Garantire la cybersecurity in ambito OT, mentre IIoT e 5G avanzano

Fino a poco tempo fa le reti degli ambienti OT (Operational Technologies) funzionavano come ambienti isolati e “air-gapped”, per cui la cybersecurity non era prioritaria per le aziende. L’emergere e la crescita dei dati provenienti dall’esterno ha determinato, in alcuni casi, la convergenza tra ambienti industriali e reti IT.

A causa della maggiore dipendenza dai nuovi trend tecnologici, come Industrial Internet of Things (IIoT), il wireless e il 5G, i leader in ambito OT non possono più ignorare la necessità di prestare maggiore attenzione al tema della cybersecurity.

Di seguito sono riportate le implicazioni di IIoT, Wi-Fi, 5G e altri trend per la cybersecurity OT, compresi gli ambienti OT che sono spesso costruiti sull’architettura Purdue Enterprise Reference Architecture (PERA).

Alcuni casi d’uso in ambito OT

I rischi per la sicurezza associati ai dispositivi IIoT derivano dalle loro connessioni Internet dirette o indirette. Analizzare i principali casi d’uso dell’IIoT e i flussi di informazioni associati offre ulteriori approfondimenti su questi rischi. Un’implementazione OT può comprendere un mix dei seguenti tre casi d’uso principali:

• Comunicazione outbound: include sensori smart che inviano dati a un centro di monitoraggio remoto, spesso di terze parti. Il rischio è basso perché le informazioni viaggiano solo in uscita dal sensore che non riceve comandi o istruzioni.
• Comunicazione outbound e inbound: include il flusso in uscita descritto sopra e aggiunge il flusso in entrata per compiti come le query e i comandi che richiedono informazioni analitiche. Il flusso bidirezionale porta a un rischio maggiore rispetto al caso in uscita.
• Accesso remoto, maintenance e diagnostic: comporta il rischio più alto perché coinvolge sensori e attuatori che possono cambiare l’ambiente di produzione. Non solo la comunicazione è bidirezionale, ma è anche possibile rispondere ai comandi e compiere azioni successive.

La struttura del sistema di produzione

Proteggere gli ambienti IIoT richiede innanzitutto comprensione dei processi organizzativi. Un sistema di produzione richiede una complessa interazione di dispositivi industriali e casi d’uso, come descritti sopra, con flussi di informazioni che transitano lungo i canali tra aree e domini.

L’Industrial Internet Consortium (IIC), un’organizzazione aperta nata per accelerare lo sviluppo, l’adozione e l’uso diffuso dell’industrial internet, suddivide gli ecosistemi IIoT in cinque domini funzionali: control, operations, informations, applications e business. Il controllo del dominio si occupa principalmente degli aspetti industriali o della tecnologia delle macchine, come il controllo, il senso e le tecnologie di attuazione.

L’IIC suggerisce inoltre un’architettura di sistema IIoT a tre livelli che consiste in un livello di edge per l’OT, uno di piattaforma per l’integrazione OT e IT, e infine uno Enterprise per l’IT. I cinque domini funzionali possono essere mappati sull’architettura tecnologica a tre livelli con una sovrapposizione di tre reti: la rete di prossimità, la rete di accesso e quella di servizio, che consente la comunicazione e la connettività attraverso ogni dominio e livello tecnologico.

Mappare il modello di Purdue per le strutture di sistema

Lo standard che guida l’implementazione della sicurezza in OT è Isa/Iec 62443 – ciò include una guida per l’utilizzo del modello di Purdue, che presenta la seguente serie di livelli gerarchici per applicazioni e controlli:

• I livelli 0, 1 e 2 (aree di controllo del processo) definiscono i processi fisici, i sensori, gli attuatori e la relativa strumentazione, così come i sistemi che supervisionano queste implementazioni.
• Il livello 3 (l’area delle Operations e del controllo) descrive le operazioni generali di produzione attraverso processi multipli. Insieme, i livelli da 0 a 3 comprendono un ambiente OT.
• I livelli 4 e 5 (aree business) sono composti da sistemi e applicazioni IT aziendali.

Concepito all’inizio degli anni ’90, il modello originale di Purdue non prevedeva la connettività IIoT, wireless o cloud. Ma tracciando i domini funzionali IIoT, i livelli tecnologici e i requisiti di sicurezza ai livelli PERA, è possibile visualizzare come gli elementi di questo modello si inseriscano nell’architettura di sicurezza necessaria (vedi sotto).

Sicurezza OT e ambienti IIoT

Proteggere gli ambienti IIoT comporta l’applicazione di molte delle stesse strategie di cybersecurity utilizzate nell’IT alle architetture e ai casi d’uso IIoT. Tuttavia, chiare specificità degli ambienti OT e IIoT devono essere prese in considerazione. Utilizzando lo standard ISA/IEC 62443 per la sicurezza in OT come base, e ulteriori riferimenti al NIST Cybersecurity Framework (CSF), il seguente elenco indica gli obiettivi per rendere sicura l’infrastruttura IIoT connessa.

1. Asset Management
   Le soluzioni di sicurezza applicabili alle risorse in tutti i livelli del modello di Purdue che possono essere rilevate e identificate sulla rete, includono next-generation firewalls (NGFWs), network access control (NAC) e una piattaforma di gestione e analisi dei log.
2. Visibilità e controllo delle applicazioni
   Ha a che fare con l’identificazione dei dispositivi e il controllo dei protocolli e dei tipi di applicazioni, compresa la limitazione dei dispositivi che possono utilizzare determinati protocolli o comunicare con applicazioni specifiche. Gli strumenti di sicurezza come la funzione FortiGuard Application Control, che può generare alert, e FortiAnalyzer, che può generare report, possono essere utili in questo caso.
3. Detection e Prevention delle intrusioni
   I dispositivi IIoT sono i soggetti principali di un attacco, soprattutto a causa della loro capacità di cortocircuitare più livelli del modello Purdue. Anche se la funzionalità limitata dei dispositivi IIoT riduce la probabilità di vulnerabilità, lo sviluppo personalizzato delle funzionalità IIoT può introdurre bug. Per prevenire l’intrusione è necessario rilevare e bloccare gli exploit e identificare degli attacchi. Il patching virtuale e il rilevamento delle violazioni possono aiutare anche in questo caso.
4. Network Access Control (NAC)
   I metodi di implementazione NAC variano a seconda del tipo di rete. La versione più semplice di NAC è realizzata abilitando il protocollo di autenticazione di rete 802.1X sulle risorse IIoT supportate. Gli Access Point WiFi sicuri possono mantenere le reti wireless sicure, e policy appropriate possono proteggere l’accesso remoto di terzi. La Multi-factor authentication (MFA) può anche integrare l’accesso remoto, irrobustendolo e aumentandone il livello di sicurezza.
5. Segmentazione e microsegmentazione di rete
   La segmentazione e la microsegmentazione sono metodi essenziali per suddividere le reti industriali in aree sicure fisiche o virtuali. In genere, la segmentazione viene eseguita tra local area networks (LAN) o wide-area networks (WAN) o tra diverse aree della LAN. La microsegmentazione, invece, viene eseguita all’interno delle LAN. Nelle reti industriali, i segmenti di rete possono includere varie LAN industriali o WAN, e i micro-segmenti di rete possono includere diversi controllori industriali e host, come RTU, HMI, ecc.
6. Protezione del segnale
   Con la crescita delle tecnologie 5G, le reti di telecomunicazione cellulare diventeranno più comuni nelle reti industriali. La presenza di un numero elevato di endpoint IIoT rispetto alla quantità di dati trasferiti, può comportare il rischio di signaling storms, sia intenzionali (a causa di un cyberattacco) che non intenzionali (a causa di un malfunzionamento del dispositivo). Un sistema operativo ecosystem based come FortiOS può proteggere questi sistemi da signaling storms.
7. Piattaforma di protezione IoT
   Dato che le segnalazioni e i dati di solito transitano attraverso uno o più nodi della piattaforma IoT, questi nodi hanno bisogno di essere protetti. Il modello IoT tradizionale posiziona la piattaforma all’interno del cloud. Ma per l’IIoT, il tempo di round-trip tra i dispositivi e il cloud può essere troppo lungo, e il livello di affidabilità della connessione al cloud può essere insufficiente. Inoltre, l’invio di dati nel cloud può comportare ulteriori rischi per la sicurezza. Le soluzioni proposte dal 3rd Generation Partnership Project (3GPP) includono l’architettura multi-access edge (MEC) o una rete 5G privata.
8. Logging and Monitoring
   Il logging e il monitoring centralizzati permettono di osservare l’intero ecosistema IIoT da un unico punto, di solito un security o network operations center (SOC o NOC). Ciò dovrebbe includere la capacità di determinare o configurare le baseline e fornire l’accesso ai log e agli eventi derivanti da deviazioni da queste baseline o dalla detection di attività dannose. A seconda della struttura operativa dell’organizzazione IIoT, le misure di registrazione e monitoraggio possono essere incorporate nei canali tra i livelli PERA 2 e 3, tra i livelli 3 e 4, o nel livello 5.

Un’infrastruttura di sicurezza flessibile

I cambiamenti negli ambienti di produzione legati alle tecnologie wireless, 5G e IIoT aprono a una nuova era di flessibilità, produttività e controllo per le aziende OT-based. Tuttavia, tali innovazioni espandono il panorama delle minacce. La protezione dei sistemi OT richiede un’infrastruttura di sicurezza flessibile con elementi che possono evolvere insieme ai mutevoli ambienti OT wired e wireless.