I datacenter sono infrastrutture complesse che occupano un posto speciale nel cuore dei cybercriminali: nei loro sogni c’è sempre la speranza di violare una macchina e raggiungere tutte le altre che vengono ospitate nella stessa rete per creare il panico con un ransomware. Purtroppo, i datacenter non sono “oggetti” semplici da proteggere. La loro sicurezza, infatti, non dipende soltanto dalla protezione dei server e delle reti IT, ma anche da un ecosistema di sistemi industriali che controllano alimentazione, raffreddamento, automazione degli edifici e monitoraggio ambientale.
Posizionati troppo vicini alla potenziale entrata
Una ricerca realizzata dal Team82 di Claroty mostra quanto questo ecosistema rappresenti ancora un punto debole. Analizzando oltre 750.000 asset cyber-fisici (CPS) installati nei principali data center mondiali, gli esperti hanno scoperto che quasi un asset su cinque è raggiungibile con un solo "hop" di rete da sistemi che instaurano connessioni verso l'esterno. Questo significa che un attaccante che riuscisse a compromettere un dispositivo esposto potrebbe trovare un percorso molto breve per raggiungere componenti essenziali dell'infrastruttura.
E quando diciamo essenziali, non stiamo scherzando. Il funzionamento dei server dipende da una lunga serie di sistemi cyber-fisici che raramente finiscono sotto i riflettori, ma sono indispensabili al funzionamento: Building Management System (BMS), Building Automation System (BAS), gruppi di continuità (UPS), sistemi di distribuzione elettrica, generatori, impianti HVAC, piattaforme di monitoraggio ambientale e soluzioni di Data Center Infrastructure Management (DCIM) costituiscono l’ossatura che permette ai servizi digitali di rimanere operativi ventiquattro ore su ventiquattro. Se uno di questi sistemi viene compromesso, le conseguenze possono facilmente sfociare nell’interruzione del funzionamento del data center.
Alimentazione e raffreddamento sono i sistemi più esposti
L'analisi evidenzia una situazione particolarmente delicata proprio nei sistemi che garantiscono la continuità operativa e tra le quali spiccano le unità di distribuzione dell'alimentazione (PDU): il 41% degli asset risulta direttamente accessibile da Internet oppure raggiungibile con un solo salto di rete da una connessione pubblica potenzialmente rischiosa. Subito dopo si collocano gli impianti HVAC e i sistemi di raffreddamento, dove la quota di asset esposti raggiunge il 32%. Pur essendo i due componenti più “semplici” da identificare come essenziali, non sono adeguatamente posizionati nelle difese. I criminali sanno benissimo che un'interruzione del raffreddamento o una manipolazione della distribuzione elettrica potrebbe compromettere la disponibilità dell'intero data center senza dover attaccare direttamente i server. E sappiamo bene cosa succede quando i criminali identificano un bersaglio.
I sistemi di gestione degli edifici sembrano esser dimenticati
Tra i dati più significativi emerge anche la situazione dei Building Management System che, sempre secondo Claroty, vede l'88% dei BMS comunicare utilizzando protocolli non sicuri, mentre il 40% utilizza firmware ormai obsoleti. Capiamo che il primo pensiero di chi progetta e ha progettato questi dispositivi sia quello di garantire affidabilità operativa per molti anni e che quindi non vengano aggiornati con la stessa frequenza delle infrastrutture IT tradizionali. Il risultato, però, è un numero crescente di componenti legacy che rimangono in funzione pur non essendo più adeguatamente protetti.
La ricerca mette in evidenza anche un altro elemento ricorrente nel mondo OT. Oltre l'80% dei sistemi di controllo industriale, dei dispositivi per il monitoraggio dell'alimentazione e delle piattaforme IoT utilizza ancora protocolli legacy come BACnet e MODBUS, tecnologie nate in un'epoca in cui la sicurezza non rappresentava una priorità progettuale. Come nel caso dei BMS, questi protocolli continuano a essere ampiamente diffusi perché garantiscono interoperabilità e lunga durata operativa, ma risultano poco adatti a un contesto in cui gli impianti sono sempre più interconnessi e accessibili da remoto.
Le vulnerabilità già sfruttate sono un sempre verde
Un altro dato evidenzia come il problema non riguardi soltanto vulnerabilità da dimostrare, ma già ben conosciute. Il 23% dei dispositivi IoT presenti nei data center contiene infatti Known Exploited Vulnerabilities (KEV), cioè falle di sicurezza già note e usate attivamente dagli attaccanti. Questo è un problema che assume una grande rilevanza in caso di violazione perché spesso (troppo) chi cura la sicurezza conosce queste lacune, ma conta sul recinto esterno per la loro mitigazione. Se però questi oggetti si trovano troppo vicini al primo punto d’ingresso, il recinto da scavalcare risulta un po’ troppo basso.
Secondo Amir Preminger, CTO e responsabile del Team82 di Claroty, i data center hanno ormai assunto un ruolo paragonabile a quello delle reti elettriche o delle infrastrutture di trasporto. Con la crescita dell'intelligenza artificiale, proteggere queste strutture significa anche salvaguardare la continuità dei servizi digitali e, in molti casi, la sicurezza economica nazionale.
Per questo motivo Claroty suggerisce di seguire quattro direttrici fondamentali: la gestione continua delle esposizioni, mirata a individuare i possibili percorsi di attacco; la segmentazione della rete secondo i principi Zero Trust, per limitare i movimenti; l'hardening dei Building Management System, soprattutto quando non è possibile aggiornare i sistemi legacy; un monitoraggio delle minacce basato sulla conoscenza dei protocolli industriali, in grado di rilevare comportamenti anomali degli ambienti OT.
La resilienza passa dai sistemi cyber-fisici
La ricerca conferma una tendenza ormai evidente nel settore. La sicurezza dei data center non può più essere affrontata separando il mondo IT da quello operativo. Server, storage e reti rappresentano solo una parte dell'infrastruttura. Alimentazione elettrica, raffreddamento, automazione e monitoraggio sono altrettanto essenziali per garantire la continuità dei servizi e stanno diventando obiettivi sempre più interessanti per i cybercriminali. L’attenzione, quindi, va estesa anche alla parte finora meno considerata, anche perché sarà la prima a esser presa d’assalto da eventuali sistemi AI progettati per violare sistemi per conto di criminali.