In questo articolo esploriamo i progressi adottati dal settore industriale per implementare il principio di difesa in profondità nelle sue reti.

Questo principio si riferisce ai vantaggi della protezione di apparecchiature critiche posizionandole dietro più livelli di difesa, offrendo diverse opportunità per rilevare o fermare un attacco prima che abbia un impatto sugli elementi critici del sistema.

Lo strumento principale per questo scopo è la segmentazione della rete o, nei casi più avanzati, la microsegmentazione. La segmentazione comprende l'insieme di tecniche e apparecchiature utilizzate per suddividere una singola rete in più segmenti (zone) che comunicano solo attraverso canali identificati e protetti (conduit).

La segmentazione aiuta a ridurre il perimetro attaccabile di ciascuna zona, poiché le comunicazioni in entrata e in uscita sono limitate ai punti del perimetro difeso. Con un maggiore controllo sul traffico di rete, è possibile creare architetture più complesse attraverso:

• Segmentazione verticale: Separazione di zone con diversi livelli di privilegio. In genere, viene creata una zona superiore con accesso più generale per utenti o connessioni esterne e una zona inferiore con accesso più limitato.
• Segmentazione orizzontale: Separazione di zone con lo stesso livello di privilegio ma diversi livelli di accesso, generalmente separando le zone in base alla funzionalità.

Questi elementi costitutivi creano le architetture di rete industriali sicure che sono diventate popolari e i nuovi modelli adottati nei sistemi più avanzati.

Modello di segmentazione industriale di base #

Attualmente, le reti industriali variano significativamente a seconda delle dimensioni, dei settori e dei paesi. Tuttavia, laddove la sicurezza informatica è stata considerata nella loro progettazione, inizialmente o retroattivamente, si è osservata una tendenza verso un modello omogeneo, con le necessarie modifiche per soddisfare esigenze specifiche.

Questo modello generale di sicurezza a strati può essere riassunto come una serie di misure che illustrano il principio di difesa in profondità:

1. La rete industriale è separata dalla rete aziendale per ridurre il traffico e l'accesso non necessari alla rete industriale. Il grado di separazione varia a seconda della rete e del livello di sicurezza delle misure di sicurezza.
2. La rete industriale è posizionata al di sotto della rete aziendale. In questo modo, è protetta da un livello a monte, che un aggressore esterno deve superare per raggiungerla.
3. Una rete intermedia, comunemente chiamata Zona Demilitarizzata (DMZ), viene implementata tra le due reti. La DMZ funge da confine di sicurezza tra le reti, fornendo una posizione sicura per i sistemi ausiliari e gestendo il traffico tra i due ambienti.

Questo modello ampiamente utilizzato funge da punto di partenza per la segmentazione industriale. È semplice e adattabile a diversi sistemi, garantendo al contempo un livello di sicurezza accettabile.

Tuttavia, due fattori principali spingono all'adozione di modelli più sofisticati nelle reti avanzate o critiche:

• Integrazione di apparecchiature IIoT, tecnologie IT o tecnologie AI: questi strumenti possono migliorare significativamente la produttività o l'efficienza, ma potrebbero essere in conflitto con i modelli tradizionali, poiché molti richiedono connessioni costanti con reti esterne, reti wireless o accesso dalla rete aziendale.
• Aumento del volume e della complessità delle minacce: con l'esperienza degli aggressori negli ambienti industriali, gli attacchi sono diventati più frequenti e dannosi. Sebbene adattabile, il modello generale può rapidamente diventare inefficiente e costoso quando si aggiungono misure di sicurezza complementari rispetto a una modifica dell'architettura di base.

I nuovi modelli mirano a risolvere questi problemi.

Come implementare la microsegmentazione #

La microsegmentazione, riconosciuta in normative come IEC 62443, prevede l'utilizzo di metodi di segmentazione noti (segmentazione orizzontale e verticale) per creare zone indipendenti all'interno di una rete industriale classica.

Per una microsegmentazione efficace, è fondamentale iniziare identificando le potenziali zone all'interno di una rete industriale. Il modo migliore per iniziare questo processo è con una valutazione del rischio di rete: quali apparecchiature sono critiche per la produzione? Quali comportano un livello di rischio più elevato? Quali presentano esigenze operative specifiche? Rispondere a queste domande aiuta a identificare organicamente gruppi di apparecchiature con caratteristiche simili.

Esempi di zone comuni nelle reti microsegmentate includono:

Zone di controllo: Contengono apparecchiature essenziali per il controllo del processo produttivo, con il massimo livello di sicurezza e accesso limitato. È consigliabile definire più zone di controllo indipendenti, ove possibile. Ad esempio, separare i sistemi di controllo per linee di produzione indipendenti in uno stabilimento di produzione può impedire che un incidente interrompa la produzione totale o parziale.
Zone di monitoraggio: Apparecchiature domestiche che raccolgono dati di processi industriali senza capacità di controllo. La loro criticità dipende dai dati che gestiscono e dai destinatari previsti. È richiesta particolare attenzione alle apparecchiature che trasmettono dati di processi industriali al di fuori della rete, poiché intrinsecamente introducono rischi per la riservatezza e potenziali vettori di intrusione.
Zone di sicurezza: Apparecchiature per la protezione dell'host e la prevenzione degli incidenti. Questi sistemi in genere funzionano in modo isolato dalle reti esterne, ma la loro disponibilità è fondamentale. Inserirli in una rete industriale generica li espone a rischi inutili senza offrire vantaggi operativi.
Zone di conformità: Dipendono dal settore, dalle dimensioni e dalla cultura aziendale, spesso monitorando dati come emissioni, KPI di produzione, scorte, stato delle macchine e consumo energetico. Questi sistemi richiedono in genere elevata disponibilità e comunicazioni con reti aziendali ed esterne.
Zone aggiuntive:

• Zone di hosting dei dati: server, unità di archiviazione e database, che vanno dai dati di produzione a cui si accede costantemente all'archiviazione a freddo per i backup.
• Zone di servizi ausiliari: in genere server centrali per servizi interzona, come posta elettronica, antivirus, rilevamento delle risorse e gestione delle autorizzazioni.
• Zone di test: ambienti sicuri per convalidare le modifiche prima di applicarle agli ambienti live.
• Zone di ridondanza: per apparecchiature che normalmente non partecipano alla produzione ma offrono operazioni alternative se i sistemi primari sono disabilitati.

Le combinazioni di queste zone sono pressoché infinite e possono essere adattate a ciascun ambiente industriale. Una zona può essere piccola quanto un singolo dispositivo isolato o grande quanto necessario, consentendo combinazioni diverse, ad esempio l'implementazione di una specifica zona di monitoraggio all'interno di una zona di controllo per creare un canale dati senza accedere direttamente alla zona di controllo.

Tuttavia, implementare tali architetture utilizzando tecnologie tradizionali diventa rapidamente impraticabile. Moltiplicare il numero di zone aumenta il numero di dispositivi e confini di rete da acquistare, implementare e gestire. Pertanto, è essenziale comprendere le tecnologie che supportano questa segmentazione avanzata.

Tecnologie di microsegmentazione #

Diverse famiglie di tecnologie di rete si sono evolute per supportare la microsegmentazione, tra cui alcuni esempi chiave:

• Firewall OT: Tipicamente montati su rack per numerose connessioni, i recenti modelli di firewall sono miniaturizzati per l'installazione in quadri elettrici, spazi ristretti o condizioni difficili. Questi dispositivi consentono solitamente la gestione centralizzata da una console principale per controllare più punti di confine con regole granulari per ciascun caso.
• Managed Switches:Sebbene siano disponibili switch gestiti in grado di creare reti segmentate e controllo del traffico, la microsegmentazione ha favorito lo sviluppo di modelli più flessibili in termini di dimensioni, capacità e caratteristiche di sicurezza.
• EDR (rilevamento e risposta degli endpoint): Simili ai firewall OT, ma con funzioni di sicurezza aggiuntive. Gli EDR possono includere antivirus, whitelisting, protezione DoS e funzionalità IDS/HIDS, fornendo soluzioni complete per ambienti in cui le misure di sicurezza tradizionali sono impraticabili.
• Gateway IoT: Simili ai gateway tradizionali, questi dispositivi centralizzano e distribuiscono il traffico del protocollo IIoT, semplificandone la gestione e la segmentazione. I modelli progettati in ambito industriale spesso aggiungono funzionalità di sicurezza come crittografia, controllo degli accessi, bilanciamento del carico e implementazione in condizioni complesse.

Come si può osservare, la maggior parte delle nuove tecnologie di microsegmentazione sono versioni aggiornate dei dispositivi attualmente utilizzati per la segmentazione tradizionale, progettate per semplificare la gestione della rete, adattandosi nel contempo alle esigenze specifiche delle reti industriali.

Conclusioni #

La microsegmentazione sta diventando sempre più uno strumento essenziale per la protezione dei sistemi di controllo industriale a causa di diversi fattori:

• Le nuove tecnologie facilitano l'implementazione.
• La gestione della rete è più semplice quando è progettata fin dall'inizio con principi di difesa approfondita.
• La crescente varietà di apparecchiature e tecnologie nelle reti industriali introduce molteplici esigenze di connettività.
• Una maggiore interconnettività tra i sistemi industriali aumenta il traffico e gli utenti da gestire.

Questi fattori rendono la microsegmentazione sempre più consigliata per tutti i tipi di reti industriali. Tuttavia, anche le reti più piccole o meno avanzate possono beneficiare dei suoi vantaggi in termini di sicurezza informatica, come:

• Controllo del traffico proveniente da apparecchiature vulnerabili o specifiche dietro firewall indipendenti.
• Separare le apparecchiature accessibili ai provider e alle entità esterne dal resto della rete con due reti di controllo indipendenti.
• Isolamento delle apparecchiature di sicurezza tramite intercapedini d'aria.

Pertanto, è consigliabile prendere in considerazione l'implementazione di pratiche di microsegmentazione quando si progettano nuove reti industriali o quando si apportano modifiche o si introducono nuove apparecchiature in reti esistenti.