Zero Trust in ambito OT: come mitigare la debolezza dei sistemi industriali basati sulla fiducia

Gli attacchi informatici in ambito OT sono in rapido aumento e il rischio principale è quello dell’interruzione delle attività, con conseguenti danni non solo economici e alla reputazione, ma anche alla catena di fornitura e alla sicurezza delle persone e delle infrastrutture critiche. Per questo, sempre più spesso nella definizione di una strategia difensiva le aziende adottano un approccio Zero Trust anche in ambito OT.

Zero Trust Security: cos’è, quali sono i principi cardine e i fondamenti applicativi

Rendere sicuri i sistemi che si fondano sulla fiducia

Vero è, infatti, che nel mondo digitale si assiste a una erosione e svalutazione del concetto di fiducia. Quando Internet è nata, tutti i computer connessi in rete erano considerati “fidati”. Il numero dei sistemi e degli utenti era allora molto ristretto, così essi non necessitavano di meccanismi per conoscere ogni identità che inviava dati in rete.

Agli albori di Internet le prime vulnerabilità di sicurezza erano legate allo spoofing degli indirizzi IP di macchine considerate fidate in una certa rete locale, oppure all’utilizzo di protocolli (rlogin, rsh) che permettevano di estendere la connettività ad altre macchine fidate.

Man mano che i sistemi e gli utenti crescevano, quella fiducia iniziale diminuiva e i primi meccanismi di sicurezza venivano aggiunti per supportare l’identificazione di chi contattava altri utenti in rete

Ricordiamo che la tecnologia blockchain, creata nel 2008 da S. Nakamoto, inventore del protocollo bitcoin, oggi è considerata una tecnologia emergente in grado di evitare qualunque forma di controllo centrale sul suo funzionamento. La conclusione dell’articolo originale di S.Nakamoto così recita: “Abbiamo proposto un sistema per la transazioni elettroniche senza fare affidamento sulla fiducia”.

Come vedremo in seguito, oggi più che mai, i sistemi che si fondano sulla fiducia, siano essi i protocolli di rete, le tecnologie sottostanti, le questioni legate alla privacy, tutti necessitano di essere resi più sicuri.

Dagli ultimi report pubblicati di recente si evince infatti che l’Italia subisce il 7,6% degli attacchi a livello mondiale. Sarà dunque questo il filo conduttore del presente articolo in cui si intende presentare un’analisi del concetto di Zero Trust in ambito OT.

Così recita il NIST (National Institute of Standards and Technology) con riferimento al documento SP 800-207 che introduce la cosiddetta Zero Trust Architecture:

“Zero trust (ZT) è il termine per un insieme in evoluzione di paradigmi di sicurezza informatica che spostano le difese da perimetri statici basati sulla rete per concentrarsi su utenti, asset e risorse.

Un’architettura zero trust (ZTA) utilizza i principi zero trust per pianificare l’infrastruttura e i flussi di lavoro industriali e aziendali.

Zero trust presuppone che non vi sia alcuna fiducia implicita concessa alle risorse o agli account utente in base esclusivamente alla loro posizione fisica o di rete (ad esempio, reti locali rispetto a Internet) o basata sulla proprietà delle risorse (di proprietà aziendale o personale).

L’autenticazione e l’autorizzazione (sia dell’utente che del dispositivo) sono funzioni discrete eseguite prima che venga stabilita una connessione a una risorsa aziendale.

Zero trust è una risposta alle tendenze della rete aziendale che includono utenti remoti, BYOD (Bring Your Own Device) e risorse basate su cloud che non si trovano all’interno di un perimetro di proprietà dell’azienda”.

Nel documento sono descritti tre approcci principali per l’adozione di ZT: Using Enhanced Identity Governance, Using Micro-Segmentation e Using Network Infrastructure e Software Defined Perimeters.

Un’organizzazione che cerca di sviluppare una Zero Trust Architecture (ZTA) per la propria azienda potrebbe scoprire che lo scenario scelto e le policies esistenti determinano un approccio piuttosto che un altro.

Ciò non significa che gli altri approcci non sarebbero corretti, ma piuttosto che altri approcci potrebbero essere più difficili da implementare e potrebbero richiedere modifiche più complesse ai processi di business.

Da qui la necessità di iniziare questa analisi e implementazione di una ZTA attraverso una Gap Analysis.

Nel seguito cercheremo di chiarire questi concetti.

Le sfide nel mondo OT e l’importanza della ZTA

Nel mondo cyber security OT (Operational Technology) ci sono spesso vulnerabilità associate ai componenti, ad esempio, facendo riferimento alla Top10 di OWASP troviamo questo (minimo) elenco di controlli da effettuare:

1. password deboli da indovinare o codificate;
2. servizi di rete non sicuri;
3. interfacce insicure;
4. mancanza di un meccanismo di aggiornamento sicuro;
5. uso di componenti non sicuri o obsoleti;
6. protezione della privacy insufficiente;
7. trasferimento e archiviazione dati non sicuri;
8. mancanza di gestione dei dispositivi;
9. impostazioni predefinite non sicure;
10. mancanza di tecniche di hardening.

Ovvero problematiche di:

1. Assets (“SBOM”-Sw Bill of Materials) non censiti correttamente o completamente mancanti);
2. reti e sottoreti non isolate con componenti/sistemi eterogenei e spesso obsoleti;
3. porte e servizi non necessari lasciati aperti;
4. sistemi legacy senza controlli particolari;
5. software updates non regolari o non eseguiti;
6. mancanza di Vulnerability Assessments regolari;
7. mancanza delle regole di Sviluppo Sicuro del codice;
8. mancanza di controlli sui software open source.

Ci vengono in aiuto allora standard e best practice che ci indicano i requisiti di prodotto e di processo di sviluppo.

Standard e best practice in ambito OT

La serie di standard ISA / IEC 62443, sviluppata dal comitato ISA99 e adottata dalla Commissione elettrotecnica internazionale (IEC), fornisce un quadro flessibile per affrontare e mitigare le vulnerabilità di sicurezza attuali e future nei sistemi di automazione e controllo industriali (ICS) e in molti altri ambiti come prodotti di tipo IoT, Smart building, settore Energy e Medical devices.

L’utilizzo dell’approccio Zero Trust semplificherà l’implementazione della serie di standard ISA/IEC-62443, consentendo alle organizzazioni di migliorare la sicurezza dei loro sistemi OT critici. Ad esempio, la tecnica della micro-segmentazione ha somiglianze con i concetti di zone e condotti della norma IEC 62443.

Un “Executive Order” in America emanato già nel maggio 2021, imponeva maggiori controlli di sicurezza sui sistemi che elaborano i dati (tecnologia dell’informazione (IT)) e quelli che fanno funzionare i “macchinari vitali che garantiscono la nostra sicurezza (ovvero “Safety”). Includeva anche la necessità di sviluppare un piano per la ZTA con particolare enfasi su questo concetto.

Infine, un recente documento, sempre del NIST, ovvero il SP 1800-35A, ancora in fase preliminare, intende fornire dettagli per l’implementazione di una ZTA. Proprio questo documento può essere di particolare interesse per il mondo OT, in cui si assiste ad una sempre maggiore connettività, gestione di applicazioni in Cloud, e processi di sviluppo sempre più distribuiti tra numerosi siti. Il documento nasce con l’intento di collegare il concetto ZTA in ambito OT ad altri possibili Framework come il CSF (Cybersecurity Framework) dello stesso NIST, usato sia in ambito IT che OT.

I principi su cui si fonda la ZTA per il mondo OT si possono riassumere nel seguente modo:

1. Tutte le fonti di dati e i servizi informatici sono considerati risorse (Assets).
2. Tutte le comunicazioni sono protette indipendentemente dalla posizione della rete.
3. L’accesso alle risorse è determinato da criteri dinamici e può includere attributi comportamentali e ambientali.
4. Nessuna risorsa è intrinsecamente attendibile (zero trust).
5. Tutte le autorizzazioni e l’autenticazione delle risorse sono dinamiche e rigorosamente applicate prima che sia consentito l’accesso.
6. Qualunque azienda deve raccogliere quante più informazioni possibili sullo stato attuale delle risorse, dell’infrastruttura di rete e delle comunicazioni e le utilizza per migliorare il proprio livello di sicurezza (Continuous monitoring).

Esempi di settori OT dove applicare la ZTA

Ecco alcuni esempi di contesti OT in cui può operare la ZTA:

• Industry4.0 dove la segmentazione delle reti è un fattore fondamentale. Basandosi sul modello della Purdue University, la segmentazione in zone, sottozone e relativi collegamenti (conduits) permette di realizzare più velocemente il concetto di ZTA.
• Multi-cloud/Cloud-to-Cloud Enterprise per chi utilizza più fornitori di servizi cloud.
• Supply Chain in ambito OT con fornitori esterni e/o accesso del personale non dipendente.
• Industry4.0 con servizi rivolti al pubblico o ai clienti ovvero un servizio che può includere o meno la registrazione degli utenti sia aziendali che esterni.
• Data security: tutti i settori in cui ci sono scambi di dati con volumi di una certa entità come Automotive, Telecomunicazioni, 5G.
• Ambiti dove eventuali cyber/attacchi hanno impatti sulla Safety (Sanità, Smart IoT, Robot industriali).

Grazie all’approccio ZTA si è in grado di “capire” la sicurezza in modo più dettagliato e granulare rispetto ad approcci tradizionali.

Gestione dei rischi in ambito OT: come affrontarli nei diversi settori

Come implementare una Zero Trust Architecture in ambito OT

Come per i framework di cyber security in ambito IT, anche la Zero Trust Architecture, applicata al settore OT deve essere implementata con una GapAnalysis/Risk Analysis iniziale.

Le principali minacce e di conseguenza controlli da effettuare associate alla Zero Trust Architecture sono:

• Denial of Service;
• credenziali;
• visibilità sulla rete;
• elementi di memorizzazione dati;
• zero-day;
• ransomware;
• eavesdropping.

Ecco gli step per introdurre Zero Trust Architecture in una rete OT:

1. Identificare gli assets forndamentali ovvero: i dispositivi I/O, i controllori logici programmabili (PLC) e sistemi SCADA; dispositivi di infrastruttura Ethernet e IP, come router, switch e attrezzature IT comuni, il dispositivo fisico (robot, valvola o altra risorsa fisica connessa) e qualsiasi apparecchiatura di rete necessaria per alimentare, controllare o segnalare lo stato di tale dispositivo.
2. Identificare i processi chiave e valutare i rischi associati all’esecuzione del processo, ovvero I flussi di dati.
3. Identificare le soluzioni tramite analisi delle minacce e analisi dei rischi (Threat Modeling e Risk Assessment).
4. Creazione delle Policy (v. dopo PA, PE, PEP).
5. Distribuzione iniziale e monitoraggio, controllo e registrazione (Logging) di tutto il traffico sulla rete sono componenti essenziali di Zero Trust e ISA/IEC 62443.

I componenti logici della Zero Trust Architecture che devono essere presenti sono:

1. Policy engine (PE). Questo componente è responsabile della decisione finale di concedere l’accesso a una risorsa per un dato utente. Il PE utilizza la policy aziendale e l’input da fonti esterne (ad esempio, sistemi CDM, servizi di intelligence sulle minacce descritti di seguito) come dati su cui basare la decisione di concedere, negare o revocare l’accesso alla risorsa. Il PE è accoppiato con il componente amministratore della politica (PA nel seguito).
2. Policy administrator (PA). Questo componente è responsabile di stabilire e/o interrompere il percorso di comunicazione tra un soggetto e una risorsa (tramite comandi ai PEP pertinenti). È strettamente legato al PE e fa affidamento sulla sua decisione di consentire o negare una sessione. Alcune implementazioni possono trattare PE e PA come un unico servizio.
3. Policy enforcement point (PEP). Questo sistema è responsabile dell’abilitazione, del monitoraggio e infine dell’interruzione delle connessioni tra un soggetto e una risorsa aziendale. Il PEP comunica con la PA per inoltrare richieste e/o ricevere aggiornamenti di policy dalla PA. Si tratta di un singolo componente logico in ZTA, ma può essere suddiviso in due componenti diversi: il client (ad esempio, l’agente su un laptop) e il lato risorsa (ad esempio, il componente gateway davanti alla risorsa che controlla l’accesso). Al di là del PEP c’è la zona trusted che ospita le risorse aziendali.

Conclusioni

Il concetto Zero Trust in ambito OT può essere implementato e sfruttato per migliorare e/o fornire un’architettura compliant all’IEC 62443.

Può essere considerato un approccio di difesa che abbraccia tanti aspetti dei processi industriali: configurazione dei sistemi, flussi di dati, raccolta dati, gestione dei cambiamenti e ovviamente cyber security (“People, Process, Technology”). In termini di cyber security spesso si sintetizza il concetto di ZT come “mai fidarsi, verificare sempre”.

Per soddisfare una ZTA, l’approccio corretto è quello di domandarsi quali sono gli obiettivi, quale standard seguire, quali Security levels definire (Risk levels), il tutto in modo continuativo e laddove possibile automatizzato.