I sistemi cyber fisici sono al sicuro?

Con l’aumento della interconnessione tra sistemi fisici e digitali, la minaccia di attacchi cibernetici a infrastrutture critiche, come i sistemi di controllo industriale, le reti di trasporto e le smart city è in costante crescita. La protezione di tali sistemi è fondamentale per garantire la stabilità e la sicurezza della nostra società moderna, che dipende sempre più dalla tecnologia. 

Esploriamo i principali fattori di rischio legati alla sicurezza dei sistemi cyber-fisici, attraverso una breve disamina ed esempi concreti.

Cosa sono i sistemi cyber-fisici?

Si tratta di una combinazione di sistemi software e hardware che interagiscono tra loro e con l’ambiente fisico circostante. Questi sistemi utilizzano tecnologie come sensori, attuatori, comunicazioni wireless e intelligenza artificiale per raccogliere dati dal mondo reale, elaborarli e reagire in modo appropriato.

Ad esempio, un sistema CPS (Cyber Physical System) per la gestione del traffico potrebbe utilizzare sensori di velocità e di posizione per raccogliere informazioni sulle condizioni del traffico e utilizzare queste informazioni per controllare i semafori e regolare il flusso del traffico in modo efficiente.

In un sistema CPS, i componenti hardware e software interagiscono costantemente, con i sensori che raccolgono dati dal mondo reale e li inviano ai componenti software per l’elaborazione, e con gli attuatori che eseguono azioni fisiche in base alle istruzioni fornite dai componenti software.

Questi sistemi possono essere utilizzati in molte applicazioni, tra cui la produzione automatizzata, la gestione del traffico, la logistica, la gestione delle energie rinnovabili e molte altre. La loro capacità di raccogliere e utilizzare informazioni dal mondo circostante, li rende particolarmente utili per risolvere problemi complessi che richiedono la capacità di prendere decisioni in tempo reale.

Un rischio davvero esteso

Un attacco hacker ad un sistema CPS può causare danni fisici a cose o persone.

In più, il fattore tempo è una componente fondamentale nelle operazioni di un CPS in funzionamento.

Se possiamo permetterci una attesa di un paio d’ore o più, per ripristinare una base dati, l’arresto di un dispositivo medico può causare la morte di un paziente.

Allora è chiaro che l’attenzione che dobbiamo dedicare ai CPS è più che mai alta. Dobbiamo riconsiderare i canoni di sicurezza ed aprirci ad una prospettiva più ampia per comprendere le insidie e sapere come affrontarle.

Non possiamo più parlare solo di security ma, ancor prima, di safety, e l’approccio per la progettazione delle protezioni deve essere di tipo olistico.

Perché i CPS sono più esposti alle minacce?

I sistemi IoT (Internet of Things) e OT (Operational Technology) che compongono le reti di CPS sono vulnerabili a diversi fattori:

• Mancanza di sicurezza integrata: Molti dispositivi IoT sono progettati per essere semplici da usare e convenienti, ma spesso non hanno funzionalità di sicurezza incorporate.
• Password deboli: in dispositivi che vengono forniti con password predefinite che spesso non vengono modificate, rendendoli vulnerabili agli attacchi. Pensiamo a quanti sistemi di videosorveglianza sono quotidianamente oggetto di “visita” da parte di intrusi.
• Aggiornamenti di sicurezza mancanti: Molti produttori di dispositivi IoT e OT non forniscono regolarmente aggiornamenti di sicurezza per i loro prodotti, lasciandoli vulnerabili a eventuali minacce.
• Connessioni non sicure: CPS che non utilizzano connessioni crittografate, rendendoli vulnerabili agli attacchi di intercettazione dei dati.
• Vulnerabilità del software e del firmware: Anche se il software dei dispositivi è sviluppato con cura, possono comunque essere presenti vulnerabilità sfruttabili dagli hacker.

La proliferazione di protocolli differenti, rispetto a quelli usati in ambito IT, deve far alzare ancor più l’attenzione. I sistemi di difesa tradizionali non ne intercettano le vulnerabilità specifiche. 

Citiamo alcuni protocolli comuni in campo OT e IoT:

• MQTT (Message Queuing Telemetry Transport): un protocollo di messaggistica leggero utilizzato per la comunicazione tra dispositivi IoT.
• CoAP (Constrained Application Protocol): un protocollo di comunicazione per l’Internet delle cose, progettato per essere leggero e affidabile.
• LWM2M (Lightweight M2M): mirato alla gestione di dispositivi IoT.
• Modbus: un protocollo di comunicazione industriale utilizzato per la gestione dei dispositivi OT.
• DNP3 (Distributed Network Protocol 3): un protocollo di comunicazione utilizzato per la gestione delle reti di controllo dell’energia.
• Profinet: un protocollo di comunicazione industriale utilizzato per la gestione dei sistemi di automazione industriale.

SCADA (Supervisory Control and Data Acquisition) è un sistema di controllo industriale utilizzato anche per la gestione e il monitoraggio di infrastrutture critiche, come centrali elettriche, impianti di trattamento dell’acqua, reti di trasporto. Questi sistemi utilizzano reti di comunicazione proprietarie per trasmettere i dati di controllo e monitoraggio.

Le reti SCADA sono vulnerabili a diversi tipi di attacchi, tra cui:

• Attacchi di intercettazione: dove un attaccante intercetta i dati sensibili trasmessi.
• Spoofing: un attaccante falsifica i dati o le identità per ingannare i sistemi SCADA.
• Attacchi di iniezione: l’attaccante inserisce codice dannoso nei sistemi, compromettendo il controllo dei processi.
• Attacchi di negazione di servizio: impedisce ai sistemi SCADA di funzionare correttamente, causando interruzioni del servizio e possibili danni fisici.

Un esempio di attacco ai danni di sistemi SCADA, risale al 2016, quando hackers sono riusciti ad infiltrarsi nella rete di una azienda manifatturiera e a prendere il controllo dei bracci robotici, causando interruzioni del processo produttivo e danni materiali.

Il rischio è concreto

Spesso concentriamo tutte le difese sui sistemi centrali, ignorando le criticità rappresentate da quelli secondari. Nel 2017, un hacker riuscì a sottrarre i dati di un casinò degli Stati Uniti, entrando in rete dal sistema di controllo di un acquario connesso.

Vediamo altri casi celebri:

• Stuxnet è un virus informatico che ha colpito le industrie petrolifere e nucleari iraniane nel 2010, causando danni fisici ai loro impianti.
• Nel 1999, un hacker è riuscito a violare il sistema di controllo delle pompe di un impianto fognario di Maroochy in Australia, causando una fuoriuscita di liquami nell’ambiente.
• Nel 2015, gli attacchi informatici hanno causato black out nella rete elettrica ucraina, causando danni fisici agli impianti e ai sistemi di trasmissione.
• Nel 2015, i ricercatori hanno dimostrato che è possibile compromettere i sistemi di controllo del volo, causando la manipolazione dei dispositivi di navigazione e di comunicazione
• Nel febbraio 2021, un hacker ha cercato di aumentare il livello di cloro in un impianto di trattamento delle acque a Oldsmar, in Florida, ma è stato scoperto in tempo.
• Nel 2012, un malware noto come “Flame” ha infettato la centrale nucleare iraniana di Bushehr, causando preoccupazioni per la sicurezza nucleare.
• Nel 2014, il malware “Havex” ha infettato sistemi di automazione di fabbrica in tutto il mondo, causando danni ai processi produttivi.
• Nel 2014, i ricercatori hanno dimostrato che è possibile compromettere i sistemi di controllo delle dighe, causando la manipolazione dell’apertura e della chiusura delle paratoie.

Un problema globale e di tutti

I recenti attacchi informatici della Russia ai siti web del governo ucraino e le crescenti preoccupazioni degli alleati dell’Ucraina in merito alla difesa dei sistemi di controllo industriale dimostrano l’entità che questi attacchi possono raggiungere ed il grande caos che può derivarne.

Gli aggressori scelgono sempre più spesso di sferrare attacchi cyber-fisici che prendono di mira infrastrutture critiche, che possono causare interruzioni ed essere fatali. Sfortunatamente, nessuna azienda è immune. Addirittura, Gartner stima che, entro il 2025, gli aggressori avranno armato sistemi OT cyber-fisici per danneggiare o uccidere gli esseri umani.

Gli attacchi all’OT (hardware e software che monitorano o controllano apparecchiature, risorse e processi) sono diventati più comuni. Si sono anche evoluti e, anziché provocare solo interruzioni immediate dei processi, come la chiusura di impianti, mirano a compromettere l’integrità degli ambienti industriali, con l’intento di creare danni fisici. 

Eventi recenti, come l’attacco ransomware del 2021 all’americana Colonial Pipeline, hanno evidenziato la necessità di avere reti adeguatamente segmentate per IT e OT.

Secondo Gartner, gli incidenti di sicurezza nell’OT e in altri CPS hanno tre motivazioni principali: danno effettivo, vandalismo commerciale (produzione ridotta) e vandalismo reputazionale (rendere un produttore inaffidabile).

Gartner stessa prevede che l’impatto finanziario degli attacchi CPS con conseguenti vittime, raggiungerà oltre 50 miliardi di dollari entro il 2023. Anche senza prendere in considerazione il valore della vita umana, i costi per le organizzazioni in termini di risarcimento, contenzioso, assicurazione, multe e perdita di reputazione, saranno significativi.