Valutazione del perimetro OT Fase 1: progettazione della rete

Perché la connessione tra IT e OT è così rischiosa

La concezione tradizionale delle reti di Tecnologia Operativa (OT) come isolate non riflette più la realtà. Nel panorama odierno, le reti OT si intrecciano con le reti IT, esponendole a tutti i tipi di minacce. La maggior parte degli attacchi informatici inizia nelle reti IT o esterne. Gli aggressori poi sfruttano le connessioni vulnerabili e si infiltrano nel lato OT. Affrontare queste minacce e proteggere il perimetro è spesso il passo più importante quando si tratta di sicurezza OT.

Una volta completato questo diagramma, lo utilizziamo durante le sessioni interattive con i suoi esperti. L'obiettivo di queste sessioni è verificare o completare il DFD confrontandolo con la situazione reale e rivedendo tutti i flussi di comunicazione noti.

Identificare le minacce

Una volta che abbiamo una visione approfondita del progetto di rete, è il momento di esaminare tutte le minacce potenziali e i punti di ingresso da e verso le reti OT. Per farlo, adottiamo un approccio inside-out. Partiamo dal punto di connessione delle reti IT e OT (livello 3.5 nel modello Purdue) e ci spostiamo verso l'esterno per valutare la rete IT (livello 4 e 5) e la rete OT (livello 1, 2 e 3).

Questo sembra piuttosto astratto, per questo motivo utilizzeremo alcuni esempi per evidenziare alcuni sistemi specifici in questo diagramma di rete ed esaminare le varie minacce che possono colpire questi sistemi.

Minaccia 1: il rischio di un controllo degli accessi permissivo

Nel diagramma di rete, contrassegnato da T01, possiamo vedere che ci sono più sistemi dual-homed collegati sia alla rete IT (firewall) che alla rete OT. Questi sistemi hanno due schede di interfaccia di rete (NIC) separate: una nella rete IT e una nella rete OT. Gli operatori e gli ingegneri utilizzano comunemente questi sistemi per accedere alla rete OT utilizzando un'applicazione di desktop remoto in esecuzione in un ambiente virtuale.

In questo particolare scenario, i sistemi dual-homed operano su VMware Vsphere: un ambiente virtuale completo che virtualizza reti, desktop e hardware per gli utenti aziendali. È comune utilizzare VMware per la compartimentazione, assicurando che i tecnici e gli operatori abbiano accesso solo ad ambienti specifici.

Tuttavia, il controllo di accesso basato sui ruoli per alcuni gruppi di utenti a questi ambienti può essere troppo permissivo, rappresentando potenzialmente una minaccia per la rete OT quando un aggressore ottiene l'accesso a un gruppo di utenti. Un'altra questione importante è se la piattaforma di virtualizzazione è dedicata all'OT o condivisa con l'IT. A volte abbiamo visto che questo dà la possibilità di 'evadere' dall'ambiente dell'operatore e di utilizzare questo sistema dual-homed come trampolino di lancio nella rete OT.

Più importante è la superficie di attacco dell'hypervisor stesso, il software vSphere. Poiché spesso viene gestito dal lato IT, le porte di manutenzione sono accessibili dalla rete IT. Una configurazione debole, versioni obsolete, password scadenti o la mancanza di gestione delle patch possono portare a vulnerabilità multiple con exploit noti. Tali exploit possono consentire a un aggressore di ottenere un accesso non autorizzato a questi ambienti o di uscire dall'ambiente virtuale dopo aver ottenuto l'accesso iniziale e, infine, di accedere alla rete OT o alle applicazioni OT.

Se osserviamo la parte T02 del diagramma, vediamo un'altra potenziale minaccia: la connessione tra i sistemi OT e il controller di dominio IT (DC). Questo server IT è responsabile della gestione di tutte le attività di autenticazione e di dominio di Active Directory (AD). In questo ambiente, il controller di dominio OT è collegato al DC IT mediante una relazione di fiducia. Questo è conveniente perché tutti gli utenti possono utilizzare le stesse credenziali in entrambi gli ambienti.

La relazione di fiducia potrebbe sembrare una soluzione sicura, ma in realtà crea una seria superficie di attacco sui sistemi OT. Quando gli account AD IT vengono compromessi, c'è il rischio immediato di un accesso non autorizzato alla rete OT. Inoltre, quando il controller di dominio IT viene abusato per distribuire il ransomware, tutti i sistemi uniti al dominio saranno compromessi, e in questo caso ciò include anche tutti i sistemi OT uniti al dominio.

Infine, sono necessarie molte porte di comunicazione tra i due controller di dominio, molte delle quali possono essere abusate. Soprattutto quando il controller di dominio OT viene patchato meno frequentemente, il che non è raro nel settore OT. Creando questa connessione, queste vulnerabilità possono essere raggiunte dalla rete IT. Si può notare l'assenza di un firewall in questo esempio, che renderebbe più facile l'attacco - ma anche con un firewall configurato il vettore di attacco è ancora presente.

Per l'ultimo esempio guardiamo al T03 del diagramma: i sistemi HVAC e UPS nella zona OT. Sebbene questi sistemi non siano direttamente collegati alla rete OT, spesso sono fondamentali per mantenere in funzione i sistemi di controllo industriale.

Tuttavia, in questo caso questi sistemi sono gestibili in remoto da un sistema di gestione degli edifici (BMS) per monitorare e mantenere questi sistemi. Quando questi sistemi sono gestiti male, magari da un altro reparto o addirittura da una terza parte remota, si potrebbe creare un altro percorso di attacco dall'IT che può influenzare indirettamente i sistemi OT, eludendo i firewall IT/OT che sono stati predisposti.

Come migliorare la sicurezza OT?

Questi sono solo alcuni esempi che mostrano quali tipi di debolezze nascoste possono essere presenti nell'attuale rete OT. Altri esempi possono essere le soluzioni di accesso remoto (sicuro) utilizzate internamente o da terzi, l'infrastruttura decentralizzata con connettività WAN, i servizi cloud esterni, le connessioni MES o ERP, gli storici dei dati, le apparecchiature con interfacce web o altre interfacce remote e molti altri.

Naturalmente, l'assessment non si ferma alla revisione della progettazione, e l'obiettivo finale è quello di affrontare i problemi che abbiamo appena menzionato e ridurre la superficie di attacco. La Valutazione del perimetro OT completa comprende:

• Comprensione del progetto di rete
• Analisi della configurazione del firewall
• Scansione del sistema OT e del traffico di rete

In due prossimi articoli, parleremo dell'analisi della configurazione del firewall e delle parti di scansione dell'assessment. Nel frattempo, può leggere ulteriori informazioni sulla Valutazione del Perimetro OT, oppure può scaricare la brochure qui sotto.