Nel recente report dell\u2019Enisa, l\u2019agenzia europea che si occupa di sicurezza delle reti e delle informazioni, si parla anche dei trend e delle minacce alla security dei sistemi di automazione, controllo e telecontrollo a presidio di macchinari e impianti<\/p>\n
di Enzo Maria Tieghi<\/em><\/p>\n A fine gennaio l\u2019Enisa, l\u2019agenzia europea per la Network and Information Security, ha rilasciato il report \u201cEnisa Threat Landscape Report 2018 – 15 Top Cyberthreats and Trends\u201d. Si tratta di un documento sullo stato della cyber security nell\u2019Unione Europea e a livello globale. A livello generale il report Enisa evidenzia che: i messaggi di posta e di phishing sono diventati il principale vettore di infezione da malware; i kit di exploit hanno perso la loro importanza nel panorama del cyberthreat; i cryptominer sono diventati un importante vettore di monetizzazione per i criminali informatici; gli agenti sponsorizzati dallo Stato si rivolgono sempre pi\u00f9 alle banche utilizzando i vettori di attacco utilizzati nel crimine informatico; migliorare skill e capability sono l\u2019obiettivo principale di chi si deve difendere, e le organizzazioni pubbliche lottano per fidelizzare il personale a causa della forte concorrenza con l\u2019industria nell\u2019attirare i talenti della sicurezza informatica; l\u2019orientamento tecnico della maggior parte dell\u2019intelligence rivolta al cyberthreat \u00e8 considerato un ostacolo alla sensibilizzazione del management; l\u2019intelligence deve rispondere agli attacchi sempre pi\u00f9 automatizzati con nuovi approcci e l\u2019utilizzo di strumenti e competenze a loro volta automatizzati; l\u2019emergere di ambienti IoT rimane un problema a causa della mancanza di meccanismi di protezione nei dispositivi e nei servizi IoT di fascia bassa, cos\u00ec la necessit\u00e0 di architetture e buone pratiche di protezione IoT generiche \u00e8 ora ancora pi\u00f9 pressante; l\u2019assenza di soluzioni di intelligence cyberthreat per PMI e utenti finali deve essere affrontata sia dai fornitori che dai governi.<\/p>\n Preferire la visibilit\u00e0 all\u2019oscurit\u00e0<\/strong> Non solo proteggere il perimetro ma anche segmentare e segregare<\/strong> Tre problematiche principali<\/strong> Limitare l\u2019accesso da remoto ai sistemi industriali<\/strong> Autore: Enzo Maria Tieghi, Ceo di ServiTecno e membro del comitato scientifico del Clusit.<\/p>\n","protected":false},"excerpt":{"rendered":" Nel recente report dell\u2019Enisa, l\u2019agenzia europea che si occupa di sicurezza delle reti e delle informazioni, si parla anche dei trend e delle minacce alla security dei sistemi di automazione, controllo e telecontrollo a presidio di macchinari e impianti di Enzo Maria Tieghi A fine gennaio l\u2019Enisa, l\u2019agenzia europea per la Network and Information Security, …<\/p>\n","protected":false},"author":4,"featured_media":1045,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_seopublitec_title":"","_seopublitec_meta_desc":"","_seopublitec_keyphrases":"","_seopublitec_canonical":"","_seopublitec_noindex":false,"_seopublitec_nofollow":false,"_seopublitec_og_title":"","_seopublitec_og_desc":"","_seopublitec_twitter_title":"","_seopublitec_twitter_desc":"","_seopublitec_twitter_image":"","_seopublitec_og_image":"","_seopublitec_twitter_card":"","_seopublitec_cornerstone":false,"_seopublitec_score":""},"categories":[27],"tags":[],"class_list":["post-1044","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologie"],"openstation_lock":null,"openstation_contributors":[],"openstation_attached_media":[1045],"_links":{"self":[{"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/posts\/1044","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/comments?post=1044"}],"version-history":[{"count":1,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/posts\/1044\/revisions"}],"predecessor-version":[{"id":1046,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/posts\/1044\/revisions\/1046"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/media\/1045"}],"wp:attachment":[{"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/media?parent=1044"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/categories?post=1044"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.publiteconline.it\/controlloemisura\/wp-json\/wp\/v2\/tags?post=1044"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\nOccupandoci da anni del tema OT\/ICS cyber security, siamo andati a vedere che cosa si pu\u00f2 trovare nel report Enisa con specifico riferimento a proposito di rischi, minacce e accadimenti relativi a problemi di security per sistemi e reti di automazione, controllo e telecontrollo a presidio di macchinari e impianti nell\u2019Industria e nelle Utility.
\nEcco tre consigli che tutti gli operatori del settore industriale e delle utilities dovrebbero tenere in considerazione.Il primo \u00e8 preferire la visibilit\u00e0 all\u2019oscurit\u00e0: oggi, uno dei motti pi\u00f9 azzeccati per meglio proteggere reti e sistemi di fabbrica \u00e8 sicuramente \u201cSecurity-by-Visibility\u201d, in contrapposizione alla \u201cSecurity-by-Obscurity\u201d che per lungo tempo \u00e8 stato uno dei mantra della cyber security industriale, ovvero cercare di \u201cnascondere\u201d il sistema da proteggere, rendendolo meno visibile, e coprirne le caratteristiche per renderlo meno attaccabile. Nel tempo si \u00e8 visto che questo tipo di approccio \u201cSecurity-by-obscurity\u201d non rende il sistema pi\u00f9 sicuro.
\nQuindi ora si preferisce adottare contromisure adeguate alla criticit\u00e0 e importanza del sistema ICS, e al contempo avere la massima visibilit\u00e0 su quanto succede in rete e sul sistema per accorgersi il prima possibile di eventuali anomalie di comportamento che possano dare indizi su eventuali compromissioni in atto e incidenti incombenti.
\nNel febbraio 2018 \u00e8 stato segnalato il primo episodio di malware di cryptomining (un server utilizzato per svolgere catene di cryptovalute) trovato nei sistemi SCADA di una utility idrica, collegato a Internet. Questo incidente non \u00e8 stato l\u2019unico.
\nNe consegue che un sistema collegato a internet, con scarsa protezione perimetrale, \u00e8 facilmente compromissibile. In secondo luogo, \u00e8 indispensabile avere visibilit\u00e0 su quanto avviene nei sistemi ICS per accorgersi all\u2019istante se ci sia incorso qualche attivit\u00e0 non prevista e potenzialmente malevola.<\/p>\n
\nDa sempre suggeriamo di segmentare la rete e segregare in modo adeguato i componenti pi\u00f9 critici del sistema di controllo.
\nA questo riguardo lo standard IEC 62443, riprendendo il cosiddetto modello PERA (Purdue Enterprise Reference Architecture), approfondito anche in ISA-95 e ISA99, definisce come la suddivisione in zone debba essere seguita, e come limitare al massimo i conduit che permettono comunicazioni di informazioni tra una zona e l\u2019altra, che dovranno poi essere presidiati adeguatamente.
\nNel report si spiega che \u201cIl 64% dei principali incidenti che riguardavano sistemi o reti di controllo industriale sono stati ransomware\u201d (nel 2018).
\nNella stragrande maggioranza, il ransomware arriva sulla rete del sistema OT\/ICS che gestisce l\u2019impianto o la macchina in fabbrica, come \u201cdanno collaterale\u201d di un allegato di email o di una navigazione su un sito infetto aperto da un PC negli uffici di sede.
\nQuasi sempre, una volta arrivato sulla rete di stabilimento il ransomware ha vita facile a propagarsi, infettare altri PC, bloccare il funzionamento criptando i dischi e rendendo inutilizzabile il sistema, e di conseguenza bloccare i sistemi di automazione e controllo.<\/p>\n
\nOra, a nostro modo di vedere qui si evidenziano tre ordini di problemi. Le policy di awareness\/training di security delle aziende coinvolte non sono cos\u00ec efficaci e qualcuno ancora apre allegati di posta infetti o naviga su siti poco raccomandabili. Le contromisure tecnologiche di security adottate non sono adeguate a bloccare queste campagne di ransomware. Il fatto che un ransomware che colpisce la rete di ufficio venga a propagarsi nella rete di fabbrica evidenzia il fatto che non ci sia una protezione perimetrale, n\u00e9 una corretta segmentazione della rete, n\u00e9 una segregazione adeguata dei computer pi\u00f9 critici nei reparti di produzione.
\nE molto probabilmente risulta lacunosa anche la pratica di effettuare correttamente i backup di tutti i sistemi utilizzati in fabbrica (PC, PLC, SCADA e via dicendo): questo, anche in caso di incidente, potrebbe limitare i danni a poche ore di fermo, senza causare giorni e giorni di mancata produzione o erogazione del servizio.<\/p>\n
\nNel report ETL2018 di Enisa si evidenzia come la distribuzione indiscriminata di RAT (Remote Access Tool) sui sistemi ICS sia una pratica diffusa e che procura grossi fastidi. Sono infatti installati sul 40% dei computer nei sistemi ICS.
\nMa se poi scendiamo nel dettaglio della ricerca Kaspersky richiamata nel report ETL2018, scopriamo anche che questi tool sono installati legittimamente solo su meno di un terzo dei sistemi ICS. Emerge quindi nuovamente un problema di scarsa \u201cvisibilit\u00e0\u201d sul sistema ICS.
\nLa figura 2 tratta da un recente rapporto che rivela i venti principali paesi in cui sono stati utilizzati i RAT almeno una volta in incidenti di spionaggio durante il primo semestre del 2018.<\/p>\n