Un approccio Deep Packet Inspection alla sicurezza delle reti OT

Nei prossimi anni la cybersicurezza sarà una delle sfide principali che l’industrial IT dovrà affrontare perché, parte la crescita esponenziale dei cyberattacchi come DoS, ransomware e trojan, la convergenza di IT e OT pone le reti IT industriali a rischio più che in passato.

“La ragione principale è che le reti OT vengono aperte per connettersi ai nuovi sistemi e dispositivi offrendo al mondo esterno maggiori possibilità di accesso all’OT. Allo stesso tempo i normali concetti di sicurezza del mondo IT non necessariamente si applicano all’OT” commenta Chiara Ornigotti, Senior Sales Manager Southern Europe di Paessler AG. “Inoltre, le reti OT hanno requisiti propri, come ad esempio la proibizione a terze parti di introdurre traffico nella rete. Anche questo rende rende più difficile applicare le tradizionali strategie della sicurezza IT come il monitoraggio di rete”.

Ma se è vero che aprire l’OT in conseguenza della digitalizzazione e della convergenza ne rende la protezione più complicata, è anche vero che è possibile farlo adottando le corrette strategie. Per questo motivo Paessler AG, azienda specializzata nel monitoraggio di rete, ha analizzato il concetto di Deep Packet Inspection e a come possa essere applicato come componente di un approccio Defense in Depth ai fini di un controllo più granulare delle reti OT. 

Defense in Depth nell’IT industriale
Per proteggere le reti OT sono richiesti diversi livelli di difesa specializzati. Questo concetto, noto come Defense in Depth, opera sull’assunto che in presenza di molteplici livelli di sicurezza il centro della rete è più sicuro.

Nell’OT un livello di protezione può essere offerto dalla segmentazione della rete. Ciò potrebbe significare separare la rete OT dalla rete IT per mezzo di una zona industriale demilitarizzata (segmentazione verticale) oppure dividere la rete OT stessa in diverse “zone” (segmentazione orizzontale). La segmentazione fa sì che sia più difficile per le minacce penetrare nella rete e, nel caso che ci riescano, sia difficile compromettere altre aree della rete.

Un altro livello è rappresentato dai firewall industriali. Esattamente come i firewall delle reti IT, questi dispositivi proteggono i sistemi di controllo industriali prevenendo l’ingresso nella rete di traffico indesiderato.

La Defense in Depth però richiede più che segmentazione e firewall, in quanto è richiesto un controllo più granulare. Un firewall, in pratica, consente un certo tipo di traffico e ne blocca un altro tipo; ma nelle reti OT bisogna andare oltre. Ad esempio può essere necessario consentire solo le funzioni di lettura per i dati trasmessi con un certo protocollo ma di bloccare tutte le funzioni di scrittura per lo stesso protocollo.  Questa necessità di un controllo più granulare chiama in causa la Deep Packet Inspection.

Deep Packet Inspection (DPI)
Si tratta di un meccanismo che prevede l’analisi dei contenuti dei pacchetti dati, dall’intestazione all’intero payload, per identificare il protocollo e le funzioni associate a quel pacchetto dati. I dati possono anche essere controllati rispetto a un insieme di regole per assicurarsi che non siano anomali. Ciò permette l’applicazione di regole più complesse e dettagliate rispetto a quelle gestibili da un firewall.

DPI costituisce la base per due strategie di cybersicurezza specifiche per l’OT: Industrial Intrusion Prevention Systems e Industrial Intrusion Detection Systems. In un ambiente OT, IPS e IDS sono dispositivi o sistemi che operano all’interno della rete con lo scopo di prevenire o lanciare una notifica quando vengono scoperti dati anomali, in funzione del sistema in uso.

Industrial Intrusion Prevention System (IPS)
Gli Industrial Intrusion Prevention Systems offrono agli utenti la possibilità di definire regole granulari rispetto a quali protocolli e funzioni (ad esempio lettura e scrittura) sono consentiti nella rete. I pacchetti di dati sono analizzati usando la DPI e se in base alle regole definite vengono rilevati protocolli e funzioni non autorizzati, l’attività viene bloccata e segnalata.

Industrial Intrusion Detection System (IDS)
Un IDS a sua volta monitora il traffico nelle rete OT esaminando le intestazioni e il payload dei pacchetti  dati (anche qui usando la DPI) per capire dove i pacchetti hanno avuto origine, dove sono diretti e quali funzioni eseguiranno. Quando vengono identificati dati anomali (come ad esempio dispositivi appena connessi, tipi di dati sconosciuti, comportamenti tipici del malware, programmazioni PLC inattese, ecc) viene inviata una notifica. I parametri che scatenano la notifica possono essere modificati e e le notifiche filtrate per tipo.

Contenuti correlati

• 
  I dati percorrono nuove strade

  Da Eulynx a IO-Link Safety, le nuove ‘vie di comunicazione’ dei dati sono aperte a tutti, e le tecnologie di sicurezza di Pilz continueranno ancora di più a essere protagoniste sulla scena dell’automazione Leggi l’articolo
• 
  Rilevamento sicuro della posizione assoluta sull’asse X

  La determinazione di una posizione assoluta sicura richiede solitamente l’utilizzo di una tecnologia molto complessa. Pepperl+Fuchs offre soluzioni molto più semplici per questo processo, basate sulla combinazione della nuova unità di valutazione PUS con i sensori safePXV...
• 
  Rosenberger OSI amplia il sistema di cablaggio PreCONNECT OCTO

  Rosenberger Optical Solutions & Infrastructure (Rosenberger OSI), azienda esperta di connessioni in fibra ottica, soluzioni di cablaggio e servizi infrastrutturali introduce un nuovo miglioramento: il sistema di cablaggio PreCONNECT OCTO viene ampliato con le due interfacce di connessione MDC e...
• 
  Entro il 2025 il 34% delle imprese italiane in ambito produttivo prevede di investire nella digitalizzazione dei processi

  Ingenn, la società di Head Hunting unicamente focalizzata nella ricerca e selezione di profili tecnici e ingegneri, supporta le aziende del comparto manifatturiero e della produzione industriale attraverso la ricerca di personale qualificato. Le imprese italiane sempre...
• 
  Quickparts introduce l’opzione di lead time flessibili per la stampa 3D

  Quickparts, uno dei principali fornitori mondiali di soluzioni di produzione additiva e tradizionale per la fabbricazione di parti, ha annunciato il lancio dell’opzione di lead time flessibili per il suo noto servizio di preventivazione istantanea di stampa 3D....
• 
  Ad Agritechnica 2023, nuovi sviluppi per Bosch Rexroth in ogni disciplina

  Ad Agritechnica 2023 (Hall 16, Booth A08), Bosch Rexroth presenterà nuovi prodotti per sviluppare macchine e trattori agricoli innovativi e ad alte prestazioni in modo economicamente vantaggioso. Nel campo dell’idraulica, questi prodotti includono la soluzione completa AgDrive...
• 
  Bticino sceglie gli Active Shuttle di Bosch Rexroth

  Bticino, società del Gruppo Legrand del quale fa parte dal 1989, rappresenta uno dei leader mondiali nel settore delle infrastrutture digitali ed elettriche degli edifici. È di gran lunga il primo player in Italia nell’ambito dell’installazione civile, dei sistemi residenziali e delle canalizzazioni, il secondo...
• 
  I nuovi servizi di sicurezza gestiti per gli ambienti operativi di Schneider Electric

  Schneider Electric presenta una nuova offerta di servizi di sicurezza gestiti, i Managed Security Services (MSS), per aiutare i propri clienti ad affrontare l’aumento del rischio informatico negli ambienti di tecnologia operativa (OT) associato alle esigenze di accesso remoto...
• 
  PTC diviene fornitore strategico del gruppo Volkswagen

  PTC ha siglato un rapporto di fornitura strategica con il Gruppo Volkswagen, che prevede l’adozione della sua soluzione di gestione del ciclo di vita delle applicazioni (ALM) Codebeamer a supporto delle attività di sviluppo e gestione del software per la prossima...
• 
  Igiene assoluta  

  I processi di produzione e confezionamento sensibili all’igiene richiedono sensori che soddisfino requisiti più severi. Leuze lo rende possibile con le serie di sensori destinati all’industria alimentare e con il suo pluriennale know-how applicativo. Sono pochi i...