IoT security, ovvero voglia di sicurezza in tutti i processi di smartificazione delle fabbriche e delle filiere. Proteggere la cosiddetta Industrial Internet of Thing da attacchi e vulnerabilità è quanto mai fondamentale per garantire la continuità operativa del business. Non a caso, l’IIoT è considerata una tecnologia abilitante del paradigma Industria 4.0, che consiste nella trasformazione dei metodi di progettazione e fabbricazione dei prodotti attraverso la digitalizzazione pervasiva dei processi industriali.
Quali sono le insicurezze della IoT
Un recente sondaggio McKinsey sui professionisti della produzione e delle catene di approvvigionamento rileva come per il 35% delle imprese in Europa, (il 20% a livello mondiale), l’IoT security sia una delle principali criticità, superando per importanza le minacce gravi come la violazione dei dati (10% per l’Europa, 15% per il campione totale) o gli attacchi alla supply chain, sia a livello europeo (20%) che mondiale (15%). Affrontare queste problematiche richiede sempre più spesso non solo il contributo dei team IT, ma anche il supporto di esperti di sicurezza. Nel corso del 2020, il personale di sicurezza IT di quasi un terzo (31%) delle imprese europee intervistate ha sviluppando progetti per la protezione dei sistemi OT digitalizzati.
Le vulnerabilità della Industrial IoT
La crescita esponenziale della superficie di attacco che caratterizza la nuova Internet Industry 4.0 è un problema di non facile risoluzione. Le cronache raccontano di attacchi informatici distruttivi in deciso aumento, attuati sfruttando le vulnerabilità di sistemi IoT industriali – sistemi di controllo industriale (ICS) e Programmable Logic Controller (PLC) – privi di autenticazione. Il problema è che compromettere uno di questi dispositivi può causare danni da milioni e milioni di euro alle aziende. In questi casi, Internet rappresenta davvero un terreno fertile per le minacce informatiche. Le aziende hanno contezza di quanto risorse qualificate in grado di gestire e proteggere adeguatamente la tecnologia operativa critica (OT) scarseggino.
L’impatto del vettore esponenziale sulla IoT security
Per parlare di IoT security, infatti, bisogna comprendere come e perché la superficie di attacco sia così ampia e in continua crescita. Considerato che ogni secondo vengano connessi a Internet 127 nuovi dispositivi, molti dei quali insicuri a livello di progettazione, è facile capire come la IoT rischi di essere una superstrada globale per gli hacker. Al di là delle numeriche e delle frequenti avvertenze di aggiornare le patch di sistema, il problema più importante è quello che gli esperti chiamano vettore esponenziale. Non dimentichiamoci l’effetto nefasto di WannaCry e la sua evolutiva NotPetya. Uno dei più grossi problemi con la IoT security dipende anche dal fatto che la maggior parte dei firewall implementati oggi è stata progettata negli anni ’90. quando c’era un solo modo per entrare in una rete. Distribuire un firewall per ciascun dispositivo, dunque, manderebbe in bancarotta la maggior parte delle organizzazioni. Senza contare il fatto che circa il 98% di tutto il traffico dei dispositivi IoT non è crittografato (Fonte: Palo Alto Networks 2020) esponendo di fatto dati personali e riservati sensibili sulla rete.
Guida alle vulnerabilità della Industrial IoT
Pianificare la IoT security significa avere contezza di come oggi ci siano trilioni di vettori di attacco. Come per qualsiasi altra cosa connessa a Internet, anche i dispositivi IIoT sono soggetti a minacce informatiche che possono alterare i sistemi di controllo industriale (ICS), i sistemi di controllo distribuito (DCS), i controllori logici programmabili (PLC), i sistemi di controllo supervisione e acquisizione dati (SCADA) o le interfacce uomo macchina (HMI). L’adozione di dispositivi basati su IP sempre più potenti e complessi, compreso l’uso di sofisticati microprocessori, comporta un rischio crescente. Specifici attacchi informatici mirati all’infrastruttura IIoT potrebbero includere:
#1 Man-in-the-middle: il termine si riferisce al caso in cui un utente malintenzionato violi, interrompa o falsifichi le comunicazioni tra due sistemi. In uno scenario IIoT, un utente malintenzionato potrebbe assumere il controllo di un attuatore intelligente e far cadere un robot industriale fuori dalla corsia e dal limite di velocità designati, danneggiando potenzialmente una catena di montaggio o ferendo gli operatori. Ma un altro esempio è l’hackeraggio dei sistemi di sorveglianza di un sito produttivo che permetterebbe alla concorrenza di capire come sono realizzati i prodotti.
#2 Dirottamento del dispositivo: in questo caso, l’autore dell’attacco dirotta e assume effettivamente il controllo di un dispositivo. Questi attacchi sono piuttosto difficili da rilevare perché l’aggressore non modifica la funzionalità di base del dispositivo. Inoltre, è sufficiente un solo dispositivo per infettare potenzialmente gli altri, per esempio tutti contatori intelligenti collegati a una rete. In uno scenario IIoT, un dirottatore potrebbe assumere il controllo di un contatore intelligente e utilizzare il dispositivo compromesso per lanciare attacchi ransomware contro i sistemi di gestione energetica (EMS) o utilizzare illegalmente linee elettriche non protette.
#3 Distributed Denial of Service (DDoS): un attacco DoS (Denial of Service) tenta di rendere una macchina o una risorsa di rete non disponibile agli utenti interrompendo temporaneamente o indefinitamente i servizi di un host connesso a Internet. Nel caso di un attacco DDoS (Distributed Denial-of-Service), il traffico in entrata che invade un bersaglio proviene da più fonti, rendendo difficile fermare l’offensiva informatica semplicemente bloccando una singola fonte. Gli attacchi DoS e DDoS possono influire negativamente su un’ampia gamma di applicazioni IIoT, causando gravi interruzioni per i servizi di utilità e gli impianti di produzione.
#4 Permanent Denial of Service (PDoS): gli attacchi Permanent Denial of Service (PDoS), noti anche come phlashing, danneggiano il dispositivo in modo così grave da richiedere la sostituzione o la reinstallazione dell’hardware. Il malware BrickerBot, ad esempio, era programmato per sfruttare le password hard coded nei dispositivi IoT e causare una negazione permanente del servizio ed è un esempio emblematico di come gli attaccanti ragionino per disabilitare le apparecchiature critiche in una fabbrica, in un impianto di trattamento delle acque reflue o in una sottostazione elettrica.
Le indicazioni del NIST per la IoT security
Nel rapporto “Considerations for Managing Internet of Things (IoT) Cybersecurity and Privacy Risks”, il NIST (National Institute of Standards and Technology) identifica tre obiettivi di mitigazione del rischio di alto livello per la gestione della sicurezza informatica e dei rischi per la privacy dei dispositivi IoT:
1. Proteggere la sicurezza dei dispositivi
2. Proteggere la sicurezza dei dati
3. Proteggere la privacy delle persone
Lo stesso istituto, nella guida “Core Cybersecurity Feature Baseline for Securable IoT Devices: A Starting Point for IoT Device Manufacturers” indica le tre funzionalità di IoT security che i produttori di dispositivi devono tener presenti e che gli utilizzatori possono valutare al momento dell’acquisto:
• Device Identification: ogni dispositivo deve poter essere identificato univocamente attraverso un seriale o un indirizzo univoco quando è connesso alla rete.
• Device Configuration: un utente abilitato deve poter modificare le configurazioni software del dispositivo IoT, oltre eventualmente a quelle del firmware.
• Sicurezza delle informazioni: deve essere evidente come il dispositivo IoT protegge i dati, che memorizza e invia sulla rete, da accessi non autorizzati o da tentativi di modifica non autorizzata.
Attenzione anche alla sicurezza della programmazione
Il CISQ (Consortium for Information & Software Quality) nel documento “Automated Source Code Quality Measures (ASCQM)” redatto nel 2016 suggerisce le regole atte a certificare la qualità del software in base alla rischiosità intrinseca. Nel 2018 è stato istituito un gruppo di lavoro per ampliare l’insieme di regole includendo un sottoinsieme dedicato alla qualità e alla sicurezza del codice embedded utilizzato nei dispositivi di controllo, nei device IoT e nei sistemi safety-critical. Gli sviluppatori possono usare questo standard per definire i punti di controllo da soddisfare per i sistemi in produzione, mentre i responsabili degli acquisti possono usare questo standard come riferimento per stabilire i requisiti di qualità del software all’interno dei contratti con i fornitori e i criteri di accettazione del software destinato ai dispositivi.
A tutto questo si aggiunge la necessità di presidiare gli aggiornamenti: un dispositivo IoT, infatti, dovrà essere aggiornato più volte durante il proprio ciclo di vita per correggere bug o estendere funzionalità. Per questa ragione è necessario un sistema di distribuzione del firmware che non introduca minacce per il sistema.
Il framework OWASP per la sicurezza IoT
Per gestire la IoT Security è fondamentale mappare correttamente i sistemi connessi in tutte le loro parti, includendo anche le persone che in qualche modo interagiscono con gli oggetti comunicanti, con le reti e con i sistemi di elaborazione e di analisi dei dati IoT. A questo proposito, il progetto OWASP (Open Web Application Security Project) Internet of Things offre una guida di riferimento che evidenzia dieci punti di attenzione:
1. Password deboli, facilmente indovinabili o preimpostate
2. Servizi di rete non sicuri
3. Interfacce di sistema non sicure
4. Aggiornamenti non sicuri e non affidabili
5. Utilizzo di componenti non sicuri o obsoleti
6. Privacy e protezione dei dati insufficienti
7. Trasferimenti e conservazione di dati non sicuri
8. Cattiva gestione dei dispositivi e dei servizi ad essi collegati 9. Impostazioni di default non sicure
10. Mancanza di misure di “Physical Hardening”
Le metodologie e gli strumenti per l’analisi dei rischi IoT
Nell’e-book intitolato “IoT Security and Compliance: gestire la complessità e i rischi”, pubblicato dalla CLUSIT Community for Security, gli esperti fanno il punto e aiutano le organizzazioni a comprendere che non è la singola componente del sistema IoT a caratterizzare l’approccio metodologico, ma la capacità di comporre in modo modulare la visione di insieme del modello del servizio verso l’utente finale (consumer o business). Per orchestrare la IoT Security in modo corretto, infatti, bisogna capire come ciascuna componente del sistema debba essere analizzata con metodologie e strumenti differenti in base alla sua natura e alle sue caratteristiche. Gli esperti offrono una classificazione sulla base degli ambiti di responsabilità:
• Corporate
La società che eroga e gestisce il servizio è soggetta a rischi tipici di un fornitore di servizi ICT e quindi l’analisi può facilmente utilizzare un approccio ISO/IEC 27005. Questa metodologia permette di considerare i rischi che insistono sulla gestione delle informazioni raccolte, sui processi di conduzione del data center in cui questi sono conservati e via dicendo.
• Device Provider
I produttori dei dispositivi sono soggetti ai rischi tipici dello sviluppo software presidiati attraverso l’analisi statica o dinamica del codice e code review.
• Device
I rischi dei dispositivi fisici possono essere analizzati mediante metodologie e processi di vulnerability assessment tecnologici (p.e. VA, PT, Ethical Hacking).
• Interfacce utente
Mentre nel caso di interfacce utente integrate nel dispositivo o dedicate ci si può ricondurre ai casi precedenti, l’utilizzo di interfacce basate su dispositivi IT generici introduce rischi specifici che vanno presidiati in fase di progettazione con un approccio di Security by Design e User-Centred Design, e in fase di esercizio con una continua informazione sui rischi di sicurezza verso gli utenti nonché, come nel caso dei dispositivi, da processi di vulnerability assessment tecnologici.
• Connectivity Provider
I fornitori di connettività possono essere analizzati considerando i rischi relativi alla continuità del servizio e alla sicurezza dei flussi in transito rispetto, ad esempio, a intercettazione e man-in-the-middle.
IoT security: la complessità di valutare i rischi
Che si tratti di smartificare gli ambienti di produzione o di portare la tracciabilità e la rintracciabilità delle informazioni associate alla gestione di prodotti, mezzi, animali o persone, per progettare una IoT security funzionale bisogna coinvolgere più team specializzati. Per fare una valutazione dei rischi associati all’Industrial IoT bisogna coinvolgere un gruppo multidisciplinare di esperti con competenze di esercizio, progettazione, ingegneria e sviluppo, unitamente ai professionisti della sicurezza IT. Il tutto avendo ben chiara la differenza tra cosa è la sicurezza IT standard e cosa siano invece la IoT Security e la resilienza dei sistemi. L’approccio corretto prevede di:
- Identificare dispositivi e sistemi critici determinando se sono soggetti a vulnerabilità note e sfruttabili.
- Conoscere l’interazione dei sistemi con i processi dell’organizzazione per capire le dinamiche e le relazioni M2M (Machine to Machine) e H2M (Human to Machine).
- Controllare frequentemente i sistemi di protezione dei componenti del sistema IoT con particolare attenzione a quelli che potrebbero contenere punti deboli.
- Comprendere l’interazione tra gli apparati IoT per identificare e valutare l’esposizione, il rischio e l’impatto degli attacchi ad ogni livello o componente. Questo include la definizione di un profilo di sicurezza di base dell’IoT e la definizione di standard di sicurezza da applicare coerentemente con l’ambiente IoT di riferimento.
- Analizzare e comprendere la dipendenza dai fornitori, aspetto sempre più critico man mano che i produttori di tecnologia aumentano l’integrazione della propria filiera di fornitura (supply chain) con i sistemi presso i clienti.
Vodafone Business: il partner ideale dei progetti IoT
Vodafone Business opera in prima linea per offrire una connettività IoT securitizzata, con SIM progettate specificamente per i bisogni degli ambienti connessi e intelligenti. Il valore aggiunto dell’offerta, che garantisce nativamente la IoT security, si completa con la Smart Manufacturing Suite, una soluzione in grado di raccogliere e armonizzazione dati da un qualsiasi dispositivo industriale, grazie al Vodafone Industrial Connect Gateway, garantendo:
- Acquisizione dei dati da differenti protocolli
- Semplicita’ di implementazione
- Elaborazione dati a bordo macchina
- Trasmissione dei dati in maniera sicura
- Protezione dei dati
La soluzione Smart Manufacturing di Vodafone Business fornisce ai responsabili aziendali un set completo di primitive IoT pre-testate e strumenti software che utilizzano protocolli e librerie standard di comunicazione per aumentare l’interoperabilità e la sicurezza delle componenti IoT, il tutto in una logica Agile. Le funzionalità di tipo drag&drop e sistemi di monitoraggio ad hoc permettono di accelerare le fasi di sviluppo, velocizzando la realizzazione di qualsiasi applicazione Machine-to-Machine.