MAGGIO 2014
FIELDBUS & NETWORKS
48
Fieldbus & Networks
G
li attacchi informatici stanno
diventando sempre più
frequenti e complessi e la
crescente integrazione fra i
processi industriali e le reti
mette a rischio la sicurezza degli impianti
come mai prima: si devono implementare
misure di sicurezza complesse e la più im-
portante in assoluto riguarda l’utilizzo dei
firewall di tipo industriale. È fondamentale
inserire elementi hardware e/o software
che in un’applicazione Ethernet industriale
possano garantire, per esempio, la separa-
zione fra la rete di controllo, d’impianto e
aziendale e creare zone sicure all’interno
della rete di controllo. In una tipica instal-
lazione firewall la connessione dalla rete
d’impianto verso il firewall viene definita
porta o connessione ‘untrusted’. La porta
che connetterà alla rete di controllo è in-
vece la connessione ‘trusted’. In base a un
insieme di regole, il firewall controllerà la
trasmissione dei pacchetti di dati, rego-
lando il traffico per garantire la sicurezza.
Una volta identificati tutti i possibili punti
di accesso al sistema di controllo, si pos-
sono definire il numero e la posizione dei
firewall necessari, bilanciando la neces-
sità di protezione e l’elevato throughput
dei dati necessario per garantire le perfor-
mance richieste ai sistemi di controllo.
Come scegliere prodotti
e configurazioni?
Esistono diversi tipi di firewall di tipo
industriale; scegliere quello giusto, o
la combinazione di più tipi di firewall,
dipende dalle richieste specifiche delle
applicazioni presenti nell’impianto, dal li-
vello tollerabile di rischio e dal potenziale
impatto di un attacco sul sistema.
Un firewall di ‘packet filtering’, per esem-
pio, controlla ogni pacchetto in entrata
e in uscita, verificando il suo indirizzo
sorgente, l’indirizzo di destinazione, la
funzione; accetta o rifiuta il messaggio
basandosi su un insieme di norme prede-
finite, le Access Control Lists (ACL).
Un firewall di ‘stateful inspection’, in-
vece, offre un livello maggiore di sicu-
rezza e buone performance ispezionando
i pacchetti e i loro contenuti, ma può es-
sere costoso e complesso da configurare.
Un ‘application proxy gateway’, d’altra
parte, offre il livello più elevato di sicu-
rezza, esaminando e filtrando il traffico
sulla base di specifiche regole applica-
tive e poi reindirizzandolo al device a cui
il traffico è destinato. Questo
tipo di firewall comporta però
dei ritardi che possono avere
un impatto sulle performance
della rete nel sistema di con-
trollo.
Quando si seleziona e installa
un firewall è dunque neces-
sario considerare la natura
dei dispositivi da proteggere,
nonché in che modo, nel loro
normale funzionamento, pos-
sano essere accessibili. Se si
vuole separare fisicamente la
rete di controllo, la rete d’impianto e le
reti aziendali, la soluzione più semplice è
installare un unico firewall nel punto di
collegamento fra la rete di controllo e le
altre reti. Nella configurazione indicata in
figura 2, il firewall separa la rete dell’im-
pianto e quella di controllo, non isola però
il sistema PLC dalle interfacce HMI e dal
ECCO ALCUNI PRINCIPI FONDAMENTALI DI
SICUREZZA INFORMATICA DA APPLICARE AGLI
AMBIENTI INDUSTRIALI PER PROTEGGERE LE
INFRASTRUTTURE CRITICHE
I PRINCIPI DA CUI
PARTIRE
di
Joseph Benedetto
Figura 1 - Il Àrewall crea una barriera alle
intrusioni esterne, consentendo le comunicazioni
dati autorizzate con i componenti dei sistemi
Fonte: www.edigitalsecurity.com
