Protocolli ICS comuni e relativi rischi

I protocolli industriali sono il linguaggio con cui controllori, sistemi SCADA e dispositivi di campo si scambiano dati e comandi. La maggior parte è stata progettata per reti isolate e affidabili e pertanto non dispone dell’autenticazione e della crittografia che ci aspettiamo nell’IT.

Comprendere le loro vulnerabilità permette di capire esattamente cosa potrebbe fare un attaccante presente sulla rete OT e quali controlli compensativi siano necessari.

Modbus è uno dei protocolli industriali più antichi e diffusi, semplice e facile da implementare. Modbus/TCP lo trasporta su Ethernet.

• Un master legge e scrive registri/coil sui dispositivi slave
• Nessuna autenticazione: qualsiasi dispositivo in grado di raggiungere uno slave può impartirgli comandi
• Nessuna crittografia: il traffico è in chiaro e facile da leggere o falsificare
• Nessun controllo d’integrità contro un mittente malevolo

Un attaccante presente sul segmento può semplicemente scrivere una coil per azionare un’apparecchiatura.

DNP3 (Distributed Network Protocol) è comune nei servizi elettrici e idrici ed è stato progettato per collegamenti a lunga distanza inaffidabili, con funzionalità come la marcatura temporale e il report-by-exception.

• È più ricco di Modbus, ma il protocollo di base non dispone ancora di sicurezza integrata
• È vulnerabile allo spoofing e ai replay su una rete aperta
• Esiste un’estensione Secure Authentication (DNP3-SA), ma non è sempre implementata

Quando DNP3-SA non è supportato, è necessario compensare con controlli di rete.

Il panorama dell'OT comprende numerosi protocolli; eccone alcuni che incontrerà spesso:

• EtherNet/IP (CIP) — ampiamente utilizzato nell'automazione della produzione
• PROFINET / PROFIBUS — comune negli ambienti industriali europei
• IEC 60870-5-104 — utilizzato nelle aziende elettriche, con un ruolo simile a DNP3
• IEC 61850 — automazione delle sottostazioni elettriche
• OPC / OPC-UA — standard per lo scambio di dati; in particolare, OPC-UA supporta la sicurezza

OPC-UA si distingue perché è stato progettato prevedendo autenticazione e cifratura come opzioni.

La vulnerabilità più grave dei protocolli legacy è l'assenza di autenticazione. Il protocollo non è in grado di distinguere un master legittimo da un attaccante.

• Qualsiasi host della rete può inviare comandi dall'aspetto valido
• Nel messaggio non esiste alcun concetto di credenziali o autorizzazione
• Il dispositivo si fida di tutto ciò che riceve

Per questo il controllo degli accessi alla rete costituisce la difesa di prima linea: se gli attaccanti non possono raggiungere il protocollo, non possono abusarne.

I protocolli in chiaro espongono il processo a chiunque osservi passivamente il traffico.

• Un attaccante può mappare il processo sulla base delle letture e delle scritture osservate
• I setpoint, gli allarmi e i comandi sono visibili
• Se riesce a posizionarsi tra le due estremità, può modificare il traffico durante il transito

La cattura di questo traffico a scopo di analisi deve essere eseguita con cautela e solo su sistemi che si è autorizzati a valutare; i tap passivi evitano di disturbare il processo in esecuzione.

In assenza di autenticazione o di garanzie che impediscano il riutilizzo dei messaggi, il traffico registrato può essere riutilizzato.

• Replay — catturare un comando legittimo e inviarlo nuovamente in seguito per ripetere un'azione
• Command injection — creare un messaggio di protocollo valido per azionare un'apparecchiatura
• False data injection — fornire all'HMI valori dei sensori contraffatti

La false data injection è particolarmente pericolosa: gli operatori possono vedere letture normali mentre il processo evolve verso uno stato non sicuro.

Un attaccante posizionato tra SCADA e un controller può sia leggere sia riscrivere lo scambio di dati.

• Mostrare all'operatore valori sicuri mentre invia comandi dannosi al PLC
• Sopprimere gli allarmi, impedendo che un guasto venga rilevato
• Modificare i setpoint senza che l'operatore lo sappia

Lasciare gli operatori all'oscuro mentre si sabota il processo è una caratteristica tipica degli attacchi ICS sofisticati e motiva il monitoraggio dell'integrità a livello di rete.

Quando l'apparecchiatura lo supporta, preferisca le opzioni di protocollo che aggiungono funzionalità di sicurezza.

• OPC-UA con i criteri di sicurezza abilitati fornisce autenticazione, firma e cifratura
• DNP3-SA aggiunge l'autenticazione challenge-response a DNP3
• Wrapper TLS o gateway sicuri possono proteggere il traffico legacy tra le zone

Queste opzioni non sono disponibili su tutti i dispositivi datati; perciò la progettazione presuppone che molti endpoint restino non sicuri e li protegge al confine della rete.

Poiché spesso non è possibile correggere il protocollo, si rilevano gli abusi. Il monitoraggio consapevole dell'OT comprende questi protocolli e segnala le anomalie senza iniettare traffico.

• Costruire una baseline dei master, degli slave e dei modelli di comando normali
• Generare avvisi per comandi di scrittura imprevisti o nuovi dispositivi
• Rilevare setpoint fuori intervallo o comandi provenienti da host non autorizzati
• Utilizzare tap passivi affinché il monitoraggio non disturbi mai il processo

Poiché i protocolli legacy non sono in grado di difendersi autonomamente, deve essere la rete a proteggerli.

• Segmentare la rete in modo che solo gli host autorizzati possano comunicare tramite il protocollo con un controller
• Utilizzare firewall con riconoscimento dei protocolli per consentire solo i codici funzione previsti
• Implementare il rilevamento passivo delle intrusioni, configurato per i protocolli ICS
• Quando possibile, migrare a varianti sicure

Questo prepara le difese architetturali dell'ultima lezione.

Ragioni sul rischio fondamentale dei protocolli ICS legacy.

Ha appreso i protocolli e le loro vulnerabilità intrinseche.

• Modbus, DNP3 e i protocolli analoghi sono stati progettati per reti affidabili e non dispongono di autenticazione e cifratura
• Questo rende possibili sniffing, replay, command injection, false data injection e MITM
• Gli attaccanti possono lasciare gli operatori all'oscuro mentre sabotano il processo
• Preferisca le varianti sicure (OPC-UA, DNP3-SA) quando sono supportate
• In caso contrario, difenda l'ambiente con segmentazione, firewall con riconoscimento dei protocolli e monitoraggio passivo

Prossimo argomento: progettare la protezione delle infrastrutture critiche.