Basi dei sistemi di controllo industriale

I sistemi di controllo industriale (ICS) sono i computer e i dispositivi che monitorano e gestiscono i processi fisici: reti elettriche, impianti di trattamento delle acque, linee di produzione, oleodotti e sistemi degli edifici. Insieme alla categoria più ampia della tecnologia operativa (OT), fanno da ponte tra il mondo digitale e quello fisico.

Un guasto in questo ambito non significa soltanto perdita di dati; può causare l'arresto della produzione, danni ambientali o rischi per la vita umana.

Un controllore logico programmabile (PLC) è un computer industriale rinforzato che legge gli ingressi dei sensori e pilota le uscite degli attuatori in tempo reale. Esegue la logica di controllo in un ciclo di scansione continuo: legge gli ingressi, esegue il programma, scrive le uscite e ripete.

• Deterministico e affidabile, progettato per ambienti difficili
• Spesso programmato in logica ladder, simile agli schemi a relè
• Controlla direttamente valvole, motori, pompe e interruttori

I dispositivi di campo correlati estendono il controllo a ruoli remoti e specializzati.

• RTU (unità terminale remota) — simile a un PLC, ma ottimizzata per siti distribuiti geograficamente, con telemetria su collegamenti a lunga distanza, comune nei servizi pubblici e negli oleodotti
• IED (dispositivo elettronico intelligente) — controllori progettati per uno scopo specifico, come i relè di protezione nelle sottostazioni

Questi dispositivi raccolgono dati ed eseguono comandi sul campo, spesso in luoghi non presidiati.

SCADA (controllo di supervisione e acquisizione dati) è il sistema che consente agli operatori di monitorare e controllare processi distribuiti da una posizione centrale. Non controlla direttamente il processo; sovrintende ai PLC e alle RTU che lo fanno.

• Raccoglie la telemetria da numerosi dispositivi di campo
• La presenta agli operatori e la memorizza per conservarne lo storico
• Invia comandi di supervisione (setpoint, avvio/arresto)

Immaginate SCADA come la cabina di pilotaggio e i PLC come i motori.

L’interfaccia uomo-macchina (HMI) è la finestra dell’operatore sul processo: schermate grafiche che mostrano livelli dei serbatoi, temperature, portate e allarmi, con comandi per regolare il processo.

Dal punto di vista della sicurezza, l’HMI è importante perché la sua compromissione può consentire a un attaccante di accecchiare l’operatore (mostrando valori normali mentre il processo viene sabotato) o di impartire direttamente comandi pericolosi.

Un sistema di controllo distribuito (DCS) è un sistema affine, utilizzato per processi continui strettamente integrati all’interno di un singolo impianto, ad esempio una raffineria o uno stabilimento chimico.

• SCADA — distribuito geograficamente, di supervisione, tollerante alla latenza (oleodotti, reti elettriche)
• DCS — locale all’impianto, focalizzato sul controllo del processo, con anelli a bassa latenza (raffinerie, centrali elettriche)

Nella pratica la distinzione è meno netta e condividono entrambi gli stessi problemi di sicurezza trattati in questo corso.

Un data historian registra dati di processo sotto forma di serie temporali (letture dei sensori, setpoint, allarmi) ad alta risoluzione, per analisi, conformità normativa e risoluzione dei problemi.

Rilevanza per la sicurezza:

• Spesso si trova a cavallo tra le reti OT e IT per alimentare le analisi aziendali, diventando così un comune punto di pivot
• I suoi dati sono preziosi per gli attaccanti che effettuano la ricognizione del processo
• Deve essere protetto senza interrompere il percorso di controllo in tempo reale

La stazione di lavoro di ingegneria (EWS) viene utilizzata per programmare e configurare i PLC e altri controllori. Contiene i file di progetto e il software che può caricare, scaricare e modificare la logica di controllo.

Questo la rende uno degli obiettivi più pericolosi nell’OT: un attaccante che prende il controllo dell’EWS può riscrivere la logica che governa le apparecchiature fisiche. La compromissione di un EWS è stata al centro di diversi attacchi ICS di alto profilo.

All’estremità fisica del sistema, due tipi di dispositivi chiudono l’anello:

• I sensori misurano il processo: pressione, temperatura, livello, portata, posizione
• Gli attuatori modificano il processo: valvole, motori, pompe, interruttori, riscaldatori

Il controllore legge i sensori, decide e aziona gli attuatori. Un principio fondamentale per la sicurezza è il seguente: se un attaccante falsifica le letture dei sensori o i comandi degli attuatori, la logica di controllo prende decisioni errate pur apparendo integra.

Un sistema strumentato di sicurezza (SIS) è un livello indipendente il cui unico compito è portare il processo in uno stato sicuro quando si verificano condizioni pericolose, ad esempio arrestando un reattore in caso di sovrapressione.

Il SIS è deliberatamente separato dal sistema di controllo, affinché un guasto del controllo non possa compromettere anche la sicurezza. Un attacco tristemente noto ha preso di mira proprio un SIS, con l’obiettivo di disabilitare le protezioni di sicurezza; per questo l’isolamento e l’integrità del SIS sono considerati fondamentali.

Una gerarchia di controllo tipica, dal basso verso l’alto:

• Sensori e attuatori interagiscono con il processo fisico
• PLC / RTU / IED eseguono il controllo in tempo reale
• SCADA / HMI / DCS svolgono la supervisione e consentono agli operatori di intervenire
• Historian ed EWS supportano l’analisi e l’ingegneria
• SIS protegge la sicurezza in modo indipendente

Comprendere questa struttura è il fondamento per capire le differenze in termini di sicurezza e le protezioni illustrate nel resto del corso.

Ha appreso i componenti fondamentali dei sistemi di controllo industriale.

• PLC, RTU, IED eseguono il controllo in tempo reale dei processi fisici
• SCADA, HMI, DCS svolgono la supervisione e consentono agli operatori di monitorare e intervenire
• Gli historian memorizzano i dati di processo; le EWS programmano i controllori
• Sensori e attuatori chiudono l’anello; falsificarli induce la logica a prendere decisioni errate
• Il SIS è un livello di sicurezza indipendente e un obiettivo di protezione critico

Avanti: perché proteggere l’OT è fondamentalmente diverso dal proteggere l’IT.