Il cloud e l'Internet of Things hanno creato nuove opportunità, ma anche molti nuovi rischi per le infrastrutture Scada: le vulnerabilità non sono più confinate in un'area ristretta o definita. L'interconnessione di questi sistemi può creare un effetto domino e amplificare la portata dei cyberattacchi, con pesanti conseguenze sull'erogazione di servizi essenziali alla comunità, come l'energia elettrica e l'acqua potabile. Ce ne parla Paolo Emiliani, industrial security lead expert di Positive Technologies.
Il termine Scada, acronimo dall’inglese Supervisory Control And Data Acquisition (Controllo di Supervisione e Acquisizione Dati), si riferisce a un sistema informatico, dall’architettura tipicamente distribuita e con gestione centralizzata, utilizzato per il monitoraggio e il controllo elettronico dei sistemi industriali. Questi apparati da un lato monitorano elettronicamente i sistemi fisici, inviando tempestivamente segnali per controllare e gestire da remoto i macchinari e tutti i processi industriali, dall’altro acquisiscono dati per avere sempre sotto controllo il funzionamento dei macchinari e fare segnalazioni in caso di eventuali guasti o problemi.
Le infrastrutture sono composte da più macro livelli funzionali. Quello centrale o di management consente la gestione dell’intero sistema e la supervisione di tutti i componenti. Il livello di comando operativo o “interfaccia uomo-macchina”, rappresentato da apparati quali l’Hmi (Human Machine Interface), consente la lettura specifica di valori e l’invio di comandi utente. Il livello di attuazione, costituito da tutto un insieme di substrati operativi di cui detiene la gestione locale solitamente il Remote Terminal Units (Rtu) o “telecomando” che si occupa di raccogliere dati elettrici o analogici rilevati dai sensori e trasformarli in segnali digitali da inviare ai livelli sovrastanti. Seguono i sensori che monitorano il funzionamento dei macchinari e dei processi industriali, fino ad arrivare ai Programmable Logic Controller (Plc) che supervisionano la raccolta delle informazioni o operano essi stessi sugli apparati recependo comandi.
Pur avendo architetture e logiche funzionali assimilabili, i sistemi Scada si differenziano notevolmente a seconda dei processi industriali che governano, ognuno con la propria specificità, e sono utilizzati nei settori più disparati: dal trattamento e dalla depurazione delle acque alla distribuzione dell’energia, dalla produzione di energie rinnovabili a tutta una serie di processi industriali. I primi precursori di questi sistemi hanno fatto la loro comparsa addirittura tra gli anni Quaranta e Cinquanta, in una forma allora semplificata diventata poi sempre più avanzata e tecnologica. La svolta si è registrata con l’avvento e l’aumento delle applicazioni cloud, oltre che con l’avvento dell’Internet of Things, che sta rendendo “portable” i sistemi per una più facile fruizione.
L’Interconnessione delle infrastrutture Scada costituisce da un lato una grande opportunità e un vantaggio per tante applicazioni industriali, consentendo un’accessibilità maggiore, dall’altro espone a rischi molto più elevati le debolezze e le vulnerabilità dei sistemi, che in passato rimanevano segregate nel proprio perimetro. Per questo motivo è necessario affidarsi a produttori ed esperti-ricercatori qualificati, in grado di effettuare un’analisi globale del profilo di sicurezza dell’intero sistema ora evoluto in ecosistema, non limitandosi ad analizzarlo ma verificando ogni interconnessione o componente e identificandone le rispettive vulnerabilità e il relativo impatto sui processi produttivi. Un metodo in gergo definito come “Comprehensive threat modelling”.
I rischi di attacco verso i sistemi industriali sono concreti e reali: si tratta di obiettivi molto sensibili vista l’importanza dei processi che governano e dell’impatto che un disservizio può causare sulla collettività. Proprio per la loro struttura distribuita sul territorio, colpendo un sistema Scada si può arrivare a colpire centinaia o migliaia di altri siti o impianti che diventano a loro volta ingestibili e quindi pericolosi. Sono innumerevoli le organizzazioni e i fini che muovono interessi nel compiere o far compiere azioni e strategie di attacco sempre più sofisticate, che vanno dalla frode (in tutte le sue accezioni possibili) al creare disservizi.
La sicurezza di questi sistemi non è più procrastinabile ed è diventata una prerogativa assoluta. Sono già numerosi i casi più o meno eclatanti e conosciuti di cyberattacchi verso infrastrutture critiche che si occupano di distribuzione di acqua, gas ed energia. Se in un generico sistema It gli attacchi e le manomissioni incidono su fattori come risorse, tempi e finanze, nei sistemi di controllo industriale la mancanza di sicurezza può causare gravi danni, essendo essi per lo più collegati a tutto ciò che riguarda abitanti, ambiente e territorio.
Nonostante la pericolosità di un potenziale attacco verso questi obiettivi sia quindi ampiamente riconosciuta, in larga parte, per circa il 90% delle ricerche effettuate in ambito internazionale su reali sistemi industriali nell’ultimo quinquennio, si è riscontrato un livello di sicurezza estremamente basso e in alcuni casi critico. La maggior parte delle aziende non ha recepito le raccomandazioni in termini di segregazione e filtraggio dei flussi comunicativi e di “sanitizzazione” delle richieste, e in molti casi non si sono adottate misure di protezione adeguate, trascurando così l’alto rischio e i danni effettivi che un attacco potrebbe determinare.
Per avere un’idea dell’entità di un danno reale causato da un cyberattacco, basti pensare a ciò che è successo in Ucraina nel dicembre 2015: una famosa compagnia di distribuzione di energia elettrica è stata bersaglio di un'operazione hacker che ha causato un grave blackout di oltre tre ore con gravissimi danni. Non si è trattato di un caso isolato né di un’iniziativa di un singolo, ma di una serie di azioni studiate e coordinate che hanno evidenziato come manomettendo o prendendo fraudolentemente il comando (pivoting) di sistemi Scada si riesca a gestire centrali elettriche o infrastrutture sensibili e a creare così panico nella collettività, con conseguenze talmente gravi da avere ripercussioni sull’intera nazione. I fenomeni del crimine e delle frodi cybernetiche sono in continua e rapida evoluzione: è necessario quindi fronteggiarli affidandosi solo a specialisti leader del settore, investendo nella ricerca, nella formazione e scegliendo soluzioni innovative nel monitoraggio, nella protezione delle infrastrutture critiche e specifiche per la propria area operativa.