OTTOBRE 2014
AUTOMAZIONE OGGI 376
58
AO
RASSEGNA
Per comprendere quale sia l’attuale livello di security nei sistemi
Scada e PLC è opportuno ripercorrere, sia pure per cenni, l’evolu-
zione nel tempo di questi sistemi. Gli esemplari degli anni ‘50-’60
del secolo scorso erano basati su logiche hardware e il campo che
controllavano e/o supervisionavano era di tipo elettrico e di tipo
elettropneumatico. I sistemi erano isolati dal mondo esterno alla
fabbrica e costituivano isole autonome, non comunicanti fra loro,
all’interno della fabbrica stessa. In queste condizioni non c’erano ri-
schi di attacchi da parte di malintenzionati esogeni. Esistevano solo
possibilità che venivano arrecati danni fisici da parte di coloro che,
a vario titolo, operavano nella fabbrica. Nel decennio successivo co-
minciò a farsi strada il concetto di rete. Si cominciavano ad avere
le prime interconnessioni, cominciava a farsi strada l’idea della co-
municazione fra le diverse isole produttive e fra queste e il mondo
esterno (essenzialmente per configurazione e controllo dei sistemi
stessi). Iniziava, insomma, ad esserci un potenziale pericolo di attac-
chi esterni senza però che questo pericolo venisse effettivamente
percepito come tale. Ciò anche perché i pochi accessi esterni veni-
vano rigorosamente controllati ed eventualmente impediti tramite
switch fisici. In sostanza i sistemi erano ancora isolati. È a partire dai
primi anni ‘80 che il pericolo d’intrusione dall’esterno diviene con-
creto: si diffonde la conoscenza degli Scada nelle sue realizzazioni
specifiche, vengono introdotti i primi protocolli di comunicazione
(il Modbus seriale è ormai uno standard) senza peraltro alcuna fun-
zione di protezione. I sistemi non sono più isolati, il pericolo di at-
tacchi c’è ma ancora non viene percepito. Gli hacker non vengono
per niente immaginati da chi si occupa dei sistemi d’automazione
industriale.
Dalla fine degli anni ‘80 le vie d’accesso verso i sistemi di controllo si
ampliano e i pericoli d’intrusione da teorici divengono reali. Cresce
il numero dei protocolli di comunicazione (sempre senza funzioni
di protezione), ben documentati e quindi conosciuti da un mondo
sempre più vasto di tecnici informatici. Le vulnerabilità delle reti sono
anch’esse conosciute e documentate, il numero dei dispositivi colle-
gati in rete cresce in modo esponenziale, si hanno le prime applica-
zioni remote per la gestione degli Scada, i PLC iniziano a comunicare
tramite Ethernet. Si fa la conoscenza dei virus e le tecniche d’attacco
informatico sono ormai disponibili e praticate. Tuttavia le strategie
per proteggere i sistemi d’automazione industriale sono ancora ina-
deguate. I sistemi continuano ad essere sostanzialmente aperti.
Ci sono voluti anni di sensibilizzazione, la grande diffusione di Inter-
net con conseguente aumento di malware e hacker, la consapevo-
lezza che le infrastrutture critiche dipendono sempre più dal buon
funzionamento dei sistemi di controllo e c’è voluto Stuxnet, il virus
che è stato utilizzato nel 2010 per portare un attacco alla Centrale
Nucleare iraniana di Natanz, per indurre costruttori e utilizzatori a
cercare rimedi.
A oggi la maggior parte dei sistemi non dispone ancora di un’ade-
guata protezione intrinseca, nel senso che non vi sono funzioni di
protezioni native. Vi sono però approcci di protezione esterni: dagli
antivirus alle tecniche di protezione mirata e custom. Vi sono anche
le decine di procedure regolate da standard internazionali, direttive
e documenti vari, che regolano la materia. Il che, da un lato, è un
buon messaggio perché testimonia che la sicurezza è diventata una
questione importante, dall’altro, genera una giungla di norme e
linee guida difficilmente sintetizzabili.
In ogni caso i nuovi sistemi immessi sul mercato già da oggi hanno
attendibili funzioni di sicurezza, funzioni che saranno sempre più
ampliate strada facendo. Ci vorrà però un cambio di generazione dei
sistemi per avere un livello adeguato della loro sicurezza intrinseca.
*Comitato tecnico di Automazione Oggi e Fieldbus&Networks
PLC e Scada
nella sicurezza
di
Evado Bartaloni*, Alessandra Pelliconi
A oggi la maggior parte dei sistemi non dispone di un’adeguata protezione
intrinseca: vi sono però approcci di protezione esterni, dagli antivirus alle
tecniche di protezione mirata e custom oltre alle decine di procedure regolate da
standard internazionali, direttive e documenti vari, che regolano la materia
