20 / 100
CYBER SECURITY
primo piano
20
Marzo 2018
Automazione e Strumentazione
Come accennato, la compromissione di un di-
spositivo tramite Meltdown o Spectre significa
capacità per l’hacker di leggere i dati del sistema:
ma la minaccia diventa più reale nel contesto dei
sistemi, applicazioni e ambienti cloud ‘multi-te-
nant’, in cui i dati di ciascun utilizzatore dell’ap-
plicazione vanno mantenuti separati e privati ri-
spetto a quelli degli altri utenti. Una particolarità,
questa, che porterebbe a escludere i sistemi
ICS
,
Industrial Control Sy-
stems, che non avendo
tale architettura non
possono abilitare l’ac-
cesso a dati che non
siano già disponibili
a coloro che hanno
accesso al sistema. In
ogni caso, questo non
sminuisce la criticità
dei device che appar-
tengono a un ICS, e la
necessità di prevedere
strategie di mitigazio-
ne del rischio: ad esempio, l’esecuzione, tramite
appositi tool, di accurati inventari dei dispositivi
in rete, utili a fornire visibilità su tutte le risorse e
componenti che fanno parte del sistema ICS, e a
individuare i device vulnerabili.
Raccomandazioni dai vendor
del mondo industriale
Nel settore industriale, nel frattempo, un folto
gruppo di vendor sta studiando l’entità dell’im-
patto di Spectre, Meltdown, e delle relative patch
di mitigazione dei rischi, sui sistemi esistenti,
installati presso i propri utenti.
Ricordando che le vulnerabilità Meltdown e
Spectre non indirizzano nessun prodotto dell’a-
zienda in modo specifico,
ABB
chiarisce che i
prodotti potenzialmente interessati sono quelli
che in generale adottano i processori incriminati,
e raccomanda di
seguire le linee guida pubbli-
cate nella documentazione
dei rispettivi dispo-
sitivi: in particolare, le reti usate nei sistemi di
controllo industriale dovrebbero sempre essere
mantenute
segregate dalle infrastrutture IT
d’impresa
e/o dalle
reti pubbliche
; è necessario
installare patch validate da ABB per ogni sin-
golo prodotto; installare file di definizione virus
aggiornati; occorre prevenire o ridurre l’esecu-
zione di codice esterno sui sistemi ICS.
Nel settore medicale, BD ha valutato le vulne-
rabilità di alcuni prodotti, identificando rischi a
basso impatto, in quanto ciascun attacco richie-
derebbe un accesso locale o fisico, e lo sfrutta-
mento dei punti di debolezza sarebbe altamente
difficoltoso, e con ridotta possibilità di corrom-
pere, modificare o cancellare i dati.
Rockwell Automation avrebbe riportato nume-
rosi errori e problemi verificatesi nei prodotti
basati su FactoryTalk, dopo l’installazione delle
patch di Microsoft per Meltdown e Spectre su
sistemi Windows.
Schneider Electric ha informato gli utenti che le
vulnerabilità possono impattare alcuni prodotti,
pubblicando un lista in cui sono inclusi Struxu-
reWare Data Center Expert (DCE) e Struxure-
Ware Data Center Operation (DCO), NetBotz
Appliances, APC Network Management Cards,
PowerChute Network Shutdown, PowerChute
Business Edition, PowerChute Personal Edition,
e i gruppi di continuità (UPS) monofase e trifase.
Anche qui, seguendo le best practice di cyberse-
curity, la raccomandazione è
isolare dispositivi
e reti industriali dalle reti d’impresa
; preve-
dere controlli fisici per l’accesso a sistemi ICS,
controller e infrastrutture critiche per la safety,
che evitino l’ingresso a persone non autorizzate.
Anche Siemens sta analizzando l’impatto delle
vulnerabilità e delle patch di mitigazione rila-
sciate per i propri prodotti: ancora una volta si
sottolinea che il prerequisito per lo sfruttamento
di queste vulnerabilità è che un attaccante possa
essere in grado di eseguire
codice ‘untrusted’
su un sistema con un processore affetto dal pro-
blema, a cui
non sono state applicate le patch
di mitigazione
. Allo stesso tempo, Siemens si
dice consapevole che l’applicazione di alcuni
aggiornamenti può determinare problemi di
compatibilità, prestazioni o stabilità su certi pro-
dotti e sistemi operativi.
MindSphere, la piattaforma IoT
cloud-based di Siemens
Per sfruttare le vulnerabilità
a livello di architettura chip,
l’attaccante deve eseguire codice
‘untrusted’ su un sistema privo
di patch (Fonte: Pixabay)