Un cambio di prospettiva per la sicurezza industriale: immunizzare le aziende

 
Tratto da Blog Kaspersky
Autore:  Eugene Kaspersky – 14/12/2021
 
 
 

Kaspersky IoT Secure Gateway 100: come proteggere i dati industriali preservando la continuità aziendale

 

 

Come proteggere i dati da occhi estranei e da modifiche non autorizzate, preservando al contempo la continuità dei processi aziendali?

In effetti, proteggere la riservatezza, l’integrità e l’accessibilità costituiscono ancora la fatica quotidiana della maggior parte dei professionisti della cybersecurity.

Non importa dove vada, il ‘digitale’ porta sempre con sé gli stessi problemi. Lo ha fatto, lo fa e continuerà a farlo. Ma naturalmente lo farà, perché i vantaggi della digitalizzazione sono così evidenti. Anche campi apparentemente conservatori come la costruzione di macchine pesanti, la raffinazione del petrolio, i trasporti o l’energia sono stati pesantemente digitalizzati già da anni. Tutto bene, ma è tutto sicuro?

Con il digitale, l’efficacia del business cresce a passi da gigante. Ma d’altra parte, tutto ciò che è digitale può essere (e viene) violato, e ci sono moltissimi esempi di ciò. C’è una grande tentazione di abbracciare completamente il digitale, per raccogliere tutti i suoi benefici; tuttavia, deve essere fatto in un modo che non sia agonizzante e doloroso (con i processi aziendali che vengono interrotti). Ed è qui che il nostro nuovo (quasi) speciale “antidolorifico” può aiutare: il nostro KISG 100 (Kaspersky IoT Secure Gateway).

 

 

Questo piccolo dispositivo è installato tra l’attrezzatura industriale (‘macchinari’) e il server che riceve vari segnali da questa attrezzatura. I dati in questi segnali variano, sulla produttività, i guasti del sistema, l’uso delle risorse, i livelli di vibrazione, le misurazioni delle emissioni di CO2/NOx, e molti altri, ma sono tutti necessari per avere un quadro generale del processo di produzione e per essere in grado di prendere decisioni aziendali ben informate e ragionate.

Il dispositivo è piccolo, ma è anche potente. Una funzionalità cruciale è che permette di trasferire solo i dati “consentiti”. Permette anche la trasmissione dei dati rigorosamente in una sola direzione. Così, in un istante KISG 100 intercetta un intero insieme di attacchi: man-in-the-middle, man-in-the-cloud, attacchi DDoS, e molte altre minacce basate su internet che continuano ad arrivare.

KISG 100 (che lavora sulla piattaforma hardware Siemens SIMATIC IOT2040 e il nostro cyber immune KasperskyOS) divide le reti esterne e interne in modo tale che nessun singolo byte di codice dannoso possa passare tra le due, così il dispositivo rimane completamente protetto. La tecnologia (per la quale abbiamo tre brevetti in corso) funziona in base al principio del diodo di dati: aprire il flusso di dati in una sola direzione e solo dopo aver soddisfatto determinate condizioni. Ma, a differenza delle soluzioni concorrenti, KISG lo fa in modo più affidabile, più semplice e più economico.

Questo piccolo dispositivo chiamato ‘gateway’, in linea di principio funziona proprio come la porta meccanica idrotecnica che si trova sui canali, ossia la chiusa. Si apre il cancello inferiore, la barca, il livello dell’acqua sale, il cancello superiore si apre, la barca esce. Allo stesso modo, KISG 100 prima inizializza l’agente della fonte dalla rete industriale, poi lo connette con l’agente del ricevitore di dati in direzione del server e permette il trasferimento unidirezionale dei dati.

Una volta che viene stabilita una connessione tra la macchina e il server, il sistema ha un cosiddetto stato protetto: l’accesso a una rete esterna e anche alla memoria non sicura è vietato a entrambi gli agenti (sorgente e ricevente), mentre l’accesso alla memoria sicura (da cui ricevono parametri di lavoro come chiavi di cifratura, certificati, ecc. Con questo stato, il gateway non può essere compromesso da attacchi da una rete esterna, poiché tutti i suoi componenti in questa fase sono disconnessi dal mondo esterno e sono considerati fidati; sono solo caricati e inizializzati.

Dopo l’inizializzazione, lo stato del gateway viene cambiato in attivo: l’agente ricevitore ottiene il diritto sia di trasferire dati a una rete esterna sia di accedere alla memoria non sicura (in cui sono contenuti dati temporanei). Così, anche se c’è un hacking sul lato server, gli hacker non possono arrivare agli altri componenti del gateway o alla rete industriale. In questo modo:

 

 

Il controllo sull’osservazione delle regole di interazione tra gli agenti, più la commutazione degli stati del gateway è fatto da un monitor di cybersecurity KSS. Questo sottosistema isolato di KasperskyOS controlla costantemente il rispetto delle politiche di sicurezza predefinite (quale componente può fare cosa) e, secondo il principio “default deny”, blocca tutte le azioni vietate. Il principale vantaggio competitivo di KSS è che le politiche di sicurezza sono molto convenienti da descrivere con un linguaggio speciale e per combinare diversi modelli predefiniti di sicurezza informatica. Se uno solo dei componenti di KISG 100 (per esempio, l’agente ricevitore) risulta essere compromesso, non può danneggiare gli altri, mentre l’operatore del sistema viene informato dell’attacco e può mettersi al lavoro per affrontarlo.

Il piccolo dispositivo può aiutare a fornire servizi digitali aggiuntivi. Permette di integrare in modo sicuro i dati industriali in ERP/CRM e altri sistemi di business assortiti di un’impresa.

Sono in corso progetti pilota di successo con Rostec e Gazprom Neft, e ne sono iniziati decine di altri con grandi organizzazioni industriali. Il dispositivo ha ricevuto un premio speciale per l’eccezionale risultato tecnologico al più grande evento IT cinese, Internet World Conference; alla fiera industriale Hannover Messe 2021 KISG 100 ha guadagnato un posto tra le migliori soluzioni innovative; e proprio di recente ha preso il primo premio nel IoT Awards 2021 dell’Internet of Things Association, battendo molte aziende più quotate.

In futuro espanderemo la gamma di questi dispositivi intelligenti. Già il “fratello maggiore” di KISG 100, KISG 1000, è in fase di beta test. Oltre ad essere un gateway-guardia, è anche un ispettore: non solo raccoglie, controlla e distribuisce la telemetria, ma trasferisce anche i comandi di gestione ai dispositivi e protegge dagli attacchi alla rete.

Il risultato? Non c’è motivo di aver paura del digitale.

14 Dicembre 2021

Proteggere i dispositivi IoT di rete o proteggere la rete dai dispositivi IoT?

 
Tratto da Blog Kaspersky
Autore: Nikolay Pankov – 07/06/2021
 
 
I dispositivi IoT tendono ad aumentare notevolmente la superficie di attacco di un’azienda, ma si possono ridurre i rischi.
 
 

 

Nella conferenza Into the Mind of an IoT Hacker (“Nella mente di un Hacker IoT”) tenutasi alla RSA Conference 2021, gli specialisti della sicurezza Itzik Feiglevitch e Justin Sowder hanno sollevato la questione delle vulnerabilità presenti nei vari dispositivi IoT e il trattamento speciale che richiedono per salvaguardare la cybersecurity aziendale. I ricercatori hanno offerto alcuni esempi sorprendenti che mostrano lo situazione della sicurezza IoT nelle aziende di oggi.

Pochi specialisti di cybersecurity tengono traccia dei sistemi hardware IoT aziendali. Molto spesso ascensori intelligenti, sensori di ogni tipo, sistemi IPTV, stampanti, telecamere di sorveglianza e simili sono solo una collezione eterogenea di dispositivi disparati, ognuno con il proprio sistema operativo e i propri protocolli, e molti sono privi di qualsiasi tipo di interfaccia di controllo adeguata… insomma, potete farvi un’idea del panorama. La vostra azienda potrebbe avere migliaia di dispositivi IoT da monitorare.

Perché i dispositivi IoT aggiungono ulteriori rischi alla sicurezza informatica?

I dispositivi IoT non sono sempre considerati come appartenenti all’infrastruttura principale; se una stampante di rete normalmente conta come un dispositivo di rete, non è lo stesso per i componenti di “smart building” o per i sistemi di telefonia IP. Eppure, questi dispositivi tendono a essere collegati alla stessa rete delle workstation aziendali.

Il ricambio del personale può complicare ulteriormente la situazione. Quante più persone entrano e abbandonano la divisione IT e di cybersecurity dell’azienda, maggiore sarà la probabilità che una nuova persona non sappia nulla dello “zoo” di dispositivi IoT collegato alla rete.

Tuttavia, forse l’aspetto più grave è che alcuni di quei dispositivi sono accessibili dall’esterno. Le ragioni possono essere legittime (controllo da parte del vendor su alcuni aspetti di un dispositivo, disponibilità di lavoro da remoto, manutenzione), eppure il fatto che ci siano dispositivi sulla rete aziendale che sono costantemente collegati a Internet, costituisce un gran bel rischio.

Può sembrare paradossale ma la robustezza stessa dell’elettronica moderna è un altro fattore di rischio: alcuni dispositivi IoT hanno una vita molto lunga e funzionano in ambienti di sicurezza molto più complessi di quelli per cui sono stati progettati.

Per esempio, alcuni dispositivi eseguono sistemi operativi obsoleti e vulnerabili che non vengono più aggiornati e, anche quando l’aggiornamento è disponibile, può essere necessario accedere fisicamente al dispositivo, un compito che a volte può essere difficile se non impossibile. Alcuni dispositivi presentano password che non possono essere cambiate, backdoor di debugging erroneamente lasciate nella versione finale del firmware e molte altre sorprese che rendono la vita di un professionista della sicurezza IT davvero movimentata.

Perché ai criminali informatici interessano i dispositivi IoT?

I criminali informatici trovano interessanti i dispositivi IoT  per diverse ragioni, sia per le possibilità che offrono per portare a termine attacchi all’azienda ospite, sia per gli attacchi ad altre aziende. I principali usi dei dispositivi intelligenti compromessi sono:

  • Creare una botnet per attacchi DDoS;
  • Effettuare il mining di criptomonete;
  • Rubare informazioni riservate;
  • Sabotare l’azienda dall’interno;
  • Avere un trampolino di lancio per ulteriori attacchi e movimenti laterali nella rete.

Casi di studio

I ricercatori hanno descritto alcuni casi che sono abbastanza sorprendenti, che si riferiscono sia a dispositivi standard collegati a Internet, sia ad apparecchiature piuttosto specializzate. Due esempi di spicco riguardano apparecchiature a ultrasuoni e dispositivi che utilizzano protocolli Zigbee.

Apparecchiature a ultrasuoni

Le aziende moderne che lavorano nel settore sanitario fanno uso di numerosi dispositivi IoT. Per testare la sicurezza di tali dispositivi, i ricercatori hanno acquistato un’apparecchiatura a ultrasuoni usata per violarne la sicurezza. Hanno avuto bisogno solo di cinque minuti circa per raggiungere il loro scopo, perché il dispositivo eseguiva una versione di Windows 2000 che non era mai stata aggiornata. Inoltre, non solo sono stati in grado di ottenere il controllo del dispositivo, ma anche di accedere ai dati dei pazienti che il precedente proprietario non aveva eliminato.

I medici spesso usano i dispositivi medici per anni, o addirittura decenni, senza aggiornarli o effettuare l’upgrade. È comprensibile se durante gli anni continuano a funzionare bene; tuttavia, la vita di questi dispositivi non finisce nella prima azienda che li ha acquistati, spesso continua in un’altra azienda alla quale sono stati rivenduti.

Protocolli Zigbee

Le aziende utilizzano i protocolli di rete Zigbee (sviluppati nel 2003 per la comunicazione wireless ad alta efficienza energetica tra dispositivi), per costruire reti mesh e spesso per collegare vari componenti all’interno di un edificio intelligente. Il risultato è un gateway in ufficio che controlla decine di dispositivi diversi come, ad esempio, un sistema di illuminazione intelligente.

Alcuni ricercatori ritengono che un criminale informatico potrebbe facilmente emulare un dispositivo Zigbee su un normale computer portatile, connettersi a un gateway e installare un malware. Il criminale informatico dovrebbe solo trovarsi all’interno dell’area di copertura della rete Zigbee, per esempio nella hall dell’ufficio. Una volta preso il controllo del gateway, potrebbe sabotare il lavoro dell’azienda in molti modi, per esempio spegnendo il sistema di illuminazione intelligente dell’ intero edificio.

Come rendere sicura una rete aziendale

I responsabili della sicurezza a volte non sanno se devono proteggere i dispositivi IoT sulla rete aziendale o proteggere la rete aziendale dai dispositivi IoT. In realtà, entrambi i problemi andrebbero risolti. L’importante è assicurarsi che ogni elemento e azione sulla rete sia visibile. Per garantire una reale  sicurezza aziendale bisogna innanzitutto identificare tutti i dispositivi collegati alla rete, classificarli correttamente e, idealmente, analizzare i rischi associati.

Il passo successivo è, ovviamente, quello di segmentare la rete servendosi dei risultati dell’analisi. Se un dispositivo è necessario e insostituibile ma contiene una vulnerabilità che gli aggiornamenti non possono risolvere, allora è necessario configurare la rete per negare ai dispositivi vulnerabili l’accesso a Internet e anche per rimuovere il loro accesso ad altri segmenti di rete. Insomma, bisognerebbe seguire il concetto di Zero Trust per la segmentazione.

Il monitoraggio del traffico di rete per le anomalie nei segmenti rilevanti è anche fondamentale per poter rintracciare i dispositivi IoT compromessi utilizzati per gli attacchi DDoS o il mining.

Infine, per il rilevamento precoce di attacchi avanzati che impiegano dispositivi IoT come sistemi di appiglio alla rete per poi accedere ad altri sistemi, è indispensabile l’uso di una soluzione EDR.

9 Giugno 2021

Allarme per attacchi DDoS

In queste ultime settimane si stanno moltiplicando gli allarmi per gli attacchi DDoS compiuti, ultimo per ordine di tempo l’attacco al sito di equitalia, che il 21 novembre 2016 ha bloccato il servizio per numerose ore.

Si tratta di una tipologia di attacco molto semplice ed al contempo complessa da evitare,  trafficl’obiettivo dell’attaccante è mettere in difficoltà l’infrastruttura che eroga il servizio riempiendola di chiamate contemporanee, quando queste richieste superano la soglia massima tollerata dall’infrastruttura il risultato è bloccare quasi totalmente l’attività del sito. Si tratta di un fenomeno simile a quello che si verifica nelle strade durante l’ora di punta, quando tutti hanno delle esigenze legittime  ed usufruiscono del servizio causandone il blocco.

Per poter sferrare un attacco efficace chi lo organizza deve avere la disponibilità di milioni di macchine che compiano delle richieste contemporanee, condizione all’apparenza difficile, che in realtà è molto più comune di quello che si possa immaginare. Infatti esistono delle BOT-NET ovvero degli insiemi di dispositivi che sono stati infettati da malware e che tramite dei server di command & control è possibile far agire in maniera contemporanea.

La cosa sorprendente è che non solo i computer ed i server fanno parte di queste bot-net e partecipano agli attacchi, ma qualsiasi tipo di dispositivo connesso incluse: telecamere ip, sistemi di domotica, apparecchiature medicali connesse e più in generale qualsiasi oggetto IoT.

Dobbiamo prepararci a difenderci da questo genere di attacco ed al contempo evitare che gli aggressori possano utilizzare i nostri dispositivi per compiere i loro attacchi.

argonavislab

Argonavis ed i suoi partner sono a tua disposizione per consigliarti ed implementare le migliori scelte per aumentare il livello di sicurezza della tua struttura.

Richiedi Informazioni

22 Novembre 2016