Paessler AG, azienda specializzata nel monitoraggio di rete, ha analizzato il concetto di Deep Packet Inspection e come possa essere applicato come componente di un approccio Defense in Depth ai fini di un controllo più granulare delle reti OT.
Partendo dal presupposto che, nei prossimi anni, la cybersicurezza sarà una delle sfide principali che l’industrial IT dovrà affrontare perché la convergenza di IT e OT pone le reti IT industriali a rischio più che in passato, la giusta protezione è possibile adottando corrette strategie.
Come sottolineato da Chiara Ornigotti, Senior Sales Manager Southern Europe di Paessler AG: «Le reti OT hanno requisiti propri, come ad esempio la proibizione a terze parti di introdurre traffico nella rete. Anche questo rende più difficile applicare le tradizionali strategie della sicurezza IT come il monitoraggio di rete».
Defense in Depth nell’IT industriale
Per proteggere le reti OT sono richiesti diversi livelli di difesa specializzati. Questo concetto, noto come Defense in Depth, opera sull’assunto che in presenza di molteplici livelli di sicurezza il centro della rete è più sicuro.
Nell’OT un livello di protezione può essere offerto dalla segmentazione della rete. Ciò potrebbe significare separare la rete OT dalla rete IT per mezzo di una zona industriale demilitarizzata (segmentazione verticale) oppure dividere la rete OT stessa in diverse “zone” (segmentazione orizzontale). La segmentazione fa sì che sia più difficile per le minacce penetrare nella rete e, nel caso che ci riescano, sia difficile compromettere altre aree della rete.
Un altro livello è rappresentato dai firewall industriali. Esattamente come i firewall delle reti IT, questi dispositivi proteggono i sistemi di controllo industriali prevenendo l’ingresso nella rete di traffico indesiderato.
La Defense in Depth però richiede più che segmentazione e firewall, in quanto è richiesto un controllo più granulare. Un firewall, in pratica, consente un certo tipo di traffico e ne blocca un altro tipo; ma nelle reti OT bisogna andare oltre. Ad esempio può essere necessario consentire solo le funzioni di lettura per i dati trasmessi con un certo protocollo ma di bloccare tutte le funzioni di scrittura per lo stesso protocollo. Questa necessità di un controllo più granulare chiama in causa la Deep Packet Inspection (DPI).
Servono strategie di cybersicurezza specifiche per l’OT
La Deep Packet Inspection è un meccanismo che prevede l’analisi dei contenuti dei pacchetti dati, dall’intestazione all’intero payload, per identificare il protocollo e le funzioni associate a quel pacchetto dati. I dati possono anche essere controllati rispetto a un insieme di regole per assicurarsi che non siano anomali. Ciò permette l’applicazione di regole più complesse e dettagliate rispetto a quelle gestibili da un firewall.
DPI costituisce la base per due strategie di cybersicurezza specifiche per l’OT: Industrial Intrusion Prevention Systems e Industrial Intrusion Detection Systems. In un ambiente OT, IPS e IDS sono dispositivi o sistemi che operano all’interno della rete con lo scopo di prevenire o lanciare una notifica quando vengono scoperti dati anomali, in funzione del sistema in uso.
Gli Industrial Intrusion Prevention Systems offrono agli utenti la possibilità di definire regole granulari rispetto a quali protocolli e funzioni (ad esempio lettura e scrittura) sono consentiti nella rete. I pacchetti di dati sono analizzati usando la DPI e se in base alle regole definite vengono rilevati protocolli e funzioni non autorizzati, l’attività viene bloccata e segnalata.
Un IDS a sua volta monitora il traffico nelle rete OT esaminando le intestazioni e il payload dei pacchetti dati (anche qui usando la DPI) per capire dove i pacchetti hanno avuto origine, dove sono diretti e quali funzioni eseguiranno. Quando vengono identificati dati anomali (come ad esempio dispositivi appena connessi, tipi di dati sconosciuti, comportamenti tipici del malware, programmazioni PLC inattese ecc.) viene inviata una notifica. I parametri che scatenano la notifica possono essere modificati e le notifiche filtrate per tipo.
La differenza chiave tra un IPS e un IDS è che il primo può bloccare un certo traffico e anche modificare i pacchetti in base a regole predefinite, mentre un IDS funziona primariamente come monitor di rete e strumenti di notifica. Quale implementare in una particolare architettura dipenderà dagli specifici requisiti e dalle caratteristiche dell’infrastruttura.
