Network topology OT: come ricostruirla quando non esiste documentazione

Il problema della documentazione che non c'è

Ogni progetto di sicurezza OT inizia con la stessa domanda: avete una topologia di rete aggiornata? La risposta più comune nelle PMI manifatturiere italiane è una variazione sul tema del "più o meno": c'è qualcosa, ma non è aggiornato, oppure c'era ma non si trova, oppure è tutto nella testa di Mario che è in ferie.

Non è un problema di negligenza: è una conseguenza strutturale di come crescono le reti OT nel tempo. Gli impianti manifatturieri evolvono in modo organico (nuove linee, nuove macchine, integrazioni con sistemi di supervisione, connessioni verso l'ERP aziendale, accessi remoti per la manutenzione dei vendor) e ogni aggiunta porta con sé nuovi dispositivi e nuove connessioni. La documentazione segue raramente questo ritmo. Spesso, la priorità è rimettere in produzione nel minor tempo possibile: la documentazione viene rimandata a un momento più comodo che non arriva mai.

Il risultato è che la documentazione di rete ufficiale, quando esiste, è una fotografia di un momento passato. Nel frattempo, la rete reale ha continuato a cambiare. La distanza tra lo schema su carta e la rete reale cresce con ogni intervento non documentato.

Questo crea un problema concreto per qualsiasi intervento di sicurezza: non si può segmentare una rete che non si conosce. Non si può pianificare un firewall tra due zone se non si sa quali comunicazioni passano tra quelle zone. Non si può gestire un incidente se non si sa quali sistemi dipendono da quali altri. La topologia di rete aggiornata non è un documento di compliance: è un requisito operativo per la sicurezza.

Cosa significa "topologia" in un ambiente OT

Prima di parlare di come ricostruirla, vale la pena chiarire cosa intendiamo per topologia di rete OT, perché il termine comprende più livelli di informazione con utilità diverse.

La topologia fisica descrive come i dispositivi sono connessi fisicamente: quali switch ci sono, quali porte sono usate da quali dispositivi, come gli switch si connettono tra loro, dove passano i cavi. È la mappa del cablaggio, sostanzialmente.

La topologia logica descrive come i dispositivi si raggiungono a livello di rete: gli indirizzi IP, le subnet, le VLAN, le regole di routing tra segmenti diversi. Definisce i perimetri logici all'interno della rete.

La mappa delle dipendenze funzionali descrive quale dispositivo ha bisogno di comunicare con quale altro per svolgere la propria funzione: quali PLC inviano dati a quale SCADA, quali HMI si connettono a quali controller, quali sistemi storianizzano dati da quali sorgenti. Questa mappa non si legge dagli switch: emerge dall'analisi del traffico reale.

Per la sicurezza OT, la mappa più importante è la terza: le dipendenze funzionali. Sapere che due switch sono connessi fisicamente è meno utile di sapere che un certo PLC invia comandi critici a un certo attuatore attraverso un certo percorso di rete. Le dipendenze funzionali definiscono i path critici che non possono essere interrotti, e quindi i vincoli che qualsiasi intervento di sicurezza deve rispettare.

Perché la documentazione manuale non basta

L'approccio classico per documentare una rete OT è la ricognizione manuale: un tecnico gira per l'impianto, identifica i dispositivi, traccia i cavi, registra gli indirizzi IP. L'approccio produce risultati utili ma con limiti strutturali.

Il primo limite è il tempo: una ricognizione manuale di un impianto di medie dimensioni richiede giorni di lavoro, durante i quali la produzione deve continuare normalmente. L'accesso a tutte le aree non è sempre possibile: alcune macchine sono in zone difficili da raggiungere, alcuni armadi elettrici non vengono aperti durante la produzione. Il risultato è sempre parziale.

Il secondo limite è la visibilità: un tecnico che ispeziona fisicamente la rete vede i dispositivi fisici ma non vede le comunicazioni. Può trovare il PLC, può trovare lo switch, ma non può sapere se il PLC sta comunicando con altri dispositivi oltre a quelli documentati, se ci sono sessioni aperte verso indirizzi IP inaspettati, se ci sono dispositivi che comunicano sulla rete ma non hanno una presenza fisica ovvia.

Il terzo limite è la staticità: una documentazione manuale è accurata nel momento in cui viene prodotta. Il giorno dopo, se qualcuno connette un laptop per una manutenzione, la documentazione è già obsoleta. Mantenerla aggiornata richiede un processo disciplinato che nella pratica raramente viene sostenuto nel tempo.

Ricostruire la topologia con il monitoraggio passivo del traffico

Il monitoraggio passivo del traffico di rete risolve i limiti della documentazione manuale perché osserva la rete da dentro, vedendo ciò che effettivamente accade invece di ciò che si suppone debba accadere.

Il processo di ricostruzione passiva della topologia funziona così:

Identificazione degli endpoint: da ogni frame di rete è possibile ricavare gli indirizzi MAC e IP dei dispositivi sorgente e destinazione. Aggregando questa informazione nel tempo, si ottiene la lista completa di tutti i dispositivi che hanno emesso o ricevuto traffico sulla rete durante il periodo di osservazione, inclusi quelli non presenti in nessuna documentazione.

Ricostruzione del grafo delle comunicazioni: ogni sessione di comunicazione tra due indirizzi IP è un arco nel grafo della rete. Aggregando tutte le sessioni osservate, si costruisce la mappa delle comunicazioni reali: chi parla con chi, su quali protocolli, con quale frequenza. Questa mappa è la rappresentazione più accurata disponibile delle dipendenze funzionali.

Identificazione dei layer di comunicazione: il protocollo applicativo di ogni sessione rivela il layer funzionale. Sessioni Modbus TCP indicano comunicazione tra controller e supervisore a livello di campo. Sessioni OPC-UA indicano comunicazione con sistemi di supervisione di livello superiore. Sessioni SMB o RDP indicano accesso di tipo IT. La stratificazione dei protocolli permette di ricostruire i livelli Purdue anche senza documentazione architetturale.

Scoperta della topologia fisica degli switch: molti switch industriali trasmettono messaggi di protocollo (LLDP, CDP) che contengono informazioni sulla propria identità e sui propri vicini di rete. Analizzando questi messaggi è possibile ricostruire la topologia fisica degli switch, cioè chi è connesso a chi, senza accedere alla configurazione degli switch stessi.

Identificazione dei percorsi critici: incrociando la frequenza delle comunicazioni con il tipo di protocollo e i dispositivi coinvolti, è possibile identificare i percorsi critici: le comunicazioni la cui interruzione avrebbe impatto immediato sui processi produttivi. Questi percorsi sono i vincoli fondamentali per qualsiasi successivo intervento di rete.

La mappa PLC-SCADA-HMI: il risultato più prezioso

Tra tutti gli output della ricostruzione passiva della topologia, la mappa delle dipendenze PLC-SCADA-HMI è spesso quella con il maggiore valore immediato. In un impianto di medie dimensioni, questa mappa può essere sorprendentemente complessa: decine di PLC, ognuno con comunicazioni verso uno o più sistemi SCADA, con HMI che si connettono a sottoinsiemi diversi di controller, con storicizzatori che raccolgono dati da sorgenti multiple.

Senza questa mappa, qualsiasi intervento di rete è un'operazione ad alto rischio: aggiungere una regola firewall tra due segmenti potrebbe rompere una comunicazione PLC-SCADA che nessuno aveva documentato. Con la mappa derivata dal monitoraggio passivo, ogni intervento può essere verificato rispetto alle dipendenze reali prima di essere applicato.

La mappa rivelava spesso dipendenze inattese: un HMI che si connette a un PLC di una linea diversa dalla propria "linea di competenza", un SCADA che raccoglie dati da un controller che nessuno aveva incluso nella sua lista sorgenti, un sistema di storicizzazione che comunica con un indirizzo IP non documentato. Queste dipendenze inattese non sono necessariamente problemi di sicurezza, molte hanno spiegazioni operative legittime, ma devono essere comprese prima di poter essere gestite.

Dalla topologia alla sicurezza: prerequisiti soddisfatti

Una topologia di rete OT aggiornata e accurata abilita una serie di interventi di sicurezza che senza di essa sarebbero impossibili o troppo rischiosi:

Segmentazione informata: conoscere le dipendenze funzionali permette di progettare la segmentazione in modo che rispetti i flussi necessari e blocchi quelli non necessari, invece di procedere per tentativi con il rischio di bloccare processi produttivi.

Gestione delle vulnerabilità contestualizzata: sapere su quale segmento si trova un dispositivo vulnerabile, e con quali altri sistemi comunica, permette di valutare correttamente il rischio reale della vulnerabilità e di definire i controlli compensativi appropriati in attesa del patch.

Incident response efficace: in caso di incidente, avere una topologia aggiornata riduce drasticamente il tempo necessario per capire quali sistemi sono raggiungibili da un dispositivo compromesso, quali processi produttivi sono a rischio, e quali azioni di contenimento è possibile prendere senza fermare la produzione.

Compliance dimostrabile: NIS2 e IEC 62443 richiedono entrambe la conoscenza e la documentazione degli asset e delle loro interdipendenze. Una topologia derivata da monitoraggio passivo è una documentazione verificabile, non un'autodichiarazione.

La topologia di rete non è un documento da produrre una volta e archiviare: deve essere mantenuta viva. Il monitoraggio passivo continuo garantisce che la topologia si aggiorni automaticamente quando nuovi dispositivi appaiono in rete o quando le comunicazioni cambiano, mantenendo la documentazione allineata alla realtà senza richiedere ricognizioni manuali periodiche.

L'angolo MON5

La ricostruzione passiva della topologia descritta in questo articolo è il cuore della fase DISCOVER di MON5: il sensore osserva il traffico reale, identifica gli endpoint, ricostruisce il grafo delle comunicazioni e la mappa delle dipendenze PLC-SCADA-HMI, senza interrogare i dispositivi e senza fermare la produzione. La piattaforma decodifica i protocolli OT nativi, da Modbus a Siemens S7, da OPC UA a PROFINET.

Con la fase ANALYZE la mappa resta poi aggiornata in continuo: ogni nuovo dispositivo o comunicazione entra automaticamente nell'inventario. Se la documentazione del vostro impianto è ferma a qualche anno fa, un assessment OT è il modo più rapido per ripartire da dati reali.