Industry 4.0 abilitata dalla digitalizzazione: come mitigare i rischi

Domenico Raguseo, Head of Digital Factory CyberSecurity Exprivia

Industry 4.0 abilitata dalla digitalizzazione: come mitigare i rischi
Domenico Raguseo, Head of Digital Factory CyberSecurity Exprivia

L’estrema digitalizzazione favorita dallo sviluppo di intelligenze pervasive (dispositivi intelligenti), dalla riduzione dei costi di dispositivi che rendono intelligenti oggetti che per natura non lo sono (ad esempio RFID, passivi e attivi) e soprattutto l’interconnessione di tutti questi oggetti, ha reso possibile integrare processi, migliorare la collaborazione tra operatore, macchine e sistemi, accrescere la produttività ed avere una particolare attenzione alla riduzione dei costi energetici. Questo è quello che chiamiamo Industry 4.0.

Diverse sono le tecnologie abilitanti che, sfruttando l’interconnessione di dispositivi potenziati o intelligenti, supportano le logiche dell’Industry 4.0. Si va dai robot (o meglio cobot, robot collaborativi) alla realtà aumentata, dai simulatori alle tecnologie cloud senza dimenticare il ruolo fondamentale dei Big Data Analytics.

La digitalizzazione permette di utilizzare le stesse pratiche e processi adottati in ambito IT, al di fuori della funzione aziendale specifica, sviluppando così “processi tipo” che spesso possono essere traslati da una industria all’altra. I vantaggi sono evidenti e vanno dalla maggiore consumabilità di servizi alla riduzione del costo dei servizi stessi.

I nuovi protocolli open: vantaggi e svantaggi per la CyberSecurity

Disegnare e gestire infrastrutture di questo tipo richiede competenze specifiche sui protocolli utilizzati. Infatti i sistemi SCADA (Supervisory Control and Data Acquisition) inizialmente erano “chiusi”, e cioè i Programmable Logic Controller (PLC) comunicavano con sensori e attuatori tramite protocolli di comunicazione proprietari come Modbus, RTU, RP-570 e Conitel. Ad un certo punto Modbus è stato reso aperto da Shneider Eletric, e sono nati i protocolli standard come IEC 60870-5-101 o 104, IEC 61850 e DNP3.

Oggi gran parte di questi protocolli hanno estensione per Transmission Control Protocol /Internet Protocol (TCP/IP). Questo rende sicuramente i protocolli più facilmente gestibili, accessibili dall’esterno ed integrabili con il resto dell’Information Technology. Consente anche una migliore ottimizzazione dei processi e della gestione, e la possibilità di intervenire con facilità accedendo da remoto. Esattamente per le stesse ragioni, però, questi sistemi diventano più facilmente attaccabili con le stesse tecniche utilizzate per attaccare sistemi IT classici, con la differenza che questi sistemi sono spesso estremamente critici.

Non si tratta solo dei protocolli. Anche le Human Management Interface (HMI) sono passate da essere proprietarie o addirittura meccaniche ad essere sistemi open.

Uno degli incidenti più conosciuti in ambito industriale, STUXNET, non ha sfruttato il fatto che i sistemi fossero collegati con internet. I sistemi erano in realtà estremamente isolati ma un sistema open era parte dell’infrastruttura. L’attaccante o gli attaccanti hanno raggiunto il sistema isolato tramite una chiavetta USB e hanno sfruttato quattro vulnerabilità non conosciute su questo sistema open.

Come mitigare il problema di Cybersecurity

Per mitigare il problema non basta certamente portare le pratiche di gestione del servizio da IT a sistemi industriali.

Prendiamo per esempio l’installazione di patch (gestione dei cambi). In ambiente IT classico il buon senso suggerisce di installare le patch in un ambiente di test, prima di andare in un ambiente di produzione. Malgrado ciò, l’installazione di una patch richiede mediamente centinaia di giorni. Ma cosa succede in ambiente industriale? Non tutti hanno la possibilità di provare una patch in ambiente di test perché l’ambiente di test spesso non esiste. Pertanto, in un sistema industriale serve imparare a convivere con le vulnerabilità.

Considerazione simile potrebbe essere fatta per la ricerca di vulnerabilità. I sistemi industriali, anche se digitali, sono estremamente delicati e non accessibili agli scanner classici che vengono usati in ambienti IT. Più che ricercare vulnerabilità, è necessario adottare un approccio di tipo “what if” e cioè rispondere alla domanda “cosa succederebbe se?”.

I dispositivi intelligenti vengono catturati dagli hacker: come metterli in sicurezza

I dispositivi intelligenti, i sensori e gli attuatori non sono solo nelle fabbriche. Si prevede che nel 2023 saremo circondati da 1 trilione di dispositivi intelligenti collegati. Questo è quello che viene chiamato Intenet delle Cose (IoT). Anche quando si parla di IoT i vantaggi sono indiscutibili, però gli impatti sulla sicurezza sono altrettanto rilevanti.

Iniziamo con la motivazione degli hacker. Gli attaccanti sono interessati non solo a compromettere un servizio, ma anche a catturare un dispositivo che verrà successivamente utilizzato per attaccare un servizio tramite movimenti laterali nella rete. Questo può avvenire o utilizzando il dispositivo come base per un attacco di tipo DDoS (Distributed Deny of Service) o semplicemente utilizzando il dispositivo come miner per generare criptovaluta. I dispositivi catturati vengono poi messi sul mercato nero affinché possano essere utilizzati per gli scopi più vari. L’implicazione è che se fino a qualche anno fa gli investimenti sulla sicurezza potevano essere fatti in funzione del valore del servizio e costo dell’asset, oggi questo non è più possibile. Si pensi ad esempio a MIRAI, il malware che ha compresso telecamere di videosorveglianza affinché le stesse venissero usate come base per un attacco di tipo DDoS. Il valore del servizio ed il costo delle telecamere sono risibili, ma il danno provocato a terzi è immenso.

Questo suggerisce che ogni qual volta viene inserito un dispositivo intelligente in un sistema, bisogna pensare a come metterlo in sicurezza utilizzando i controlli e i modelli di delivery che meglio si adattano al device, al servizio esplicito a cui il dispositivo è collegato, ma anche al sevizio implicito fornito dal dispositivo, e cioè a come altri dispositivi possano usarlo a prescindere della sua destinazione d’uso.