Come ottenere una visibilità completa degli asset OT/ICS

Sapere che la visibilità degli asset è il fondamento della sicurezza OT è una cosa. Ottenerla davvero, in un impianto con migliaia di dispositivi di decine di vendor diversi, è un'altra. Questo articolo non discute il perché: si concentra sul come, con un percorso operativo per costruire e mantenere un inventario affidabile senza mettere a rischio la continuità produttiva.

Partire dai sensori giusti, ai livelli giusti

Un singolo punto di raccolta non basta. La rete industriale si estende dai PLC e dai dispositivi di campo fino ai livelli IT, e ogni segmento richiede un approccio diverso:

• Sensori di rete per l'osservazione passiva del traffico sui segmenti principali.
• Sensori wireless per intercettare Wi-Fi, Bluetooth, Zigbee e LoRaWAN, spesso il punto cieco più trascurato.
• Sensori endpoint leggeri su workstation e server di processo.
• Sensori embedded vicino a PLC e dispositivi di basso livello, dove il traffico East-West resta altrimenti invisibile.

La regola pratica: più si scende verso il campo, più serve una sonda dedicata, perché i livelli Purdue inferiori non producono traffico che risale spontaneamente fino al monitoraggio centrale.

Combinare tre modalità di scoperta

Affidarsi a un solo metodo lascia sempre dei buchi. I tre approcci vanno usati insieme:

1. Scoperta passiva. Ascolta il traffico senza interagire con i dispositivi. È sicura per definizione, ma non vede gli asset silenziosi o in stand-by.
2. Scoperta attiva (smart polling). Interroga in modo mirato i dispositivi che la modalità passiva non riesce a profilare. Va calibrata con attenzione: query lente, mirate e compatibili con i protocolli industriali, per non sovraccaricare apparati progettati per cicli deterministici.
3. Integrazioni con sistemi esistenti. Active Directory, EDR, CMDB e ticketing arricchiscono l'inventario con dati che la rete da sola non espone.

La scoperta passiva da sola è il primo errore tipico: i dispositivi dormienti, gli asset di manutenzione e gli apparati accesi solo durante alcune fasi del ciclo restano fuori dall'inventario finché qualcuno non li interroga.

Deep Packet Inspection e copertura dei protocolli

Identificare un indirizzo IP non è identificare un asset. Serve la Deep Packet Inspection sui protocolli industriali (Modbus, Profibus, DNP3, EtherNet/IP e molti altri) per capire cosa è ogni dispositivo, quale firmware esegue e con chi comunica. La profondità della copertura protocollare è ciò che distingue un elenco di indirizzi da una mappa reale delle relazioni device-to-device.

Dalla mappa alla baseline comportamentale

Una volta noti gli asset e le loro comunicazioni, il passo successivo è stabilire cosa sia "normale". Una fase di apprendimento costruisce il profilo delle comunicazioni legittime; da lì il monitoraggio segnala le deviazioni: un nuovo flusso verso un PLC, un comando di scrittura inatteso, un dispositivo che appare dove non dovrebbe.

È qui che l'angolo MON5 diventa concreto. La piattaforma non si limita a elencare gli asset: correla le vulnerabilità con il contesto reale dell'impianto, così un CVE pesa per la sua effettiva esposizione e non in astratto. Il monitoraggio delle anomalie è passivo per principio, pensato per non interferire con i cicli di produzione e per dare priorità a ciò che conta davvero.

Tenere vivo l'inventario

Un inventario è utile solo se resta aggiornato. Per questo conviene:

• Automatizzare la scoperta e la classificazione invece di affidarsi a fogli di calcolo manuali, che invecchiano dal giorno in cui vengono compilati.
• Arricchire i dati con intelligence esterna per migliorare l'accuratezza della classificazione di modelli e firmware.
• Rivedere periodicamente la copertura dei sensori, perché ogni nuova linea, fornitore o intervento di manutenzione introduce asset prima assenti.

In sintesi

La visibilità completa nasce dalla combinazione di sensori multi-livello, scoperta passiva e attiva, DPI sui protocolli OT e baseline comportamentale, il tutto automatizzato e mantenuto nel tempo. Fatto bene, l'inventario smette di essere un adempimento e diventa la base su cui poggiano segmentazione, gestione delle vulnerabilità e risposta agli incidenti.

Analisi e commento a cura di MON5 su ricerca e dati di pubblico dominio del settore OT/ICS.