente sul livello SCADA/HMI e se si dispone di un ambiente software sui server target sufficientemente aggiornato. Queste soluzioni risultano anche utili per la salvaguardia dell’integrità dei file e delle configurazioni di sistema, e per la protezione del firmware di bordo.
- Accesso remoto sicuro, per autenticare ed autorizzare l’accesso ai sistemi e alle applicazioni di impianto, da parte di utenti sia interni sia esterni all’organizzazione, per garantire un accesso selettivo e controllato, e con il principio del minimo privilegio, per protocollo, utente, applicazione, nodo di destinazione; personale e supporto tecnico.
Infine, assolutamente da non sottovalutare l’importanza dello svolgimento di un OT assessment di processo e tecnologico, e di risk analysis in conformità agli standard di settore, quale ISA99-IEC62443.
