Reti OT piatte: perché la maggior parte delle fabbriche non sa cosa ha in rete

La rete piatta: com'è nata e perché è ancora così diffusa

Chiedete a un responsabile tecnico di una PMI manifatturiera italiana di descrivere la propria rete OT. La risposta più comune non è una descrizione tecnica precisa: è una storia. La rete è nata con i primi PLC installati vent'anni fa, poi si è espansa quando hanno aggiunto la seconda linea, poi sono arrivati gli HMI nuovi, poi l'integrazione con il gestionale, poi i tecnici del vendor di macchine che hanno installato qualcosa per la manutenzione remota e non si è ben capito cosa.

Questa è la rete OT tipica delle PMI italiane: non progettata come sistema, ma cresciuta per accumulazione. Ogni intervento ha aggiunto qualcosa senza togliere nulla, senza una revisione architetturale, spesso senza documentazione. Il risultato è una rete piatta dove tutti i dispositivi (PLC, HMI, SCADA server, workstation, stampanti, lettori di codici a barre, telecamere IP) condividono lo stesso segmento di rete senza nessuna separazione logica tra loro.

La rete piatta non è nata da una scelta di sicurezza: è nata da una scelta di semplicità operativa. Meno configurazione, meno problemi di connettività, meno ticket aperti. In un ambiente dove la priorità assoluta è la continuità produttiva e dove le risorse IT sono spesso condivise o assenti, la rete piatta è la soluzione di minima resistenza.

Il problema è che una rete piatta non ha perimetro interno. Una volta che un attaccante, o un malware, ottiene un punto d'accesso, può raggiungere potenzialmente ogni dispositivo sulla rete senza incontrare ostacoli. E se non si sa nemmeno cosa c'è in rete, non è possibile sapere cosa un attaccante potrebbe raggiungere.

Il problema dell'inventario: dispositivi sconosciuti ovunque

L'inventario degli asset OT è, in quasi tutte le PMI, inesistente o inaffidabile. Esistono spesso liste di acquisto degli ultimi anni, fogli Excel aggiornati fino a una certa data, schemi elettrici che documentano i componenti di una linea. Nessuno di questi strumenti corrisponde a ciò che è effettivamente in rete in questo momento.

Le ragioni sono strutturali. I dispositivi OT vengono installati da vendor diversi, in tempi diversi, spesso durante fermate non pianificate quando l'obiettivo è ripristinare la produzione il più rapidamente possibile. La documentazione viene rimandata a dopo, e quel dopo spesso non arriva. I dispositivi temporanei, come un laptop di un tecnico esterno collegato per una settimana di manutenzione, rimangono in rete per mesi dopo la partenza del tecnico.

Ci sono poi i dispositivi che nessuno ricorda di aver installato: vecchi HMI dismessi ma non spenti, concentratori di dati di un sistema di supervisione poi abbandonato, gateway di protocollo lasciati attivi perché "non si sa cosa faranno se li si spegne". In reti OT attive da dieci o vent'anni, questa categoria può rappresentare una percentuale significativa dei dispositivi presenti.

Il problema diventa critico quando si considera che questi dispositivi sconosciuti sono anche dispositivi non gestiti: non ricevono aggiornamenti firmware, non vengono monitorati, non sono inclusi nei piani di risposta agli incidenti. Sono punti ciechi per definizione, e spesso i punti di minore resistenza per un attaccante.

La dipendenza dalla memoria storica

In molte PMI manifatturiere, la conoscenza della rete OT è concentrata in una o due persone: il responsabile della manutenzione con vent'anni di anzianità, il tecnico specializzato che ha seguito tutte le installazioni degli ultimi dieci anni. Questa persona sa dove sono i PLC, conosce gli indirizzi IP a memoria, sa quali macchine comunicano con quali sistemi.

Il problema non è che questa conoscenza esiste: è che esiste solo in quella forma. Non è documentata, non è trasferibile, e non è verificabile. Quando quella persona va in ferie, o si ammala, o lascia l'azienda, la conoscenza della rete OT va con lei.

Ancora più rilevante dal punto di vista della sicurezza: la memoria umana non è un inventario affidabile. Ricorda i dispositivi principali, le connessioni più usate, i sistemi installati di recente. Non ricorda il piccolo gateway di protocollo installato sette anni fa da un vendor che non lavora più con l'azienda, o il vecchio HMI che qualcuno ha collegato in rete "provvisoriamente" quattro anni fa e poi non ha mai scollegato.

L'inventario che vive solo nella testa del tecnico è un inventario selettivo e parziale. Per la sicurezza, ciò che non viene ricordato non viene protetto.

I rischi concreti di una rete piatta senza inventario

Una rete piatta senza inventario crea una superficie di attacco che non può essere gestita perché non può essere misurata. I rischi più diretti:

Movimento laterale senza ostacoli: un attaccante che ottiene accesso a un singolo dispositivo, per esempio attraverso una workstation con accesso a internet non correttamente separata, può raggiungere potenzialmente tutti gli altri dispositivi sulla rete piatta senza incontrare firewall o segmentazione. In una rete IT questo scenario è grave; in una rete OT dove i PLC controllano processi fisici, le conseguenze possono includere danni agli impianti, interruzione della produzione o, in scenari peggiori, rischi per le persone.

Vulnerabilità non visibili: senza sapere quali dispositivi sono in rete, non è possibile sapere quali vulnerabilità sono esposte. Un PLC con una vulnerabilità critica nota da due anni è un rischio solo se qualcuno sa che esiste e che è raggiungibile dalla rete. Se non compare in nessun inventario, non compare in nessun programma di gestione delle vulnerabilità.

Accessi remoti non tracciati: le PMI spesso hanno decine di connessioni di accesso remoto attive per i vendor delle macchine. Senza un inventario, non si sa quante sono, chi le usa, quando sono state create e se sono ancora necessarie. Alcune di queste connessioni potrebbero essere attive su dispositivi che il vendor ha smesso di aggiornare anni fa.

Compliance impossibile senza visibilità: NIS2 e IEC 62443 richiedono entrambe una gestione degli asset come prerequisito per qualsiasi altro controllo di sicurezza. Non è possibile dimostrare conformità rispetto a sistemi che non si sa di avere.

Da dove si inizia: asset discovery passiva come primo passo

La domanda più frequente è: da dove si comincia, in un ambiente così frammentato, senza fermare la produzione? La risposta è il monitoraggio passivo del traffico di rete.

L'asset discovery passiva funziona ascoltando il traffico già presente sulla rete OT, cioè il traffico che i dispositivi generano normalmente nel corso delle loro operazioni, e ricavando da quel traffico le informazioni sui dispositivi: indirizzi IP e MAC, tipo di dispositivo, produttore, versione firmware dove disponibile, protocolli utilizzati, pattern di comunicazione.

Il vantaggio del monitoraggio passivo in un ambiente OT è cruciale: non genera nessun traffico aggiuntivo sulla rete, non invia pacchetti ai dispositivi, non interferisce in nessun modo con i processi in corso. I dispositivi OT legacy, in particolare i PLC più datati, possono rispondere in modo imprevedibile a scansioni di rete attive; il monitoraggio passivo elimina completamente questo rischio.

In un ambiente tipico di PMI manifatturiera, alcune settimane di monitoraggio passivo producono un inventario che nessun foglio Excel potrà mai avvicinarsi: ogni dispositivo che ha emesso anche solo un pacchetto sulla rete viene identificato, classificato, e inserito nella mappa. Inclusi quelli che nessuno ricordava di avere.

Questo inventario non è la fine del percorso di sicurezza: è il suo prerequisito. Non si può segmentare una rete che non si conosce. Non si possono correggere vulnerabilità su sistemi che non compaiono in nessun inventario. Non si può pianificare un incident response senza sapere quali asset proteggere. La visibilità degli asset è il punto di partenza obbligato, non un'opzione avanzata.

Il percorso successivo: da inventario a postura di sicurezza

Una volta ottenuto un inventario affidabile, diventa possibile affrontare i passi successivi in modo strutturato. La priorità degli interventi cambia completamente quando si sa cosa c'è in rete: i dispositivi con vulnerabilità critiche diventano visibili, i percorsi di comunicazione anomali emergono dal confronto con le aspettative operative, i dispositivi non gestiti possono essere valutati e dismessi o integrati nella gestione ordinaria.

La segmentazione di rete, il passo che segue naturalmente la visibilità degli asset, diventa un progetto realizzabile invece di un'operazione al buio. Sapendo dove si trovano i sistemi critici, quali comunicazioni sono necessarie tra loro, e dove si trovano i dispositivi a maggior rischio, è possibile progettare una segmentazione che migliori la sicurezza senza rompere i processi operativi.

Il punto di partenza, però, rimane sempre lo stesso: capire cosa c'è in rete. Non come esercizio accademico, ma come prerequisito operativo per qualsiasi altro intervento di sicurezza che si voglia rendere efficace.

L'angolo MON5

Il percorso descritto in questo articolo, dall'inventario passivo alla segmentazione, è la metodologia con cui MON5 è stata progettata. La fase DISCOVER parte proprio dalla rete piatta tipica delle PMI: asset discovery passiva o ibrida, ricostruzione della topologia di rete, identificazione di ogni dispositivo che comunica, il tutto senza fermare la produzione e senza inviare un solo pacchetto ai PLC.

L'inventario non resta una fotografia: con la fase ANALYZE diventa continuo, si arricchisce della correlazione con le vulnerabilità CVE e prepara la progettazione di zone e conduit IEC 62443. Per trasformare la memoria storica del tecnico in una mappa verificabile, si comincia con un assessment OT.