L’attenzione crescente alla sicurezza IT, che si ricava da pubblicazioni periodiche come quelle realizzate a cura del Clusit, oggi si sta ampliando anche all’ambito OT (Operational Technology) e IIoT (Industrial Internet of Things). Questo perché nell’era di Industry 4.0 l’interconnessione con reti e sistemi all’interno di un perimetro sempre più esteso, che va oltre le mura dello stabilimento e dello shop floor, contribuisce a esporre i contesti produttivi a quegli stessi attacchi che fino a qualche anno fa si concentravano soprattutto negli ambienti IT. Sono indicatori evidenti di questa attenzione in aumento riguardo alla sicurezza industriale i report pubblicati con maggiore frequenza, report attraverso i quali si cerca di analizzare lo stato dell’arte e la situazione in cui versano le imprese su questo particolare fronte. Soltanto nel mese di luglio, ad esempio, ne sono stati diffusi almeno 3 la cui attendibilità è garantita dall’importanza dei relativi estensori. Di questi, 2 (The State of Industrial Security in 2022 di Barracuda e OT: Icefall di Forescout) si focalizzano in maniera specifica sul tema della sicurezza OT/IIoT, mentre il terzo (Exprivia Threat Intelligence Report) fa una sintesi delle minacce informatiche registrate nel primo semestre del 2022.
Industrial Security: 94% delle aziende ha subito un incidente
La premessa da cui parte lo studio condotto da Barracuda è che un accesso remoto insicuro insieme alla mancanza di segmentazione della rete e a un’insufficiente automazione lasciano le organizzazioni aperte agli attacchi. L’indagine si basa su una survey che ha coinvolto 800 tra responsabili IT, responsabili della sicurezza e project manager da cui dipendono i progetti IIoT e OT delle varie organizzazioni. Molti i settori presi in esame, da quello dell’agricoltura alla biotecnologia, dall’edilizia all’energia, dalla sanità al manifatturiero fino al retail e al comparto delle telco. I partecipanti provengono da Stati Uniti, Australia ed Europa. Nel vecchio continente sono rappresentati diversi paesi, ma l’Italia non è fra questi. Il che non vuol dire che da noi i rischi siano minori, visto che una delle principali evidenze della ricerca è che gli attacchi hanno raggiunto ormai carattere endemico. In sostanza, il 94% dei rispondenti ammette di avere subito un incidente di sicurezza negli ultimi 12 mesi.
Autenticazione a più fattori, così semplice ma poco diffusa
L’altro risultato emerso è che i dispositivi IIoT e OT oggi sono diventati un obiettivo ambito da parte degli hacker, ma ciò non toglie che persistano fattori di vulnerabilità che potrebbero essere facilmente risolti come l’uso modesto dell’autenticazione a più fattori o MFA (multifactor authentication). Solo il 18% delle aziende intervistate limita infatti l’accesso alla rete o richiede l’autenticazione a più fattori per l’accesso remoto alle reti OT. Perfino nelle industry più critiche come quelle energetiche viene consentito ancora, nel 47% dei casi, l’accesso da remoto a utenti esterni senza MFA. Nonostante queste lacune elementari (o forse proprio per questo), le organizzazioni sono consapevoli dell’importanza di dover investire ancora di più nella sicurezza IIoT e OT. Lo ammette il 96% degli intervistati, mente il 72% conferma di avere già implementato progetti di sicurezza IIoT/OT o di essere in procinto di farlo. Chi l’ha fatto, tuttavia non sempre è riuscito a condurre a buon fine il progetto, se è vero che ben il 93% delle aziende interpellate non l’ha portato a termine con successo.
Come superare le 56 Common Vulnerabilities and Exposures OT
L’analisi svolta da Forescout in collaborazione con Vedere Labs, e rilanciata in Italia dal suo distributore Ingecom, prende le mosse dall’assunto dei suoi curatori dell’insecurity by design delle reti OT, tradizionalmente isolate e costruite su tecnologie non sicure né facilmente aggiornabili. È frutto di 10 anni di lavoro portato avanti dal progetto di ricerca denominato Project Basecamp in cui l’Icefall, la “cascata di ghiaccio”, fa riferimento alla seconda tappa del percorso dell’Everest, successiva a quella del “campo base” (base camp, appunto). Dato il numero crescente di rivelazioni di vulnerabilità OT, l’idea di fondo è che non ci si trova all’inizio del percorso, ma che c’è ancora una montagna da scalare per proteggere questi dispositivi e protocolli. A differenza della survey di Barracuda, che sonda la situazione dal punto di vista degli utilizzatori finali, OT: Icefall quindi identifica 56 vulnerabilità o CVE (Common Vulnerabilities and Exposures) sui dispositivi dei principali produttori mondiali suddividendoli in 4 categorie: protocolli non sicuri, crittografia debole o schemi di autenticazione compromessi, aggiornamenti firmware non sicuri e possibilità di eseguire codice da remoto tramite funzionalità native. Molti di questi prodotti sono venduti come secure by design o risultano addirittura certificati con standard di sicurezza OT quali l’IEC 62443 oppure il GE Achilles Communications Certification. Da qui l’invito dello studio rivolto sia ai fornitori, affinché risolvano quanto prima i problemi di sicurezza dei loro prodotti, sia alle imprese proprietarie degli asset, affinché valutino correttamente i rischi e applichino le patch regolarmente. Inoltre, ulteriori suggerimenti comprendono la necessità di abilitare il monitoraggio delle reti OT e, contestualmente, l’ispezione di pacchetti basati su protocolli proprietari. Infine, non va dimenticata l’importanza di isolare le reti OT/ICS da quelle aziendali e da Internet, nonché di limitare le connessioni a postazioni specificamente autorizzate.
Cybersecurity, è giunto il momento di proteggere anche l’industria
La terza indagine raccoglie informazioni da più di 100 fonti aperte, tra siti di aziende colpite e agenzie di stampa, per convogliarle nell’Osservatorio Cybersecurity con cui Exprivia esamina periodicamente l’andamento delle minacce informatiche nel nostro paese. L’ultimo Osservatorio ha appurato che nel primo semestre del 2022 in Italia c’è stato un boom di fenomeni superiore all’intero anno 2021. In totale, 1.572 attacchi, incidenti e violazioni della privacy, a fronte dei 1.356 casi complessivi dello scorso anno. I malware, con 316 casi riscontrati, mantengono ancora il primato nella classifica delle tecniche più utilizzate dai criminali informatici nel secondo trimestre del 2022, ma anche gli attacchi DDoS tra aprile e giugno segnano un incremento vertiginoso. Tra le motivazioni che hanno spinto gli attaccanti, prevale il cybercrime, seguito al secondo posto dal cyber warfare, i cui fenomeni sono quintuplicati rispetto allo scorso trimestre a causa del protrarsi del conflitto Russia-Ucraina, e al terzo posto dal data breach. Il Finance, com’era prevedibile, rappresenta il settore maggiormente colpito (763 casi). A notevole distanza, le società ICT, quelle che offrono servizi digitali, le piattaforme di e-commerce, i dispositivi e i sistemi operativi sono tutti presi di mira spesso con lo scopo di rubare credenziali di accesso o informazioni sensibili. Non stupisce infine che al terzo posto tra i settori scelti dai cyber attack si trovi quello dell’industria, con 68 casi. A conferma di quanto riportato dalle altre due ricerche e come stimolo, se mai ce ne fosse bisogno, a non tergiversare lungo la strada della messa in sicurezza di dispositivi, protocolli e reti OT/IIoT.
