20 Feb Prevenire o monitorare… il dilemma nella sicurezza IT/OT
Tentare di rilevare le minacce è un compito complesso, questo comporta numerose considerazioni come la configurazione e modellazione del software e la valutazione degli indicatori d’azione e analisi statistiche. Il risultato è uno scenario complesso in cui l‘efficacia del rilevamento delle minacce è più riconducibile agli errori e alle mancanze degli hacker che alla capacità del reparto IT.
Fortunatamente, a volte domande complesse hanno risposte semplici. Parlando di sicurezza IoT, abbiamo già argomentato in altri post come il determinismo della comunicazione industriale possa aiutare a identificare una matrice per il traffico utile a proteggere la continuità operativa impiegando i nodi di rete per bloccare il traffico indesiderato.
Questo sposta l’obiettivo difensivo dal rilevare le minacce al prevenirle. Questo nuovo approccio cambia radicalmente la prospettiva sulla sicurezza, creando una strategia difensiva pianificata e misurabile, con un livello di sicurezza definito.
Il livello di sicurezza viene stabilito nella fase di pianificazione e implementazione, e il controllo del livello raggiunto dipende esclusivamente dal corretto funzionamento del sistema. Se il sistema opera correttamente, il livello di sicurezza pianificato viene raggiunto, indipendentemente dalle azioni corrette o errate degli utenti, il che significa che queste ultime devono avere un impatto trascurabile sulla sicurezza complessiva, proteggendo il sistema da inefficienze o carenze operative.
Definire l’obiettivo di sicurezza
Il primo passo da compiere è definire un livello di sicurezza in linea con i requisiti richiesti. Questo rappresenta uno dei problemi più importanti da affrontare – l’obiettivo della sicurezza – perché, una volta chiaro la sua implementazione diventa più semplice. Oggi esistono molti standard di sicurezza a cui fare riferimento, come ISA/IEC 62443 e NIST 800-82, giusto per citarne i due principali. Tuttavia, parlando di un livello di sicurezza predefinito, possiamo considerarlo il risultato di una valutazione della sicurezza che non deve per forza riferirsi a un livello standard IEC 62443 ma può essere deciso in baso alle esigenze operative e specifiche di ciascuna istallazione.
Infatti, la scelta di dove mettere l’asticella della sicurezza spetta a te: può essere in conformità a un Livello di Sicurezza predefinito oppure basarsi semplicemente su alcune direttive. Ciò che deve essere chiaro è l’insieme delle azioni, degli utenti e delle procedure necessarie per il suo mantenimento.
Ciò che si vuole evitare è definire obiettivi generici, più legati all’acquisizione tecnologica che alla risoluzione dei problemi di sicurezza. è lecito chiedersi: ho bisogno di un lucchetto o di mantenere la porta chiusa? Piuttosto che acquistare dispositivi di sicurezza, il tuo obiettivo deve essere “comprare” sicurezza, ossia raggiungere il traguardo di sicurezza prefissato e mantenerlo nel tempo, con il minor sforzo possibile.
Come implementarlo
Una volta definito l’obiettivo di sicurezza, entra in gioco la pianificazione e l’implementazione: ora è il momento giusto per fare scelte tecnologiche. È evidente che problemi complessi come mantenere un sistema sicuro possono essere risolti solo prestando attenzione a tutte le risorse, gli strumenti e gli utenti coinvolti. Ecco alcuni errori comuni da evitare:
Non stabilire procedure di sicurezza che non possano essere facilmente mantenute. Sembra strano, ma è comune trovare procedure operative dedicate a un puro formalismo, anziché a un’utilità pratica.
Ricorda che ognuno ha obiettivi diversi. Le persone sono guidate da traguardi personali; permetti a ciascuno di raggiungere i propri obiettivi in modo sicuro.
Tecnologia e strumenti devono essere dosati con saggezza: non mascherare problemi procedurali con nuove tecnologie e non sommergere il personale con strumenti per controllare ossessivamente tutto. Mantieni la strategia semplice. Gli operatori OT sono alleati per prevenire problemi di sicurezza, mentre il reparto IT è lì per rilevare eventuali attività malevole; è chiaro che le due metà dell’azienda necessitano di strumenti differenti.
Controlla, verifica e ispeziona senza essere invadente. Una volta trovato il modo di raggiungere un livello di sicurezza predefinito, senza la consapevolezza di un suo costante mantenimento non può esistere una protezione reale. Le procedure di sicurezza funzionano solo se mantenute; la resilienza deve essere il tuo mantra.
Rilevare è bene, prevenire è meglio
In conclusione, implementare una strategia di sicurezza efficace nel settore industriale significa creare uno strato di sicurezza aggiuntivo sopra le attività correnti della tua azienda. Tale strato deve essere efficace, chiaro e comprensibile per gli operatori, minimizzando l’impatto sulle procedure operative attuali e riducendo al minimo il carico di lavoro.
Esaminiamo due aspetti fondamentali, il rilevamento e la prevenzione:
Il rilevamento delle minacce è efficace in una rete con perimetro definito, dove gli host interni dispongono di contromisure proprie. Questo è il caso delle reti IT, in cui il perimetro è generalmente protetto da un firewall e gli host da sicurezze applicative individuali. La strategia consiste nel rilevare le minacce mentre tentano di penetrare e nel mettere in quarantena automaticamente le risorse compromesse. L’efficacia di questa strategia, nei domini IT, deriva dalla natura informatica degli asset protetti: una minaccia cibernetica si combatte con mezzi cibernetici e, in caso di sconfitta in una battaglia, è preferibile disattivare la risorsa compromessa per vincere la guerra.
Ovviamente, il rilevamento delle minacce comporta una disconnessione automatica della risorsa e influisce sulla continuità aziendale. Questa è la strategia standard, amara ma necessaria, per impedire la propagazione della minaccia all’interno della rete.
Tuttavia, questo non vale per le reti OT industriali. Come già spiegato, manca un perimetro definito e non è possibile proteggere gli host interni a causa dell’obsolescenza, dell’eterogeneità e della natura degli asset industriali. Non è possibile installare un antivirus o un firewall su un PLC. Inoltre, una interruzione della continuità aziendale non è accettabile e l’idea di abbandonare il “campo di battaglia cibernetico” disattivando un asset industriale non è certo l’obiettivo.
L’OT necessita di una strategia alternativa focalizzata sulla prevenzione, piuttosto che sul rilevamento, ed è facilmente realizzabile grazie alla natura deterministica delle comunicazioni industriali. È piuttosto semplice delineare le comunicazioni necessarie per il corretto funzionamento degli asset industriali, escludendo il traffico non indispensabile, che potrebbe rappresentare un rischio senza portare benefici.
Alcuni potrebbero sostenere che mappare le comunicazioni tra asset industriali sia difficile e costoso. Questo è vero se si intende realizzare una mappatura completa, ma non è vero se l’obiettivo è definire esclusivamente le comunicazioni funzionali alle operazioni in fabbrica, e per quanto complessa possa essere una macchina o un asset, nella maggior parte dei casi dispone di poche connessioni.
Naturalmente, esistono condizioni operative differenti in cui la matrice di comunicazione può variare, ma se osservi attentamente il mondo industriale, scoprirai un livello di determinismo e pragmatismo superiore a quanto immagini.
La tecnologia Software Defined Network ha introdotto switch standard dotati di funzionalità di forwarding e gestione avanzate, capaci di affrontare l’obiettivo critico della sicurezza nell’IoT industriale. Edge SDN ha esattamente questo scopo: creare una linea difensiva sfruttando la funzionalità degli switch per fornire uno strato di resilienza nella prevenzione e nel rilevamento delle minacce.