Nel corso della pandemia sono aumentati i cyber attacchi che approfittano anche della nuova vulnerabilità della fabbrica intelligente e connessa, secondo il paradigma industria 4.0. Fra le tendenze segnalate dall’Osservatorio emerge, come risposta, l’accelerazione degli investimenti in OT security, a cui però non si accompagna un’adeguata maturità, visto che solo un’impresa su due ha introdotto policy conseguenti e meno di un terzo prevede attività di formazione specifiche.
Integrazioni tra IT e OT nella fabbrica intelligente
In un paese manifatturiero come l’Italia che sta vedendo una trasformazione della produzione secondo il paradigma Industria 4.0, giunge particolarmente utile l’intervento di Stefano Zanero, Professore Associato del DEIB del Politecnico di Milano, fra i primi con il suo gruppo di ricerca ad analizzare le vulnerabilità dei robot industriali.
“Studiare come il contesto della fabbrica intelligente crei vulnerabilità è stata la naturale evoluzione, dopo esserci inizialmente occupati di sicurezza nel campo della robotica”, esordisce Zanero, ricordando come in passato il contesto manifatturiero fosse tradizionalmente poco esposto ai rischi di cyber. Il cambio già in atto è stato però accelerato dalla pandemia che ha avuto un impatto profondo anche sul settore manifatturiero sia a causa del lavoro a distanza sia, ad esempio, della manutenzione da remoto che ha consentito di mantenere in funzione molte fabbriche.
“Sotto lo stimolo degli investimenti Industria 4.0, molte imprese, anche tra le PMI, si sono orientate a infrastrutture informatizzate in fabbrica -sottolinea – Ne derivano scenari di vulnerabilità interessanti da studiare dove la fragilità dell’OT si combina con quella dei sistemi IT”.
Analizzando la casistica degli attacchi subiti dai sistemi industriali, si vede che generalmente partono da un attacco ai sistemi IT (spesso basati su tecniche banali come il social engineering lo spearphishing) per poi dirigersi verso i sistemi OT.
Nel settore manifatturiero c’è però ancora scarsa capacità di reagire anche a causa di una cultura aziendale lontana dalla cyber security. Ma nel momento in cui c’è l’integrazione fra i sistemi IT e OT, realizzata per ottenere i vantaggi tipici del modello Industria 4.0, l’interconnessione rischia di diventare un vettore di potenziale vulnerabilità.
Le vulnerabilità della programmazione dei linguaggi specifici di dominio
Uno dei punti di attenzione (complessivamente affrontati in lavori scientifici pubblicati sul sito RoboSec.com e che di seguito vengono indicati per sommi capi) riguarda le vulnerabilità tipiche dei linguaggi specifici di dominio, dedicati alla programmazione per i robot, per le macchine a controllo numerico e altri linguaggi specifici creati dai produttori. “Analizzando questi linguaggi ci siamo resi conto della presenza di funzionalità di basso livello, sulle quali persino i programmatori con background informatico preferiscono non intervenire, essendo ormai abituati a usare librerie che astraggono questo livello di programmazione”.
La cultura di programmazione informatica in una fabbrica intelligente prevede infatti il ricorso a librerie che incorporano componenti già realizzati in modo sicure che consentono di abbassare il tasso di errori. Ma ciò non avviene nel mondo dei linguaggi domain specific. “Il modo tipico in cui i programmatori di robot li fanno dialogare consiste nell’aprire a livello di codice un socket, come accadeva con la programmazioni in C, per scambiare i dati – spiega Zanero – Questo approccio nasce anche dal fatto che i robot vengono programmati da ingegneri dell’automazione con un focus del tutto diverso dall’informatica”.
Non sorprende dunque che ne derivino vulnerabilità anche macroscopiche che rappresentano un tema ancora aperto. Per questi codici non esistono ad esempio sistemi di analisi statici in grado di trovare le vulnerabilità. “Noi ne abbiamo realizzato uno di natura scientifica a livello PoC”, sottolinea, evidenziando che neppure esistono degli adeguati percorsi di formazione che si estendano a tutta la filiera della progettazione.
D’altra parte, anche presso le aziende si riscontrano sensibilità diverse: alcune sono consapevoli del fatto che avendo aperto le proprie infrastrutture OT di fabbrica verso il mondo IT devono occuparsi di questo nuovo problema e che serve una nuova attenzione alla sicurezza, altre sono del tutto inconsapevoli.
Quali punti di attenzione
La ricerca “Attacks on Smart Manufacturing Systems” (su Robosec.org), che sintetizza il lavoro di ricerca segnalato da Zanero, evidenzia le principali aree sensibili per la sicurezza in un tipico sistema di smart manufacturing:
- Le componenti aggiuntive, le estensioni, le app del software industriale possono rappresentare potenti vettori di attacco finora mai presi seriamente in considerazione.
- I dispositivi IoT industriale (IIoT) che stanno guadagnando popolarità perché consentono di realizzare una logica di automazione completamente personalizzata, a differenza dell’hardware tradizionale (PLC), rischiano di aprire varchi se non si crea un cambiamento nel modello di gestione della sicurezza
- Le interfacce uomo-macchina (HMI), componente centrale dell’ecosistema della produzione intelligente, aumentano la superficie di attacco in quanto sono computer generalisti con molte interfacce, ma essendo aggiornati raramente, sono soggetti alle vulnerabilità del software.
- Il sistema di esecuzione della produzione (MES) è l’endpoint più sensibile in un sistema di produzione intelligente perché funge da ponte affidabile tra la produzione e il resto della rete aziendale. Se non viene progettato pensando alla sicurezza può causare gravi danni anche solo con una piccola alterazione in uno dei database.
- Le macchine di produzione complesse e programmabili come i robot industriali possiedono una potenza di calcolo che può andare oltre l’esecuzione di movimenti fisici per cui sono sati pensati. Visti come computer general purpose, non solo possono essere una fonte di vulnerabilità, ma possono esser violati per nascondere malware in grado di eludere attuali soluzioni di protezione degli endpoint.
MADE: un modo per sperimentare rischi e protezioni nella fabbrica intelligente
I problemi da affrontare sono tanti e complessi. Può dunque essere utile alle imprese l’iniziativa del Politecnico di Milano, capofila con una serie di partner industriali e accademici, del consorzio MADE, un ambiente da 2500 mq in fase di completamento, che presto metterà a disposizione dimostratori di funzionalità nel mondo industria 4.0. All’interno è previsto un corner dedicato alle problematiche di sicurezza che presenterà scenari di attacco molto realistici e dimostrazioni di alcuni meccanismi di protezione che le aziende dovrebbero considerare.
