La Cyber Security industriale dal punto di vista dell’End-User

Negli ultimi dieci anni i sistemi di automazione sono stati protagonisti di profonde trasformazioni: l’avvento di tecnologie “smart” e la necessità di avere sistemi sempre più connessi ed interconnessi ha fatto sì che, anche nel mondo industriale, si iniziasse a parlare di cyber security.

 

Le evoluzioni tecniche spesso si muovono di pari passo a rivoluzioni “culturali” che ci costringono e rimettere in discussione prassi e modi di pensare in uso da decenni.

Con l’avvento della cyber security, il mondo dell’automazione, da sempre molto tradizionalista e fedele al motto “se funziona così, non lo cambiare”, ha dovuto rivoluzionare i propri punti di vista e imparare a muoversi su territori nuovi.

Chi i sistemi li usa e li gestisce tutti i giorni, gli end-user, di fronte a queste nuove problematiche, si trovano talvolta impreparati.
Occorre quindi trovare soluzioni efficaci che non stravolgano quello che si ha e quello che si fa.

 

Necessità di fare presto, fare bene e spendere poco. Come?

 

Il tutto parte da una corretta visione del proprio contesto e da una buona organizzazione. La cyber security non è fatta di sole misure tecniche; installare un antivirus o segmentare una rete con un firewall sono solo gli atti finali di un processo molto più articolato.

La norma IEC 62443 propone un approccio ciclico per la definizione e l’implementazione di un sistema di gestione della cyber security, che trova il suo inizio nel processo di analisi del rischio.

In particolare, per avere un quadro chiaro di dove si addensino rischi e criticità all’interno di un’organizzazione, occorre prevedere un’analisi del rischio di alto livello, come prescritto dagli standard IEC 62443.

La domanda che sorge spontanea è: cos’è, in questo contesto, il rischio? Nell’ottica della cyber security possiamo definirlo come la possibilità che una minaccia possa causare delle conseguenze negative, sfruttando le vulnerabilità di un sistema.

In termini “matematici”:

Rischio = Minaccia x Vulnerabilità x Conseguenze

 

Il primo passo di questo processo è l’elaborazione di un “business rationale”, che consiste nell’esprimere in termini oggettivi le possibili conseguenze che un attacco informatico può avere per un business, per quanto riguarda, per esempio, gli impatti su continuità operativa, sicurezza, ambiente o qualità dei prodotti.

Le conseguenze per la business continuity possono essere espresse nei termini di:

• Migliaia di euro persi in funzione del tempo di fermo impianto;
• Impatti sulla sicurezza in funzione dell’entità delle lesioni riportate dalle persone o del numero di potenziali decessi;
• Tempo necessario (giorni, mesi, anni), quando si parla dell’ambiente, per il recupero dei danni;
• Tempo stimato in cui potrebbe essere compromessa la produzione prima del rilevamento di non conformità.

Rappresentare gli impatti in questi termini è di fondamentale importanza, soprattutto qualora si voglia coinvolgere il top management nei processi di definizione ed implementazione di un piano di cyber security, perché permette di vedere a colpo d’occhio l’entità massima delle conseguenze di un attacco informatico.

 

Una volta definite le conseguenze, come si procede?

 

Quello che occorre analizzare è il contesto, per definire quali sono gli “asset” più critici e maggiormente impattanti; un’azienda manifatturiera potrebbe considerare come asset critici le diverse linee produttive presenti in uno stabilimento.

A ciascuna delle linee, sulla base dei criteri definiti nel business rationale, sarà possibile assegnare dei punteggi di criticità, in funzione degli scenari incidentali derivanti da compromissioni della sicurezza informatica. La criticità complessiva, nel corso dell’analisi di rischio di alto livello, sarà quella definita dal “caso peggiore”.

Una volta note le criticità si dovranno poi analizzare le minacce credibili a cui il contesto in esame è soggetto.
Per individuarle ci si può affidare a dati storici, ai report emessi dalle authority internazionali che si occupano di Cyber Security, come ad esempio l’ENISA (Agenzia dell’ Unione Europea per la Cybersecurity), oppure all’esperienza e alla conoscenza delle specificità legate ai sistemi in esame.

Mentre nel caso di infrastrutture critiche come sistemi di distribuzione di acqua ed energia elettrica, le minacce possono venire dal terrorismo o da nazioni rivali, soprattutto in periodi di alte tensioni geopolitiche, per quanto riguarda settori industriali in cui ci sia forte concorrenza o in cui sia determinante la reputazione dei brand, non si possono escludere minacce derivanti da competitor sleali.

 

Nessuno escluso: molte minacce alla cyber security sono comuni a tutti

 

Purtroppo le organizzazioni criminali di hacker che agiscono a scopo di lucro hanno mostrato, negli ultimi anni, tutto il loro potenziale distruttivo. I ransomware sono ormai una minaccia concreta per qualunque organizzazione ed, in particolare, per chi possiede sistemi obsoleti e non aggiornati, come spesso avviene nel mondo industriale. Immancabili, poi, sono le minacce non intenzionali, spesso rappresentate da dipendenti che compromettono i sistemi agendo in buona fede e con poca consapevolezza. Anche le minacce, in sede di analisi, possono essere classificate con un punteggio.

La combinazione di conseguenze e minacce ci permette di definire già un primo profilo di rischio per i singoli asset e di assegnare loro un Security Level, come previsto dallo standard IEC 62443.

I Security Level sono una classificazione basata su quattro livelli, che lo standard ci offre per definire in modo schematico il livello di contromisure da applicare ad un sistema ed i loro requisiti funzionali.

Ultimo step dell’analisi consiste nel valutare in modo generale le contromisure già presenti e lo stato macroscopico delle vulnerabilità sia legate ai sistemi che all’organizzazione. In questa ultima fase si valuteranno e verranno classificati con appositi coefficienti aspetti quali l’obsolescenza dei sistemi operativi e le politiche di patching e backup, la segmentazione delle reti, l’uso dei Wi-Fi e aspetti prettamente organizzativi quali l’efficacia delle attività di training per il personale e la presenza di efficaci piani di recovery e di incident response.

Quest’ultima fase permette di definire il profilo di rischio generale dell’impianto e di individuare in prima battuta i sistemi e le aree su cui occorre focalizzarsi nell’ottica di massimizzare la protezione di un sistema.

 

Vediamo un esempio concreto di un caso realmente accaduto

 

 

La figura rappresenta la rete di un impianto manifatturiero prima dell’ implementazione di contromisure di cyber security.

Server Historian e stazioni di ingegneria EWS delle varie linee produttive dello stabilimento, qui denominate “Cell Area”, sono attestate su una rete “piatta”, non segmentata e connessa con la rete IT di stabilimento, dalla quale personale degli uffici tecnici effettua connessioni remote verso gli impianti.

Alcune connessioni remote vengono effettuate attraverso la VPN di impianto, prevalentemente a scopo di monitoraggio e manutenzione.

Le criticità emerse in fase di analisi su questa rete sono la scarsa segmentazione, la mancanza di una segregazione tra la parte IT e la parte OT e l’assenza di una DMZ dedicata esclusivamente ai servizi OT.

 

 

Sulla base di queste considerazioni elaboriamo una proposta di revisione di architettura della rete che garantisca una migliore segmentazione e una segregazione meglio definita tra i vari ambiti, ispirata al modello di riferimento Purdue. In dettaglio si nota come le “cell area” siano state attestate ciascuna su una VLAN dedicata (Rete OT) e che sia stato previsto un firewall per ciascuna cella che ne consenta la segregazione. Il firewall di cella definisce poi una DMZ locale su cui vengono attestati i servizi che hanno necessità di essere acceduti dalle reti ai livelli superiori.

Per separare l’ ambito OT da quello IT è stato poi previsto un firewall principale sul quale è stata creata anche una DMZ dedicata all’ OT, che contiene i servizi comuni a tutte le linee, quali l’historian centralizzato, il database dei dati di produzione, un file server opportunamente protetto e il server dedicato agli aggiornamenti dei sistemi operativi Windows presenti su alcune macchine dei perimetri OT.

Quali soluzioni potrebbero essere utilizzate per mettere in pratica questa proposta architetturale?

 

L’idea di TXOne

 

La qualità della produzione italiana è nota in tutto il mondo e molti sono i competitors diretti o gli stati nazionali che avrebbero interesse a rallentare o alterare la qualità dei prodotti nazionali o danneggiarne le infrastrutture critiche.

È dunque indispensabile considerare l’industrial cybersecurity non come un costo obbligatorio ma come un abilitatore della digital transformation. Perdere giornate di produzione è un rischio enorme per l’azienda e, come detto, questo rischio va ridotto o eliminato con azioni preventive.

 

Come ci si può difendere da un attacco Ransomware?

Il top management dovrebbe pretendere che ci si organizzi in modo che la produzione o l’erogazione di servizi non si fermi mai, ma non è sempre così: si pensa che l’attacco cyber riguardi “gli altri” quando invece la realtà indica proprio il contrario, tutte le aziende possono essere attaccate (ma non sappiamo quando), quindi un approccio basato sulla prevenzione è ormai obbligatorio.

L’obiettivo di TXOne Networks è quello di difendere le infrastrutture critiche, la produzione industriale evitando il fermo impianto, e i segmenti verticali dell’industria dalle minacce complesse e volatili in ambito di cybersecurity.

 

TXOne Networks

 

Fondata nel 2019 come joint venture tra Trend Micro, leader mondiale della cybersecurity, e Moxa, leader londiale della connettività industriale, TXOne Networks si è trasformata in un marchio a sé stante con un focus sulle soluzioni di sicurezza informatica adattiva ICS/IIoT per l’ambiente OT (Operational Technology).

In qualità di pioniere globale dell’approccio “OT Zero Trust Cybersecurity” per preservare l’integrità delle risorse critiche e delle tecnologie operative (OT), TXOne Networks fornisce le soluzioni più avanzate per soddisfare le necessità delle aziende in materia di preparazione, prevenzione e risposta alle minacce di cybersecurity e ai rischi di interruzione delle operazioni. Nel 2022 TXOne Networks è stata riconosciuta da CRN come Emerging Vendor nella categoria della sicurezza.
L’azienda lavora per un ampio spettro di clienti: grandi imprese e conglomerati internazionali, supply chain upstream, midstream e downstream in vari settori.

 

 

TXOne OT Zero Trust

Poiché i confini tra Information Technology e Operation Technology (OT) sono sempre meno definiti, è difficile per le aziende trovare soluzioni di OT Security, OT Native, che garantiscano la sicurezza informatica degli impianti industriali, mantenendone il buon funzionamento.

Come anticipato, TXOne Networks si concentra proprio sulla difesa delle infrastrutture critiche e garantisce l’affidabilità e la sicurezza degli ambienti ICS e OT tramite l’unicità del su approccio “OT Zero Trust”.

I quattro Pilastri di TXOne OT Zero Trust sono:

• Ispezione: scansione di tutti i dispositivi che si vogliono collegare alla rete per bloccare le minacce provenienti dall’interno, e per prevenire attacchi alla supply chain
• Isolamento: trust list di endpoint e reti specificando ciò che è permesso e bloccare tutto il resto
• Segmentazione: micro-segmentazione per migliorare la protezione dalla rete trasformando le zone vulnerabili in zone sicure, impedendo agli attaccanti lo spostamento laterale e la diffusione dei malware
• Rinforzare: proteggere gli endpoint legacy non “patchabili” senza interrompere il loro funzionamento

Volendo semplificare, possiamo dire che l’approccio OT Zero Trust si basa sul concetto di “Accesso consentito solo agli autorizzati” (Least Privilege Manner), ovvero:

• Verifica delle informazioni rilasciate dai fornitori degli apparati
• Approccio default-deny: ovvero negare il traffico non espressamente consentito
• Micro segmentazione della rete e virtual patching
• Network whitelisting

 

In OT Security è fondamentale avere una visione strategica che accompagni e giustifichi le scelte tecnologiche e le implementazioni di cybersecurity effettuate, con l’obiettivo di evitare che avvengano eventi cyber o di adeguare l’infrastruttura di industrial cybersecurity in modo da mitigare eventuali attacchi che non si è riusciti ad evitare del tutto.

Sintetizzando, pensiamo che sia necessario definire una:

• Network Security Strategy: basata su network segmentation e virtual patching, per la mitigazione del rischio di attacco cyber, per il contenimento dei malware e per proteggere gli assets vulnerabili rilevando e bloccando i movimenti laterali
• Endpoint XDR, Security Strategy: basata su trust list e su hardening degli asset critici, per Difendersi dagli attacchi sconosciuti e per mantenere operativi gli assets critici
• OT Auditing Strategy: basata sull’ispezione della supply chain, per attività di auditing e ispezione in entrata/uscita

 

 

Soluzioni TXOne a supporto dell’approccio OT Zero Trust

 

Nelle varie conversazioni che abbiamo giornalmente con i nostri clienti risulta che spesso gli endpoint industriali non sono protetti da antivirus e antimalware, che la rete industriale è “piatta”, ovvero non segmentata, consentendo agli attaccanti di poter entrare da una qualsiasi vulnerabilità di rete e avere visibilità su tutta l’infrastruttura, e che non è possibile ispezionare gli endpoint impossibilitati a ricevere qualsiasi agent che garantisca un’adeguata protezione.

Spesso la protezione OT viene affidata ai soli Firewall che nascono nel mondo IT e che vengono spesso utilizzati anche in ambito Operations.

Una recente survey di Trendmicro, realizzata in USA, Europa e Giappone, ha rilevato che meno del 50% dei responsabili degli Impianti ha installato antivirus sugli endpoint ICS, che il 61% degli intervistati ha avuto un evento cyber e che il 75% degli incidenti hanno bloccato la produzione.

Analogamente un recente survey realizzato dal Politecnico di Milano “Scenario Italia” ha rilevato che il 54% degli intervistati ha avuto un fermo di produzione a seguito di un attacco cyber.

 

A TXOne Networks sta a cuore mantenere gli impianti in esercizio

 

TXOne propone soluzioni OT Native, dunque non derivate dal mondo IT, per la protezione degli dndpoint industriali con le soluzioni Stellar, per endpoint con OS da Windows XP e Windows 7 in su. Si tratta di antivirus/antimalware di nuova generazione di tipo industriale che consentono l’autenticazione sicura degli ICS basata su root of trust e analisi avanzata delle minacce per proteggere le risorse OT senza interruzioni delle attività di Operations.

Per quanto riguarda la difesa dell’infrastruttura di rete ci si avvale delle soluzioni della serie TXOne  EDGE, che consentono di segmentare la topologia della rete ICS in diverse zone, in modo da proteggere sia il traffico nord-sud che est-ovest riducendo il rischio di attacco. Le soluzioni principali disponibili sono EDGE IPS, EDGE Pro, EDGE Pro 216 e EDGE Fire.

Per quanto riguarda l’endpoint audit inspection, la soluzione di riferimento si chiama Portable Security che in una chiavetta USB contiene antivirus/antimalware per ispezionare gli endpoint che non possono ricevere l’installazione di agent. Nella versione PRO consente anche il trasferimento “sicuro” di files fino a 64Giga. La Portable Security estende la visibilità OT, assicura l’integrità dei dati in transito, minimizzando l’impatto sulla produzione.

 

Le soluzioni di TXOne Networks sono progettate per essere implementate nei livelli 1 (controllo di base), 2 (controllo di supervisione) e 3 (operazioni di produzione e controllo del sito) del Purdue Model.

 

 

 

Le fondamenta di qualsiasi smart factory si basano sulla raccolta, la condivisione e l’analisi dei dati, che sono spesso complicate dalla presenza di risorse di vari produttori che lavorano in una vasta gamma di condizioni e situazioni. Con l’approccio OT Zero Trust, si possono ispezionare gli assets al loro arrivo e segmentare la rete con soluzioni “all-terrain” per proteggere il flusso di dati a livello shop floor (dati in uso, dati in trasmissione e dati a riposo).

La tecnologia OT Native di TXOne aiuta il personale tecnico nella gestione centralizzata della OT cybersecurity anche di un vasto numero di asset legacy e moderni, in esecuzione fianco a fianco, senza interrompere mai le operazioni.

 

Questo contributo è in collaborazione con TXOne Networks.

 

---

Torna all'elenco degli articoli