Infrastrutture Critiche e Cyber Security: oltre 43.000 dispositivi SCADA non protetti che ci rendono vulnerabili

Quando si pensa a Infrastrutture Critiche, molti pensano probabilmente a piattaforme petrolifere in mezzo al mare, alle dighe o alle centrali elettriche. Ed anche, che in quanto importanti per la gestione quotidiana dell’energia e dei servizi essenziali, che siano tra le infrastrutture più sicure, sia dal punto di vista fisico che logico. Ma non è sempre così.

Oggi molti impianti delle Infrastrutture Critiche sono gestiti da sistemi di controllo che insistono su reti legacy che da tempo sono state separate dalle reti IT. Ora, a causa della crescente domanda di connettività e della necessità di lavorare da remoto, queste reti legacy, che spesso hanno più di 25 anni, ultimamente stanno diventando connesse con il resto del mondo. Ne consegue che l’infrastruttura è ora aperta a una serie di nuove vulnerabilità e può essere esposta ad incidenti ed agli attacchi informatici.

La società internazionale di Security A&O IT Group anche quest’anno ha monitorato e analizzato, attraverso la piattaforma Shodan, i dispositivi ICS e SCADA connessi alla rete internet ed ha nuovamente trovato una serie di dispositivi SCADA non protetti in tutto il mondo, inclusi paesi come Stati Uniti, Canada, Regno Unito, Francia e Germania (ed anche Italia!). E il numero sembra aumentare. Ad esempio, la ricerca di gennaio 2020 aveva dimostrato che c’erano 20.000 dispositivi non protetti connessi in rete internet, mentre analisi più recenti a Dicembre 2020 hanno mostrato che il numero è cresciuto a più del doppio, arrivando a oltre 43.000.

Una delle teorie per questo incremento (come per molti aumenti di minacce di quest’anno, come anche riportato nei rapporti Clusit 2020), è che potrebbe essere la conseguenza della necessità di rendere i sistemi di controllo disponibili a essere gestiti anche da remoto proprio a causa della pandemia covid-19. Naturalmente sappiamo che anche gli eventuali aggressori malevoli sono opportunisti, e se ci sono vulnerabilità da trovare, le troveranno.

Parliamo di SCADA security

Come abbiamo visto, l’aumento riguarda anche il numero di dispositivi IoT / SCADA collegati alla rete Internet pubblica senza adeguate misure di sicurezza, ovvero aperti a potenziali incidenti, attacchi e tentativi di hacking.

Nel tempo abbiamo visto una serie di incidenti di alto profilo a sistemi SCADA che hanno raggiunto i titoli di TV e giornali: è solo la punta dell’iceberg, ovvero che la maggior parte dei dispositivi industriali e dei protocolli non sono ancora protetti in modo adeguato. Naturalmente in molti stanno lavorando affinché tutti gli utilizzatori di protocolli come Modbus e S7 possano migliorare la loro postura di sicurezza, ma molte Aziende ancora non valutano abbastanza importante proteggere adeguatamente dal rischio cyber Impianti nell’Industria e nelle Utility.

Proprio a causa delle reti legacy OT ora sempre più connesse alle reti IT, la sicurezza informatica dell’Infrastruttura Critica è ora messa in crisi. Un primo errore che vediamo fare da parte dei team di security è presumere che possano implementare la sicurezza della tecnologia operativa (OT) semplicemente “estendendo” la loro strategia di sicurezza IT esistente. Purtroppo non è sempre così semplice ed efficace.

Tuttavia, ci sono una serie di concetti di sicurezza che i team di Security OT possono adottare per proteggersi da coloro che hanno intenzioni malevoli.

Tre suggerimenti di OT Cyber Security

1. Visibilità. Per iniziare a proteggere un’intera infrastruttura ed evitare di cadere vittima di incidenti ed attacchi attraverso dispositivi vulnerabili sconosciuti, le organizzazioni devono avere una visione chiara di tutte le risorse connesse alla rete, soprattutto i dispositivi OT. Non sottovalutiamo l’importanza di mappare la rete e disporre di una lista aggiornata e in tempo reale delle risorse attive ed anche quelle “dormienti”.
2. Segmentare e Segregare, reti separate ma connesse. Avere un’infrastruttura adeguata e sicura è il primo passo e farà miracoli per la postura di security delle Aziende. Le organizzazioni dovrebbero disegnare la rete e fare in modo di isolare i dispositivi OT dalla rete IT generale dell’azienda, ad esempio prevedendo un secondo firewall (o addirittura un “diodo”) con regole specifiche per i dispositivi connessi alla rete OT. L’idea è quella di avere le reti “separate, ma connesse insieme”, piuttosto che una sola grande rete. Ed anche qui è fondamentale il monitoraggio continuo della sicurezza della rete e dell’ambiente con tool specifici per la visibilità e “anomaly detection”.
3. Miglioramento continuo. Per tutte le organizzazioni sarà sempre necessario monitorare e poi aggiornare e migliorare la rete. Ciò include le patch del firmware applicate a firewall e switch dopo i test; dovrebbero inoltre essere applicati forti controlli interni per limitare il traffico non affidabile; e i manager gestori della rete dovrebbero sempre seguire la regola del minimo privilegio sia per i dispositivi che per gli utenti.