Accesso remoto sicuro negli ambienti OT: il vettore d'attacco più sottovalutato

Il boom dell'accesso remoto OT

Prima del 2020, l'accesso remoto agli ambienti industriali era l'eccezione. I tecnici erano in loco, i fornitori intervenivano fisicamente, le reti OT erano per definizione isolate. Poi tutto è cambiato: le restrizioni alla mobilità hanno imposto l'accesso remoto come unica via per mantenere operativi gli impianti, e quella che era un'eccezione è diventata la norma.

Tre anni dopo, lo scenario è paradossale: la stragrande maggioranza degli ambienti OT ha connessioni di accesso remoto attive, spesso installate in fretta durante l'emergenza, raramente revisionate in seguito. Queste connessioni sono rimaste aperte anche quando non più necessarie, hanno proliferato con soluzioni diverse per ogni fornitore e raramente sono state integrate nei programmi di sicurezza esistenti.

Il risultato: l'accesso remoto è oggi il vettore d'ingresso più utilizzato negli attacchi agli ambienti industriali. Non perché sia tecnicamente il più sofisticato, ma perché è il meno presidiato.

Perché l'accesso remoto è pericoloso negli ambienti industriali

Negli ambienti IT, l'accesso remoto è un problema gestito da anni. VPN aziendali, MFA obbligatoria, policy di accesso granulari, session recording: esiste un intero ecosistema di soluzioni mature.

Nell'OT, nulla di questo si trasferisce automaticamente. Le ragioni sono strutturali:

• Autenticazione debole: molti sistemi SCADA e HMI legacy non supportano MFA. Il minimo comune denominatore finisce per essere username e password condivisa tra tecnici diversi.
• Credenziali di fornitura: i vendor che installano l'impianto lasciano credenziali di accesso predefinite. Nel migliore dei casi vengono cambiate; nella realtà spesso rimangono invariate per anni.
• Accesso permanente vs. accesso occasionale: un tecnico IT accede alla rete aziendale ogni giorno. Un manutentore OT accede al PLC una volta ogni sei mesi. Ma la connessione rimane aperta 24/7.
• Nessuna visibilità: a differenza degli ambienti IT, dove i log di accesso vengono centralizzati e analizzati, nell'OT l'accesso remoto avviene spesso senza lasciare tracce consultabili.

VPN, RDP, tool proprietari: il panorama reale

In un impianto industriale tipico coesistono soluzioni di accesso remoto completamente eterogenee. La VPN aziendale copre forse il 40% dei casi. Il resto è un mosaico: TeamViewer installato dal tecnico di turno, accesso RDP diretto a una workstation SCADA, tool proprietari del fornitore di automazione, connessioni cellular su modem 4G collegati direttamente al PLC.

Questo frammentazione crea tre problemi:

1. Inventory incompleto: nessuno sa quanti punti di accesso remoto esistono. Non è raro scoprire connessioni attive che nessuno ricordava di aver aperto.
2. Policy incoerenti: ogni soluzione ha le sue regole, spesso configurate dal fornitore che l'ha installata senza coordinamento con il team di sicurezza.
3. Audit impossibile: consolidare i log di accesso da sistemi diversi è tecnicamente complesso e spesso non fatto.

Come costruire un accesso remoto sicuro per l'OT

La soluzione non è eliminare l'accesso remoto, ma strutturarlo. L'obiettivo è sostituire il caos con un canale unico, controllato e monitorato.

I principi che seguono richiedono strumenti dedicati di accesso remoto e di privileged access management (PAM), una categoria distinta dalle piattaforme di monitoraggio OT come MON5: sono il gateway che applica le regole, non lo strato che le osserva.

I principi fondamentali:

Accesso just-in-time: le connessioni non dovrebbero essere permanenti. Un tecnico che deve intervenire su un PLC richiede l'accesso, ottiene una sessione temporanea con scadenza automatica, e la finestra si chiude alla fine dell'intervento. Non esiste una porta sempre aperta.

Autenticazione forte ovunque: anche dove il sistema target non supporta MFA nativamente, il gateway di accesso remoto può imporla prima di stabilire la sessione verso il dispositivo OT. L'MFA avviene all'ingresso del perimetro, non sul sistema finale.

Segregazione per zona: un fornitore di automazione che deve accedere a una linea di produzione specifica non deve avere visibilità sull'intera rete OT. Il principio del minimo privilegio si applica geograficamente: accesso solo ai sistemi per cui è stato autorizzato, nient'altro.

Session recording e audit trail: ogni sessione di accesso remoto deve essere registrata e consultabile. Non solo chi si è connesso e quando, ma anche cosa ha fatto. In caso di incidente, è la differenza tra capire cosa è successo e brancolare nel buio.

Monitoraggio e audit degli accessi

L'accesso remoto sicuro non è un problema che si risolve una volta. È un processo continuo che richiede:

• Inventory regolare delle connessioni attive: almeno trimestrale, con processo formale di approvazione per ogni nuova connessione.
• Review dei vendor: ogni fornitore con accesso dovrebbe essere soggetto a una verifica periodica dei privilegi. Contratti scaduti, personale che ha lasciato l'azienda fornitrice, scope di lavoro conclusi: tutte ragioni per revocare l'accesso.
• Alerting su anomalie: accesso fuori orario, sessioni insolitamente lunghe, connessioni da IP non abituali. Questi segnali deboli spesso precedono un incidente.

L'accesso remoto controllato non elimina il rischio, ma riduce drasticamente la superficie esposta e aumenta la probabilità di rilevare comportamenti anomali prima che diventino incidenti.

L'angolo MON5

MON5 non sostituisce un gateway di accesso remoto: ne rende visibili e monitorabili gli accessi. Censire le connessioni di accesso remoto è il primo passo, ma molte di quelle aperte negli anni non compaiono in nessun documento. La fase DISCOVER di MON5 ricostruisce passivamente la topologia di rete e fa emergere le sessioni attive verso l'esterno, comprese quelle che nessuno ricordava di aver autorizzato, senza fermare la produzione.

Una volta mappati gli accessi, il monitoraggio continuo della fase PROTECT segnala i comportamenti anomali descritti in questo articolo: sessioni fuori orario, connessioni da IP insoliti, durate atipiche. MON5 osserva e segnala, ma l'applicazione di just-in-time, MFA e session recording resta affidata agli strumenti di accesso remoto dedicati. Per scoprire quante porte aperte esistono davvero nella tua rete, parti da un assessment OT.