Versione HTML di base
SETTEMBRE 2012
FIELDBUS & NETWORKS
63
Fieldbus & Networks
Tutorial
(
)
I
problemi di sicurezza tipici di un sistema
di automazione industriale sono costituiti
dall’accesso non consentito e dalla diffu-
sione di software ‘maligno’, il cosiddetto
malware. Le conseguenze tipiche di un
sistema danneggiato da malware sono: l’impos-
sibilita tra host di comunicare su di una rete a
pacchetto a causa dell’alto traffico generato da
host la cui sicurezza sia stata compromessa;
crash dei sistemi operativi degli host compro-
messi e relativa necessità di riavvii o shutdown;
raccolta ragionata di informazioni sensibili e
loro invio verso destinazioni non designate, o in-
stallazioni di back-door che abilitano il controllo
dell’host da parte di soggetti non autorizzati.
Per prevenire un’infezione da malware è rac-
comandabile limitare il più possibile i mezzi di
propagazione (vettori) utilizzati da questo tipo di
software applicando una serie di regole proget-
tuali e comportamentali. Occorre, prima di tutto,
impedire ogni traffico email, instant messaging, IRC entrante verso gli
host della rete del sistema di automazione; poi, se per motivi operativi
si rende necessario usare sistemi di messaggistica, questi devono
essere installati su host distinti all’interno delle control room, non col-
legati alla rete del sistema di automazione ma direttamente alla rete
dell’azienda o alla rete esterna (Internet). Inoltre, come per l’email
la navigazione su pagine Web arbitrarie deve essere limitata: usare
firewall e VPN per garantire il collegamento a pochi siti pre-approvati
è una scelta più che ragionevole. I sistemi di Drive Sharing che per-
mettono di spostare i dati da e per la rete del sistema di controllo
devono essere bloccati da firewall e i PC portatili devono installare le
ultime patch del proprio sistema operativo e applicazioni; i malware
scanner devono essere installati e aggiornati e tutti i sistemi devono
abilitare solo servizi e user account realmente utilizzati. Oltre a ciò,
il dataflow deve essere progettato con cura, in modo che nessuna
richiesta transiti dall’esterno della rete di controllo verso i sistemi
che vi stanno all’interno. In questo caso un semplice firewall potrebbe
chiudere tutto il traffico entrante.
Se alcuni servizi devono obbligatoriamente girare dentro la rete di
controllo è opportuno, se si controllano sia i client sia i server, spo-
stare le porte TCP dai valori usuali, noti a tutti. È oltretutto utile usare
VPN per restringere l’accesso solo a client autorizzati e creare zone di
contenimento attraverso l’uso di firewall tradizionali e locali (personal
firewall).
Misure precauzionali in una struttura
three-tier
Rifacendosi alla struttura three-tier si può distinguere tra le misure
precauzionali prese per il livello di business e quelle prese per il li-
vello di presentazione. Per quanto riguarda il business tier, essendo il
sistema monolitico e centralizzato sugli application server, le precau-
zioni si limitano a proteggere il server dall’accesso fisico, a non fornire
accesso locale all’application server e ad abilitare su di esso solo i
servizi strettamente necessari. Più ampio invece il discorso relativo
ai thin client, sui quali l’accesso è effettuato tramite l’immissione di
credenziali quali username e password ed è impedita l’introduzione
di dispositivi e supporti esterni quali CD/DVD, dispositivi USB ecc.
Nel caso usuale di sistemi di controllo con connessioni alla intranet
aziendale, l’accesso in ingresso al sistema di automazione avviene
esclusivamente mediante il protocollo di sicurezza https, che utilizza
di default la porta 443. Per accedere dalla intranet al sistema di con-
trollo sono inoltre presenti meccanismi di autenticazione e crittogra-
fia, nonché politiche di sicurezza che devono essere seguite dagli
operatori.
LE PROBLEMATICHE LEGATE ALLA SICUREZZA
INFORMATICA SONO RILEVANTI ANCHE PER LE RETI
DI AUTOMAZIONE: LE ARCHITETTURE WEB-BASED SI
DIMOSTRANO PIÙ AFFIDABILI E MENO VULNERABILI
IN CASO DI GUASTO
SOA: L’AUTOMAZIONE
DI QUARTA
GENERAZIONE
- PARTE 2
di Micaela Caserza Magro, Paolo Pinceti (*)
Fonte: www.metrolic.com