Differenze di sicurezza tra OT e IT

Applicare direttamente all’OT le pratiche di sicurezza dell’IT spesso causa più danni che benefici. I due ambiti ottimizzano obiettivi diversi, utilizzano tecnologie diverse e presentano modalità di guasto diverse. Chi opera nell’OT deve abbandonare diversi automatismi tipici dell’IT.

Questa lezione mette a confronto priorità, vincoli e minacce che fanno della sicurezza OT una disciplina a sé.

L’IT dà priorità alla triade CIA: riservatezza, integrità e disponibilità. Nell’OT l’ordine è di fatto invertito.

• Disponibilità al primo posto — il processo deve continuare a funzionare; un fermo può essere pericoloso o estremamente costoso
• Integrità al secondo posto — letture e comandi devono essere affidabili
• Riservatezza all’ultimo posto — i valori dei sensori raramente sono segreti

Al di sopra di tutto c’è una preoccupazione che l’IT non condivide: la sicurezza. Proteggere la vita umana e l’ambiente viene prima di ogni altra cosa.

Nell’OT, un controllo di sicurezza che potrebbe far comportare il processo in modo imprevisto può essere peggiore della minaccia. Un’azione automatica che arresta una turbina o chiude una valvola nel momento sbagliato può ferire delle persone.

• Le modifiche alla sicurezza non devono mai compromettere la funzione di sicurezza
• Le modifiche devono essere approvate dagli ingegneri, non soltanto dal personale addetto alla sicurezza
• Il SIS deve rimanere indipendente e affidabile

Per questo tattiche IT aggressive come l’isolamento automatico devono essere adattate con cautela nell’OT.

Nell’IT, applicare tempestivamente le patch è una regola imprescindibile. Nell’OT, invece, questa pratica è soggetta a vincoli.

• L’applicazione delle patch può richiedere un arresto dell’impianto, programmato anche a mesi di distanza
• La certificazione del fornitore può vietare patch non approvate
• Una patch difettosa può arrestare la produzione o compromettere la documentazione di sicurezza

Poiché l’applicazione delle patch è lenta, l’OT fa maggiore affidamento sui controlli compensativi: segmentazione, monitoraggio e controllo degli accessi per proteggere i sistemi che non possono essere aggiornati rapidamente.

Le apparecchiature OT rimangono operative per decenni. È comune trovare in produzione controllori e sistemi operativi non più supportati dal fornitore da molto tempo, perché sostituirli significherebbe ricostruire la linea fisica.

• Versioni di sistemi operativi non supportate e prive di patch disponibili
• Hardware incapace di eseguire agenti di sicurezza moderni
• Protocolli progettati in un’epoca in cui si presumeva che la rete fosse isolata

È necessario proteggere ciò che esiste, non ciò che si vorrebbe esistesse.

Molti protocolli industriali sono stati creati per reti affidabili e fisicamente isolate e pertanto, per impostazione predefinita, non prevedono autenticazione o crittografia. Su una rete di questo tipo, qualsiasi dispositivo in grado di raggiungere un controllore può impartirgli comandi.

• I comandi vengono accettati senza verificare l’identità del mittente
• Il traffico è spesso in chiaro e può essere facilmente falsificato
• Nelle versioni legacy si tratta di un presupposto progettuale, non di un bug correggibile

La protezione si ottiene controllando chi può raggiungere la rete, come illustrato più avanti.

Nell’IT, la scansione delle vulnerabilità è una pratica ordinaria. Nell’OT, una scansione aggressiva può mandare in crash i dispositivi più fragili. Alcuni PLC vanno in errore o si arrestano quando ricevono traffico imprevisto, cosa che in un processo in funzione può essere pericolosa.

• È preferibile il monitoraggio di rete passivo alla scansione attiva
• È necessario testare qualsiasi strumento attivo prima in laboratorio o durante una finestra di manutenzione
• È necessario coordinarsi con il personale operativo prima di intervenire sulle reti di produzione

Il principio guida è questo: nell’OT, la valutazione non deve trasformarsi nell’incidente.

Gli anelli di controllo funzionano con tempistiche rigorose. Aggiungere latenza o jitter può destabilizzare un processo.

• I dispositivi di sicurezza inline non devono introdurre un ritardo dannoso
• Gli agenti pesanti possono sottrarre CPU alle attività in tempo reale
• Le modifiche alla rete possono interrompere comunicazioni con tempistiche strettamente vincolate

La sicurezza deve rientrare nel determinismo richiesto dal processo, il che spesso esclude soluzioni banali da implementare nell’IT.

La differenza fondamentale è questa: gli incidenti OT hanno effetti fisici e concreti. Un server IT compromesso espone dati; un sistema OT compromesso può far traboccare un serbatoio, danneggiare una turbina, contaminare l’acqua o mettere in pericolo i lavoratori.

Questo aumenta la gravità dei rischi e cambia il modo in cui vengono valutati. Nel caso peggiore, l’esito non è soltanto finanziario o reputazionale: può comportare la perdita di vite umane. La modellazione delle minacce nell’OT deve considerare l’impatto fisico e sulla sicurezza, non soltanto i dati.

L’OT presenta un profilo di minaccia specifico.

• Stati-nazione che cercano di compromettere strategicamente le infrastrutture critiche
• Attaccanti il cui obiettivo è la disruption fisica, non il furto di dati
• Anche un ransomware IT non mirato può propagarsi all’OT e bloccare le operazioni

Poiché le conseguenze sono gravi e gli attaccanti possono disporre di risorse ingenti, la difesa dell’OT pone l’accento sulla resilienza e sul rilevamento, oltre che sulla prevenzione.

L’obiettivo non è abbandonare la sicurezza IT, ma adattarla.

• Privilegiare il monitoraggio passivo e la segmentazione rispetto alla scansione intrusiva e all’applicazione rapida delle patch
• Mettere sicurezza e disponibilità davanti alla riservatezza
• Coinvolgere gli ingegneri di processo in ogni decisione relativa alla sicurezza
• Utilizzare controlli compensativi per i sistemi che non possono ricevere patch

Questi principi guidano le lezioni successive sui protocolli e sull’architettura.

Applichi le priorità invertite a una decisione reale.

Ha appreso perché la sicurezza OT è una disciplina a sé.

• Le priorità si invertono: sicurezza e disponibilità al primo posto, riservatezza all’ultimo
• L’applicazione delle patch è soggetta a vincoli; è necessario fare affidamento sui controlli compensativi
• Le apparecchiature legacy e i protocolli progettati senza sicurezza fanno parte della realtà quotidiana
• La scansione attiva e gli agenti intrusivi possono danneggiare dispositivi fragili e in tempo reale
• Gli incidenti hanno conseguenze fisiche; è necessario coinvolgere gli ingegneri di processo in ogni decisione

Avanti: i protocolli specifici e le loro vulnerabilità.