OSINT su impianti industriali: cosa trovano gli attaccanti prima di te

Cosa vedono gli attaccanti prima di iniziare

Prima che un attaccante tenti il primo exploit, spende del tempo a raccogliere informazioni. Questa fase, ricognizione o reconnaissance nel gergo della sicurezza, ha l'obiettivo di capire cosa c'è da attaccare, come è configurato, e dove si trovano le debolezze più accessibili. Più informazioni si raccolgono senza alzare allarmi, più l'attacco successivo può essere mirato ed efficace.

Una parte significativa di questa ricognizione avviene interamente tramite fonti pubbliche, senza mai interagire direttamente con i sistemi target. Questa è la OSINT: Open Source Intelligence, l'arte di raccogliere informazioni da fonti liberamente accessibili. Per i sistemi OT industriali, la quantità di informazioni pubblicamente disponibili è spesso molto maggiore di quanto i responsabili degli impianti immaginino.

Comprendere quali informazioni sono accessibili pubblicamente sui propri sistemi industriali non è un esercizio accademico: è uno dei controlli di sicurezza più immediati e a basso costo disponibili. Vedere se stessi con gli occhi di un potenziale attaccante permette di identificare e correggere esposizioni che, finché non le si cerca, non si sa di avere.

Shodan e Censys: i motori di ricerca per sistemi esposti

Shodan e Censys sono motori di ricerca che indicizzano i dispositivi connessi a internet e li rendono ricercabili per caratteristiche tecniche: porta aperta, banner di servizio, certificati TLS, sistema operativo, versione software. A differenza di Google, che indicizza contenuti web, questi strumenti indicizzano i dispositivi stessi e i servizi che espongono.

Shodan, il più noto dei due, esegue scansioni continue dell'intero spazio di indirizzi IPv4 pubblici. Per ogni indirizzo IP raggiungibile, registra le porte aperte, i banner dei servizi che rispondono su quelle porte, e qualsiasi informazione tecnica estraibile dalla risposta. Il database risultante è liberamente consultabile (con alcune limitazioni per gli utenti non registrati) e permette ricerche per tipo di servizio, versione software, paese, e centinaia di altri parametri.

Per i sistemi OT, questo significa che chiunque può cercare, ad esempio, tutti i dispositivi in Italia che espongono la porta 502 (Modbus TCP), o tutti i server SCADA con una versione specifica di WinCC, o tutti i dispositivi con un banner che contiene il nome di un produttore specifico di automazione industriale. Queste ricerche non richiedono competenze avanzate e producono risultati in pochi secondi.

Censys funziona in modo simile, con maggiore enfasi sull'analisi dei certificati TLS e sui servizi HTTPS, ed è spesso usato in complemento a Shodan per avere una visione più completa.

Cosa si trova: i sistemi OT più comunemente esposti

Le ricerche su Shodan relative a sistemi industriali restituiscono categorie di risultati che si ripetono con frequenza preoccupante, anche limitando la ricerca all'Europa o all'Italia:

HMI con interfacce web: molti HMI moderni espongono un'interfaccia web per consentire l'accesso remoto agli operatori. Queste interfacce sono spesso raggiungibili direttamente da internet, a volte protette da credenziali deboli o predefinite, a volte del tutto prive di autenticazione. Un attaccante che trova un HMI accessibile via web può vedere in tempo reale lo stato di un impianto industriale, e in alcuni casi interagire con esso.

VPN industriali con versioni vulnerabili: i gateway VPN usati per l'accesso remoto agli impianti sono tra i sistemi più ricercati su Shodan. Molti di questi gateway sono su versioni firmware con vulnerabilità note, alcune critiche, che non sono state corrette perché l'aggiornamento richiede una finestra di manutenzione che non si è mai organizzata. Il banner del servizio spesso contiene la versione del firmware, permettendo a chiunque di associare il dispositivo alle vulnerabilità corrispondenti senza nemmeno tentare un exploit.

Server Modbus/TCP esposti: Modbus TCP su porta 502 è uno dei protocolli industriali più diffusi. È anche un protocollo senza autenticazione nativa: chiunque riesca a connettersi alla porta 502 di un dispositivo può inviare comandi Modbus. I server Modbus esposti direttamente su internet, una configurazione che non dovrebbe mai esistere, sono un rischio immediato.

Pannelli di controllo di sistemi di Building Automation: i sistemi BAS/BMS per la gestione degli edifici industriali (HVAC, accesso, energia) sono spesso connessi a internet per il monitoraggio remoto. Questi sistemi controllano ambienti fisici che possono essere critici per certi processi produttivi, e sono spesso meno presidiati rispetto ai sistemi di controllo di processo principali.

Interfacce di teleassistenza dei vendor: molti vendor di macchine CNC, robot industriali, o impianti di processo installano accessi remoti permanenti per la manutenzione. Questi accessi, spesso basati su VNC o RDP diretto, a volte su piattaforme di teleassistenza proprietarie, rimangono attivi molto dopo la fine della garanzia, e in alcuni casi molto dopo che il vendor ha smesso di usarli attivamente. Se esposti su internet, sono porte d'ingresso potenziali.

Esposizione italiana ed europea: dati di contesto

I ricercatori di sicurezza che analizzano Shodan e Censys publicano periodicamente analisi sull'esposizione dei sistemi OT. I dati disponibili indicano che l'Italia non è un'eccezione: sistemi industriali italiani compaiono nelle ricerche Shodan con una frequenza coerente con la dimensione del settore manifatturiero nazionale.

Alcune organizzazioni, tra cui Shadowserver Foundation e CISA negli Stati Uniti, conducono scansioni regolari dello spazio IP pubblico alla ricerca di sistemi OT esposti e notificano i gestori degli indirizzi IP quando trovano esposizioni critiche. Il fatto che questi servizi di notifica esistano, e abbiano un backlog significativo di notifiche da inviare, indica che il problema dell'esposizione involontaria dei sistemi OT è diffuso e sistemico, non un caso isolato.

Il principio rilevante per una PMI manifatturiera non è confrontarsi con statistiche aggregate: è chiedersi se i propri sistemi compaiono in queste ricerche, e la risposta non è scontata. Molte organizzazioni scoprono di avere sistemi esposti su internet che non sapevano di avere, spesso perché qualcuno ha aperto una porta del firewall per "risolvere un problema" senza documentarlo e senza chiuderla dopo.

Come ridurre la propria esposizione: un approccio in tre passi

La riduzione dell'esposizione OSINT dei sistemi OT non richiede investimenti tecnologici avanzati. Richiede un processo sistematico che inizia dalla comprensione di cosa è effettivamente esposto.

Passo 1: ricerca della propria esposizione

Il primo passo è cercare attivamente i propri sistemi nelle stesse fonti che userebbero gli attaccanti. Questo include:

• Cercare su Shodan gli indirizzi IP pubblici dell'organizzazione (gli IP assegnati alla propria connessione internet, ai propri data center, alle proprie VPN). La ricerca per range IP è disponibile anche senza abbonamento premium.
• Cercare il nome dell'organizzazione, i nomi di dominio, i marchi associati. Alcuni sistemi espongono banner che contengono questi identificativi.
• Cercare per tipologia di dispositivo: produttori specifici di PLC o HMI usati nell'impianto, combinati con la propria area geografica.

Questo processo dovrebbe essere ripetuto periodicamente, almeno ogni trimestre, perché l'esposizione può cambiare: nuovi dispositivi vengono connessi, nuove porte vengono aperte, la superficie di esposizione evolve.

Passo 2: inventario degli asset internet-facing

Spesso, la principale scoperta del processo OSINT interno è che l'organizzazione non ha una lista completa dei propri sistemi raggiungibili da internet. Costruire e mantenere questo inventario è il secondo passo.

L'inventario degli asset internet-facing deve includere non solo i server e le applicazioni che si intende esporre intenzionalmente, ma anche tutti i dispositivi che risultano raggiungibili da internet anche se non avrebbero dovuto esserlo. Per ogni dispositivo nell'inventario: porta esposta, servizio, versione, motivo dell'esposizione, data di ultima verifica, responsabile della gestione.

Passo 3: rimozione dell'esposizione non necessaria

Per ogni sistema trovato esposto su internet, la prima domanda è: questa esposizione è necessaria? In un numero sorprendente di casi, la risposta è no: il sistema è esposto perché qualcuno ha aperto una porta che non ha mai chiuso, non perché ci sia una necessità operativa attuale.

Per i sistemi la cui esposizione non è necessaria, la correzione è semplice: chiudere la porta a livello firewall. Non richiede interventi sulle applicazioni o sui dispositivi, solo una modifica alla configurazione del perimetro.

Per i sistemi la cui esposizione è necessaria (accessi remoti per la manutenzione, interfacce di dati verso partner, VPN per il personale remoto) il controllo si sposta sulla sicurezza dell'accesso: autenticazione forte, versioni software aggiornate, limitazione degli accessi ai soli IP sorgente autorizzati dove possibile.

Il principio generale: vedere se stessi dall'esterno

Il valore principale dell'approccio OSINT applicato alla propria organizzazione non è la singola scoperta di un sistema esposto: è il cambiamento di prospettiva. Smettere di chiedersi "cosa abbiamo protetto?" e iniziare a chiedersi "cosa può vedere chiunque voglia guardarci?"

Questi sono due esercizi molto diversi. Il primo parte dall'interno e guarda verso fuori: cosa abbiamo, cosa abbiamo configurato, cosa crediamo di proteggere. Il secondo parte dall'esterno e guarda verso dentro: cosa è visibile, cosa è raggiungibile, cosa offre punti di ingresso a chi non dovrebbe averli.

La superficie di esposizione reale di un'organizzazione è sempre l'intersezione di queste due prospettive. Ignorare quella esterna significa lavorare con un modello incompleto del proprio rischio.

L'angolo MON5

Guardarsi dall'esterno con Shodan è metà dell'esercizio: l'altra metà è sapere cosa c'è davvero dentro la rete, perché molte esposizioni nascono da dispositivi che nessuno aveva censito. La fase DISCOVER di MON5 costruisce questo inventario con asset discovery passiva, senza fermare la produzione, mentre ANALYZE correla le vulnerabilità di ogni asset con score EPSS ed esposizione reale: la stessa logica con cui un attaccante sceglie i bersagli, usata per decidere le priorità di remediation.

Incrociare la vista esterna con quella interna chiude il modello di rischio. La fotografia interna del vostro impianto inizia da un assessment OT.